Fraza DMARC obejście może opisywać bardzo różne zdarzenia. Ważna przepustka z nadmiernie autoryzowanego źródła, dostawa pomimo niepowodzenia i błąd w realizacji to nie to samo. Zacznij od twierdzenia falsyfikowalnego: jaka tożsamość została potwierdzona, jakim dowodom zaufano i która decyzja odbiegała od oczekiwanej reguły?
Zrekonstruuj zaobserwowaną decyzję
Zachowaj domenę autora, domenę koperty, domeny podpisujące, zaufane wyniki uwierzytelniania i dyspozycję odbiorcy. Zapisz zasady i czas obserwacji. Dostarczona wiadomość sama w sobie nie stanowi potwierdzenia DMARC . Obsługa odbiorcy podlega lokalnym zasadom, a leczenie wymagane przez właściciela domeny nie stanowi uniwersalnej gwarancji dostawy. RFC 9989.
Podobnie kopia Authentication-Results string nie jest dowodem decyzji systemu odbierającego. Ustanów zaufaną usługę uwierzytelniania i odpowiedni przeskok. RFC 8601. Jeśli jedynym dowodem jest zrzut ekranu z informacją „pass”, zachowaj roszczenie jako nierozwiązane do czasu udostępnienia podstawowych tożsamości i kontekstu zaufania.
Oddziel nadmierną autoryzację od uchylania się od reguł
BreakSPF bada, jak liberalny SPF zezwolenie i dostęp do wspólnej infrastruktury, na które pozwalają fałszowanie. Jego model zagrożenia zapewnia atakującemu kwalifikującą się ścieżkę źródłową; odbiorca może następnie ocenić opublikowane zezwolenie w formie pisemnej. BreakSPF, sekcja III.A i rysunek 3.
Jeśli źródło kontrolowane przez osobę atakującą znajduje się w autoryzowanym zakresie i używa wyrównanej tożsamości koperty, zwykła reguła passu może się powieść. Słabość polega na przyznanych uprawnieniach lub granicach usług, a nie na nowej definicji DMARC . I odwrotnie, jeśli uwierzytelniona zostanie tylko niepowiązana tożsamość, a domena autora nie zostanie dopasowana, żądana przepustka wymaga innego wyjaśnienia.
Sklasyfikuj trzy hipotetyczne ustalenia
Załóżmy, że jest to pojedynczy widoczny adres From alerts@brand.test i kwalifikująca się ocena DMARC . Są to spisane hipotezy, a nie zaobserwowane zdarzenia.
- Przypadek autoryzacji: źródło 192.0.2.99 mieści się w określonym zakresie SPF ip4:192.0.2.0/24 ; POCZTA OD bounce@brand.test spełnia wymagania SPF ; NIE Podpis DKIM. Wyrównana ścieżka SPF daje przepustkę DMARC na poziomie komunikatu. Zapytaj, czy tym źródłem rzeczywiście może sterować niezamierzony nadawca i który właściciel przyznał mu uprawnienia.
- Postępowanie w sprawie: POCZTA OD bounce@other.test przechodzi SPF i DKIM d=other.test passes, but assume neither aligns with brand.test. DMARC fails. If the trusted receiver record separately says delivered, investigate its handling policy; delivery alone has not changed the failed wyrównanie wynik.
- Przypadek dowodowy: skopiowany nagłówek mówi „pass”, ale pochodzenie zaufanego odbiorcy, ocenione tożsamości i zastosowane zasady są nieznane. Nie ustalono ani naruszenia protokołu, ani wiarygodnej przepustki. Poproś o oryginał i zapis po stronie odbiorcy.
Autoryzowany pozytywny nadawca 192.0.2.10 i zewnętrzne źródło 198.51.100.10 mogą zapewnić proponowane kontrole podczas badania pierwszego przypadku. Hipotetyczny ip4:192.0.2.10/32 -all rekordy dopuszczają tylko ten pierwszy; Z tej arytmetyki przedrostków nie wynika żadna rzeczywista zmiana produkcji. Nie ma tu żadnego uruchomionego parsera, sprawdzania podpisu ani exploita.
RFC9989 sekcja 7.4 wymaga prawidłowego DKIM do publikowania domen p=reject. Przechodzący, dostosowany mechanizm SPF jest wystarczający dla warunku pozytywnego określonej wiadomości, ale nie jest zaleceniem w przypadku wymuszania wyłącznie SPF.
Niech ustalenia staną się wykonalne
Podaj nazwę odtworzonego stanu i wciąż brakujących dowodów. Przydatne ustalenie mówi, że określone źródło jest dopuszczone na podstawie określonego upoważnienia i identyfikuje odpowiedzialnego właściciela. Nie oznacza to, że cała ochrona DMARC została pokonana. Sprawdź, czy rzeczywista usługa ogranicza tożsamość najemców, czy źródło jest faktycznie kontrolowane i czy odbiorca zastosował deklarowany wynik.
Podczas testowania proponowanego środka łagodzącego należy zachować nieszkodliwą, autoryzowaną kontrolę pozytywną. Zawężenie zakresu lub zmiana łącznika może spowodować uszkodzenie legalnych nadawców. Wymagaj zatwierdzenia zmian dla konkretnej trasy i weryfikacji po zmianie, a zachowanie dostawcy, które nie zostało przetestowane w laboratorium, musi być wyraźnie nierozwiązane. Pomaga to w precyzyjnym rozwiązaniu problemu bez wyolbrzymiania modelu edukacyjnego i przekształcenia go w lukę w zabezpieczeniach produkcyjnych.