Uwierzytelnianie może się powieść w przypadku niewłaściwej organizacji
Osoba atakująca nie musi podszywać się pod domenę zaufanej organizacji, aby wysłać zwodniczą wiadomość. Mogą obsługiwać inną domenę, poprawnie skonfigurować pocztę e-mail i używać jej do składania wprowadzających w błąd twierdzeń. Odbiorca może uznać, że zakończył się sukcesem SPF, DKIM I DMARC dla tej domeny, podczas gdy wiadomość nadal stanowi próbę oszustwa. Wynik uwierzytelnienia opisuje użycie domeny; nie stwierdza, czy domena należy do organizacji, o której myśli czytelnik, ani że żądane działanie jest uzasadnione.
RFC 9989 wyraźnie ogranicza cele DMARC . Analiza treści i uwierzytelnianie podmiotów innych niż domeny wykraczają poza jego zakres, podobnie jak ataki wykorzystujące nazwy wyświetlane. Ta granica wyjaśnia uwierzytelnienie phishing bez sugerowania, że uwierzytelnianie nie powiodło się technicznie. Odpowiednia odpowiedź łączy tożsamość domeny, kontekst wiadomości i niezależną weryfikację biznesową. Ten artykuł ma charakter defensywny i nie zawiera szablonów phishingu, instrukcji dostawy ani testów domeny na żywo.
Rozróżnij uwierzytelnianie od przynależności
Wpisz domenę w rzeczywistym adresie Od i domenę, której oczekiwał odbiorca. Jeśli się różnią, nie zwijaj ich, ponieważ wyświetlana nazwa, logo lub temat wyglądają znajomo. Właściciel domeny może zazwyczaj zorganizować uwierzytelnianie własnej poczty, ale nie mówi to nic o jego powiązaniu z inną firmą. Nawet prawdziwa strona internetowa i działający adres zwrotny nie ustanawiają takiego związku. Chodzi o przynależność i autorytet, a nie tylko techniczną spójność.
RFC 5322, sekcja 3.4, oddziela nazwę wyświetlaną od adresu. Znana etykieta może znajdować się nad niepowiązaną domeną w kliencie pocztowym. W zależności od kontekstu etykieta może być łagodna, niejednoznaczna lub zwodnicza; nie deklaruj zamiaru na podstawie samej etykiety. Porównaj adres z zaufanym rekordem organizacji i zweryfikuj konkretne działanie biznesowe za pośrednictwem ustalonego kanału poza wątpliwą wiadomością.
Sprawdź znaczenie pozytywnego wyniku
Samodzielna przepustka SPF może dotyczyć nadawca kopertowy domenę, podczas gdy DKIM identyfikuje domenę podpisującą. DMARC dodaje wyrównanie związek z widoczną domeną From. Określ, która ścieżka obsługuje raportowany wynik. Jeśli wszystkie te tożsamości należą do nieznanej domeny, wynik może być wewnętrznie spójny bez sprawdzania znanej marki lub osoby wymienionej w wiadomości. To ważne odkrycie, a nie sprzeczność do wyjaśnienia.
Korzystaj z dowodów zaufanego odbiorcy, zamiast akceptować twierdzenia dostarczone przez nadawcę. RFC 8601 opisuje dlaczego Authentication-Results konsumenci potrzebują granicy zaufania. Zrzut ekranu zawierający słowo pass może nie ujawniać, kto ocenił wiadomość lub która domena przeszła. Zapisz źródło, czas i odpowiednie pola identyfikacyjne. Jeżeli dowody są niewystarczające, zachowaj niepewność zamiast twierdzić, że wiadomość albo została ostatecznie przyjęta, albo nie.
Oceń osobno żądane działanie
Określ, czego nadawca oczekuje od odbiorcy. Ryzykiem może być zmiana miejsca docelowego płatności, ujawnienie poufnych informacji, instalacja oprogramowania, zalogowanie się w nieznanej lokalizacji lub zmiana ustalonego przepływu pracy. Uwierzytelnianie domeny nie zatwierdza żadnego z tych działań. Technicznie prawidłowa wiadomość może nadal zawierać fałszywe przesłanki, nieautoryzowane żądanie lub miejsce docelowe niezwiązane z zgłaszaną firmą.
Nie sprawdzaj podejrzanego linku, logując się lub wprowadzając informacje. Skorzystaj z ustalonego w organizacji procesu analizy i raportowania, korzystając z wykwalifikowanego personelu i odpowiednich narzędzi, gdy konieczna jest głębsza inspekcja. Ten projekt nie twierdzi, że wizualna kontrola adresu URL może dowieść bezpieczeństwa ani że każda nieznana domena jest złośliwa. Zarówno legalny nowy dostawca, jak i domena należąca do atakującego mogą być nieznane; weryfikacja biznesowa jest tym, co rozwiązuje relację.
Używaj obrony odbiorcy, nie przeceniając jej
Omówienie uwierzytelniania poczty e-mail firmy Microsoft opisuje uwierzytelnianie złożone jako część szerszej oceny, a nie proste zastąpienie SPF , DKIM i DMARC . Wspiera to podejście warstwowe: systemy odbiorców mogą łączyć sygnały tożsamości z innymi informacjami przy podejmowaniu decyzji o sposobie obsługi poczty. Nie gwarantuje wykrycia każdej uwierzytelnionej wiadomości phishingowej ani nie określa bieżącego zachowania filtrowania innego dostawcy.
Odbiorca może akceptować, umieszczać w kwarantannie, usuwać lub odrzucać wiadomości zgodnie ze swoimi własnymi kontrolami i zasadami. Nie wnioskuj o bezpieczeństwie na podstawie umiejscowienia skrzynki odbiorczej ani o złośliwości na podstawie pojedynczego wyniku filtrowania. Podobnie społeczeństwo lista zablokowanych wynik nie jest uniwersalną oceną reputacji. Użyj diagnostyki dostawcy jako dowodu o znanym zakresie i czasie. Zachowaj rozróżnienie między klasyfikacją maszyny a uprawnieniami właściciela firmy do zatwierdzenia żądanego działania.
Arkusz przynależności i działania
Utwórz arkusz zawierający zadeklarowaną organizację, oczekiwaną zaufaną domenę, rzeczywistą domenę nadawcy, nazwę wyświetlaną, uwierzytelnioną domenę lub domeny, wynik zaufanego odbiorcy i żądaną akcję. Dodaj źródło dowodów dla oczekiwanej domeny, a nie tylko domeny obserwowanej. Zapisz, czy firma ma ugruntowaną relację z nadawcą i czy określone działanie pasuje do tej relacji. Zachowaj nierozwiązaną opcję, zamiast wrzucać każdego nieznanego nadawcę do kategorii atakujących.
W drugiej połowie arkusza zapisano niezależnego weryfikatora, znaną wcześniej drogę kontaktu, zadane pytanie, odpowiedź i właściciela decyzji. Unikaj używania numeru telefonu lub alternatywnego adresu podanego dopiero w podejrzanej wiadomości. Zredaguj niepotrzebne dane osobowe we udostępnionej kopii, zachowując jednocześnie równość i różnicę w domenie. Arkusz, który zastępuje każdy adres tym samym symbolem zastępczym, nie może wykazać, dlaczego uwierzytelnienie nie pozwoliło na ustalenie przynależności.
Fikcyjna diagnoza: poprawnie uwierzytelniona nowa domena
Wyobraź sobie, że fikcyjny zespół operacyjny otrzymuje żądanie rzekomo pochodzące od znanego dostawcy sprzętu. Nadawca korzysta z innej domeny, której nie ma w rejestrze zatwierdzonych dostawców zespołu. Dowody zaufanego odbiorcy hipotetycznie wskazują, że DKIM i przepustka DMARC są dopasowane do tej innej domeny. Odbiorca widzi znajomą nazwę wyświetlaną i zakłada, że wynik uwierzytelnienia potwierdza tożsamość dostawcy. Tak nie jest: obserwacja dotyczy innej domeny.
Proponowaną reakcją jest wstrzymanie żądanej zmiany i zweryfikowanie jej z dostawcą poprzez wcześniej nawiązany kontakt. Jeśli dostawca odrzuci żądanie, organizacja może przekazać dowody przez zatwierdzony proces dotyczący incydentów bez dodawania nieznanej domeny do listy dozwolonych. Jeśli dostawca potwierdzi zasadną zmianę domeny, potwierdzenie to powinno wejść do normalnego przepływu pracy związanego z konserwacją dostawcy, a nie po cichu zmieniać zaufanie na podstawie jednego e-maila. W tym fikcyjnym przykładzie nie był zaangażowany żaden prawdziwy dostawca, rejestracja domeny, dostarczenie wiadomości ani rozmowa weryfikacyjna.
Zachowaj przydatne kontrole i żądaj oryginalnych dowodów
The Doradztwo IC3 BEC, opublikowany w 2020 r., umożliwia niezależną weryfikację nietypowych wniosków biznesowych i ochronę kont. Przytacza się go ze względu na zasady obronne, a nie ze względu na aktualne statystyki ataków lub twierdzenia dotyczące nazwanej organizacji. Uwierzytelnianie, ochrona odbiorców i kontrola procesów biznesowych powinny się wzajemnie wzmacniać. Nie usuwaj uwierzytelnienia, ponieważ nie może ono określić intencji, ani nie udzielaj zaufania tylko dlatego, że przeszło.
Katalog wymaga zredagowanego scenariusza nadużycia z dowodem tożsamości, granicami kontroli i niezależną weryfikacją biznesową. Ten oryginalny dowód pozostaje otwarty; fikcyjny scenariusz nie jest substytutem. Nie odwiedzono żadnego podejrzanego punktu końcowego, nie zebrano żadnych danych uwierzytelniających ani nie skontaktowano się z osobami trzecimi. Otwarte pozostają także przeglądy specjalistyczne, aktualne możliwości zastosowania źródeł, trasy produkcji, dostępność wizualna i zezwolenie właściciela. Wersja nadająca się do publikacji wymaga autoryzowanych dowodów wykazujących dokładną różnicę między uwierzytelnianiem domeny a zaufaniem organizacji lub działaniu, które rzekomo reprezentuje.