CISO musi wiedzieć, czy kontrola domeny organizacji obejmuje zamierzone zasoby i czy ważne, legalne usługi nadal działają. Globalny DMARC procent nie odpowiada na żadne pytanie samodzielnie. Utwórz niewielki zestaw miar oddzielających wdrożenie, obserwowane uwierzytelnianie, świeżość dowodów i nierozwiązane wyjątki.
Poniższe środki są zaleceniami operacyjnymi. Korzystają z protokołów i granic raportowania określonych w dokumentach RFC 9989 i 9990, ale nie są to ustandaryzowane wyniki zgodności DMARC .
Zacznij od posiadanego asortymentu
Referencje: RFC 9989 §4.10.1, RFC 9989 §5.4.
Zdefiniuj populację domen na podstawie odpowiedzialnego spisu, w tym domen wysyłających, marek niewysyłających, usług delegowanych i odpowiednich subdomen. Zapisz właściciela, przeznaczenie, wynik odkrycia zasad i ostatnią datę weryfikacji. Policz jawne zapisy i odziedziczone skuteczne zasady osobno, jeśli to rozróżnienie ma znaczenie.
Metryką wdrożenia można zweryfikować domeny objęte zakresem z zamierzoną efektywną polityką podzieloną przez wszystkie domeny objęte zakresem. Wyjaśnij, co oznacza zweryfikowanie i które zasady spełniają cel organizacji. Publikacja jakiegokolwiek zapisu nie jest równoznaczna z wystąpieniem o egzekucję, a złożenie wniosku o egzekucję nie gwarantuje identycznego traktowania przez każdego syndyka.
Zmierz legalne działanie usług
Referencje: RFC 9990 §3.1.1.8, RFC 9989 §5.3.5, RFC 9989 §5.3.8.
Utrzymuj zweryfikowany spis aplikacji do domeny. Dla każdej usługi krytycznej zapisz oczekiwane tożsamości, odpowiedzialnego właściciela, ostatni reprezentatywny test i zaobserwowane, zgodne wyniki. Wyświetl usługi, których nie zaobserwowano w danym okresie, zamiast przyznawać im przepustkę.
W przypadku mających zastosowanie ważnych zasad i ukończonych ocen oblicz współczynnik zdawalności na podstawie obserwacji, sumując liczbę wiadomości z wyrównanym pozytywnym zaliczeniem SPF Lub DKIM wynik i podzielenie przez zawarte obserwacje komunikatu. Stan zasięgu odbiornika, okno czasowe, obsługa duplikatów i kryteria klasyfikacji. Oddziel tę stawkę od wskaźnika zasięgu usług, którego mianownikiem są aplikacje, a nie wiadomości.
Pracuj nad mylącą średnią
Syntetyczny przykład: usługa marketingowa ma 99 990 pozytywnych obserwacji, podczas gdy zweryfikowana trasa faktury ma dziesięć nieudanych obserwacji. Łączny wskaźnik zdawalności wynosi 99,99%. Obserwowany wskaźnik przepuszczalności trasy faktury wynosi zero na dziesięć, a jedna z dwóch wymienionych usług ma nierozwiązany problem z uwierzytelnianiem.
Fakty te uzasadniają pilne dochodzenie w sprawie faktury, mimo że główny wskaźnik jest wysoki. Nie dowodzą, że wszystkie dziesięć faktur zostało odrzuconych ani że każdy odbiorca faktury złożył sprawozdanie. Pokaż potwierdzenie właściciela faktury, dowód przykładowej wiadomości i status odzyskiwania obok danych.
Dodaj miary widoczności i wyjątków
Śledź najnowsze omówione interwały i opóźnienia przybycia dla ważnych reporterów. Pokaż niesklasyfikowany zaobserwowany wolumen, nieprzetestowane trasy krytyczne i zaległe decyzje dotyczące własności. Zmiana liczby reporterów współpracujących może spowodować zmianę wartości procentowej bez poprawy nadawcy. Zaznaczaj takie zmiany, zamiast mieszać je w trend.
W przypadku wyjątków należy mierzyć wiek, krytyczność biznesową, kolejne działanie i wygaśnięcie, a nie tylko liczbę otwartych zgłoszeń. Pojedynczy długotrwały wyjątek mający wpływ na przepływ płatności może zasługiwać na więcej uwagi niż wiele szybko rozwiązanych obserwacji o niewielkim wpływie. Nie nazywaj wszystkich awarii z nieznanego źródła zablokowanymi atakami.
Zapewnij możliwość audytu podsumowania zarządu
Dla każdej opublikowanej liczby należy zachować jej populację, licznik, mianownik, korektę obliczeń, datę dowodu i odpowiedzialnego właściciela. Dołącz szczegółowe informacje na temat kluczowych usług i znanych luk. Użyj niedostępne, gdy mianownik wynosi zero lub nie ma dowodów.
Instrukcja kontroli powinna określać, co zostało skonfigurowane, jakie działanie zaobserwowano, a co pozostaje niepewne. Przegląd po przejęciu domeny, migracji dostawców lub nowych aplikacjach wysyłających. Solidny program metryczny uwidacznia te zmiany i pozwala na podjęcie konkretnych decyzji dotyczących środków zaradczych; nie zmienia niekompletnego zbioru danych w uniwersalne zabezpieczenie bezpieczeństwa.
Kontynuuj śledztwo
Skorzystaj z przewodnik dotyczący raportu zbiorczego dla pól bazowych i poradnik diagnostyki zbieżności gdy powodzenie surowego uwierzytelnienia nie spełnia wymagań DMARC .
Zachowaj ilustrację jako dowód
Lokalne obliczenia syntetyczne dają 99 990/100 000 = 99,99% ogólnego pozytywnego wyniku, ale 0/10 = 0% w przypadku faktur. W dostarczonym scenariuszu jedna z dwóch nazwanych usług pozostaje problematyczna. Nie jest to mierzony wynik pokrycia nieruchomości, liczba strat w dostawach ani punkt odniesienia dla branży.