En avvisningspolicy kan vara en användbar del av att skydda en sändande domän. Den kan inte fastställa att varje meddelande en person tar emot är säkert, att varje mottagare kommer att vidta samma åtgärd eller att en autentiserad avsändare agerar ärligt.
Den praktiska frågan är inte om en domän har nått en viss policymärkning. It is which impersonation route the control addresses and what evidence supports the next decision. A security programme needs that boundary stated plainly before a dashboard percentage becomes a management claim.
Beskriv den kontrollerade identiteten
Under RFC 9989 §5.3.5, DMARC utvärderar användningen av domänen i den synliga Från-adressen mot passerande, justerad SPF eller DKIM bevis. En policy gäller för den domänrelationen. Det autentiserar inte ett visningsnamn, godkänner inte en betalningsbegäran eller bedömer en länkad webbplats; RFC 9989 §5.4 gör klart att validerad domänanvändning inte är ett värdepåstående om ett meddelande.
En policy för avvisning uttrycker domänägarens begärda bedömning för meddelanden som misslyckas med validering. Mottagarens slutliga hantering beror också på dess egen analys. RFC 9989 RFC 9989 §7.4 kräver specifikt att mottagare överväger mer än en publicerad avvisningspolicy, särskilt när legitim indirekt post är inblandad.
These limits do not make the control unimportant. De gör dess täckning mätbar. Använda guiden för val av policy för att koppla policyn till domänens faktiska syfte.
Testa fyra olika attackhistorier
Följande scenarier är illustrativa. De är inte kundincidenter eller uppmätta attackresultat.
- Scenario: En avsändare använder en organisations exakta From-domän utan en passerande anpassad identitet; Vad domänbeviset kan visa: DMARC fel kan informera hanteringen enligt tillämplig policy; Kontroll behövs fortfarande: Mottagarens analys, övervakning och incidentrespons
- Scenario: En avsändare använder en annan domän med ett övertygande visningsnamn; Vad domänbeviset kan visa: Den andra domänen kan autentiseras framgångsrikt; Kontroll behövs fortfarande: Identifiering av identitetsstöld och användarrapportering
- Scenario: Ett legitimt konto tas över och skickas via en godkänd rutt; Vad domänbeviset kan visa: Meddelandet kan ha giltig justerad autentisering; Kontroll behövs fortfarande: Kontosäkerhet och utredning
- Scenario: En leverantör skickar ett autentiserat meddelande som begär en bedräglig ändring av bankkonto; Vad domänbeviset kan visa: Leverantörens domänanvändning kan validera; Kontroll behövs fortfarande: Oberoende verifiering av betalningsändring
En singel"nätfiske blockerat nummer skulle dölja dessa skillnader. Märk tester efter identitet, rutt och förväntad kontroll. För en säker övning, använd auktoriserade testkonton och syntetiskt innehåll; det finns ingen anledning att utsätta en verklig mottagare för en bedräglig instruktion för att fastställa protokollets gräns.
Kontrollera legitim e-post innan du ändrar policy
En restriktiv policy kan påverka legitim kommunikation vars autentisering saknas eller vars identiteter är felaktiga. Inventera varje företagstjänst, dess ägare och kontot eller rutten som skickar den. Lägg till bevis för mottaget meddelande bredvid DNS tillstånd.
En syntetisk beredskapsmatris kan visa fakturering verifierad, support verifierad och ett kvartalsvis skattemeddelande som fortfarande väntar på ett sändningstest. Det korrekta releasebeslutet är att lösa den kritiska saknade strömmen, inte ta bort den i genomsnitt eftersom fakturering står för den största volymen.
Behandla okända källor som olösta tills bevis identifierar dem. En bekant molnleverantör bevisar inte godkännande, och en misslyckad rapportrad bevisar inte en attack. En underhållen avsändarinventering ger de utredningarna någonstans att landa.
Konto för vidarebefordran och e-postlistor
Ett meddelande kan lämna sin ursprungliga väg genom ett alias, vidarebefordran eller e-postlista. Vidarebefordran ändrar den anslutningskälla som den slutliga mottagaren ser under RFC 7208 §10.3; changes to covered content can affect DKIM verification under RFC 6376 §3.7. The resulting failure may concern a legitimate message.
Nuvarande RFC 9989 §7.4 varnar för avslag för domäner för allmänna ändamål vars användare kan skicka inlägg på Internet-e-postlistor. Det kräver också att domäner som publicerar avvisar tillämpar giltiga DKIM signaturer istället för att enbart förlita sig på SPF . En transaktionsdomän och en personalkorrespondensdomän kan därför behöva olika policybeslut.
A delivered test through one forwarder is evidence for that route and time. It does not establish that every list, receiver or future modification behaves identically. Registrera både arbetsvägen och osäkerheten.
Håll ändringsprotokollet kopplat till anspråket
Innan en godkänd policyändring bevaras den tidigare posten, den föreslagna skillnaden, domänens omfattning, ägare, granskade bevis och återställningsåtgärd. Jämför sedan de observerade legitima strömmarna, returnerade felen och tillgängliga rapporter. Registrera faktiska resultat snarare än att anta att en framgångsrik DNS publicering bevisar framgångsrik kommunikation.
För en syntetisk övning kan ändringsnotisen säga att en dedikerad kvittodomän övervägdes för starkare bedömning efter att dess kända tjänster och indirekta rutter granskats. Det ska inte stå att allt nätfiske har eliminerats. Bevisen stöder ett beslut om den domänen och dess dokumenterade e-postflöden.
Rapportera kvarvarande risk på ett användbart språk
Ett tydligt ledningsuttalande namnger domänen, övervakad population, verifierade legitima tjänster, nuvarande policy och återstående svagheter. Det håller förfalskade domänfynd åtskilda från kontokomprometteringar, lookalike domäner och transaktionsbedrägerier.
Användbara uppföljningsåtgärder inkluderar att ta bort inaktuella sändningsbehörigheter, förbättra kontoskyddet, validera känsliga förfrågningar via en känd oberoende kanal och upprätthålla en rapporteringsprocess för misstänkt post. Dessa åtgärder adresserar olika felvägar; deras värde bör inte tillskrivas DMARC -post ensam.
Resultatet att sträva efter är exakt: legitim användning av den valda From-domänen förstås och underhålls, misslyckanden undersöks och policyn passar domänens användning. Håll de återstående bedrägeri-scenarierna synliga så att en starkare domänpolicy inte blir ett falskt löfte om varje meddelande.
Anteckna ett beslut som kan omprövas
För de fyra scenarierna, håll separata resultat för exakt domänfel, en annan autentiserad domän, kontoövertagande och en autentiserad begäran om betalningsändring. Sammanfatta dem inte till ett okvalificerat DMARC framgångsanspråk. De föreslagna uppföljningskontrollerna är driftsrekommendationer, inte garantier eller krav på DMARC -protokoll. Ingen incident, attacksimulering eller policyimplementering utfördes.