Kimliği doğrulanmış bir mesaj yine de sahte bir istek taşıyabilir. Bu açıklama işe yaramıyor SPF, DKIM veya DMARC önemsiz. Sınırlarını tanımlar.
E-posta kimlik doğrulaması, etki alanı kimlikleri ve ileti işleme hakkında kanıt sağlar. İşletme yetkilendirmesi farklı bir soruyu yanıtlıyor: Bu kişi veya sistem bu talepte bulunma hakkına sahip miydi ve kuruluş bu konuda harekete geçmeli mi? Güvenli bir süreç her ikisine de ihtiyaç duyar.
Pasın aslında neyi kanıtladığını sorun
Altında RFC 9989 §5.3.5 Ve RFC 9989 §5.4mesaj düzeyinde bir DMARC geçişi, alıcının, kimliği doğrulanmış alanı Kimden'deki alanla aynı hizada olan en az bir geçiş SPF veya DKIM yolu bulduğu anlamına gelir. Şunu kanıtlamaz:
- hesabı hangi kişinin kontrol ettiği;
- hesabın ele geçirilmediğini;
- bir faturanın veya banka değişikliğinin meşru olduğunu;
- bir bağlantının veya ekin zararsız olduğunu;
- alan adının, alıcının aklındaki marka olduğunu.
Kesin ifade faydalıdır: mesaj bir From alan adını sundu ve bu alanla ilgili nitelikli kimlik doğrulama kanıtı üretti. Bunu, gönderenin veya mesajın güvende olduğuna dair daha geniş bir iddiaya dönüştürmekten kaçının.
Bir yanıt seçmeden önce kimlik istismarını sınıflandırın
Farklı saldırılar gelen kutusunda benzer görünebilir ancak kimlik doğrulama sınırının farklı taraflarında yer alabilir.
- Model: Tam alan adı sahteciliği; Kimlik doğrulamanın gösterebileceği şeyler: Alıcının kanıtlarına ve kullanımına bağlı olarak hizalanmış geçiş yolu yok; Kontrol ve yanıt odağı: DMARC politikası, gönderen kapsamı, alıcı kontrolleri ve soruşturma
- Model: Benzer alan adı; Kimlik doğrulama neyi gösterebilir: Benzer, kendi etki alanının kimliğini başarıyla doğrulayabilir; Kontrol ve yanıt odağı: Etki alanı izleme, kullanıcı ipuçları, filtreleme, raporlama ve orantılı kötüye kullanım eylemi
- Desen: Görünen ad aldatmacası; Kimlik doğrulamanın gösterebileceği şeyler: İlgisiz bir alan, tanıdık bir ad sunarken kimlik doğrulaması yapabilir; Kontrol ve yanıt odağı: Görünen ad analizi, bağlam, kullanıcı raporlaması ve bağımsız doğrulama
- Model: Güvenliği ihlal edilmiş yetkili hesap; Kimlik doğrulamanın gösterebileceği şeyler: Gerçek etki alanı, kimlik doğrulamayı geçebilir; Kontrol ve yanıt odağı: Hesap güvenliği, oturum ve oturum açma araştırması, sınırlama ve iş doğrulaması
- Model: Güvenliği ihlal edilmiş tedarikçi; Kimlik doğrulama neleri gösterebilir: Tedarikçinin gerçek etki alanı geçebilir; Kontrol ve müdahale odağı: Tedarikçi olayı koordinasyonu, işlem kontrolleri ve alternatif kanal onayı
DMARC kapsadığı alan kimliğinin yetkisiz kullanımına karşı en güçlü olanıdır. Görsel olarak benzer alan adlarının sahipliğini oluşturmaz, görünen adın doğruluğunu doğrulamaz veya gerçek bir hesabın uygun yetkiyle kullanılıp kullanılmadığına karar vermez.
Kurgusal bir ödeme değişikliği olayını takip edin
Aşağıdaki senaryo sentetiktir. Bir müşteri olayını ima etmeden kanıt zincirini gösterecek şekilde tasarlanmıştır.
Bir finans çalışanı bir talep alır accounts@supplier.example banka bilgilerini değiştirmek istiyor. Uygulanabilir bir politika varsayıldığında, güvenilir alıcı sonuçları, aşağıdakiler için uyumlu bir DKIM geçişini gösterir: supplier.exampleböylece mesaj DMARC geçer. Konu geçmişi ve yazma stili de tanıdık görünüyor.
Çalışan bu sinyallere dayanarak değişikliği onaylamaz. Daha önce doğrulanmış bir tedarikçi numarasını ararlar ve posta kutusunun ele geçirildiğini öğrenirler. Kuruluş, talep edilen değişikliği dondurur, orijinal mesajı korur ve tedarikçiye zaman damgalarını ve ilgili başlıkları sağlar.
Kimlik doğrulama tasarlandığı gibi çalıştı: mesajın tedarikçinin kimliği doğrulanmış alan adını kullandığını gösterdi. Bağımsız doğrulama kontrolü, alan adı kimlik doğrulamasının karar veremeyeceği yetkisiz bir işlemi durdurdu.
Protokol kanıtlarını ve iş kanıtlarını koruyun
Sonuç olarak ortaya çıkabilecek bir olay için, düzenlenmiş bir kopya oluşturmadan önce erişim kontrollü orijinal mesajı saklayın. RFC 8601 §7.1 güvenilir sonuç sınırlarını tanımlar; İmzalı materyalde yapılan düzenlemeler, aşağıdaki koşullar altında yeniden doğrulamayı etkileyebilir: RFC 6376 §3.7. Yararlı teknik kanıtlar güvenilir olanları içerebilir Authentication-Results, ilgili Alınan alanlar, Kimden, Yanıtla, Return-Path, DKIM imzaları, mesaj tanımlayıcıları, zaman damgaları ve alma günlükleri.
Faydalı iş kanıtları; talebi, amaçlanan eylemi, belirlenmiş onay kurallarını, doğrulama için kullanılan iletişim yöntemini ve sonucu içerir. Gerçekleri çıkarımlardan ayrı tutun. Ham geçiş, uzlaşmanın kanıtı değildir ve DMARC hatası, zararın meydana geldiğinin kanıtı değildir.
Altında RFC 9990 §3.1toplu DMARC raporları, alan sahiplerinin gözlemlenen kimlik doğrulama ve değerlendirme modellerini anlamalarına yardımcı olabilir. Bireysel mesajların tam bir kaydı değildirler ve genellikle belirli bir isteğin yetkilendirilip yetkilendirilmediğine karar vermek için gereken içeriği sağlamazlar. Altında RFC 9989 §5.3.9, arıza raporlarıoluşturulduğu durumlarda dikkatli gizlilik ve erişim yönetimi gerektirir ve evrensel olarak mevcut değildir.
Hassas iş akışlarına bağımsız doğrulama ekleyin
Yüksek etkili eylemlerde yalnızca gelen mesaja bağlı olmayan kontroller kullanılmalıdır. Örnekler şunları içerir:
- banka ayrıntılarındaki değişikliklerin önceden onaylanmış bir kanal aracılığıyla doğrulanması;
- tanımlanmış eşiklerin üzerindeki ödemeler için ikili onay gerektirmesi;
- bir e-posta dizisinin hem isteği hem de doğrulama iletişim kişisini sağlamasını engellemek;
- hassas veri alışverişi için kimliği doğrulanmış portalların kullanılması;
- acil gizliliği, olağandışı zamanlamayı veya kontrol bypassını risk sinyalleri olarak ele almak.
Bunlar iş kontrolleridir, kimlik doğrulamanın yerine geçmez. Kimlik doğrulama, etki alanı kullanımıyla ilgili belirsizliği azaltırken işlem kontrolleri, kimliği doğrulanmış ancak yetkisiz bir isteğin sonucunu azaltır.
Programı zayıflatmadan sınırın iletişimini sağlayın
DMARC her şeyi durdurmadığını söylemek kimlik avı teknik doğrudur. Bu nedenle etkisiz olduğunu söylemek doğru değil. Zorunlu bir politika, korunan bir alanın başarılı bir şekilde yetkisiz kullanımını azaltabilir, alıcı kanıtlarını iyileştirebilir ve meşru gönderme yollarının sahipliğini açık hale getirebilir.
Doğru mesaj katmanlıdır: etki alanını koruyun, hesapların güvenliğini sağlayın, benzerleri ve aldatıcı sunumları tespit edin ve hassas eylemleri bağımsız olarak doğrulayın. Kullanın DMARC kimlik kılavuzu etki alanı düzeyinde sonuç için ve gönderen envanteri yetkili servis sahipliği için.
Sonucu kanıtın içinde tutun
Kurgusal ödeme değişikliği durumu iki bağımsız sonucu korur: etki alanı kimlik doğrulaması başarılı; önerilen işlem ayrı bir doğrulamanın ardından onaylanmadı. Uzlaşmayı yalnızca bir pasla bildirmeyin. Yalnızca yetkili olay açıklamalarını koruyun ve güvenilir bir doğrulama iletişim kişisini gelen isteğin dışında tutun. Hiçbir tedarikçiyle iletişime geçilmedi ve herhangi bir işlem veya olaya müdahale yapılmadı.