Bir e-posta kimlik doğrulama risk listesi, hangi ticari hizmetin zarar görebileceğini ve hangi kararın bu riski azalttığını açıklamalıdır. “DMARC "eksik", tam bir risk beyanı değil, teknik bir bulgudur. Durumu güvenilir bir tehdit veya başarısızlık yoluna, etkilenen sürece, mevcut güvenlik önlemlerine ve sorumlu mal sahibine bağlayın.
Hizmeti ve senaryoyu açıklayın
Her giriş için hizmeti, etki alanını, uygulama sahibini, teknik durumu, kanıt süresini ve olası sonucu kaydedin. Belirsizliği açık tutun. Gözlemlenmeyen bir gönderen bir kanıt boşluğu oluştururken, doğrulanmış, hizalanmamış, meşru bir gönderen bir kimlik doğrulama hatasıdır. İkisi de bir saldırganın hizmetten yararlandığını otomatik olarak kanıtlamaz.
RFC 9989 etki alanı kimlik doğrulamasını belirtir ve hizalama davranış. Korumaları, kimliği doğrulanmış her isteğin meşru olduğunu kanıtlamaz. Bir risk listesi, etki alanınızın doğrudan kimliğine bürünülmesini, güvenliği ihlal edilmiş yetkili bir hesaptan veya bir benzer alan adı bu, kendisi için kimlik doğrulamasını geçer.
Doğal ve kalan riskleri ayırın
Kontrollerden önce senaryoyu tanımlayın, ardından mevcut her bir önlemin neyi değiştirdiğini açıklayın. Fatura talimatları açısından, ödeme geri arama doğrulaması, alan adı kimlik doğrulamasının tek başına çözemeyeceği sahte iş isteklerini çözebilir. Yazılı bir geri arama politikasının varlığının, insanların bunu tutarlı bir şekilde takip ettiğini kanıtladığını ima etmeyin.
Kuruluşun üzerinde mutabakata varılan olasılık ve etki tanımlarını kullanın. Yıllık %17,3 dolandırıcılık olasılığı gibi icat edilmiş kesinliği kanıt olmadan sunmaktan kaçının. Verilerin yetersiz olduğu durumlarda, gerekçesi ve inceleme tetikleyicisiyle birlikte niteliksel bir derecelendirme kullanın. Posta yöneticisinin teknik imzasını iş kabulü olarak değerlendirmek yerine, kalan riski kimin kabul etme yetkisine sahip olduğunu kaydedin.
Bağlantılı bir örnek kullanın
Varsayımsal giriş R-1'in maaş bordrosu ile ilgili olduğunu varsayalım. Durum, kayıtlı bir kritik hizmette mevcut hizalanmış geçiş kanıtının mevcut olmaması. Test edilmemiş bir rotanın uygulama sırasında başarısız olması durumunda olası sonuç, bordro bildirimlerinin kaçırılmasıdır. Bu, çalışanların mesajları kaçırdığı iddiası değil, koşullu bir senaryodur. Hizmetin sahibi Finans, incelemenin sahibi ise posta ekibidir ve kapatma, geçerli bir rota testinin yanı sıra hizmet sahibinin onayını gerektirir.
R-2, saldırganın sahip olduğu benzer bir etki alanı aracılığıyla fatura ödemesi kimliğine bürünmeyi kapsar. Önerilen kontrolü, halihazırda güvenilen bir iletişim yolu aracılığıyla bağımsız doğrulamadır. Mağdurun etki alanında daha güçlü bir politika yayınlamak R-2'nin kapatma testini karşılamaz. Önerilen kaydı eksiksiz olarak değerlendirmeden önce, her bir giriş için bir bulgu, sahip, karar ve açık kapatma kanıtı isteyin. Bu, önerilen bir inceleme kuralıdır; yürütülen bir doğrulama veya bir kontrolün çalıştığının kanıtı değildir.
Kaydı işlem yapılabilir durumda tutun
Tedaviyi açıkça seçin: İyileştirin, riskli faaliyetten kaçının, uygun olduğunda tanımlanmış bir maruziyeti aktarın veya yetkili karar süreci yoluyla kalan riski kabul edin. Bir son tarih belirleyin ve tetikleyiciyi inceleyin. Bir tedavi planı tamamlanmış olduğunun kanıtı değildir; gerçek test veya karar kaydını ayrı olarak saklayın.
Bu varsayımsal girişler, gözlemlenen saldırıları veya kabul edilen iş risklerini değil, farklı senaryoları göstermektedir. Tamlık incelemesi eksik alanları tespit edebilir ancak bir risk derecelendirmesini doğrulayamaz veya gerçek koruma önlemlerinin işe yaradığını belirleyemez. Gerçek kanıtları ve yetkili kabul kararını önerilen tedaviden ayrı tutun.
Geçişler, yeni gönderenler, olaylar ve iş değişiklikleri sonrasında kaydı inceleyin. Yalnızca kanıtı belirtilen testi karşılayan belirli senaryoyu kapatın ve neden kapatıldığını açıklamaya yetecek kadar geçmişi saklayın.
NIST SP 800-30 Rev. 1 bölüm 2.3 ve 3.2'de risk faktörleri, değerlendirme yaklaşımları ve değerlendirme bulgularının belgelenmesi açıklanmaktadır. Olasılık, etki ve belirsizliğin açık hale getirilmesini desteklerler; Yukarıdaki e-postaya özel kayıt alanları ve örnekler, önceden belirlenmiş bir uyumluluk kontrol listesi değil, önerilen bir uygulamadır. Risk değerlendirme kılavuzu.