Kimlik doğrulama raporlarındaki yeni kaynak, birinin onayı atladığının kanıtı değil, bir ipucudur. Bu, yeni bir adresteki meşru bir hizmet, dolaylı bir teslimat yolu, yeni bildirimde bulunan bir alıcı veya yetkisiz kullanım olabilir. İzinleri eklemeden veya bir ekibi gölge satın almayla suçlamadan önce gönderen kimlik ve hizmet ilişkisini kurun.
Gözlemi koruyun
Rapor tanımlayıcısını, raporlama organizasyonunu, aralığını, kaynak adresini, sayımları, kimlik doğrulama etki alanlarını ve politika tarafından değerlendirilen sonuçları koruyun. Şunun için kullanılan From alanını ayırt edin: DMARC birinden DKIM imzalama alanı veya zarf alanı. Satırları grup gözlemlerini toplayın ve posta kutusu düzeyinde bir transkript değildir. RFC 9990.
Yeni satırı önceki karşılaştırılabilir aralıklar ve alıcılarla karşılaştırın. İlk görülen kaynak yalnızca veri kümenizde ilk kez görülür. Bunu genel olarak yeni olarak etiketlemeyin veya yalnızca sağlayıcıya ait bir IP'den yeni bir hizmet çıkarsamayın. Paylaşılan altyapı ve değişen çıkış adresleri, yalnızca adres izin verilenler listelerini işletme sahipliğine ilişkin zayıf bir kanıt haline getiriyor.
Servis kaydına dikkatlice katılın
Yararlı bir kayıt, amaç, müşteriye özel hizmet tanımlayıcı, iş sahibi, kritiklik, Etki alanından, zarf kimliği, imza kimliği, son kontrollü test ve onay referansını içerir. Bu alanları kullanarak onaylanmış değişiklikleri ve uygulama sahipliği kayıtlarını arayın. Bilinen bir sağlayıcı adı bir ipucudur; kendisini işletmeye bağlayan hizmet örneğini veya hesap kanıtını gerektirir.
DMARC kimliği doğrulanmış kimliği kontrol eder hizalama, satın alma onayı değil. Yetkisiz bir hizmet, hizalanmış imzalama yetkisini koruduğunda geçebilir. Bunun tersine, onaylanmış bir hizmet, rotasının yanlış yapılandırılması nedeniyle başarısız olabilir. Kimlik doğrulama sonucunu ve yetkilendirme sonucunu ayrı tutun. RFC 9989.
Açık bir araştırma durumu kullanma
Bir bulguyu eşleşti ve onaylandı, eşleşti ancak onay eksik, atıf bekleniyor veya yetkisiz olarak onaylandı olarak sınıflandırın. Gerçek kanıtlar ve sorumlu bir karar için son durumu saklayın. İlişkilendirme beklemedeyken otomatik olarak eklemeyin. SPF dahil etmek, yetki vermek seçici veya etki alanı çapında bir politikayı düşürün. Bu eylemler, soruşturmanın gerekliliği ortaya koymasından önce otoriteyi değiştirir.
Yeni gözlemlenen bir anketi imzalayanın müşteriye özel bir hizmet hesabıyla eşleştiğini ve bir pazarlama sahibinin amacını doğruladığını ancak mevcut bir onay referansının mevcut olmadığını varsayalım. Onayın eksik olduğunu kaydedin ve sorumlu karar vericiden yetkilendirme geçmişini isteyin. Eşleşen hesap kanıtı olmayan ikinci bir kimlik için, ilişkilendirmeyi beklemede tutun ve ilgili yapılandırma kayıtlarını isteyin. Her iki bulgu da kötü niyetli olduğunu veya DNS yetkisi ekleme iznini ortaya koymaz.
Bunlar varsayımsal girdilerdir; birleştirilmiş dosyalar, canlı raporlar veya yürütülen sınıflandırma değildir. Daha sonraki bir onay kaydı yalnızca farklı bir alanı veya hesabı kapsıyorsa gerçek gözlemi çözümlenmeden bırakın; tanıdık bir satıcı etiketi bu kararın kapsamını genişletemez.
Hizmetin nasıl erişim elde ettiğini izleyin
Hizmet gerçekse, yetkili yapılandırma geçmişini inceleyin: seçiciyi kimin oluşturduğu, SPF kimin değiştirdiği, entegrasyonun verildiği veya bir geçişin yapılandırıldığı. Mevcut okuma erişimini ve onaylanmış kanıtları kullanın. Tanımadığınız bir kiracıda oturum açmayın veya yetkisiz bir şekilde başkasının adına test mesajları göndermeyin. Onaylanmış bir rota testi için, nihai alıcının sonucunu koruyun ve bunu amaçlanan kimliklerle karşılaştırın.
Microsoft'un uygulama postası kılavuzu, teslimat yönteminin neden önemli olduğunu göstermektedir: kimlik doğrulamalı gönderim, SMTP geçişi ve Doğrudan Gönderim, farklı önkoşullara ve alıcı kapsamına sahiptir. Tüm uygulama postalarını kiracı posta kutusu trafiği olarak değerlendirmeyin. Microsoft rehberliği.
İstisnayı gerçek sınırında çözümleyin
İşletme hizmeti onaylarsa, normal süreçten yararlanın, yetkisini en aza indirin ve gerçek yolunu test edin. Hizmetin durması gerekiyorsa, kaldırma işlemini sahibiyle koordine edin ve kritik akışlar için bir geri alma yolunu koruyun. Onaylanmış kötü amaçlı veya tehlikeye atılmış etkinliği sıradan bir envanter temizliği olarak ele almak yerine, olay süreci aracılığıyla üst kademeye iletin.
İncelemeyi gözlemlenen kimlikler, atıf kanıtları, karar verici ve kesin değişiklikle kapatın. Gelecekteki kimlik veya sağlayıcı değişiklikleri için bir bakım tetikleyicisi ekleyin. Çıkarıldıktan sonra sessiz bir rapor, ortadan kaldırılmanın kanıtı değil, destekleyici kanıttır çünkü raporların kapsamı sınırlı ve değişkendir.
Yukarıdaki inceleme durumları ve sahiplik kararları, önerilen bir işletim iş akışıdır. NIST SP 800-53 Rev. 5 CM-8 genel bir envanter ve hesap verebilirlik temeli sağlar; kimlik doğrulama sonucundan işletme sahibi olduğu sonucunu çıkarmaz. NIST kontrol kataloğu.