Mesajın neyi iddia ettiğini belirleyin
Bir mesaj, bir işletmeyi birkaç farklı şekilde taklit edebilir. Görünen Gönderen adresine işletmenin tam alan adını koyabilir, ilgisiz bir adresle tanıdık bir kişinin görünen adını kullanabilir veya işletmeye benzeyecek şekilde seçilen farklı bir alan adından gönderim yapabilir. Bunlar birbirinin yerine geçebilecek mekanizmalar değil. Farklı kanıtlar gerektirirler ve farklı kontrol sınırlarını ortaya çıkarırlar. Her üç durumu da aramak DMARC başarısızlık, yanlış onarımı teşvik eder ve DNS düzenlemesi yerine iş doğrulaması gerektiren bir olayı gizleyebilir.
RFC 9989 DMARC kapsamını şu şekilde belirler: RFC5322 .Gönderen etki alanı ve uyumlu kimlik doğrulama. Etki alanları dışındaki varlıkların görünen ad saldırılarını, içerik analizini ve kimlik doğrulamasını açıkça hariç tutar. Bir alıcı yine de ek korumalar uygulayabilir ancak bu korumalar DMARC kendisiyle ilişkilendirilmemelidir. Bu makale, gerçek bir mesaj incelemesi veya adı geçen bir gönderen hakkında iddia olmaksızın, savunma önceliklendirmesi için bir sınıflandırma yöntemi sunmaktadır.
Tam etki alanı kullanımı kesin bir karşılaştırma gerektirir
Posta uygulamasının gösterdiği ekran metniyle değil, ayrıştırılan Gönderen adresindeki gerçek alan adıyla başlayın. Bunu istekle ilgili iş alanıyla karşılaştırın. Kısıtlı bir soruşturma kaydında tam yazımı ve kanıt kaynağını koruyun. Etki alanları aynıysa bir sonraki soru, güvenilir alıcı kanıtlarının uyumlu kimlik doğrulama, başarısızlık, politika yokluğu veya belirsiz bir sonuç gösterip göstermediğidir. Tam etki alanı görünümü tek başına size hangisinin meydana geldiğini söylemez.
Tam etki alanını kullanan yetkisiz bir gönderen başarısız olabilir hizalamaancak güvenliği ihlal edilmiş bir yetkili hesap veya hizmet, uyumlu postalar üretebilir. Dolayısıyla aynı görünür alan çok farklı olaylarda ortaya çıkabilir. DMARC geçişi, mesajın bir kişi tarafından onaylandığını kanıtlamaz ve başarısızlık, tek başına kötü niyetli olduğunu kanıtlamaz. İletim, konfigürasyon hataları ve eksik deliller yorumu zorlaştırabilir. Bir sebep belirlemeden önce dar anlamda gözlemlenen gerçeği belirtin.
Görünen adlar ayrı bir kimlik yüzeyidir
RFC 5322, bölüm 3.4, bir posta kutusunun isteğe bağlı görünen adını adresinden ayırır. Görünen ad, DMARC tarafından değerlendirilen alan adı olmadan okuyucuya bir kişiyi veya rolü tanımlayabilir. Örneğin, kurgusal bir mesaj, adresi ilgisiz bir örnek alana aitken "Hesaplar Ekibi" görüntüleyebilir. Tanıdık etiket, kurumsal sahipliğin kanıtı değildir.
Küçük ekran veya daraltılmış bir görünüm ilk bakışta her kimlik alanını ortaya çıkarmayabilir. Savunma eylemi, alıcı uygulamanın güvenilir arayüzünü kullanarak tam adresi incelemek ve ardından iş isteğini bağımsız olarak değerlendirmektir. Evrensel bir kullanıcı arayüzü kuralı icat etmeyin veya her müşterinin bir uyumsuzluğu vurgulayacağına söz vermeyin. Standardın etiket ve adres arasındaki ayrımı sabittir; sunum ve koruyucu uyarılar müşteriye ve alıcıya bağlıdır.
Benzer alan adlarının kimlik doğrulaması başarıyla yapılabilir
Farklı bir alan adı, yazım, noktalama işaretleri veya karakter seçimleri nedeniyle görsel olarak güvenilir bir alana benzeyebilir. Operatörü gönderme kurulumunu yasal olarak kontrol ediyorsa, o alan adından gelen postalar iletilebilir SPF, DKIM ve söz konusu alan için DMARC . Kimlik doğrulamanın mutlaka arızalı olması gerekmez. Alıcının amaçlanan organizasyonu tanıması başarısız oldu veya farklı bir katmanda manipüle edildi.
Gerçek alanı, şüpheli mesajın dışında elde edilen güvenilir bir iş kaydıyla karşılaştırın. Sağlanan bir web sitesini ziyaret etmeyin veya yalnızca mülkiyeti belirlemek için şüpheli adrese yanıt vermeyin. Daha uzun bir ismin içine yerleştirilmiş tanıdık bir marka sözcüğü yeterli değildir. Uluslararasılaştırılmış isim yorumunu dikkatli bir şekilde koruyun ve görüntülenen ve altta yatan formlar farklıysa nitelikli analize başvurun; bu taslak tam bir Unicode veya genel son ek sınıflandırma algoritması sağlamamaktadır.
Güvenilir kimlik doğrulama kanıtlarını kullanın
Bir Authentication-Results alan yalnızca alıcının güven sınırı dahilinde faydalıdır. RFC 8601 tüketicilerin neden güvenilir kimlik doğrulama iddialarını bir mesajda taşınan rastgele alanlardan ayırmaları gerektiğini açıklıyor. İletilen bir mesajın veya ekran görüntüsünün aktarıldığını belirten bir satırın kopyalanması, bunu ilgili alıcının ürettiğini göstermez. Mesajı hangi alıcının değerlendirdiğini ve araştırmacının sonucu nasıl elde ettiğini kaydedin.
Görünür Kimden alanını koruyun, Zarf göndereni etki alanı, DKIM imzalama etki alanı ve Yanıtla kimliği farklıdır. Aralarındaki farklılıkların meşru açıklamaları olabilir ve otomatik olarak bir dolandırıcılık bulgusuna indirgenmemelidir. DMARC için her SPF veya DKIM geçişini yeterli olarak değerlendirmek yerine hizalanmış kimlik doğrulama yolunu tanımlayın. İş talebi için, talep edilen eylemi ve bunu yaptığı iddia edilen kişinin yetkisini inceleyin.
Kimlik karşılaştırma çalışma sayfası
Güvenilir iş etki alanını, görünür görüntü etiketini, ayrıştırılmış Gönderen adresini, varsa Yanıtla adresini, kimliği doğrulanmış etki alanlarını, alıcı sonucunu, kanıt kaynağını ve önerilen sınıflandırmayı içeren bir satır hazırlayın. Bilinmeyenler ve isteği hangi bağımsız kanalın doğrulayabileceğine ilişkin sütunlar ekleyin. İki alanın aynı mı yoksa farklı mı olduğunu korurken, herhangi bir paylaşılan sürümde kişisel tanımlayıcıları en aza indirin. Tüm değerlerin tek bir yer tutucuyla değiştirilmesi, çalışma sayfasının göstermesi amaçlanan ilişkiyi yok eder.
Üç geçici kategori kullanın: tam alan adı kullanımı, görünen ad taklidi ve farklı alan adı benzerliği. İzin kombinasyonları ve çözümlenmemiş bir kategori. Bir mesajda hem yanıltıcı bir görünen ad hem de bir benzer alan adı. Çalışma sayfası aynı zamanda, hizalanmış postaların gerçek kuruluştan geliyor gibi göründüğü durumlarda bir hipotez olarak yetkili hesapların tehlikeye atılmasına da izin vermelidir. Sınıflandırma, niyet veya sorumluluğun nihai olarak belirlenmesi değil, soruşturmayı yönlendirmenin bir yoludur.
Üç mesajla kurgusal karşılaştırma
Kurgusal bir finans ekibinin Kuzey Köprüsü Örneği ile ilgili üç olağandışı talep aldığını düşünün. İlki Northbridge'in tam alanına sahip ancak güvenilir alıcı kanıtları hizalanmış bir geçiş olmadığını gösteriyor. İkincisi, kendi etki alanı için kimlik doğrulaması yapan ilgisiz bir adresle birlikte finans direktörünün görünen adını kullanır. Üçüncüsü benzer görünümlü ancak farklı bir alan adı kullanır ve aynı zamanda bu alan adı için kimlik doğrulaması yapar. Bunlar icat edilmiş gözlemlerdir, bu çalışma sırasında toplanan mesajlar değil.
İlk durum, kimlik doğrulama ve gönderme yolu incelemesine yol açar. İkincisi, görünen adın ve işletme yetkisinin doğrulanmasına yol açar. Üçüncüsü, etki alanı karşılaştırmasına ve kimliğe bürünme işlemlerine yol açar. Hiçbiri yalnızca tanıdık bir ad göründüğü için ödemeyi garanti etmez ve hiçbiri ilgisiz gönderenin Northbridge'in hesabına eklenmesiyle "düzeltilmemelidir" SPF kaydı. Dördüncü bir mesaj, Northbridge'in gerçek etki alanını kullanarak hizalamayı geçerse, hesap veya hizmetin ele geçirilmesi mümkün olmaya devam eder ve kendi kanıtını gerektirir.
Mesajın ötesindeki isteği doğrulayın
The IC3 bulut e-postası BEC tavsiyesi2020'de yayınlanan, şüpheli iş talepleri için bilinen iletişim yöntemleriyle doğrulama yapılmasını önermektedir. Yaşı açıktır: güncel bir olaya veya belirli bir alıcının mevcut arayüzüne ilişkin bir iddiayı değil, genel kontrolü destekler. Önceden bağımsız olarak kaydedilmiş bir numarayı veya iş akışını kullanın ve yalnızca birisinin e-posta gönderip göndermediğini sormak yerine, talep edilen belirli değişikliği doğrulayın.
Kimlik kanıtı, kontrol sınırı ve bağımsız iş doğrulaması içeren, gerekli düzenlenmiş kötüye kullanım senaryosu yerine getirilmedi. Bu elyazmasının kurgusal karşılaştırması bunu tatmin etmiyor. Hiçbir hesap sorgulanmadı, hiçbir şüpheli alan adı ziyaret edilmedi ve hiçbir tarafla iletişime geçilmedi. Yayınlamadan önce yetkili gerçek kanıtları saklayın, nitelikli bir incelemecinin sınıflandırmayı doğrulamasını sağlayın, kaynağın uygulanabilirliğini ve üretim yollarını doğrulayın, erişilebilirlik incelemesini tamamlayın ve sahibin onayını alın. Sonuç, hangi kimliğin öne sürüldüğüne ve gerçekte ne tür kontrollerin oluşturulduğuna dair savunulabilir bir açıklama olmalıdır.