Domänenbasierte Nachrichtenauthentifizierung
Anfang dieses Jahres hat Tanium im Rahmen unserer unternehmensweiten Bemühungen, sich an das Center for Internet Security (CIS) 20 Critical Security Controls (öffnet sich in einer neuen Registerkarte) zu halten, eine restriktivere Konfiguration mit Domain Based Message Authentication, Reporting, and Conformance (DMARC) für Unternehmens-E-Mails implementiert. Wie erwartet, reduzierte es die Anzahl der Spam- und Phishing-E-Mails erheblich. Aber wir haben auch mehrere unerwartete Herausforderungen bei der Bereitstellung erlebt. Angesichts der Anzahl anderer Unternehmen, die sich gegen die Konfiguration von DMARC entscheiden, dachten wir, dass es hilfreich sein könnte, unsere Erfahrungen zu teilen, indem wir einen Überblick über DMARC, häufige Herausforderungen im Zusammenhang mit der Implementierung und einige hilfreiche Vorschläge, die wir auf dem Weg dorthin gelernt haben, bereitstellen.
DMARC verwendet zwei Technologien, Sender Policy Framework (SPF) und DomainKeys Identified Mail (DKIM), um zu bestimmen, ob eine E-Mail gefälscht wurde (d. h. gefälscht wurde, als ob sie von Ihrer Organisation stammt) oder rechtmäßig von Ihrem Unternehmen gesendet wurde. Sowohl SPF als auch DKIM werden als öffentliche DNS-Einträge veröffentlicht, auf die von überall aus verwiesen werden kann. Diese Steuerelemente ermöglichen den Empfang von SMTP-Servern, eingehende Header zu untersuchen, ihre Quell- und Integritätsschlüssel mit denen zu vergleichen, die von Ihrer Organisation veröffentlicht werden, und dann zu entscheiden, ob eine Nachricht bereitgestellt oder eine Aktion ausgeführt werden soll, wie z. B. die Quarantäne einer Nachricht. Diese Informationen werden dann an eine einzelne E-Mail-Adresse zurückgemeldet, die analysiert und nach Anomalien oder Problemen sortiert werden kann.
SPF ist einfach eine Liste von vollständig qualifizierten Domainnamen (FQDN) oder IP-Adressen, die ein Unternehmen als genehmigte SMTP-Sender festgelegt hat. Empfangen von SMTP-Servern kann die Header einer eingehenden Nachricht parsen, um den ursprünglichen SMTP-Server zu bestimmen. DKIM ist eine viel detailliertere Kontrolle, die auf asymmetrischer Verschlüsselung beruht. Tanium veröffentlicht einen öffentlichen Schlüssel über DNS und bewahrt den entsprechenden, unveröffentlichten privaten Schlüssel sicher auf. Alle Dritten, die E-Mails im Namen des Unternehmens senden möchten, müssen auch ein öffentliches/privates Schlüsselpaar generieren und ihren öffentlichen Schlüssel ebenfalls in DNS einschließen.
Wenn eine E-Mail eingeht, nimmt der empfangende Server den angehängten DKIM-Schlüssel aus den Nachrichtenkopfzeilen und fragt den Ursprungsserver ab, um seine Legitimität zu überprüfen. Wenn der bereitgestellte DKIM-Schlüssel nicht mit dem privaten Schlüssel des Ursprungsservers übereinstimmt, wird die Nachricht gefälscht. Wenn es eine Übereinstimmung gibt, weiß der Remote-Server, dass die E-Mail vom Absender stammt und sicher zugestellt werden kann.
Herausforderungen bei der Implementierung
Während sowohl SPF als auch DKIM relativ einfach zu implementieren sind, erfordern sie, dass andere Organisationen teilnehmen und ihre DNS-Einträge korrekt konfigurieren. Wenn Sie Software von Drittanbietern in Betracht ziehen, die E-Mails in Ihrem Namen sendet, sollten Sie überlegen, ob SPF und DKIM vollständig vom Anbieter unterstützt werden. Das Versäumnis des Anbieters, SPF und DKIM ordnungsgemäß zu implementieren, könnte die vollständige Durchsetzung erschweren oder unmöglich machen.
Dennoch sollten Sie sich zusätzlicher Herausforderungen bewusst sein, selbst wenn andere Organisationen SPF und DKIM richtig konfigurieren:
SPF-Skalierbarkeit
SPF kann nur zehn DNS-Abfragen durchführen, die auf mehrere verschiedene Datensatztypen beschränkt sind (dazu gehören A-, MX-, PTR-, EXISTS-, INCLUDE- und REDIRECT-Datensätze). Diese Begrenzung ist vorhanden, um unendliche Datensatzsuchen zu verhindern, schränkt aber auch die Skalierbarkeit von SPF ein. Weiterleitungen und andere DNS-Mechanismen, die mehrere Nachschlagevorgänge erfordern, können das Limit schnell ausschöpfen und bei der Fehlerbehebung zu Verwirrung führen. Aus diesem Grund ist es äußerst wichtig, sorgfältig zu überlegen, wie DNS-Einträge zur Implementierung von SPF verwendet werden. IP-Adressen/Bereiche sind nicht in dieser Einschränkung enthalten; jedoch kann das Aufrechterhalten mit sich ändernden IP-Adressen im Vergleich zur Verwendung eines FQDN ressourcenintensiv sein.
Subdomains nicht enthalten
SPF bewertet nur den genauen Domänennamen, der im Datensatz angegeben ist – Subdomänen sindnicht enthalten. Wenn Sie beispielsweise eine SPF-Datensatz-IP-Adresse für @company.com angeben und diese IP von @_subdomain.company.com sendet, _schlägt die SPF-Prüfung fehl. Jede Subdomain muss über einen eigenen SPF-Datensatz verfügen.
Verwenden von DKIM-Schlüsseln aus anderen Domänen
DKIM-Schlüssel ermöglichen es anderen Organisationen, vollständig gegen Ihre Domain authentifiziert zu werden (und somit verifizierte E-Mails in Ihrem Namen zu senden). Ordnungsgemäß konfigurierte Drittanbieter können Ihnen einen Selektorschlüssel zur Verfügung stellen (dieser Schlüssel lehnt Sie im Wesentlichen ihren öffentlichen Schlüssel an, während sie die Kontrolle über den privaten Schlüssel behalten). Auch wenn Sie nicht im Besitz des privaten Schlüssels sind, ermöglicht Ihnen die ordnungsgemäße Konfiguration des Selektorschlüssels im DNS, Entschlüsselungsanfragen an den Drittanbieter weiterzuleiten und die Validierung abzuschließen.
Organisationen können mit den folgenden Optionen festlegen, wie genau Ausfälle von SPF oder DKIM kontrolliert werden können:
-Keine: Nachrichten werden verdaut und zur Überprüfung protokolliert, während die verletzende Nachricht weiterhin gesendet werden kann
-Quarantine: Jeder Mailanbieter bestimmt, was diese Aktion sein wird, aber für die meisten bedeutet dies, Nachrichten direkt in den Spam-Ordner des Benutzers zu senden
-Ablehnen: Nachrichten werden vollständig abgelehnt, wenn sie nicht über SPF oder DKIM ausgerichtet werden.
Denken Sie daran: Der DMARC-Ausgang ist nicht einfach zu lesen. Die Ergebnisse werden in einer XML-Datei geliefert und von jedem SMTP-Server, der Nachrichten empfängt, an die in der DMARC-Richtlinie angegebene E-Mail gesendet. Abhängig von der Menge des E-Mail-Traffics können pro Tag Tausende von Nachrichten gesendet werden, was zu Schwierigkeiten bei der Identifizierung und Fehlerbehebung potenzieller Probleme führt.
Um Ihre Umgebung richtig zu verstehen, gibt es mehrere Tools, um sowohl Probleme in DMARC/SPF/DKIM-Datensätzen selbst zu identifizieren als auch Probleme zu identifizieren, die in den DMARC-XML-Berichten verborgen sind, die zurückgesendet werden, wenn ein SMTP-Server festgestellt hat, dass eine Nachricht gegen die Richtlinie verstößt. Tanium verwendet einen Dienst namensDmarcian (wird in einer neuen Registerkarte geöffnet), um unsere Einstellungen zu analysieren und Ergebnisse zu aggregieren.
Die Implementierung von DMARC ist zwar nicht perfekt, bietet aber einen großen Weg, Organisationen sowohl Visibilität als auch Kontrolle darüber zu ermöglichen, wer E-Mails mit ihrem Domainnamen sendet. Durch die effektive Nutzung dieser Tools können Unternehmen die Anzahl bösartiger E-Mails, die Ihre Organisation erreichen, erheblich reduzieren und verhindern, dass bösartige Benutzer Ihre Domain fälschen. DMARC bietet Unternehmen die Kontrolle darüber, wie der Empfang von SMTP-Servern sowohl legitime als auch illegale E-Mails verifizieren und Maßnahmen ergreifen kann, die vorgeben, vom Ursprungsserver „@yourdomain.com“ zu stammen.
Durch die Konfiguration einer ordnungsgemäßen DMARC-Implementierung konnte Tanium eine unterstützende Kontrollabdeckung in 3 verschiedenen CIS-Bereichen hinzufügen:
- CSC 7: E-Mail- und Webbrowser-Schutz
- CSC 8: Malware-Verteidigung
- CSC 9: Begrenzung und Kontrolle von Netzwerkports, Protokollen und Diensten
Fazit
Wenn Sie Domains verwalten, die E-Mails bedienen, sollten Sie die Implementierung von DMARC unbedingt in Betracht ziehen. Das ist nicht nur im besten Interesse jedes einzelnen Unternehmens, sondern das E-Mail-Ökosystem insgesamt wird davon profitieren, da die Anzahl der Domains, die gefälscht werden können, effektiv immer kleiner wird. Die Verringerung der Wahrscheinlichkeit, Ihre Domain zu verfälschen, bedeutet eine geringere Wahrscheinlichkeit, dass Ihre Benutzer ausgenutzt werden, und eine geringere Wahrscheinlichkeit, Geld als Reaktion auf Vorfälle oder andere Haftungsprobleme auszugeben. Es ist ein kleiner, aber wichtiger Teil der vollständigen Implementierung proaktiver Sicherheitsmaßnahmen wie der CIS Top 20 -Kontrollen und hilft dabei, die Anforderungen für das Erreichen der Zertifizierung für Standard-Compliance-Frameworks wie ISO 27002 zu erfüllen. Es macht nur Sinn für die Gesundheit und das Wohlbefinden von Unternehmen jeder Größe.
Über den Autor: Eric Fisher ist ein Informationssicherheitsanalyst und Experte für Enterprise Operations Design bei Tanium in Raleigh, NC. Eric hat einen Master in Informationssicherheit und Forensik und war zuvor als Sicherheitsberater tätig, der SOC- und Vorfallreaktionsprogramme für mehrere Fortune- 500 -Banken, Einzelhändler und Technologieunternehmen einsetzte. Er hat auch umfangreiche Rechenarchitekturen und Netzwerke für mehrere verschiedene Regierungsbehörden und das Militär als Mitarbeiter des Penn State Applied Research Laboratory und Raytheon entworfen und gesichert.
