Domänenbasierte Nachrichtenauthentifizierung
Anfang dieses Jahres hat Tanium im Rahmen unserer unternehmensweiten Bemühungen zur Einhaltung der 20 kritischen Sicherheitskontrollen des Center for Internet Security (CIS) (öffnet in einem neuen Tab) eine strengere Konfiguration unter Verwendung von „Domain Based Message Authentication, Reporting, and Conformance“ (DMARC) für Unternehmens-E-Mails eingeführt. Wie erwartet hat dies die Anzahl der Spam- und Phishing-E-Mails mit dem Betreff „ “ deutlich reduziert. Bei der Einführung stießen wir jedoch auch auf einige unerwartete Herausforderungen. Angesichts der Vielzahl anderer Unternehmen, die sich gegen die Konfiguration von DMARC entscheiden, hielten wir es für sinnvoll, unsere Erfahrungen weiterzugeben, indem wir einen Überblick über DMARC, häufige Herausforderungen bei der Implementierung sowie einige hilfreiche Empfehlungen geben, die wir im Laufe der Zeit gewonnen haben.
DMARC nutzt zwei Technologien – das Sender Policy Framework (SPF) und DomainKeys Identified Mail (DKIM) –, um festzustellen, ob eine E-Mail gefälscht wurde (d. h. so manipuliert, dass sie den Anschein erweckt, als stamme sie von Ihrer Organisation) oder tatsächlich von Ihrem Unternehmen versendet wurde. Sowohl SPF als auch DKIM werden als öffentliche DNS-Einträge veröffentlicht, auf die von überall aus zugegriffen werden kann. Mithilfe dieser Kontrollmechanismen können empfangende SMTP-Server eingehende Kopfzeilen überprüfen, deren Absender- und Integritätsschlüssel mit den von Ihrer Organisation veröffentlichten vergleichen und anschließend entscheiden, ob die Nachricht zugestellt werden soll oder ob eine bestimmte Maßnahme ergriffen werden soll, wie beispielsweise die Quarantäne einer Nachricht. Diese Informationen werden anschließend an eine bestimmte E-Mail-Adresse übermittelt, wo sie ausgewertet und auf Anomalien oder Probleme hin überprüft werden können.
SPF ist lediglich eine Liste vollständig qualifizierter Domänennamen (FQDN) oder IP-Adressen, die ein Unternehmen als zugelassene SMTP-Absender festgelegt hat. Empfangende SMTP-Server können die Kopfzeilen einer eingehenden Nachricht auswerten, um den ursprünglichen SMTP-Server zu ermitteln. DKIM ist eine wesentlich detailliertere Kontrollmaßnahme, die auf asymmetrischer Verschlüsselung basiert. Tanium veröffentlicht einen öffentlichen Schlüssel über DNS und verwahrt den entsprechenden, nicht veröffentlichten privaten Schlüssel sicher auf. Alle Dritten, die E-Mails im Namen des Unternehmens versenden möchten, müssen ebenfalls ein Schlüsselpaar aus öffentlichem und privatem Schlüssel generieren und den öffentlichen Schlüssel von sowie den von ebenfalls in das DNS aufnehmen.
Wenn eine E-Mail eintrifft, entnimmt der empfangende Server den angehängten DKIM-Schlüssel aus den Nachrichtenkopfzeilen und fragt den Absenderserver ab, um dessen Legitimität zu überprüfen. Stimmt der angegebene DKIM-Schlüssel nicht mit dem privaten Schlüssel des Absenderservers überein, handelt es sich bei der Nachricht um eine Fälschung. Liegt eine Übereinstimmung vor, weiß der Remote-Server, dass die E-Mail vom Absender stammt, und kann sie sicher zustellen.
Herausforderungen bei der Umsetzung
Zwar lassen sich sowohl SPF als auch DKIM relativ einfach implementieren, doch setzen sie voraus, dass andere Organisationen mitwirken und ihre DNS-Einträge korrekt konfigurieren. Wenn Sie Software von Drittanbietern in Betracht ziehen, die E-Mails in Ihrem Namen versendet, sollten Sie prüfen, ob SPF und DKIM vom Anbieter vollständig unterstützt werden. Sollte der Anbieter SPF und DKIM nicht ordnungsgemäß implementieren, könnte dies die vollständige Durchsetzung erschweren oder unmöglich machen.
Dennoch sollten Sie sich auch dann, wenn andere Organisationen SPF und DKIM korrekt konfigurieren, der folgenden zusätzlichen Herausforderungen bewusst sein:
zur Skalierbarkeit von SPF
SPF kann nur zehn DNS-Abfragen durchführen, die auf verschiedene Eintragstypen beschränkt sind (dazu gehören A-, MX-, PTR-, EXISTS-, INCLUDE- und REDIRECT-Einträge). Diese Begrenzung dient dazu, unendliche Datensatzsuchen zu verhindern, schränkt jedoch auch die Skalierbarkeit von SPF ein. Weiterleitungen und andere DNS-Mechanismen, die mehrere Abfragen erfordern, können das Limit schnell ausschöpfen und bei der Fehlerbehebung zu Verwirrung führen. Aus diesem Grund ist es äußerst wichtig, sorgfältig zu prüfen, wie DNS-Einträge zur Implementierung von SPF verwendet werden. IP-Adressen bzw. IP-Adressbereiche sind von dieser Einschränkung ausgenommen; allerdings kann die Verfolgung sich ändernder IP-Adressen im Vergleich zur Verwendung eines FQDN ressourcenintensiv sein.
Subdomains, die nicht unter fallen
SPF berücksichtigt ausschließlich den genauen Domainnamen, der im Eintrag angegeben ist – Subdomains wie und werden berücksichtigt, nicht jedochund . Wenn Sie beispielsweise eine IP-Adresse im SPF-Eintrag für @company.com angeben und von dieser IP-Adresse E-Mails von @_subdomain.company.com versendet werden, schlägt die SPF-Prüfung fehl. Jede Subdomain muss über einen eigenen SPF-Eintrag verfügen.
Verwendung von DKIM-Schlüsseln anderer Domänen
Mithilfe von DKIM-Schlüsseln können andere Organisationen gegenüber Ihrer Domain vollständig authentifiziert werden (und somit in Ihrem Namen verifizierte E-Mails versenden). Ordnungsgemäß konfigurierte Drittanbieter können Ihnen einen Selektorschlüssel zur Verfügung stellen (dieser Schlüssel entspricht im Wesentlichen dem Prinzip „ “ , bei dem Ihnen ihren öffentlichen Schlüssel zur Verfügung stellen, während sie die Kontrolle über den privaten Schlüssel behalten). Auch wenn Sie nicht über den privaten Schlüssel verfügen, können Sie durch die korrekte Konfiguration des Selektor-Schlüssels im DNS Entschlüsselungsanfragen an den Drittanbieter weiterleiten und die Validierung abschließen.
Organisationen können mit den folgenden Optionen festlegen, wie streng Fehler bei SPF oder DKIM kontrolliert werden sollen:
-Keine: Nachrichten werden zusammengefasst und zur Überprüfung protokolliert, während die betreffende Nachricht dennoch zugestellt werden kann
-Quarantäne: Jeder E-Mail-Anbieter legt fest, wie diese Maßnahme aussieht; in den meisten Fällen bedeutet dies jedoch, dass die Nachrichten direkt in den Spam-Ordner des Nutzers verschoben werden
-Ablehnen: Nachrichten werden sofort abgelehnt, wenn sie weder über SPF noch über DKIM authentifiziert sind
Bitte beachten Sie: Die DMARC-Ausgabe ist nicht leicht zu verstehen. Die Ergebnisse werden in einer XML-Datei bereitgestellt und von jedem SMTP-Server, der Nachrichten empfängt, an die in der DMARC-Richtlinie angegebene E-Mail-Adresse gesendet. Je nach Umfang des E-Mail-Verkehrs könnten täglich Tausende von Nachrichten versendet werden, was die Erkennung und Behebung potenzieller Probleme erschwert.
Um Ihre Umgebung richtig zu verstehen, stehen verschiedene Tools zur Verfügung, mit denen sich sowohl Probleme in den DMARC-/SPF-/DKIM-Einträgen selbst identifizieren lassen als auch Probleme aufgedeckt werden können, die in den DMARC-XML-Berichten verborgen sind, die zurückgesendet werden, wenn ein SMTP-Server festgestellt hat, dass eine Nachricht gegen die Richtlinien verstößt. Tanium nutzt folgende Dienste: , , Dmarcian (wird in einem neuen Tab geöffnet),, sowie , um unsere Einstellungen auszuwerten und die Ergebnisse zusammenzufassen.
Auch wenn die Implementierung von DMARC nicht perfekt ist, trägt sie doch wesentlich dazu bei, dass Unternehmen sowohl Einblick als auch Kontrolle darüber erhalten, wer E-Mails unter Verwendung ihres Domainnamens versendet. Durch den effektiven Einsatz dieser Tools können Unternehmen die Anzahl der bösartigen E-Mails, die Ihr Unternehmen erreichen, erheblich reduzieren und verhindern, dass böswillige Nutzer Ihre Domain fälschen. DMARC ermöglicht es Organisationen, zu steuern, wie empfangende SMTP-Server legitime und unzulässige E-Mails, die angeblich von der Absenderadresse „@IhreDomain.com“ stammen, sowohl überprüfen als auch entsprechende Maßnahmen ergreifen können.
Durch die Konfiguration einer ordnungsgemäßen DMARC-Implementierung konnte Tanium die Kontrollabdeckung in 3 verschiedenen CIS-Bereichen erweitern:
- CSC 7: Schutzmaßnahmen für E-Mail und Webbrowser
- CSC 8: Abwehrmaßnahmen gegen Malware
- CSC 9: Einschränkung und Kontrolle von Netzwerkanschlüssen, Protokollen und Diensten
Schlussfolgerung
Wenn Sie Domains verwalten, über die E-Mails versendet werden, sollten Sie die Implementierung von DMARC unbedingt in Betracht ziehen. Dies liegt nicht nur im besten Interesse jedes einzelnen Unternehmens, sondern kommt auch dem gesamten E-Mail-Ökosystem zugute, da die Anzahl der Domains, die effektiv gefälscht werden können, immer weiter abnimmt. Wenn Sie das Risiko einer Manipulation Ihrer Domain verringern, sinkt die Wahrscheinlichkeit, dass Ihre Nutzer Opfer von Angriffen werden, und es sinkt auch die Wahrscheinlichkeit, dass Ihnen Kosten durch die Reaktion auf Vorfälle oder die Bewältigung anderer Haftungsfragen entstehen. Dies ist ein kleiner, aber wichtiger Bestandteil der vollständigen Umsetzung proaktiver Sicherheitsmaßnahmen wie der CIS Top- 20 -Kontrollen und trägt dazu bei, die Anforderungen für die Zertifizierung im Rahmen von Standard-Compliance-Rahmenwerken wie ISO 27002 zu erfüllen. Das ist einfach sinnvoll für die Gesundheit und das Wohlbefinden von Unternehmen jeder Größe.
Über den Autor: Eric Fisher ist Analyst für Informationssicherheit und Experte für die Gestaltung von Unternehmensabläufen bei Tanium in Raleigh, North Carolina. Herr Eric verfügt über einen Master-Abschluss in Informationssicherheit und Forensik und war zuvor als Sicherheitsberater tätig, wo er für mehrere Fortune- 500 -Banken, Einzelhandelsunternehmen und Technologieunternehmen SOCs sowie Programme zur Incident-Response aufgebaut hat. Darüber hinaus hat er als Mitarbeiter des Penn State Applied Research Laboratory und von Raytheon groß angelegte Rechenarchitekturen und Netzwerke für verschiedene Regierungsbehörden und das Militär konzipiert und implementiert.
