Скритият риск за сигурността в DMARC записите ви: Какво се случва, когато домейнът за отчети изтече

Представи си следния кошмар на всеки специалист по имейл сигурност: месеци наред си работил по внедряването на DMARC, внимателно си настроил политиките и си следил отчетите. Но дълбоко в DNS записите ти, една малка подробност тихо е подкопавала цялата ти имейл сигурност години наред.

Скорошен инцидент с Eden Park - най-големия ръгби стадион в Нова Зеландия, фокусира вниманието върху тази подценена уязвимост. Изследователи установиха, че DMARC конфигурацията на обекта изпраща агрегатни и форензични имейл отчети към домейн, който е бил изоставен и изтекъл преди повече от три години.

Какво всъщност разкриват DMARC отчетите

Преди да разгледаме инцидента, нека разберем какво съдържат DMARC отчетите и защо защитата на дестинационните домейни е толкова важна.

Когато публикуваш DMARC запис за своя домейн, по същество молиш получаващите сървъри по света да ти изпращат ежедневни обобщения на всички имейли, твърдящи, че идват от твоя домейн. Тези агрегатни отчети (изпращани чрез тага rua) съдържат ценна информация: които IP адреси изпращат имейли от твоето име, дали SPF и DKIM проверките преминават, и най-важното - дали някой се опитва да имитира твоя домейн.

Някои репортьори включват и данни за envelope-to - реалните получатели на тези съобщения. Тази информация всъщност създава жива карта на бизнес взаимоотношенията на твоята организация: с кого си обменяш имейли, кои доставчици използваш, с които държавни агенции комуникираш, и потенциално - които изпълнители работят по чувствителни проекти.

През периода, в който изследователите държаха изтеклия домейн, те получиха над 12 000 записа с отчети за edenpark.co.nz, разкриващи приблизително 600 различни организации, с които стадионът е кореспондирал - от строителни изпълнители и кетъринг компании до спортни асоциации и държавни агенции.

Опасностите от необезопасен отчетен дестинация

Последиците от тази уязвимост далеч надхвърлят просто пропуснатите собствени сигурностни отчети. Когато твоят DMARC reporting отива към изтекъл или неправилно обезопасен домейн, стават възможни няколко тревожни сценария:

1. Събиране на разузнавателни данни: Както се вижда в този случай, всеки, който регистрира изоставен отчетен домейн, може да натрупа детайлни знания за имейл моделите на една организация, бизнес взаимоотношенията ѝ и第三方 имейл доставчиците.

2. Провал на системата за ранно предупреждение: Твоята организация губи видимост върху евентуално имитиране на домейна, фишинг кампании използващи твоята марка, или неоторизирано използване на твоя домейн.

3. Слепи зони в съответствието: Много индустрии изискват организациите да поддържат видимост върху неуспехите в имейл автентикацията. Изтекъл отчетен домейн създава пропуски в съответствието, които може да бъдат открити чак при одити.

Как се случва това на практика

Случаят с Eden Park разкрива често срещана клопка: позоваване на услуги на трети страни в DNS записите, без да се следи техният жизнен цикъл. В този случай отчетният домейн (spamcontrol.co.nz) е принадлежал на имейл филтрираща услуга, оперирана от Fujitsu, която е преустановена през 2021 г. Позоваването в DMARC записа на Eden Park просто е надживяло самата услуга.

Този сценарий е по-разпространен, отколкото си мислиш. Организациите често:

• Настройват DMARC reporting към адрес на домейн на доставчик
• По-късно сменят доставчици или преустановяват услуги
• Никога не почистват старите DNS записи
• губят институционални знания, когато IT персонал напусне

Резултатът е DNS записи, сочещи към домейни, които накрая стават достъпни за регистрация от всеки.

Защита на твоята организация

Какво можеш да направиш, за да избегнеш намирането на твоите DMARC отчети в чужда пощенска кутия?

1. Одитирай редовно DMARC записите си: Преглеждай всички DNS записи за имейл автентикация поне веднъж на тримесечие. Провери дали всеки домейн, споменат в rua и ruf таговете ти, се поддържа активно и е сигурен.

2. Използвай свой собствен домейн за отчети: Настрой DMARC отчетите да се изпращат към адреси в твоя собствен домейн или към домейн, който контролираш пряко. Това ти дава пълен контрол върху достъпа.

3. Следи датите на изтичане на домейните: Ако задължително използваш външни домейни за отчети, поддържай календар с датите на изтичане и се грижи за подновяванията проактивно.

4. Настрой мониторинг за доставка на отчети: Въведи alerts или табла, които да те уведомяват, когато DMARC отчетите спрат да пристигат. Внезапно намаляване на обема на отчетите може да е знак за проблем с отчетния домейн.

5. Внедри p=quarantine или p=reject: Макар това да не решава директно проблема с отчетната дестинация, преминаването отвъд p=none значително намалява риска твоят домейн да бъде използван в атаки за имитиране, ограничавайки стойността на всякаква разузнавателна информация, събрана от твоите отчети.

По-широкият урок

Инцидентът с Eden Park е напомняне, че имейл сигурността не е "направи го веднъж и забрави". DNS инфраструктурата, поддържаща твоята имейл автентикация, изисква постоянно внимание - точно както и самите автентикационни политики.

В ера, в която имейлът остава основният вектор за бизнес компромитиране и фишинг атаки, поддържането на целостта на твоята имейл автентикационна инфраструктура не е просто техническа добра практика - това е бизнес императив. Отдели малко време днес да прегледаш DMARC записите си и да провериш дали отчетните ти дестинации са сигурни, актуални и под твой контрол.

Защото последното нещо, което искаш, е твоята сигурностна конфигурация да се превърне в чужд източник на разузнавателни данни.

В NameOcean помагаме на бизнеса да обезпечи онлайн присъствието си - от регистрация на домейни до DNS конфигурация. Нашият екип може да помогне с внедряване на DMARC, одити на DNS сигурността и да гарантира, че твоята имейл автентикационна инфраструктура е правилно конфигурирана.