Sikkerhetsrisikoen du kanskje overser i dine DMARC-oppføringer

Tenk deg følgende: Du har brukt måneder på å sette opp DMARC for organisasjonen din. Alle policyer er konfigurert, og du overvåker rapportene nøye. Likevel kan det være noe som har undergravd hele e-postsikkerheten din – uten at du vet om det.

En nylig sak fra Eden Park, New Zealands største rugbystadion, har avslørt en sårbarhet som mange overser. Sikkerhetsforskere oppdaget at stadions DMARC-konfigurasjon sendte rapportene til et domene som hadde utløpt for over tre år siden.

Hva DMARC-rapporter egentlig avslører

La oss først forstå hva DMARC-rapporter faktisk inneholder.

Når du publiserer en DMARC-oppføring, ber du e-postservere verden over om å sende deg daglige oppsummeringer av e-poster som hevder å komme fra ditt domene. Aggregerte rapporter (sendt via rua-taggen) inneholder verdifull informasjon: hvilke IP-adresser som sender e-post på vegne av ditt domene, om SPF og DKIM-sjekker bestås, og ikke minst – om noen prøver å forfalske ditt domene.

Noen rapporter inneholder også mottakerdata – altså hvem som faktisk mottar disse meldingene. Denne informasjonen skaper i praksis et levende kart over organisasjonens forretningsforbindelser. Hvilke leverandører du bruker, hvilke myndigheter du kommuniserer med, og hvilke kontraktører som håndterer sensitive oppgaver.

I perioden forskerne hadde tilgang til det utløpte domenet, mottok de over 12 000 rapportposter for edenpark.co.nz. Disse avslørte omtrent 600 distinkte organisasjoner som stadionmet hadde korrespondert med – alt fra byggekontraktører og cateringfirmaer til idrettslag og offentlige etater.

Farene ved en usikret rapporteringsdestinasjon

Konsekvensene av denne sårbarheten strekker seg langt utover at du går glipp av egne sikkerhetsrapporter:

1. Etterretningsinnsamling: Som denne saken viser, kan hvem som helst som registrerer et forlatt rapporteringsdomene samle detaljert kunnskap om en organisasjons e-postmønstre, forretningsforbindelser og tredjeparts leverandører.

2. Svikt i tidlig varsling: Du mister oversikten over mulig domeneforfalskning, phishing-kampanjer som utgir seg for å være fra deg, eller uautorisert bruk av ditt domene.

3. Compliance-hull: Mange bransjer krever at organisasjoner opprettholder synlighet over e-postautentiseringsfeil. Et utløpt rapporteringsdomene skaper hull som kanskje først oppdages under revisjoner.

Hvordan dette skjer i praksis

Eden Park-saken avslører en vanlig fallgruve: når du refererer til tredjepartstjenester i DNS-postene dine uten å holde oversikt over tjenestenes livssyklus. I dette tilfellet tilhørte rapporteringsdomenet (spamcontrol.co.nz) en Fujitsu-drevet e-postfiltreringstjeneste som ble pensjonert i 2021. Referansen i Eden Parks DMARC-post overlevde ganske enkelt tjenesten selv.

Dette er vanligere enn du kanskje tror. Organisasjoner setter ofte opp DMARC-rapportering til en adresse hos en leverandørs domene, bytter leverandør eller avslutter tjenester, oppdaterer aldri de gamle DNS-postene, og mister dessuten intern kunnskap når IT-personale slutter.

Resultatet er DNS-oppføringer som peker til domener som til slutt blir tilgjengelige for hvem som helst å registrere.

Slik beskytter du organisasjonen din

Hva kan du gjøre for å unngå at dine DMARC-rapporter ender opp i en annen persons innboks?

1. Revider DMARC-postene dine regelmessig: Gå gjennom alle e-postautentiserings-DNS-oppføringer minst kvartalsvis. Verifiser at hvert domene nevnt i rua- og ruf-taggene aktivt vedlikeholdes og er sikkert.

2. Bruk ditt eget domene for rapportering: Konfigurer DMARC-rapporter til å sendes til adresser innenfor ditt eget domene eller et domene du direkte kontrollerer. Dette gir deg full kontroll over hvem som har tilgang.

3. Overvåk domeneutløpsdatoer: Hvis du må bruke eksterne domener for rapportering, oppretthold en kalender over når disse domenene utløper, og sørg for at fornyelser håndteres proaktivt.

4. Sett opp overvåking av rapportlevering: Implementer varsler eller dashbord som gir beskjed når DMARC-rapporter slutter å komme. En plutselig nedgang i rapportvolum kan indikere et problem med rapporteringsdomenet.

5. Implementer p=quarantine eller p=reject: Selv om dette ikke direkte løser rapporteringsdestinasjonsproblemet, reduserer det risikoen for at ditt domene brukes i forfalskningsangrep betydelig – og begrenser dermed verdien av etterretning som kan samles inn fra rapportene dine.

Den bredere lærdommen

Eden Park-saken minner oss om at e-postsikkerhet ikke er noe du setter opp én gang og deretter glemmer. DNS-infrastrukturen som støtter e-postautentiseringen din krever kontinuerlig oppmerksomhet, akkurat som autentiseringspolicyene selv.

I en tid der e-post forblir den primære angrepsvektoren for forretningskompromittering og phishing-angrep, er det å opprettholde integriteten til e-postautentiseringsinfrastrukturen din ikke bare en teknisk bestepraksis – det er en forretningsmessig nødvendighet.

Ta deg tid i dag til å gjennomgå dine DMARC-oppføringer og verifiser at rapporteringsdestinasjonene dine er sikre, oppdaterte og under din kontroll.

For det siste du ønsker er at din sikkerhetskonfigurasjon skal bli en annen persons etterretningskilde.

Vi hos NameOcean hjelper bedrifter med å sikre deres online tilstedeværelse – fra domeneregistrering til DNS-konfigurasjon. Vårt team kan bistå med DMARC-implementering, DNS-sikkerhetsrevisjoner og sikre at e-postautentiseringsinfrastrukturen din er korrekt konfigurert.