Problem: podszywanie się pod domenę
Spoofing polega na wysłaniu wiadomości wyglądającej tak, jakby pochodziła z cudzej domeny. Atakujący może próbować podszyć się pod zarząd, księgowość, dział handlowy albo znanego dostawcę. Same zabezpieczenia DNS nie zatrzymają każdego phishingu, ale utrudniają nadużywanie domeny i poprawiają ocenę wiarygodności poczty.
W firmie warto traktować SPF, DKIM i DMARC jako zestaw. Pojedynczy rekord SPF często nie wystarcza, bo nie potwierdza treści wiadomości i nie rozwiązuje problemu zgodności domen widocznych dla użytkownika.
Czym jest SPF?
SPF opisuje, które serwery mogą wysyłać pocztę dla domeny użytej w SMTP MAIL FROM lub HELO. Jeżeli firma korzysta z Microsoft 365, hostingu, systemu fakturowania i newslettera, wszystkie legalne źródła trzeba uwzględnić w jednym rekordzie SPF. Rekord nie powinien zawierać starych usług, których nikt już nie używa.
Dlaczego sam SPF nie wystarcza?
SPF sprawdza techniczne źródło wysyłki, ale przy przekazywaniu wiadomości może przestać pasować. Istnieje też limit dziesięciu zapytań DNS dla mechanizmów i modyfikatorów SPF. Przekroczenie limitu może zakończyć kontrolę błędem, dlatego rozbudowane include trzeba policzyć i regularnie przeglądać.
Czym jest DKIM?
DKIM dodaje do wiadomości podpis kryptograficzny. Odbiorca może sprawdzić w DNS klucz publiczny i potwierdzić, że wiadomość została wysłana przez system posiadający klucz prywatny oraz nie została istotnie zmieniona po drodze. Parametr d= w podpisie wskazuje domenę podpisującą i nie musi być identyczny z domeną widoczną w polu From. W Microsoft 365 DKIM trzeba poprawnie włączyć dla własnej domeny, a nie zakładać, że wszystko działa samo z siebie.
Czym jest DMARC i alignment?
DMARC wiąże wynik SPF lub DKIM z domeną widoczną w polu From zgodnym ze standardem RFC 5322. To właśnie alignment sprawia, że mechanizmy nie sprawdzają tylko dowolnej domeny technicznej, ale domenę, którą widzi użytkownik. W ten sposób łatwiej ograniczyć podszywanie się pod firmowy adres.
Polityka DMARC może działać w trybie p=none, p=quarantine albo p=reject. None służy do obserwacji i zbierania raportów. Quarantine sugeruje oznaczanie wiadomości jako podejrzanych. Reject informuje odbiorców, aby odrzucali wiadomości, które nie przejdą kontroli. Ostateczne zachowanie może dodatkowo zależeć od lokalnej polityki odbiorcy.
Jak wdrażać DMARC etapami?
Najrozsądniej zacząć od polityki monitorującej. Dopiero po sprawdzeniu raportów i wszystkich legalnych źródeł wysyłki można zaostrzać politykę. W przeciwnym razie firma może sama zablokować swoje newslettery, faktury, powiadomienia z CRM albo wiadomości wysyłane ze strony internetowej.
- spisz wszystkie systemy wysyłające pocztę z firmowej domeny
- uporządkuj SPF i usuń nieużywane źródła
- włącz DKIM dla głównej platformy pocztowej
- uruchom DMARC w trybie monitorowania
- przejrzyj raporty i dopiero potem rozważ quarantine lub reject
Przykłady rekordów tylko jako ilustracja
Nie należy kopiować gotowych rekordów DNS bez analizy. Przykładowy rekord SPF dla firmy używającej wyłącznie Microsoft 365 wygląda inaczej niż rekord firmy korzystającej dodatkowo z newslettera, CRM i hostingu. Każde include zwiększa zakres zaufania i powinno mieć uzasadnienie.
Podobnie DMARC z polityką reject nie jest dobrym pierwszym krokiem, jeżeli nikt nie sprawdził raportów. Bezpieczne wdrożenie polega na przejściu od obserwacji do egzekwowania zasad.
Najczęstsze błędy
Największy bałagan powstaje wtedy, gdy rekordy DNS były zmieniane przez wiele lat przez różnych dostawców. Nikt nie wie, które wpisy są potrzebne, a firma boi się cokolwiek usunąć.
- więcej niż jeden rekord SPF dla tej samej domeny
- zbyt długi SPF przekraczający limity zapytań DNS
- brak DKIM dla domeny używanej w polu From
- DMARC ustawiony na reject bez testów
- pominięcie systemu fakturowania, CRM, newslettera lub strony WWW
Podsumowanie
SPF, DKIM i DMARC są podstawą porządnej konfiguracji poczty firmowej. Najpierw trzeba znać źródła wysyłki, potem uporządkować DNS, włączyć podpisywanie i stopniowo egzekwować politykę DMARC. FARNETIX może pomóc w audycie domeny, konfiguracji rekordów i migracji poczty do Microsoft 365.