ポスト

DMARCの設定方法」に入る前に、一歩下がって、DMARCのコンセプトと、DMARCが過去数年間に情報と電子メールのセキュリティの世界で最もトレンドのあるソリューションとして登場した経緯を理解する必要がある。組織は、顧客ベース、ビジネスパートナー、従業員の間で電子メールが大量に流れ込む巨大な電子メール交換機関と考えることができる。

しかし、メールマーケティングキャンペーンを実施している間に、自社ドメインから送信されるメールがすべて正当なものであるかどうかを監視することは困難です。14秒に1回、組織のドメインが攻撃者によって偽装され、それを信用した受信者にフィッシングメールが送信されています。これが、メール認証がセキュリティに必須である理由です。

なぜ現状ではDMARCが必要なのか?

FBIのInternet Crime Complaint Center of 2020(FBI IC3 Report 2020)によると、米国では電子メールを使った攻撃に関わる苦情が28,500件寄せられたと報告されています。FBIは、パンデミック時の中小企業への支援に努めた「コロナウイルス支援・救済・経済保障法(CARES法)」を記述した電子メール詐欺攻撃を調査しました。これらの攻撃は、特に失業保険、PPP(Paycheck Protection Program)ローン、Small Business Economic Injury Disaster Loanを狙ったものでした。

ご存知でしたか?

  • 2020年に世界中の組織のドメインの75%が偽装され、被害者にフィッシングメールを送っていた
  • フィッシングキャンペーンの74%が成功
  • BECの頻度は昨年より15%増加した
  • IBM社の報告によると、昨年、5社に1社が悪意のある電子メールによるデータ漏洩を経験しています。

今すぐドメインをチェックして、メール詐欺からどれだけ守られているか確認しましょう。

DMARCを手動で設定するには?

DMARCの設定方法を知るためには、まずDMARCレコードを作成する必要があります。複雑そうに聞こえるかもしれませんが、プロセスは比較的簡単です。DMARCはDNSのTXT(テキスト)レコードで、DNSで公開してドメインのプロトコルを設定することができます。

DMARCレコードの例。

v=DMARC1; p=reject; adkim=s; aspf=s; rua=mailto:[email protected]; ruf=mailto:[email protected]; pct=100; fo=0;

ご注意ください。 電子メールの認証を始めたばかりの頃は、DMARCポリシー(p)を拒否ではなく「なし」のままにして、電子メールの流れを監視し、厳格なポリシーに移行する前に問題を解決することができます。

DMARCレコードの公開方法 について

PowerDMARCでDMARCを簡単に設定する方法

PowerDMARCでは、DMARCレコードを手動で作成するためにメカニズムを深く理解する必要はなく、当社のプラットフォーム上で自動的に行います。必要なのは、当社の無料DMARCレコード生成ツールを使用して、希望する条件を入力するだけです。レコードの生成」をクリックすると、エラーのないDMARCレコードが即座に作成され、お客様のDNSで公開されます。

レコードを作成したら、DNSマネジメントコンソールを開き、希望のドメインに移動して、TXTレコードを貼り付けるだけです。プロセスの変更を保存して完了となります。

DMARCを活用したドメイン・スプーフィングの防止方法

なお、ドメインの偽装を防ぎ、フィッシングやBEC攻撃を防ぐためにDMARCを設定している場合は、当社のDMARCレコード生成ツールでDMARCレコードを生成する際に、以下の基準を選択することをお勧めします。

DMARCポリシーをp=rejectに設定してください。

拒否ポリシーを選択して組織でのDMARC施行を選択している場合、これは、あなたのドメインから送信された電子メールがDMARCの認証チェックに失敗してDMARCに不合格になるたびに、悪意のある電子メールが受信者の受信箱に届けられるのではなく、受信側のMTAによって即座に拒否されることを意味しています。

また、メールの流れを可視化し、認証を通過したメールと失敗したメールを監視することも考慮に入れたい要素です。DMARCレポートにより、ドメインに対する悪意のある活動を見逃すことなく、常に情報を得ることができます。電子メール認証のメリットを享受し、ドメインを効果的に保護する方法でDMARCを設定するには、今すぐDMARC analyzerにサインアップしてください。

DMARCレコードを公開する方法について

DMARCレコードの発行に進む前に、DMARCレコードとは何かを理解することが重要である。DMARCレコードとは、ドメインにDomain-Based Message Authentication, Reporting, and Conformance(DMARC)を設定するために、ドメインのDNS (Domain Naming System)で発行されるDNS TXTレコードに他ならない。ドメインにDMARCを設定することで、ドメインの所有者は、受信サーバーに対して、未承認または違法な送信元から送られてきた電子メールにどのように応答すべきかを指定することができます。

DMARCレコードを作成するための手順

当社の無料DMARCレコード生成ツールをご利用いただければ、DMARC DNSレコードの生成プロセスは非常に簡単です。必要なのは、以下の条件を記入するだけです。

  • DMARCポリシーモードの選択(メール認証を始めたばかりのお客様には、メールの流れを監視できるように、最初はp=noneのポリシーをお勧めします。
  • サブドメインのDMARCポリシーモードを選択してください(サブドメインに異なるポリシーを選択したい場合にのみ、この基準を有効にすることをお勧めします、デフォルトではメインドメインと同じポリシーが適用されます)。
  • DMARC RUA(集計)およびRUF(フォレンジック)レポートの配信先となるメールアドレスを入力してください。
  • DKIMアライメントモードを選択してください(厳密なアライメントでは、メールヘッダのDKIM署名がfromヘッダにあるドメインと正確に一致しなければなりません。リラックス・アライメントでは、2つのドメインが同じ組織ドメインを共有している必要があります。)
  • SPFアライメントモードを選択する(strict alignmentの場合、Return-pathヘッダーのドメインとfromヘッダーのドメインが完全に一致する必要がある。リラックスアライメントの場合は、2つのドメインが同じ組織ドメインを共有している必要があります。)
  • フォレンジックオプションの選択(どのような状況でフォレンジックレポートの受け取りを希望するかを表します。

典型的なエラーフリーのDMARCレコードは次のようなものです。

v=DMARC1; p=none; sp=none; rua=mailto:[email protected]; ruf=mailto:[email protected]; fo=1;

生成されたレコードは、あなたのドメインのDNSのサブドメインで公開されます。_dmarc.YOURDOMAIN.com

DMARCレコードを公開するには? 

生成したDMARCレコードを公開するには、DNSコンソールにログインして、DMARCを設定する特定のドメインに移動する必要があります。

DNS管理コンソールでドメインにナビゲートした後、ホスト名とリソースタイプを指定する必要があります。DMARCはDNSのTXTレコードとしてドメイン内に存在するので、そのリソースタイプは TXTであり、この場合に指定するホスト名は: _dmarc

最後に、DMARCレコード(前に生成したレコード)の値を追加する必要があります。 v=DMARC1; p=none; sp=none; rua=mailto:[email protected]; ruf=mailto:[email protected]; fo=1;

変更を保存すると、ドメインにDMARCを設定することができます。

次のステップは何ですか?

DMARCレコードの公開が完了したら、次のステップとして、あなたのドメインを詐欺師やなりすましから守ることに専念してください。これは、セキュリティプロトコルやメール認証サービスを導入する際の主要な課題です。単にp=noneポリシーでDMARCレコードを発行するだけでは、ドメイン・スプーフィング攻撃やメール詐欺からの保護にはなりません。そのためには、DMARCのエンフォースメントに移行する必要がある。

DMARC Enforcementとは何ですか?

DMARCポリシーモードをp=rejectまたはp=quarantineで実装すると、DMARCのエンフォースメントを実現することができます。ドメイン・スプーフィング攻撃やBECから最大限に保護するには、ポリシーモードをrejectにすることをお勧めします。 しかし、DMARCエンフォースメントを実現するためのプロセスは、ポリシーモードをモニタリングからエンフォースメントに変更するほど単純ではありません。メールの配信に影響が出ないようにしながら、なりすまし攻撃からの免疫力を得るためには、以下のことが必要です。

  • PowerDMARCにサインアップし、ドメインのDMARCレポートを有効にする。
  • メール認証の結果を示すDMARC RUAレポートを毎日発行し、分かりやすい表示方法で提供
  • メールが認証に失敗した場合、ダッシュボードにフォレンジックレポートの更新情報を表示
  • SPFレコードが無効にならないように、SPFのハードリミットを守ってください。

DMARCの集計とフォレンジックレポートを利用すれば、ドメイン所有者にとって、モニタリングからエンフォースメントへの移行が容易になります。PowerDMARCプラットフォームから、メールフローを視覚的に監視し、配信性の問題を追跡して即座に対応することができます。今すぐ登録して、DMARCアナライザーの無料トライアルをご利用ください。

ドメイン所有者は、ドメインやブランド名を利用して悪質な活動を行う、ドメイン・スプーフィング攻撃やフィッシング攻撃を仕掛ける脅威に常に注意する必要があります。どのようなメール交換ソリューションを使用していても、ブランドの信頼性を確保し、尊敬する顧客層からの信頼を維持するためには、なりすましや偽装からドメインを保護することが不可欠です。このブログでは、Office 365ユーザー向けにDMARCレコードを設定する手順をご紹介します。

最近では、多くの企業が、効果的で堅牢なクラウドベースのプラットフォームやOffice 365などのホスティングされた電子メール交換ソリューションを使用する方向にシフトしています。その結果、サイバー犯罪者は、プラットフォームに統合されたセキュリティソリューションを巧みに操り、電子メール詐欺を行う悪質な技術をアップグレードしてきました。このような理由から、マイクロソフト社はDMARCのような電子メール認証プロトコルのサポートをすべての電子メールプラットフォームに拡大しました。しかし、DMARCの利点を十分に活用するためには、Office 365にDMARCを正しく実装する方法を知っておく必要があります。

なぜDMARCなのか?

最初の疑問は、偽の電子メールをブロックするためのアンチスパム・ソリューションや電子メール・セキュリティ・ゲートウェイがすでにOffice 365スイートに統合されているのに、なぜ認証にDMARCを必要とするのかということです。これは、これらのソリューションが、あなたのドメインに送信されたインバウンドのフィッシングメールを特に保護する一方で、DMARC認証プロトコルは、ドメイン所有者に、認証チェックに失敗したあなたのドメインから送信されたメールにどのように対応するかを受信側のメールサーバーに指定する権限を与えるからです。

DMARCは、SPFとDKIMという2つの標準的な認証方法を利用して、電子メールの真正性を検証します。ポリシーを設定して実施することで、DMARCはなりすまし攻撃やダイレクトドメインスプーフィングに対して高いレベルの保護を提供することができます。

Office 365を使用する際に、本当にDMARCが必要なのか?

企業の間では、「Office 365ソリューションを持っていれば、スパムやフィッシング攻撃からの安全性が確保できる」という誤解がよくあります。しかし、2020年5月、Office 365を利用している中東の保険会社数社を狙った一連のフィッシング攻撃により、多額のデータが失われ、かつてないほどのセキュリティ侵害が発生しました。このように、マイクロソフトの統合されたセキュリティソリューションに頼るだけで、ドメインを保護するための外部からの取り組みを行わないことは、大きな過ちとなり得るのです

Office 365の統合されたセキュリティソリューションは、インバウンドのセキュリティ上の脅威やフィッシング対策を提供しますが、自社ドメインから送信されたアウトバウンドメッセージが顧客やパートナーの受信箱に届く前に、効果的に認証されているかどうかを確認する必要があります。そこで登場するのがDMARCです。

DMARCによるOffice 365のなりすましと偽装の防止

Office 365に付属するセキュリティソリューションは、スパムフィルターとして機能しますが、ドメインをなりすましから保護することはできず、DMARCの必要性が強調されています。DMARCは、お客様のドメインのDNSにDNS TXTレコードとして存在します。お客様のドメインにDMARCを設定するには、次のことが必要です。

ステップ1ドメインの有効なメールソースを特定する
ステップ2ドメインにSPFを設定します。
ステップ3:DKIMを設定する
ステップ4 ドメインのDNSにDMARC TXTレコードを発行します。

PowerDMARCの無料DMARCレコードジェネレーターを使えば、正しい構文のレコードを即座に生成してDNSで公開し、ドメインにDMARCを設定することができます。ただし、なりすまし攻撃やドメインの不正使用を効果的に軽減できるのは、拒否という実施ポリシーだけであることに注意してください。

しかし、DMARCレコードの公開だけで十分なのでしょうか?答えは、「ノー」です。ここからは、最後の最後、DMARCのレポートとモニタリングについて説明します。

Microsoft Office365を利用する上でPowerDMARCが必要な5つの理由

Microsoft Office 365は、クラウドベースのサービスやソリューションを提供するとともに、スパム対策フィルターが組み込まれています。しかし、様々な利点がある一方で、セキュリティの観点から見ると、以下のような欠点があります。

  • 自身のドメインから送信されたアウトバウンドメッセージを検証するソリューションがない
  • 認証チェックに失敗したメールを報告する仕組みがない
  • メールエコシステムを可視化できない
  • インバウンドとアウトバウンドのメールフローを管理・監視するダッシュボードがない
  • SPFレコードが常に10ルックアップ制限以下であることを保証する仕組みがない

PowerDMARCによるDMARCレポートとモニタリング

PowerDMARCは、Office 365とシームレスに統合し、BECやダイレクトドメインスプーフィングのような高度なソーシャルエンジニアリング攻撃から保護する高度な認証ソリューションをドメインオーナーに提供します。PowerDMARCは、メール認証のベストプラクティス(SPF、DKIM、DMARC、MTA-STS、TLS-RPT、BIMI)を統合するだけでなく、メールエコシステムを完全に可視化する広範で詳細なDMARCレポートメカニズムを提供するマルチテナント型のSaaSプラットフォームです。PowerDMARCダッシュボード上のDMARCレポートは、2つのフォーマットで生成されます。

  • 集計レポート
  • フォレンジックレポート

私たちは、業界の様々な問題を解決することで、お客様の認証体験をより良いものにするよう努めてきました。PowerDMARCは、DMARCフォレンジックレポートを確実に暗号化するだけでなく、7つの異なるビューで集計レポートを表示し、ユーザーエクスペリエンスを向上させ、わかりやすくします。PowerDMARCは、メールの流れや認証の失敗を監視し、世界中の悪意のあるIPアドレスをブラックリストに登録するのに役立ちます。当社のDMARCアナライザーツールは、お客様のドメインに対してDMARCを正しく設定し、監視から実施へとあっという間に移行するのに役立ちます。