DMARC 정책이란 무엇인가요? 없음, 격리 및 거부
실제 유명 조직을 대상으로 하는 이메일 사칭 위협이 계속 증가함에 따라 강력한 DMARC 정책(도메인 기반 메시지 인증, 보고 및 준수)을 구현하는 것이 사이버 보안의 중요한 관행이 되었습니다. 에 따르면 Forbes에 따르면 사이버 범죄와 관련된 비용은 2025년까지 연간 10조 5,000억 달러에 달할 것으로 예상됩니다.
조직의 DNS(도메인 이름 시스템)에 특수 텍스트 레코드로 배치되는 DMARC는 이메일의 유효성을 검사하고 보호합니다. 인증 검사에 실패한 메시지를 수신하는 이메일 서버가 따라야 할 일련의 지침(DMARC 정책)을 제공합니다. 피싱, 이메일 스푸핑, 랜섬웨어 공격을 방지하고 이메일 전송률을 향상시키는 강력한 기능을 제공합니다.
DMARC 정책 유형에는 세 가지가 있습니다:
- DMARC 없음: 보호 기능을 제공하지 않는 '모니터링 전용' 정책으로, 배포 여정의 초기 단계에 적합합니다. 이메일은 전달되지만 인증되지 않은 메시지에 대한 보고서가 생성됩니다.
- DMARC 격리: 의심스러운 이메일은 플래그가 지정되고 검토를 위해 수신자의 스팸 폴더에 보관됩니다.
- DMARC 거부: 가장 엄격한 옵션으로, 수신 서버가 인증되지 않은 이메일을 완전히 거부하도록 지시합니다.
DMARC가 중요한 이유
이메일은 쉽게 위조될 수 있어 진짜와 가짜를 구분하기 어렵습니다. 이것이 바로 DMARC가 필요한 이유입니다. DMARC는 이메일 보안 체크포인트와 같이 메시지를 통과시키기 전에 발신자의 신원을 확인하는 역할을 합니다. 실제로 Verizon 보고서에 따르면 에 따르면 전체 데이터 침해의 30% 이상이 피싱 공격의 결과이며, DMARC와 같은 강력한 보호 기능의 필요성을 강조하고 있습니다. DMARC를 사용하면 스푸핑 시도를 차단하고 받은 편지함을 사기성 이메일로부터 안전하게 보호할 수 있습니다.
에 따르면 RFC 7489 에 따르면 DMARC는 이메일 발신자가 인증에 대한 기본 설정을 할 수 있는 고유한 기능을 가지고 있습니다. 이 기능을 활성화하면 이메일 처리 및 잠재적인 도메인 남용에 대한 보고서도 받을 수 있습니다. 따라서 DMARC는 도메인 유효성 검사 측면에서 정말 돋보입니다.
DMARC의 설정 프로세스를 시작하려면 몇 가지 DNS를 변경하고 프로토콜에 대한 DNS TXT 레코드를 포함해야 합니다. 그러나 이 프로토콜을 수동으로 구현하는 것은 기술 전문가가 아닌 사용자에게는 상당히 복잡할 수 있습니다. 비즈니스를 위해 이를 관리하기 위해 외부 CISO를 고용하는 경우 비용이 상당히 많이 들 수도 있습니다. PowerDMARC의 DMARC 분석기 는 간편한 대안입니다. DMARC 정책 설정을 자동화하여 시간과 비용을 모두 절약할 수 있습니다.
구글과 야후의 새로운 이메일 발신자 요건이 발표된 후 PowerDMARC를 찾았습니다. PowerDMARC는 순식간에 DMARC 정책을 모니터링할 수 있게 해줬어요! 그 덕분에 더 나은 보호를 위해 느리지만 확실하게 강제 정책으로 전환할 수 있었습니다." 라고 중소기업 소유주 레이첼 R.이 보고했습니다.
DMARC 정책이란 무엇인가요?
DMARC 정책은 DNS를 사용하여 수신 메일 서버에 내 도메인에서 보낸 것으로 주장하지만 인증 검사에 실패한 이메일을 처리하는 방법을 알려주는 이메일 보안 조치입니다. 이 정책은 DMARC 레코드의 DMARC 레코드 로 표시되며 이메일이 DMARC 유효성 검사에 실패할 경우 메일 서버가 취해야 할 조치를 지정합니다.
DMARC 정책은 브랜드를 사칭하는 이메일을 얼마나 엄격하게 처리할지 결정하는 데 도움이 될 수 있습니다. 도메인의 보안 경비원이라고 생각하세요. 경비원은 사용자의 ID에 따라 건물(이 경우 수신자의 받은 편지함) 출입 허용 여부를 결정합니다. 경비원은 사용자의 출입을 막거나(거부), 추가 검토를 위해 특별한 장소로 보내거나(격리), 그냥 들여보낼 수도 있습니다(허용하지 않음).
DMARC 정책을 p=거부로 설정하면 스푸핑, 피싱 및 도메인 이름 남용을 방지하여 브랜드를 사칭하려는 악의적인 공격자에게 '침입 금지' 신호와 같은 역할을 할 수 있습니다.
3가지 유형의 DMARC 정책: p=거부, p=없음, p=격리
DMARC 정책 모드에는 없음, 격리, 거부의 3가지 주요 유형이 있습니다. 이는 이메일 도메인 소유자가 설정하려는 시행 수준에 따라 다릅니다. 이러한 정책 옵션 간의 주요 차이점은 메일 발신자가 DNS 레코드에 정의한 지정된 정책을 준수할 때 수신 메일 전송 에이전트가 취하는 조치에 따라 결정됩니다.
1. DMARC 없음 정책
DMARC 정책 없음(p=none)은 수신자 측에서 아무런 동작을 트리거하지 않는 편안한 모드입니다. 이 정책은 이메일 활동을 모니터링하는 데 사용할 수 있습니다. 사이버 공격에 대한 보호 수준은 제공하지 않습니다.
없음 정책 구현 사용 사례
예: v=DMARC1; p=none; rua= mailto:(이메일 주소);
- '없음' 정책을 선택하는 도메인 소유자의 주된 목적은 엄격한 인증에 대한 선호도 없이 발신 소스에 대한 정보를 수집하고 통신 및 전달 가능성에 대한 감시를 유지하는 것이어야 합니다. 이는 아직 정책을 시행할 준비가 되지 않았고 현재 상황을 분석하는 데 시간이 걸리기 때문일 수 있습니다.
- 수신 이메일 시스템은 이 정책으로 구성된 도메인에서 보낸 메시지를 '무조치'로 처리하므로 이러한 메시지가 DMARC에 실패하더라도 해당 메시지를 폐기하거나 격리하는 조치가 취해지지 않습니다. 이러한 메시지는 고객에게 성공적으로 전달됩니다.
- DMARC 보고서 는 "p=none"을 설정한 경우에도 계속 생성됩니다. 수신자의 MTA는 도메인 소유자에게 집계 보고서를 보내 해당 도메인에서 보낸 것으로 보이는 메시지에 대한 자세한 이메일 인증 상태 정보를 제공합니다.
2. DMARC 격리 정책
p=격리를 사용하면 도메인 소유자가 수신자에게 나중에 검토할 수 있도록 이메일을 스팸 폴더로 롤백하라는 메시지를 표시할 수 있으므로 일정 수준의 보호 기능을 제공합니다.DMARC가 실패하는 경우.
격리 정책 구현 사용 사례
예: v=DMARC1; p=검역소; rua=mailto:(이메일 주소);
- '격리' 정책은 인증되지 않은 이메일을 완전히 폐기하는 대신 도메인 소유자가 보안을 유지하면서 이메일을 수락하기 전에 검토할 수 있는 옵션을 제공하여 '확인 후 신뢰' 접근 방식을 취합니다.
- DMARC 정책을 다음과 같이 변경합니다. DMARC 격리 로 변경하면 DMARC 인증에 실패한 정상적인 메시지를 면밀히 검사하기 전에 손실되지 않도록 할 수 있습니다.
- 이 접근 방식은 시행 측면에서 중간 단계로 간주할 수 있으며 도메인 소유자가 a) DMARC가 이메일 메시지에 미치는 영향을 평가하고 b) 플래그가 지정된 이메일을 삭제할지 여부에 대해 정보에 입각한 결정을 내릴 수 있는 p=거부로 원활하게 전환할 수 있도록 합니다.
- 또한 격리 정책은 받은 편지함의 혼잡함을 줄여 스팸 메시지로 인해 받은 편지함이 과부하되는 것을 방지하는 데 도움이 됩니다.
3. DMARC 거부 정책
마지막으로 DMARC 거부 정책(p=reject)은 적용 정책입니다. 이 정책은 DMARC 인증에 실패한 메시지가 거부되도록 합니다. DMARC 거부는 사용자가 승인하지 않은 이메일을 삭제하여 최대한의 적용을 제공합니다.
정책 구현 사용 사례 거부
예: v=DMARC1; p=거부; rua= mailto:(이메일 주소);
- DMARC 거부는 이메일 보안을 강화합니다. 공격자가 피싱 공격을 시작하거나 직접 도메인을 스푸핑하는 것을 방지할 수 있습니다. DMARC 거부 정책은 의심스러운 메시지를 차단하여 사기성 이메일을 차단합니다.
- 의심스러운 메시지를 격리하지 않을 자신이 있다면 '거부' 정책을 사용하는 것이 좋습니다.
- DMARC 거부를 선택하기 전에 철저한 테스트와 계획을 세우는 것이 중요합니다.
- DMARC 거부 시 도메인에 대한 보고가 사용 설정되어 있는지 확인하세요.
- 시행 여정을 직접 설정하려면 p=없음으로 시작한 다음 일일 보고서를 모니터링하면서 천천히 거부로 이동하세요.
- 가장 이상적인 방법은 호스팅된 DMARC 솔루션을 선택하면 전문가의 도움을 받을 수 있습니다. 당사의 전문가가 DMARC 구현 및 시행 여정 전반을 안내합니다.
DMARC 정책 시행의 이점
도메인에 엄격한 DMARC 정책을 설정하면 얻을 수 있는 이점에 대해 자세히 알아보세요:
1. 피싱 및 BEC에 대한 직접적인 보호
DMARC 거부 시 ( DMARC 적용)에서 인증되지 않은 출처에서 발신된 이메일은 삭제됩니다. 이렇게 하면 사기성 이메일이 수신자의 받은 편지함에 도달하는 것을 방지할 수 있습니다. 따라서 피싱 공격, 스푸핑, BEC 및 CEO 사기로부터 직접적으로 보호할 수 있습니다.
이는 특히 중요합니다:
- Verizon의 2023년 데이터 유출 조사 보고서에 따르면 전체 데이터 유출의 36%가 피싱과 관련된 것으로 나타났습니다.
- Fortra의 2023 BEC 보고서에 따르면 사이버 범죄자들은 잘 알려진 브랜드를 사칭하는 것을 좋아합니다.
2. 악성 소프트웨어에 대한 1차 방어선
랜섬웨어와 멀웨어는 종종 사칭된 도메인 이름으로 전송된 가짜 이메일을 통해 확산됩니다. 이러한 악성코드는 침투하여 운영 체제를 완전히 장악할 수 있습니다. 거부 시 DMARC 정책을 사용하면 인증되지 않은 이메일이 고객의 받은 편지함에서 차단됩니다. 이렇게 하면 고객이 유해한 첨부파일을 클릭하는 것을 자동으로 방지할 수 있습니다. 또한 랜섬웨어나 멀웨어가 시스템에 무의식적으로 다운로드될 가능성도 최소화합니다. 여기서 DMARC 정책은 이러한 공격에 대한 기본 방어선 역할을 합니다.
3. 이메일 채널 모니터링
단순히 메시지 트랜잭션과 발신 소스를 모니터링하려는 경우 p=none의 DMARC로 충분합니다. 하지만 이렇게 해도 사이버 공격으로부터 사용자를 보호할 수는 없습니다.
4. 배달 전에 의심스러운 이메일 검토하기
승인되지 않은 이메일을 완전히 차단하고 싶지 않다면 격리할 수 있습니다. 격리 DMARC 정책을 활용하여 의심스러운 메시지를 수락하기 전에 검토하기만 하면 됩니다. 이렇게 하면 이메일이 받은 편지함 대신 격리 폴더에 보관됩니다.
가장 적합한 DMARC 정책 유형은 무엇이며 그 이유는 무엇인가요?
이메일 보안 노력을 극대화하고 Gmail의 파란색 체크 표시 기능을 사용하려면 DMARC 거부가 가장 좋은 DMARC 정책입니다.. p=거부를 설정하면 도메인 소유자가 고객의 받은 편지함에서 승인되지 않은 메시지를 적극적으로 차단하기 때문입니다. DMARC 정책은 사이버 공격에 대한 높은 수준의 보호 기능을 제공합니다. 여기에는 직접 도메인 스푸핑, 피싱 및 기타 형태의 사칭 위협이 포함됩니다. 따라서 효과적인 피싱 방지 정책으로도 활용할 수 있습니다.
DMARC 시행 시 다음과 같이 구현할 수도 있습니다. BIMI. BIMI를 사용하면 Gmail과 Yahoo 받은 편지함에서 이메일에 파란색 체크 표시를 활성화할 수 있습니다.
일반적인 DMARC 정책 오해 바로잡기
DMARC 정책에 대한 몇 가지 일반적인 오해가 있습니다. 이 중 일부는 메일 전송에 끔찍한 결과를 초래할 수 있습니다. 이러한 오해가 무엇인지, 그리고 그 뒤에 숨겨진 진실은 무엇인지 알아보세요:
1. 스푸핑을 방지할 수 없는 DMARC 없음
DMARC 없음은 "아무 조치도 취하지 않는" 정책으로 사이버 공격으로부터 도메인을 보호할 수 없습니다. p=none 정책은 공격자가 도메인 이름과 이메일을 악용하기 위한 보안 허점으로 자주 사용됩니다.
지난 몇 년 동안 여러 도메인 소유자가 DMARC를 구현했음에도 불구하고 어떻게 스푸핑을 당하고 있는지 설명하면서 PowerDMARC에 문의해 왔습니다. 추가 검토 결과, 전문가들이 확인한 결과 대부분의 도메인 소유자가 DMARC 정책을 "없음"으로 설정한 것으로 나타났습니다.
2. p=none인 경우 DMARC 보고서를 수신하지 않습니다.
p=none인 경우에도 발신자의 유효한 이메일 주소를 지정하기만 하면 매일 DMARC 보고서를 계속 받을 수 있습니다.
3. DMARC "격리"는 중요하지 않습니다.
종종 간과하는 경우가 많지만 DMARC의 격리 정책은 과도기에 매우 유용합니다. 도메인 소유자는 이를 배포하여 활동 금지에서 최대 시행으로 원활하게 전환할 수 있습니다.
4. DMARC 거부로 인한 전송 가능성 저하
DMARC 거부 상태에서도 정상적인 이메일이 원활하게 전달되도록 할 수 있습니다. 발신자의 활동을 모니터링하고 분석하면 도움이 될 수 있습니다. 또한 인증 결과를 검토하여 실패를 더 빨리 감지해야 합니다.
DMARC 정책 오류 문제 해결
다음은 발생할 수 있는 몇 가지 일반적인 DMARC 정책 오류입니다:
- 구문 오류: 프로토콜이 올바르게 작동하는지 확인하기 위해 레코드를 설정하는 동안 구문 오류에 주의해야 합니다.
- 구성 오류: DMARC 정책을 구성하는 동안 발생하는 오류는 일반적이며 다음을 사용하여 피할 수 있습니다. DMARC 검사기 도구를 사용하여 방지할 수 있습니다.
- DMARC sp 정책: DMARC 거부 정책을 구성했지만 하위 도메인 정책을 하위 도메인 정책 를 없음으로 설정하면 규정을 준수할 수 없습니다. 이는 아웃바운드 이메일에 대한 정책 재정의 때문입니다.
- "DMARC 정책이 사용되지 않음" 오류: 도메인 보고서에서 이 오류가 강조 표시되면 DNS에 DMARC 도메인 정책이 없거나 "없음"으로 설정되어 있는 것을 가리킵니다. 레코드를 편집하여 p=거부/검역소를 통합하면 문제가 해결됩니다.
PowerDMARC로 DMARC 정책 시행하기
PowerDMARC의 DMARC 분석기 플랫폼은 DMARC 프로토콜을 손쉽게 설정할 수 있도록 도와줍니다. 클라우드 네이티브 인터페이스를 사용하여 몇 번의 버튼 클릭만으로 기록을 모니터링하고 최적화할 수 있습니다. 주요 이점을 살펴보세요:
- PowerDMARC는 DMARC 집계 보고서를 위한 7가지 보기와 필터링 메커니즘을 제공합니다. 각 보기는 모든 DMARC 정책 모드에서 이메일 흐름을 효과적으로 모니터링하도록 설계되었습니다.
- 읽기 쉽고, 사람 친화적이며, 내보낼 수 있는 집계 보고서
- 포렌식 보고서를 암호화하여 개인 정보를 숨길 수 있습니다.
- 호스팅된 DMARC 기능을 사용하면 DMARC 정책 모드를 쉽게 업데이트할 수 있습니다. p=거부로 전환하여 프로토콜을 효과적으로 실시간으로 모니터링할 수 있습니다. 이를 위해 DNS 관리 콘솔에 들어갈 필요가 없습니다.
- 24시간 활동하는 지원팀이 완화 정책에서 강제 DMARC 정책으로 원활하게 전환할 수 있도록 도와드립니다. 이를 통해 보안을 극대화하는 동시에 전송률을 보장할 수 있습니다.
- 사용자 지정 이메일 알림을 설정하여 악성 활동을 감지하고 위협에 대한 조치를 더 빨리 취할 수 있습니다.
- 플랫폼에서 다중 테넌시 및 다국어 번역을 지원합니다. 여기에는 영어, 프랑스어, 독일어, 일본어, 네덜란드어, 이탈리아어, 스페인어, 러시아어, 노르웨이어, 스웨덴어 및 중국어(간체)가 포함됩니다.
문의하기 에 문의하여 DMARC 정책을 구현하고 결과를 쉽게 모니터링하세요!
DMARC 정책 FAQ
내 이메일이 DMARC를 준수하는지 어떻게 알 수 있나요?
PowerDMARC 고객은 대시보드 요약을 확인하여 규정 준수 여부를 쉽게 평가할 수 있습니다. 또한 다음과 같은 도구를 사용하여 현재 보안 상태를 분석할 수 있습니다. PowerAnalyzer.
DMARC 정책을 수정하려면 어떻게 해야 하나요?
DNS 관리로 들어가서 정책을 수동으로 수정할 수 있습니다. 들어가면 DMARC TXT 레코드를 편집해야 합니다. 보다 간단한 해결책은 한 번의 클릭으로 정책을 변경할 수 있는 호스팅 솔루션을 사용하는 것입니다.
기본 DMARC 정책은 무엇인가요?
DMARC 생성기 도구를 사용하여 정책을 추가하는 경우 기본 모드로 "없음"이 지정됩니다. 수동으로 구현하는 경우 "p=" 필드에 정책을 정의해야 합니다. 그렇지 않으면 기록이 유효하지 않은 것으로 간주됩니다.
콘텐츠 및 사실 확인 검토 프로세스
이 콘텐츠는 사이버 보안 전문가가 작성했습니다. 기술적 정확성과 관련성을 보장하기 위해 사내 보안팀의 세심한 검토를 거쳤습니다. 모든 사실은 공식 IETF 문서와 대조하여 확인되었습니다. 정보를 뒷받침하는 보고서 및 통계에 대한 참조도 언급되어 있습니다.
- SPF 허용 오류 수정: SPF 너무 많은 DNS 조회 제한 극복하기 - 2024년 4월 26일
- DMARC 레코드를 3단계로 게시하는 방법은 무엇인가요? - 2024년 4월 2일
- DMARC가 실패하는 이유는 무엇인가요? 2024년 DMARC 장애 수정하기 - 2024년 4월 2일