DMARC en FedRAMP: e-mailbeveiliging verbeteren
door
Laatst bijgewerkt: 7 leestijd: 7 minuten
Nu cyberbedreigingen in aantal en intensiteit toenemen en allerlei nieuwe vormen aannemen, beginnen organisaties steeds meer aandacht te besteden aan e-mailbeveiliging. Dit geldt vooral voor organisaties die werken met gevoelige overheidsgegevens. Eén enkele cyberaanval, groot of klein, kan verwoestend zijn voor de reputatie van een bepaalde overheid en tegelijkertijd de hele bevolking in gevaar brengen (vooral in het geval van door conflicten verscheurde landen en regio's).
Daarom is het Federal Risk and Authorization Management Program (FedRAMP) begonnen met het besteden van veel aandacht en inspanningen aan het opstellen van veilige e-mailverificatiestandaarden en -protocollen, waarbij de nadruk ligt op Domain-based Message Authentication, Reporting, and Conformance (DMARC). In dit artikel leest u meer:
- Wat is FedRAMP-naleving?
- De rol van DMARC in FedRAMP-compliance
- Hoe DMARC implementeren voor FedRAMP-conforme systemen
- Noodzakelijke stappen voor implementatie en naleving
- Uitdagingen bij het implementeren van DMARC binnen het FedRAMP-raamwerk
Belangrijkste Conclusies
- FedRAMP-compliance standaardiseert beveiligingsbeoordeling en -monitoring voor cloudserviceproviders in de federale sector.
- DMARC is een cruciaal onderdeel van e-mailbeveiliging dat door FedRAMP is verplicht gesteld voor cloudservices die namens de federale overheid communiceren.
- Het implementeren van DMARC omvat een uitgebreide beoordeling van de e-mailinfrastructuur en het configureren van SPF- en DKIM-records voordat DMARC wordt geïmplementeerd.
- Voortdurende controle van DMARC-beleidsregels is nodig om evoluerende cyberbedreigingen effectief aan te pakken en naleving van FedRAMP-vereisten te garanderen.
- Samenwerking met betrouwbare e-mailservices van derden en het gebruik van professionele e-mailverificatieplatforms kunnen de uitdagingen van de DMARC-implementatie verlichten.
Wat is FedRAMP-naleving?
FedRAMP is een strenge autorisatiecertificering voor cloudserviceproviders en cloudgebaseerde platforms die een gestandaardiseerde aanpak biedt voor beveiligingsbeoordeling, autorisatie en voortdurende controle voor cloudproducten en -diensten. Het FedRAMP-complianceprogramma werd al in 2011 opgezet om het "Cloud First"-initiatief van de federale overheid te ondersteunen. Het doel van "Cloud First" was om de invoering van veilige cloudoplossingen in federale agentschappen te versnellen.
Enkele primaire doelstellingen van FedRAMP compliance zijn:
- De aanpak van beveiligingsbeoordeling en autorisatie standaardiseren in alle federale agentschappen en maximale consistentie bereiken tussen de verschillende belanghebbenden.
- Strenge beveiligingscontroles en controlemechanismen implementeren om het vertrouwen in cloudoplossingen onder federale agentschappen te vergroten
- Beperk dubbele veiligheidsbeoordelingen tot een minimum om financiële en niet-financiële middelen te besparen
- Flexibel reageren op steeds veranderende cyberbedreigingen en de noodzakelijke veranderingen in real-time doorvoeren
Vereenvoudig DMARC en FedRAMP met PowerDMARC!
Fasen van FedRAMP-naleving
Nu je bekend bent met de belangrijkste doelstellingen van FedRAMP compliance, is het ook belangrijk om meer te weten te komen over de verschillende fasen van FedRAMP compliance.
- In de eerste fase moeten Cloud Service Providers (CSP's) de noodzakelijke beveiligingscontroles implementeren en hun systeem documenteren in een Systeembeveiligingsplan (SSP).
- In de tweede, beoordelingsfase, voert Third-Party Assessment Organization (3PAO) een onafhankelijke beveiligingsbeoordeling uit.
- Vervolgens onderzoekt het FedRAMP Program Management Office (PMO) het beveiligingspakket zorgvuldig en verleent het een Authority to Operate (ATO).
Het is belangrijk om te vermelden dat CSP's voortdurend moeten garanderen dat ze voldoen aan de vereiste veiligheidsnormen door regelmatige evaluaties en aanpassingen.
De rol van DMARC in FedRAMP-compliance
DMARC is een belangrijk en zelfs onmisbaar onderdeel van e-mailbeveiliging in het kader van FedRAMP. FedRAMP vereist dat alle cloud service offerings (CSO's) die e-mails verzenden namens de federale overheid een afdwingbaar DMARC-beleid implementeren.. Deze vereiste is slechts een van de vele Bindende Operationele Richtlijn (BOD) 18-01 vereisten die zijn uitgegeven door het Cybersecurity and Infrastructure Security Agency (CISA).
De redenen voor de integratie van DMARC zijn talrijk en meervoudig. Ten eerste helpt DMARC aanzienlijk bij het detecteren en voorkomen van phishing-aanvallen via e-mail. Door de legitimiteit van de identiteit van de afzender te verifiëren, zorgt DMARC ervoor dat ontvangers de herkomst van federale e-mails kunnen vertrouwen. De inzichten die de regelmatige DMARC-rapporten bieden, stellen instanties ook in staat om belangrijke beveiligingslekken te identificeren en deze aan te pakken voordat het te laat is. Dit vergroot niet alleen het vertrouwen van de ontvangers, maar ook de deliverability van federale e-mails, zodat belangrijke berichten de beoogde doelgroep bereiken.
Gerelateerd lezen: NCSC mail check wijzigingen & hun impact op de Britse publieke sector e-mailbeveiliging
Hoe DMARC implementeren voor FedRAMP-conforme systemen
Hieronder volgt een uitgebreid overzicht van DMARC-implementatie voor FedRAMP-compliance. Het proces omvat meerdere belangrijke stappen en onderdelen.
- De eerste stap omvat een grondige beoordeling van de huidige e-mailinfrastructuur. Voer een uitgebreide audit uit van alle domeinen en subdomeinen die worden gebruikt voor het verzenden van e-mails namens de federale overheid, waarbij alle bronnen voor het verzenden van e-mail worden geïdentificeerd (bijv. services van derden). Deze eerste beoordeling moet een overzicht bevatten van de huidige e-mailverificatie, zoals bestaande SPF-, DKIM- of andere configuraties.
- De SPF- en DKIM-implementatiefase omvat de configuratie van SPF-records voor alle relevante domeinen en de instelling van DKIM-ondertekening voor uitgaande e-mails. Voordat je overgaat naar de fase van DMARC implementatie, moet je de SPF en DKIM configuraties testen en ervoor zorgen dat ze correct zijn ingesteld.
- Laten we nu overgaan naar de DMARC-implementatiefase. Het publiceren van een DMARC-record in je DNS moet de onderstaande parameters volgen:
- p=reject (d.w.z. e-mails die niet voldoen aan DMARC moeten worden geweigerd)
- pct=100 (d.w.z. het beleid moet worden toegepast op 100% van de e-mails)
- rua e-mailadressen moeten het volgende bevatten mailto:[email protected]
- Voor nauwkeurige e-mailserverconfiguraties moet u ervoor zorgen dat alle uitgaande e-mails correct zijn uitgelijnd met de DMARC-, SPF- en DKIM-configuraties en dat het Van-adres van de envelop correct is uitgelijnd.
- Documenteer de DMARC-implementatie altijd in Appendix A van het System Security Plan (SSP) volgens FedRAMP Rev5. Zorg ervoor dat je details opneemt onder de juiste controles:
- SI-8 voor hoge en matige basislijnen
- SI-5 voor lage en LiSaaS (Software as a Service met lage impact)
- Je kunt altijd gebruikmaken van DMARC record checker tools om je te helpen bij de juiste DNS-configuratie. Je kunt ook testmails versturen vanuit verschillende bronnen om DMARC-handhaving te verifiëren en zelfs zelf spoofingpogingen verzinnen om de veiligheid te garanderen wanneer er echte aanvallen komen.
- Bekijk de DMARC-aggregatie zorgvuldig (RUA) en forensische (RUF) rapporten, identificeer potentiële beveiligingsrisico's en breng de nodige aanpassingen aan in uw configuraties.
Klik voor meer informatie over het implementeren van DMARC in een FedRAMP-geautoriseerde CSO hier.
Uitdagingen bij het implementeren van DMARC binnen het FedRAMP-raamwerk
DMARC-implementatie binnen het FedRAMP-raamwerk brengt veel voordelen met zich mee, maar ook grote uitdagingen.
Eén domein en subdomein
Uitdaging: De meeste organisaties hebben meer dan één domein en subdomein. Wat het proces nog uitdagender maakt, is dat elk van deze domeinen en subdomeinen verschillende e-mailservices kan gebruiken.
Oplossing: Breng uw hele ecosysteem in kaart, met een gedetailleerd overzicht van alle domeinen en subdomeinen, en maak een gefaseerd implementatieplan om geleidelijk voor elk domein compliance te bereiken.
Gebruik van diensten van derden
Uitdaging: CSP's maken vaak gebruik van diensten van derden voor verschillende e-mailcommunicatiedoeleinden.
Oplossing: Werk alleen samen met betrouwbare externe leveranciers en vraag hen om DKIM-ondertekening en de juiste afstemming van het Van-adres van de envelop te implementeren.
Oude e-mailsystemen
Uitdaging: Sommige entiteiten gebruiken e-mailsystemen die zo oud zijn dat ze DKIM en moderne authenticatieprotocollen niet ondersteunen.
Oplossing: Omdat het erg duur kan zijn om de infrastructuur van je bestaande e-mailsysteem bij te werken of volledig te veranderen, kun je proberen e-mailgateways te implementeren om verificatieheaders toe te voegen aan uitgaande e-mails van je oude e-mailsystemen.
Continue bewaking
Uitdaging: Omdat FedRAMP vereist dat u uw DMARC-beleid voortdurend controleert, moet u voortdurend grote hoeveelheden DMARC-rapporten verwerken en analyseren. Dit kan veel tijd, financiële middelen en mankracht kosten en tijd in beslag nemen die u anders aan andere belangrijke taken zou besteden.
Oplossing: Om minder tijd en middelen te besteden aan het verwerken en analyseren van DMARC-rapporten, kun je tools gebruiken zoals PowerDMARC's gratis DMARC-rapportanalyser die het proces sneller en efficiënter maken.
Noodzakelijke protocollen en mechanismen instellen
Uitdaging: Het kan erg moeilijk zijn, vooral in de eerste implementatiefase, om alle benodigde protocollen en mechanismen voor e-mailverificatie en FedRAMP-compliance op te zetten en te configureren.
Oplossing: U kunt ervoor kiezen om samen te werken met gevestigde en betrouwbare beveiligingsplatforms voor e-mailverificatie, zoals PowerDMARC. Dergelijke platforms bieden vaak alles-in-één oplossingen en hebben hun eigen professionele teams van IT-experts die kunnen zorgen voor alle installatie- en configuratieprocessen, zodat u kunt genieten van gemoedsrust en tegelijkertijd compliance kunt garanderen.
Samenvattend
Hoewel DMARC-implementatie binnen het FedRAMP-kader gepaard gaat met verschillende potentiële uitdagingen en moeilijkheden, is het belangrijk op te merken dat de meeste, zo niet alle, uitdagingen gemakkelijk kunnen worden overwonnen als u samenwerkt met betrouwbare professionals. Bovendien zult u, zodra u DMARC en de andere protocollen met succes hebt geïmplementeerd, snel beseffen dat de voordelen van nauwkeurige e-mailverificatie veel zwaarder wegen dan de uitdagingen, kosten of technologische barrières.
Het verbeteren van de e-mailbeveiliging voor Cloud Service Providers zal niet alleen helpen bij de naleving en naleving van FedRAMP, maar zal ook een belangrijke beveiligingslaag toevoegen aan uw overheidscommunicatie, waardoor uw reputatie verbetert en het gevoel van veiligheid en zekerheid onder uw bevolking toeneemt. Het tonen van betrokkenheid bij veilige e-mailpraktijken op overheidsniveau is een belangrijke stap in de richting van betere en gezondere digitale ecosystemen en een kleinere kans op succesvolle cyberaanvallen.
Neem vandaag nog contact met ons op als u meer wilt weten over de juiste DMARC-implementatie voor uw organisatie, zij het in het kader van FedRAMP of daarbuiten, en wij zullen u helpen de beste resultaten te behalen in de kortst mogelijke tijd!
Expert domein- en e-mailbeveiliging bij PowerDMARC
Yunes is teamleider Operations bij PowerDMARC en heeft expertise in e-mailauthenticatie en -beveiliging. Hij is een door Microsoft gecertificeerde Azure Administrator Associate en beschikt over certificeringen zoals CompTIA A+ en vele andere.
Laatste berichten van Yunes Tarada (Bekijk alle berichten)
