DMARC Als DMARC-records op de juiste manier worden geconfigureerd, kunt u daar op meer dan één manier van profiteren. Het is een nieuw domein in e-mailbeveiliging dat domeineigenaren een schat aan informatie biedt over hun e-mailverzendbronnen en prestaties. DMARC-kwetsbaarheid verwijst naar veelvoorkomende fouten die gebruikers maken bij het implementeren of afdwingen van het protocol.

Kwetsbaarheden in uw e-mail authenticatiesysteem kunnen variëren van eenvoudige fouten zoals een verkeerde syntaxis tot meer complexe fouten. Hoe dan ook, tenzij u deze problemen oplost en uw protocol correct instelt, kan dit uw inspanningen voor e-mailbeveiliging ongedaan maken. 

Voordat we de mogelijke kwetsbaarheden analyseren die je kunt tegenkomen op je e-mail authenticatie reis, laten we even een paar basisbegrippen doornemen. Dat zijn:

1. Wat is e-mailverificatie?
2. Hoe verifieert DMARC uw e-mails?
3. De impact van DMARC kwetsbaarheden op uw bericht afleverbaarheid

Wat is e-mailauthenticatie?

Cybercriminelen kunnen financieel voordeel behalen door e-mailcommunicatie te onderscheppen of social engineering te gebruiken om nietsvermoedende slachtoffers te bedriegen. 

E-mailauthenticatie verwijst naar specifieke verificatiesystemen die domeineigenaren kunnen configureren om de legitimiteit vast te stellen van e-mails die vanuit hun domein worden verzonden. Dit kan gebeuren door middel van digitale handtekeningen in de body van het bericht, verificatie van Return-path-adressen, en/of identifier alignment. 

Zodra de authenticatiecontroles de legitimiteit van het bericht bevestigen, wordt de e-mail in de inbox van de ontvanger gedropt. 

Hoe verifieert DMARC uw e-mails?

Wanneer een bedrijf een bericht naar zijn gebruikers stuurt, reist de e-mail van de verzendende server naar de ontvangende server om zijn bezorgbaarheidsreis te voltooien. Deze e-mail heeft een Mail From: header die de zichtbare header is met het e-mailadres vanwaar de e-mail is verzonden en een Return-path header die een verborgen header is met het retouropadadres.

Een aanvaller kan het bedrijfsdomein spoofen om e-mails te versturen vanaf dezelfde domeinnaam, maar het is veel moeilijker voor hem om het Return Path-adres te maskeren. 

Laten we eens kijken naar deze verdachte e-mail:

Hoewel het e-mailadres dat bij het bericht hoort afkomstig lijkt te zijn van [email protected] wat echt lijkt, kan bij inspectie van het Return-path adres snel worden vastgesteld dat het bounce adres niets te maken heeft met company.com en werd verzonden vanaf een onbekend domein.

Dit bounce-adres (ook wel Return-path-adres genoemd) wordt door ontvangende e-mailservers gebruikt om de volgende gegevens van een afzender op te zoeken SPF record op te zoeken tijdens het verifiëren van DMARC. Als het DNS van de afzender een IP-adres bevat dat overeenkomt met het IP-adres van de verzonden e-mail, wordt SPF en vervolgens DMARC goedgekeurd. Afhankelijk van het DMARC-beleid dat is ingesteld door het verzendende domein, kan het bericht worden geweigerd, in quarantaine worden geplaatst of worden afgeleverd.

Als alternatief kan DMARC ook controleren op DKIM identifier uitlijning om de authenticiteit van een e-mail te verifiëren.

De impact van DMARC kwetsbaarheden op uw bericht afleverbaarheid

De waarschijnlijkheid dat uw berichten bij uw klanten worden afgeleverd, is in hoge mate afhankelijk van de nauwkeurigheid waarmee u uw protocol hebt geconfigureerd. Bestaande kwetsbaarheden in de e-mailbeveiliging van uw organisatie kunnen de kans dat uw berichten worden afgeleverd, verkleinen. 

Enkele duidelijke aanwijzingen van leemten in uw DMARC-verificatiesysteem zijn de volgende:

• Problemen met de bezorgbaarheid van e-mail
• Legitieme berichten worden als spam gemarkeerd 
• DMARC foutmeldingen bij gebruik van online tools 

Soorten DMARC kwetsbaarheden 

DMARC kwetsbaarheid #1: Syntactische fouten in DNS records

Een DMARC-record is een TXT-record met mechanismen gescheiden door puntkomma's die bepaalde instructies geven aan MTA's die e-mail ontvangen. Hieronder staat een voorbeeld: 

v=DMARC1; p=afwijzing; rua=mailto:[email protected]; pct=100;

Kleine details zoals het mechanisme scheidingstekens (;) spelen een belangrijke rol bij het bepalen of uw record geldig is, en kan dus niet over het hoofd worden gezien. Om het giswerk te elimineren, raden wij u aan onze gratis DMARC record generator tool te gebruiken om een accuraat TXT record voor uw domein aan te maken.

DMARC kwetsbaarheid #2: Geen DMARC record gevonden / DMARC record ontbreekt kwetsbaarheid

Eigenaars van een domeinnaam komen vaak een bericht tegen bij het gebruik van online tools, waarin wordt gevraagd dat hun domein een DMARC record mist. Dit kan gebeuren als u geen geldig record heeft gepubliceerd in uw DNS. 

DMARC helpt u uw domein en organisatie te beschermen tegen een breed scala van aanvallen, waaronder phishing en directe domein-spoofing. Levend in een digitale wereld met bedreigers die e-mailcommunicatie proberen te onderscheppen, moeten we voorzichtig zijn en preventieve maatregelen nemen om deze aanvallen te stoppen. DMARC helpt bij dat proces om een veiligere e-mailomgeving te bevorderen.

We hebben een gedetailleerd artikel gewijd aan het oplossen van de geen DMARC record gevonden kwetsbaarheid die u kunt raadplegen door te klikken op de link.

DMARC kwetsbaarheid #3: Beleid op geen: alleen monitoring

Een vaak voorkomende misvatting bij gebruikers is dat een DMARC beleid op p=none voldoende is om hun domein te beschermen tegen aanvallen. In werkelijkheid kan alleen een afgedwongen beleid van reject/quarantine helpen om je verdediging tegen spoofing op te bouwen. 

Een soepel beleid kan echter vruchtbaar zijn als u alleen uw e-mailkanalen wilt controleren, zonder bescherming af te dwingen. Het is echter aan te bevelen snel over te schakelen op p=afwijzen zodra u er zeker van bent. 

Wij hebben dit in de DMARC kwetsbaarheidscategorie geplaatst op basis van het criterium dat de meeste gebruikers DMARC implementeren om een hogere graad van bescherming tegen aanvallen te verkrijgen. Daarom kan een beleid met nul handhaving voor hen van geen waarde zijn.

DMARC kwetsbaarheid #4: DMARC beleid niet ingeschakeld

Net als bij de vorige kwetsbaarheid kan deze foutmelding vaak het gevolg zijn van het ontbreken van een afgedwongen beleid voor DMARC. Als u uw domein heeft ingesteld met een geen beleid, waardoor het kwetsbaar is voor phishing aanvallen, is het een aanbevolen praktijk om zo snel mogelijk over te schakelen op p=reject/quarantine. Om dit te doen, hoeft u slechts een kleine tweak in uw bestaande DNS record aan te brengen om uw beleidsmodus te wijzigen en te upgraden. 

We hebben een gedetailleerd document over het oplossen van de DMARC beleid niet ingeschakeld fout die u kunt bekijken door te klikken op de link.

DMARC kwetsbaarheden in real-time oplossen

Om deze problemen op te lossen kunt u overwegen de volgende stappen in uw organisatie te implementeren:

1. Maak een lijst van al uw geautoriseerde bronnen voor het verzenden van e-mail en configureer een DMARC-controleprogramma om ze dagelijks of van tijd tot tijd te volgen
2. Bespreek met uw e-mailleveranciers of zij e-mailauthenticatiepraktijken ondersteunen
3. Leer SPF, DKIM en DMARC in detail kennen voordat u verder gaat met de volgende stappen.
4. Zorg ervoor dat uw SPF record verstoken is van SPF fout door een SPF flattening tool te implementeren
5. Maak uw protocolimplementatieproces naadloos met deskundige inzichten en begeleiding van DMARC-specialisten door u aan te melden voor een gratis DMARC-analysator. Deze kan u helpen veilig over te schakelen op p=reject met realtime detectie van kwetsbaarheden en aanvallen.

De bescherming van uw domein is een van de eerste stappen om uw reputatie te beschermen en uw geloofwaardigheid hoog te houden. Maak e-mailbeveiliging vandaag nog een onderdeel van uw beveiligingsbeleid!