„Dług w zakresie bezpieczeństwa poczty elektronicznej”: wskaźnik cyberbezpieczeństwa, którego nikt nie mierzy

Każdy zespół ds. bezpieczeństwa podaje z przekonaniem pewne dane: liczbę zablokowanych prób phishingu, wykrytych złośliwych programów, nieudanych prób logowania, ujawnionych danych uwierzytelniających oraz średni czas reakcji. Niemal nikt jednak nie wspomina o zadaniach, które powinny były zostać ukończone już kilka miesięcy temu, a które wciąż są przekładane na kolejny sprint.

To zaległości mają nazwę, którą warto wykorzystać: dług bezpieczeństwa poczty elektronicznej — to nierozwiązane problemy związane z uwierzytelnianiem, własnością i konfiguracją, które gromadzą się w całej infrastrukturze poczty elektronicznej, a ich rozwiązanie staje się coraz bardziej kosztowne w miarę rozwoju organizacji.

Poczta elektroniczna wyjątkowo dobrze się do tego nadaje. Nowa platforma SaaS zaczyna wysyłać wiadomości w Twoim imieniu. Podczas migracji zostaje zmieniony wpis DNS. „Tymczasowa” subdomena pozostaje aktywna. Dostawca nadal wysyła dane dostępowe długo po zakończeniu projektu. Każda z tych spraw z osobna wydaje się sprawą, którą można załatwić w pięć minut.

Jak w rzeczywistości wygląda „dług w zakresie bezpieczeństwa poczty elektronicznej”

Koncepcja ta nawiązuje do pojęcia długu technicznego w tworzeniu oprogramowania. Wybierasz skrót, aby rozwiązać dzisiejszy problem, a ciężar jego utrzymania przerzucasz na swoją przyszłą wersję.

Systemy pocztowe szybko gromadzą te skróty, ponieważ infrastruktura wysyłkowa prawie nigdy nie należy do jednego zespołu. Dział marketingu zarządza platformą kampanii. Dział kadr odpowiada za narzędzie rekrutacyjne. Dział wsparcia technicznego obsługuje system zgłoszeń. Programiści integrują dwa lub trzy interfejsy API służące do wysyłania wiadomości transakcyjnych. Dział IT zajmuje się natomiast utrzymywaniem rekordów DNS, które spajają całość.

Typowe objawy:

• Nieznane serwisy wysyłkowe, które nadal korzystają z Twojej domeny;
• Pozostałe mechanizmy SPF po migracji, która zakończyła się dwa lata temu;
• Klucze DKIM odsyłające do usług, z których już nikt nie korzysta;
• Zasady DMARC znajdujące się w trybie monitorowania bez wyraźnego właściciela;
• Tymczasowe subdomeny, które nigdy nie zostały ponownie sprawdzone;
• Zewnętrzni dostawcy, którzy zachowują dostęp do wysyłania wiadomości po wygaśnięciu umowy.

Żadna z tych sytuacji nie powoduje zdarzenia w dniu, w którym ma miejsce. Właśnie dlatego udaje im się przetrwać.

Z czasem proces uwierzytelniania staje się coraz bardziej skomplikowany

Skonfigurowanie SPF, DKIM i DMARC na zupełnie nowej domenie jest naprawdę proste. Trudnością jest natomiast utrzymanie poprawności wszystkich trzech przez lata, w miarę zmian w infrastrukturze.

Weźmy na przykład SPF. Zaczynasz od Google Workspace i jednego dostawcy usług marketingowych. Potem dział sprzedaży dodaje platformę, dział rekrutacji otrzymuje własny system, a dział inżynierii podłącza API poczty elektronicznej. Lista rekordów się wydłuża, ale stare wpisy rzadko są usuwane w tym samym tempie — w ten sposób domeny osiągają limity wyszukiwania, publikując zduplikowane rekordy SPFlub pojawiają się błędy SPF, których nikt nie potrafi wyjaśnić. Opanowanie poprawnie skonfigurować składnię SPF prawidłowo za pierwszym razem jest łatwe; utrzymanie jej w prawidłowym stanie to kwestia konserwacji.

DKIM działa według tego samego cyklu życia. Klucze są przypisane do konkretnych nadawców, a nadawcy się zmieniają. Opublikowany selektor może pozostawać technicznie ważny jeszcze długo po tym, jak usługa, z którą jest powiązany, zniknie z codziennej eksploatacji, a DKIM zaczyna zawodzić z przyczyn ukrytych w zgłoszeniu z 2023 roku.

Właśnie w tym miejscu raportowanie DMARC nabiera znaczenia. Raporty zbiorcze pokazują, które systemy faktycznie wysyłają wiadomości e-mail w imieniu Twojej domeny — a nie te, które Twoim zdaniem to robią. Przeglądanie tych raportów sprawia, że niewidoczne odchylenia stają się listą, którą można przeanalizować, a PowerDMARC zapewnia wgląd w dane DMARC, SPF i DKIM w jednym widoku, zamiast zmuszać Twój zespół do traktowania każdego wpisu jako oddzielnego zadania związanego z DNS.

To zmienia perspektywę pytania. „Czy włączono DMARC?” nie jest przydatnym pytaniem. „Czy znamy wszystkie usługi, które obecnie wysyłają wiadomości z naszej domeny, i czy każda z nich nadal powinna się tam znajdować?” – oto pytanie, które ma znaczenie.

Problem zapomnianego nadawcy

Pewne niedociągnięcia w zakresie bezpieczeństwa poczty elektronicznej występują nawet wtedy, gdy wszystkie zapisy są technicznie poprawne.

Wyobraź sobie platformę do prowadzenia webinarów, która została autoryzowana dwa lata temu. Pracownik, który ją skonfigurował, odszedł z firmy. Konto nie było używane od miesięcy. Nadal jednak może wysyłać uwierzytelnione wiadomości e-mail za pośrednictwem domeny firmowej.

Z punktu widzenia atakującego „stare” nie oznacza „nieszkodliwe”. Zapomniane konto to sprawdzona droga dostępu do środowiska poczty elektronicznej, której nikt nie monitoruje.

Rzetelna ocena nadawcy odpowiada na sześć praktycznych pytań:

• Z jakiego systemu pochodzi ta wiadomość?
• Która drużyna jest właścicielem tego konta?
• Z jakiej domeny lub subdomeny korzysta?
• Czy spełnia wymogi zgodności z protokołami SPF i DKIM?
• Kiedy po raz ostatni użyto go zgodnie z przeznaczeniem?
• Kto ma uprawnienia do jego usunięcia?

To ostatnie pytanie często powoduje większe opóźnienie niż całe badanie techniczne. Zidentyfikowanie zbędnego nadawcy zajmuje kilka minut. Uzyskanie zgody na jego wyłączenie może zająć tygodnie.

Uwierzytelnianie wiadomości e-mail nie chroni przed wszystkimi rodzajami ataków

Inny rodzaj zadłużenia pojawia się, gdy firma oczekuje, że jedno rozwiązanie pozwoli rozwiązać problem wykraczający poza jej zakres działania.

Wdrożenie protokołu DMARC znacznie utrudnia bezpośrednie podszywanie się pod domeny. Nie zapobiega to jednak wszystkim wiadomościom phishingowym. Atakujący przechodzą wówczas do domen o podobnej nazwie, przejętych kont stron trzecich, złośliwych załączników oraz przekonujących stron służących do wyłudzania danych uwierzytelniających.

W tym momencie problem wykracza już poza kwestię uwierzytelniania nadawcy. Gdy złośliwy plik lub link dotrze do urządzenia użytkownika, pozostaje polegać na wykrywaniu zagrożeń na urządzeniach końcowych, ochronie przeglądarki, filtrowaniu adresów URL lub antywirus nowej generacji , aby wykryć to, co się przedostało.

Ten podział odpowiedzialności ma większe znaczenie, niż się zazwyczaj uważa. Jedna organizacja może stosować rygorystyczne egzekwowanie zasad DMARC, a mimo to narażać użytkowników na zagrożenie już w momencie kliknięcia. Inna może przeznaczać znaczne środki na narzędzia do ochrony punktów końcowych, podczas gdy kilkanaście zapomnianych usług nadal ma uprawnienia do wysyłania zaufanej poczty z jej domeny. „Dług bezpieczeństwa poczty elektronicznej” zazwyczaj wynika właśnie z tej luki między tymi dwoma podejściami.

Dlaczego ta informacja rzadko pojawia się na pulpicie nawigacyjnym

Nie ma standardowej jednostki pomiaru „długu bezpieczeństwa” związanego z pocztą elektroniczną, co sprawia, że znacznie trudniej jest go przedstawić w raportach niż wskaźnik kliknięć w wiadomościach phishingowych czy wartość MTTR.

Kwartalny wykres może wskazywać, że 98% legalnej poczty przechodzi proces uwierzytelniania. To uspokajające — ale nie wspomina o czterech porzuconych kontach SaaS, które nadal mogą wysyłać uwierzytelnione wiadomości. Podobnie, osiągnięcie p=reject w głównej domenie nie oznacza, że całe środowisko jest bezpieczne. Poddomeny, nadawcy zewnętrzni oraz nierozwiązane błędy DMARC — to wszystko pozostaje poza tym ogólnym wynikiem.

Bardziej rzetelny pulpit nawigacyjny śledzi sprawy nierozwiązane, a nie tylko te zakończone sukcesem:

• Nieznani nadawcy;
• Autoryzowane serwisy bez aktualnego właściciela;
• Nadal nie wyjaśniono przyczyn niepowodzeń uwierzytelniania;
• Platformy nieaktywne nadal mogą wysyłać wiadomości;
• Domeny pozostawione w trybie monitorowania po upływie uzgodnionego okresu.

W tym panelu kontrolnym powinno się również uwzględnić czas. Nadawca wykryty wczoraj to przedmiot dochodzenia. Ten sam nadawca, którego sprawa pozostaje nierozwiązana dziewięć miesięcy później, to dług.

Przypisz cykl życia każdemu wyjątkowi

Programy zapewniające bezpieczeństwo poczty elektronicznej rzadko utkną z powodu jakichś poważnych problemów. Utkną raczej z powodu tymczasowych wyjątków, nieaktualnych arkuszy kalkulacyjnych, porzuconych zgłoszeń oraz dokumentacji, której nikt nie chce się podjąć, bo nie jest jasne, kto za nią odpowiada.

Rozwiązanie nie jest zbyt efektowne: każdy nierozwiązany wyjątek dotyczący nadawcy lub uwierzytelnienia otrzymuje osobę odpowiedzialną, udokumentowany powód istnienia oraz termin przeglądu. Ta jedna zmiana sprawia, że zaniedbana infrastruktura znów staje się widoczna.

Możesz zacząć od tego, co zostało już opublikowane. Sprawdź swoją obecną konfigurację i przeanalizuj swoją domenę za pomocą narzędzia do analizy domen, a następnie skorzystaj z raportów DMARC, aby porównać dane dotyczące autoryzowanych nadawców z tym, co faktycznie jest wysyłane.

Ten wskaźnik nigdy nie będzie w pełni obiektywny, ale nie musi taki być. Jego wartość ma charakter praktyczny. Starzy nadawcy, nieaktualne rekordy, niedokończone wdrożenia DMARC oraz luki między ochroną poczty elektronicznej a ochroną punktów końcowych przestają być postrzegane jako szum w tle, a stają się zadaniami, którym można nadać priorytet. Na tym właśnie polega sens określenia pojęcia „długu bezpieczeństwa poczty elektronicznej”: to, co się mierzy, trafia do harmonogramu.

FAQ

Czym jest dług bezpieczeństwa poczty elektronicznej? Dług bezpieczeństwa poczty elektronicznej to nagromadzona lista nierozwiązanych problemów związanych z uwierzytelnianiem, własnością i konfiguracją w infrastrukturze poczty elektronicznej organizacji — przestarzałe mechanizmy SPF, klucze DKIM dla nieaktywnych usług, zasady DMARC utknęły w trybie monitorowania oraz nadawcy zewnętrzni, za których nikt nie ponosi odpowiedzialności ani których nikt nie weryfikuje.

Jak mierzy się „dług bezpieczeństwa” poczty elektronicznej? Śledź raczej sprawy nierozwiązane niż te zakończone sukcesem: niezidentyfikowanych nadawców, autoryzowane usługi bez właściciela, niezbadane błędy uwierzytelniania, nieaktywne platformy, które nadal mają pozwolenie na wysyłanie wiadomości, oraz domeny pozostawione w trybie monitorowania po upływie uzgodnionego terminu. Dodaj do tego wiek każdej sprawy, ponieważ to właśnie czas, przez jaki dana sprawa pozostaje nierozwiązana, odróżnia otwarte dochodzenie od rzeczywistego długu.

Czy osiągnięcie poziomu DMARC p=reject oznacza, że nie masz żadnych zaległości w zakresie bezpieczeństwa poczty elektronicznej? Nie. Wdrożenie standardu w domenie głównej zapobiega bezpośredniemu spoofingowi tej domeny, ale subdomeny, usługi wysyłkowe stron trzecich oraz nierozwiązane problemy z uwierzytelnianiem mogą pozostawać bez nadzoru, mimo że ogólne wskaźniki wydają się być w porządku.

• O
• Latest Posts

Ahona Rudra

Ekspert ds. bezpieczeństwa domen i poczty elektronicznej w PowerDMARC

Ahona jest Marketing Managerem w PowerDMARC, z ponad 5-letnim doświadczeniem w pisaniu na tematy związane z cyberbezpieczeństwem, specjalizującym się w bezpieczeństwie domen i poczty elektronicznej. Ahona posiada dyplom ukończenia studiów podyplomowych w zakresie dziennikarstwa i komunikacji, umacniając swoją karierę w sektorze bezpieczeństwa od 2019 roku.

Latest posts by Ahona Rudra (zobacz wszystkie)

• E-maile phishingowe generowane przez sztuczną inteligencję: jak zweryfikować wiadomości napisane przez AI, zanim im zaufasz – 31 sierpnia 2026 r.
• „Dług” w zakresie bezpieczeństwa poczty elektronicznej: wskaźnik cyberbezpieczeństwa, którego nikt nie mierzy – 31 sierpnia 2026 r.
• Firma PowerDMARC uznana za lidera w dziedzinie oprogramowania DMARC już 13. kwartał z rzędu – 28 sierpnia 2026 r.