如何为你的域名配置DMARC？

对于一个组织的安全来说，电子邮件欺骗是一个日益严重的问题。欺骗是指黑客发送的电子邮件看起来像是从一个受信任的来源/域名发出的。电子邮件欺骗并不是一个新概念。它被定义为 "伪造电子邮件地址头，以使邮件看起来是由实际来源以外的人或地方发出的"，几十年来一直困扰着品牌。无论何时发送电子邮件，"发件人 "地址并不显示电子邮件实际来自哪个服务器--而是显示在地址创建过程中输入的任何域，从而在电子邮件收件人中没有引起怀疑。

随着今天通过电子邮件服务器的数据量，欺骗是企业的一个问题，这应该不足为奇。在2020年底，我们发现，与全球大流行恐惧症高峰期的年平均数相比，网络钓鱼事件增加了惊人的220%。由于并非所有的欺骗性攻击都是大规模进行的，实际数字可能要高得多。现在是2021年，而且这个问题似乎随着时间的推移只会越来越严重。这就是为什么品牌正在利用安全协议来验证他们的电子邮件，并避开威胁者的恶意意图。

电子邮件欺骗。什么是它，它是如何工作的？

电子邮件欺骗在网络钓鱼攻击中被用来欺骗用户，使其认为邮件来自他们认识或可以信任的人或实体。网络犯罪分子使用欺骗性攻击来欺骗收件人，使其认为信息来自于一个不存在的人。这让攻击者伤害你而不让你追踪他们。如果你看到国税局的电子邮件，说他们把你的退款发到了一个不同的银行账户，这可能是一种欺骗性攻击。网络钓鱼攻击也可以通过电子邮件欺骗来进行，这是一种欺诈性的尝试，以获取敏感信息，如用户名、密码和信用卡详细信息（PIN号码），通常是为了恶意的目的。该术语来自于通过假装值得信赖来 "钓 "取受害者。

在SMTP中，当外发邮件由客户应用分配一个发件人地址时；外发邮件服务器没有办法分辨发件人地址是合法的还是欺骗的。因此，电子邮件欺骗是可能的，因为用于表示电子邮件地址的电子邮件系统没有为外发服务器提供一种方法来验证发件人地址是否合法。这就是为什么大型行业企业选择SPF、DKIM和DMARC等协议来授权他们的合法电子邮件地址，并尽量减少冒充攻击。

破解电子邮件欺骗攻击的剖析

每个电子邮件客户端都使用一个特定的应用程序接口（API）来发送电子邮件。一些应用程序允许用户从包含电子邮件地址的下拉菜单中配置外发信息的发件人地址。然而，这种能力也可以使用任何语言编写的脚本来调用。每个打开的邮件都有一个发件人地址，显示发件人的电子邮件应用程序或服务的地址。通过重新配置应用程序或服务，攻击者可以代表任何人发送电子邮件。

这么说吧，现在可以从一个真实的电子邮件域名中发送成千上万的假信息了！你可以用这个脚本来发送假信息。此外，你不需要成为编程专家来使用这个脚本。威胁者可以根据自己的喜好编辑代码，并开始使用另一个发件人的电子邮件域名发送信息。这正是电子邮件欺骗攻击的实施方式。

作为勒索病毒载体的电子邮件欺骗行为

电子邮件欺骗行为为恶意软件和勒索软件的传播铺平了道路。如果你不知道什么是勒索软件，它是一种恶意软件，它永久地阻止对你的敏感数据或系统的访问，并要求用一笔钱（赎金）来换取再次解密你的数据。赎金软件攻击使组织和个人每年损失大量资金，并导致巨大的数据泄露。

DMARC和电子邮件认证也是防止勒索软件的第一道防线，它保护你的域名不受欺骗者和假冒者的恶意攻击。

小型、中型和大型企业所面临的威胁

品牌识别对一个企业的成功至关重要。客户会被可识别的品牌所吸引，并依赖它们的一致性。但是，网络犯罪分子利用一切可以利用的方式来利用这种信任，用钓鱼邮件、恶意软件和电子邮件欺骗活动来危害你的客户的安全。平均而言，企业每年因电子邮件欺诈而损失2000万至7000万美元。值得注意的是，欺骗行为还可能涉及商标和其他知识产权的侵犯，对公司的声誉和信誉造成相当大的损害，具体表现在以下两个方面。

• 你的合作伙伴或尊敬的客户可以打开一个欺骗性的电子邮件，并最终损害了他们的机密数据。网络犯罪分子可以通过冒充你的欺骗性电子邮件将勒索软件注入他们的系统，导致经济损失。因此，下一次他们甚至可能不愿意打开你的合法邮件，使他们对你的品牌失去信心。
• 收件人的电子邮件服务器可以将你的合法电子邮件标记为垃圾邮件，并由于服务器信誉的下降而将其放入垃圾文件夹，从而极大地影响你的电子邮件交付率。

无论哪种方式，毫无疑问，你面向客户的品牌将处于所有复杂情况的接收端。尽管IT专业人士做出了努力，72%的网络攻击是从恶意邮件开始的，70%的数据泄露涉及社会工程策略来欺骗公司的域名--这使得像DMARC这样的电子邮件认证做法成为一个重要的优先事项。

DMARC：你的一站式解决方案，对抗电子邮件欺骗行为

基于域的消息认证、报告和一致性（DMARC）是一个电子邮件认证协议，如果实施得当，可以极大地减少电子邮件欺骗、BEC和冒充攻击。DMARC与两个标准的认证做法--SPF和DKIM--一起工作，对出站信息进行认证，为接收服务器提供一种方法，指定他们应该如何回应未能通过认证检查的电子邮件。

阅读更多关于什么是DMARC？

如果你想保护你的域名免受欺骗者的恶意攻击，第一步就是正确地实施DMARC。但是在这之前，你需要为你的域名设置SPF和DKIM。PowerDMARC的免费SPF和DKIM记录生成器可以帮助你生成这些记录，在你的DNS中发布，只需一次点击。在成功配置了这些协议之后，通过以下步骤来实施DMARC。

• 使用PowerDMARC的免费DMARC记录生成器，生成一个无错误的DMARC记录
• 在你的域名的DNS中发布该记录
• 逐步转向p=拒绝的DMARC执行政策
• 通过我们的DMARC分析工具监控您的电子邮件生态系统，并接收详细的认证汇总和取证（RUA/RUF）报告。

在实现DMARC执行的同时要克服的局限性

你已经发布了无错误的DMARC记录，并转为执行的政策，但你却面临着电子邮件交付的问题？这个问题可能比你想象的要复杂得多。如果你还不知道，你的SPF认证协议有10次DNS查询的限制。但是，如果你使用了基于云的电子邮件服务提供商和各种第三方供应商，你就很容易超过这个限制。一旦你这样做，SPF就会中断，甚至合法的邮件也无法认证，导致你的邮件落入垃圾文件夹或根本无法投递。

由于你的SPF记录由于过多的DNS查询而失效，你的域名又变得容易受到电子邮件欺骗攻击和BEC。因此，保持在SPF 10的查询限制之下，对于确保电子邮件的可送达性是非常重要的。这就是为什么我们推荐PowerSPF，你的自动SPF平整器，它可以将你的SPF记录缩减为一个包含语句，否定多余的和嵌套的IP地址。我们还定期进行检查，监测你的服务提供商对其各自的IP地址所做的改变，确保你的SPF记录始终是最新的。

PowerDMARC集合了一系列的电子邮件认证协议，如SPF、DKIM、DMARC、MTA-STS、TLS-RPT和BIMI，给你的域名带来声誉和传递能力的提升。今天就注册，获得你的免费DMARC分析器。