Sahte postaları tanımlamak için gönderen doğrulamasını kullanma | SPF, DKIM, DMARC, Exchange ve Exchange Online |Bölüm 8#9

Sahte posta saldırısı, gönderenin kimliğini taklit etmeye çalışan düşmanca bir unsur tarafından gerçekleştirilir. Sahte posta saldırısıyla başa çıkmanın yolu, gönderenin kimliğini kontrol eden ve doğrulayan bir prosedür uygulamaktır (gönderenin, sahte gönderenin meşru göndericisi olarak kabul edilip edilmediğini kontrol edin).

Gönderenin kimliğini doğrulamak için SPF, DKIM ve DMARC, Exchange ve Exchange Online'ı kullanma

Bu yazımızda gönderen doğrulama sürecinin aşağıdaki altyapılar tarafından uygulanma şeklini inceleyeceğiz:

1. Posta göndereni doğrulama standartları - SPF, DKIM ve DMARC.
2. Exchange tabanlı ortam - gönderenin kimlik doğrulama durumunu kullanarak.
3. Exchange Online (EOP) tabanlı ortam - Kimlik avı filtresi özelliğini kullanarak

Bu makaledeki ana odak noktamız, gönderenin "kimlik kavramını" ve gönderenin kimliğini "saklamak" için kullanılan belirli posta alanlarını anlamaktır.

Bir sonraki makalede - asıl odak noktamız, farklı yöntemlerin her biri tarafından uygulanan gönderen doğrulama sürecinin "akışını" inceleyeceğiz.

Gönderenin doğrulanması için temel genel posta standardı + Exchange tabanlı ortamda mevcut seçenek.

Kullanabileceğimiz mevcut gönderen doğrulama yöntemlerinin genel sınıflandırması şu şekilde olabilir:

1. Gönderenin doğrulanmasıyla ilgilenen genel posta standardı.

Bu "grup"ta üç önemli popüler standartla bağlantı kurabiliriz:

• SPF (Gönderen Politikası Çerçevesi).
• DKIM (Etki Alanı Anahtarlarıyla Tanımlanmış Posta).
• DMARC (Alan Adı Tabanlı Mesaj Kimlik Doğrulaması, Raporlama ve Uyumluluk).

2. Exchange tabanlı ortam

Bu grupta, gönderen hakkında, kimlik doğrulama durumu + alan adı (E-posta adresinde görünen alan adı) dahil olmak üzere, gönderen hakkındaki bilgileri kullanarak, gönderen doğrulama sürecini uygulamamıza yardımcı olabilecek bir çözümle ilgili olabiliriz. .

"Değişim yöntemi" yalnızca gönderenin E-posta adresinin alan adımızı içerdiği gelen posta senaryosu için kullanılabilir.

Bu durumda gönderenin kimlik doğrulama durumunu kontrol ederek kimliğini doğrulayabiliriz.

Dahili veya anonim gönderen

Gönderenin "geçerli" olup olmadığına karar vermek için kullandığımız yöntem, X-MS-Exchange-Organization-AuthAs postasında "depolanan" değere bakmaktır. alan.

Yukarıdaki posta alanının kullanılması, Exchange Online'a dayanan Office 365 de dahil olmak üzere tüm Exchange tabanlı ortamlarla ilgilidir.

Bu yöntemin arkasındaki kavram, alıcı hakkındaki kimlik doğrulama bilgilerinin durumuna (X-MS-Exchange-Organization-AuthAs posta alanında depolanan bilgilere) bakılarak uygulanır.

Temel varsayım, E-posta adresi kuruluşumuzun alan adını içeren alıcının kimliği doğrulanmış alıcı, yani kullanıcı kimlik bilgilerini sağlayan kullanıcılar olarak görünmesi gerektiğidir.

E-posta adresi bizim alan adımızı içeren alıcının durumunun “anonim” olması durumunda. Bu, gönderenin kimliğiyle ilgili bir "sorun" olduğunun işaretidir.

3. Exchange Online tabanlı ortam (EOP - Exchange Online Koruması) | Kimlik avı filtresi

EOP (Exchange Online koruması), Phishfiltresi olarak tanımlanan bir yöntem içerir.

EOP Kimlik avı filtresinin mekanizması, EOP sunucusunun MAIL FROM'da görünen gönderen bilgilerini doğruladığı ve FROM alanına.

• Bilgilerin aynı olması durumunda gönderen “geçerli gönderen” olarak kabul edilir.
• Bilgilerin aynı olmaması durumunda gönderen, "geçersiz gönderen" olarak kabul edilir.

“Göndereni” tam olarak nasıl tanımlıyoruz?

1. SPF ve DKIM standardı

SPF ve DKIM standardı, “gönderenin kimliğini” gönderenin E-posta adresiyle ilişkilendirerek tanımlar.

Daha doğru olmak gerekirse, SPF standardı E-posta adresinin “doğru kısmını”, yani alan adını, DKIM standardı ise “E-posta adresinin tamamını” ifade eder.

• SPF standardı, MAIL FROM posta alanında (posta zarfının üzerinde görünen bilgi) görünen gönderenin E-posta adresiyle ilgilidir.
• DKIM standardı, FROM posta alanında görünen gönderenin E-posta adresiyle (posta başlığında görünen bilgi) ilgilidir.

2. DMARC

DMARC standardı, gönderen doğrulamasını uygulama mekanizması olarak SPF veya DKIM standartlarına dayanır.

DMARC standardının gönderen kimliğinin doğrulanması konusuna ilişkin katma değeri, gönderen doğrulamasıyla ilgili ek bir test “katmanı” kullanılarak uygulanır. Başka bir deyişle DMARC standardı daha sıkı doğrulama testleri gerçekleştiriyor.

Örneğin, DMARC standardını kullandığımızda DMARC, E-posta mesajının SPF kontrolünden geçip geçmediğini kontrol edecektir. SPF kontrol durumu "geçti" olsa bile DMARC, "hizalama" olarak tanımlanan ek bir test gerçekleştirir ve burada MAIL FROM alanında görünen E-posta mesajının şuna eşit olup olmadığını kontrol eder: FROM alanında görüntülenen E-posta adresi

3. Değişim tabanlı ortam | Alıcı kimlik doğrulama durumu.

Exchange tabanlı ortamda, E-posta mesajında (posta başlığı) görünen ve alıcının kimliği doğrulanmış alıcı olarak kabul edilip edilmediğini bize bildiren ek bir "bilgi güvenliği" kullanabiliriz.

Gerçekleştirilen Spoof mail saldırısının "biçimlerinden" biri, saldırganın kullanıcılarımıza saldırmak için "kurumsal kimliğimizi" (alan adımızı içeren bir e-posta adresi) kullanmasıdır.

Bu durumda, X-MS-Exchange-Organization-AuthAs posta alanında saklanan bilgileri, bir Parodi posta saldırısı olayını tanımlamak için kullanabiliriz “(spoof gönderen) .

Temel varsayımımız, kullanıcılarımızın her birinin kendi kullanıcı kimlik bilgilerini sağlaması gerektiğidir.

Sahte posta saldırısı senaryosunda, kuruluşumuz kullanıcılarından birinin kimliğini kullanan düşmanca öğe, karınca kimlik bilgileri sağlamaz.

Örneğin, gönderenin E-posta adresi kuruluşumuzun alan adını içeriyorsa + gönderen, kimliği doğrulanmamış (anonim) bir kullanıcı olarak kabul ediyorsa, bu, Sahte E-posta için bir "işarettir".

4. Exchange Online - Kimlik Avı Filtresi

"Kimlik Avı Filtresi" terimi, olası bir Sahte posta olayını tanımlamak için EOP sunucusu tarafından kullanılan belirli bir filtreyi tanımlar. Bu bir Sahte E-posta tanımlama mekanizmasıdır; Bu, EOP'yi (Exchange Online Protection) bağımsız bir sürüm olarak kullanan Office 365 müşterileri için mevcuttur.

EOP tarafından uygulanan Kimlik Avı Filtresi mekanizması, SPF ile ilgili olarak uygulanan DMARC hizalama konseptine benzer şekilde hareket eder.

EOP Kimlik Avı Filtresi, MAIL FROM alanında görünen E-posta adresinin (gönderen kimliği), FROM alanında görünen gönderen kimliğiyle aynı olduğunu doğrular. alanı.

Gönderenin kimliği nerede saklanıyor ve gönderenin kimlik doğrulama süreci nasıl uygulanıyor?

1. SPF standardı

SPF gönderenin kimlik doğrulaması şu şekilde gerçekleştirilir:

Hedef alıcıyı temsil eden posta sunucusu, MAIL FROM alanında görünen gönderenin
E-posta adresinden alan adını "getirir".

Hedef posta sunucusu, kaynak posta sunucusunun belirli bir etki alanı adına E-posta göndermeye yetkili olup olmadığını kontrol ederek gönderenin kimliğini doğrular.

Belirli bir alan adı için yetkili posta sunucularının IP adresini içeren özel bir SPF kaydı (TXT kaydı) kullanılarak gerçekleştirilen doğrulama işlemidir.

2. DKIM standardı

DKIM gönderen kimliği doğrulaması şu şekilde uygulanmıştır:

Hedef alıcıyı temsil eden posta sunucusu, FROM alanında görünen gönderenin E-posta adresini "getirir".

Hedef posta sunucusu, posta başlığında görüntülenen dijital imzayı kontrol ederek gönderenin kimliğini doğrular.

3. DMARC

DMARC standardı, gönderen doğrulamasını uygulama mekanizması olarak SPF'ye veya DKIM standartlarına dayanır.
DMARC standardının amacı, SPF veya DKIM tarafından gönderen doğrulamasını gerçekleştirerek kabul edilen sonuçları doğrulamaktır.

Sonuçların "Tamam" olması durumunda (gönderen doğrulama durumu "geçti"), DMARC gönderen doğrulama işlemi "hizalama" olarak tanımlanan bir sonraki adıma "devam eder".

SPF sonucuyla ilgili olarak - DMARC, MAIL FROM alanında görünen E-posta adresinin FROM alanında görüntülenen E-posta adresiyle aynı olup olmadığını doğrular.

DKIM sonucuyla ilgili olarak - DMARC, DKIM seçici alan adının gönderenin alan adıyla aynı olup olmadığını doğrular.

Örneğin - DMARC DNS kaydı, alan adımızı içeren E-posta iletilerini sahte E-posta olarak tanımlamaları durumunda “başka bir posta altyapısına” yönelik “talimat” içerir.
“Talimat”, ilgili önerimizi içerir. yoksay, karantinaya al veya engelle gibi “bu E-posta mesajını ne yapmalı”.

4. Değişim tabanlı ortam | alıcı kimlik doğrulama durumu.

Exchange sunucusuna hitap eden “gönderen” şunlar olabilir:

1. Exchange sunucusunda barındırılan e-posta iletisi alıcısına göndermek isteyen herhangi bir kuruluştan herhangi bir gönderen
2. Posta kutusunun Exchange'de barındırıldığı bir Exchange kullanıcısı

"Gönderenin" Exchange sunucusunda barındırılan etki alanı adını içeren bir E-posta adresi kullandığı bir senaryoda, temel varsayım, bunun bir "Exchange kullanıcısı" olduğudur. Posta kutusunu değiştirin. Bu nedenle bu “kullanıcının” kullanıcı kimlik bilgilerini sağlayarak kimliğini kanıtlaması gerekmektedir.

Kimlik doğrulama işlemiyle ilgili bilgiler Exchange tarafından - X-MS-Exchange-Organization-AuthAs adlı özel bir posta alanına kaydedilir.

• Kullanıcı kimlik bilgilerini sağlarsa alıcının kimlik doğrulama durumu "dahili" olur.
• Kullanıcı kimlik bilgilerini sağlamadıysa alıcının kimlik doğrulama durumu "anonim" olur.

Gönderenin Exchange organizasyonuna ait olduğunu "iddia ettiği", yani Exchange'de barındırılan alan adını içeren E-posta adresini kullandığı ancak gönderenin kimlik bilgilerini sağlamadığı bir senaryoda; bu, gönderenin muhtemelen sahte bir gönderen olduğunun işaretidir.

Başka bir deyişle, X-MS-Exchange-Organization-AuthAs alanına kaydedilen gönderenin durumu anonim olarak görünür.

5. Exchange Online - Kimlik Avı Filtresi

EOP (Exchange Çevrimiçi Koruma), Sahte posta olma ihtimali yüksek olan bir E-posta mesajı olayını tanımlamak için oluşturulmuş yerleşik bir filtre mekanizması (Kimlik Avı Filtresi) içerir.

EOP Kimlik Avı Filtresi, SPF ile ilgili olarak uygulanan DMARC hizalama konseptine benzer şekilde çalışır.

EOP Kimlik Avı Filtresi, MAIL FROM'da görünen E-posta adresinin (gönderen kimliği), FROM postasında görünen gönderen kimliğiyle aynı olduğunu doğrular. alan.

Farklılık olması halinde, E-posta mesajına, bu E-postanın Sahte posta olabileceği konusunda kullanıcıyı bilgilendirecek bir uyarı mesajı kullanılarak "damgalanacaktır".

Gönderen doğrulama postası standardı ile Exchange tabanlı çözümler arasındaki temel farklar.

Belirtildiği gibi, "Sahte E-posta saldırısı savaşına" gittiğimizde aralarından seçim yapabileceğiniz çeşitli silahlar var.

Bu “silahlardan” bazıları herhangi bir posta altyapısı tarafından uyarlanabilen genel posta standartlarıdır, bazıları ise yalnızca Exchange posta sunucusu veya Exchange Online (Office 365 müşterileri) tabanlı posta altyapısı olması durumunda kullanılabilir.

Exchange tabanlı çözümlerle "genel posta standardı" arasındaki temel farklar şunlardır:

1. DNS yapılandırma ayarları

Bir Sahte E-posta olayını tanımlamak için Exchange tabanlı mekanizmayı kullandığımızda, DNS kayıtları gibi ek ayarların kullanılmasına gerek yoktur.

2. Gelen posta akışı

Exchange tabanlı çözümün bir Sahte posta olayının tanımlanmasına yönelik mekanizması, yalnızca - gelen posta senaryoları için uygulanabilir.
Anlamı, düşman unsurun Exchange alıcısına “saldırmaya” çalıştığı olaylardır.

Düşman unsurların kimliğimizi kullandığı bir senaryoya karşı kendimizi korumak için SPF, DKIM ve DMARC'yi kullanmak.

Kısa bir hatırlatma olarak, "Sahte posta" sorununun iki ana şekilde fark edilebileceğini belirtmek isteriz:

• Durum 1 - düşmanca unsurların kullanıcılarımıza
  sahte posta göndererek saldırdığı bir senaryo.
• Durum 2 - düşman unsurun diğer kuruluşlara saldırmak için kurumsal kimliğimizi (alan adımızı içeren e-posta adresi) kullandığı bir senaryo.

SPF ve DKIM gibi genel posta standartlarını kullanırken, gönderenin alan adımızı kullandığı belirli bir E-posta mesajının meşru bir E-posta mesajı olup olmadığını diğer kuruluşlara "duyurma" olanağına sahibiz.

Örneğin SPF kullanırken alan adımız adına E-posta gönderebilecek yetkili mail sunucusu olan diğer kuruluşlara bilgi verebiliriz.

Ayrıca SPF ve DMARC gibi bazı posta standları, alıcılarımızdan biri tarafından gönderilmiş gibi görünen E-posta mesajının yetkili bir posta sunucusundan gönderilmemesi durumunda başka bir posta altyapısına "ne yapılması gerektiği" konusunda talimat vermemize olanak sağlar.

Exchange ve Exchange Online seçenekleri, bu tür giden posta senaryolarında kullanılabilecek bir mekanizma içermez.

Sahte E-postayı tanımlamak için en iyi seçenek nedir?

Sizi şahsen tanımasam da, yukarıdaki bilgilerin tamamını okuduktan sonra aklınızda şu sorunun belirebileceğinden eminim:

S: Sonuç nedir? Kuruluşum için “doğru araç” hangisi?

A: Birkaç bölümden oluşan yanıt:

Hiç yoktan iyidir

"Hiçbir şey yapmamak" yerine en az bir posta göndereni doğrulama standardının uygulanmasıyla başlamak ve kuruluşunuzun posta altyapısını çeşitli risk ve tehlikelere açık bırakmak daha iyidir.

Belirli bir gönderen doğrulama mekanizmasının kullanılması veya birden fazla mekanizmanın kombinasyonunun kullanılması

Teorik olarak, SPF, DKIM veya Exchange seçeneği gibi yalnızca tek bir "seçilmiş" posta standardı veya mekanizması
ile yetinebiliriz.

Gerçekte “doğru çözüm”ün birden fazla standarda dayanması gerekecektir çünkü farklı standartlar birbirini tamamlar ve her biri diğer veya farklı tipteki Spoof mail senaryolarını kapsar.

Bebek adımı | Adım adım

En iyi uygulama, basit bir gönderen doğrulama standardı ile başlamak ve ancak kendimizi rahat hissettiğimizde ek bir standart uygulayacağımız bir sonraki adıma "geçmektir".

Benim düşünceme göre en basit seçenek SPF standardının uygulanmasıyla başlamaktır çünkü SPF standardı uygulanması nispeten kolay bir standart olarak tanımlanabilir.

Posta altyapınızın Exchange altyapısına dayalı olması durumunda, gelen postanın E-posta adresimize sahip olan ancak bizim e-posta adresimize sahip olmayan göndereni de içerdiği bir olayı tanımlayan Exchange kuralını kullandığımız “ek katmanı” da eklemeniz önerilir. Kullanıcı kimlik bilgilerini sağlamam.

Sahte E-posta kuralı kullanarak "Değişim seçeneği"nin nasıl uygulanacağına ilişkin yol hakkında daha fazla bilgi edinmek istiyorsanız, Sahte E-postayı tespit etme ve Exchange Online kuralını kullanarak bir olay raporu gönderme (Öğrenme modu) makalesini okuyabilirsiniz. ) |Bölüm 2#12

Peki gönderen kimlik standardı seçeneklerinin en iyi kombinasyonu nedir?

Cevap şu; “en iyi kokteyl” olarak tanımlanabilecek özel bir “kokteyl” yoktur.

Örneğin - makul bir soru şu olabilir-

S1: Neden mevcut tüm seçenekleri kullanmayasınız?
S2: Ne kadar çok olursa o kadar iyi kavramını kullanabilir miyiz?

C: Cevap "Evet" ve "Hayır"dır.

Teorik olarak, Sahte E-posta olaylarını tanımlamak için kullanabileceğimiz mevcut tüm seçenekleri kullanmak daha iyidir, ancak bu "standart" veya "mekanizmaların" her birinin kendi kaynaklarını gerektirdiğini de unutmamalıyız.

Tahsis edilmesi gereken kaynak:

• "Gönderen doğrulama çözümlerinin" her biri için gerekli yapılandırma ayarlarının öğrenilmesi ve uygulanması
• Belirli bir standart tarafından "yakalanan" bir Sahte posta olaylarının izlenmesi - Sahte posta olarak tanımlanan E-posta öğelerinin gözden geçirilmesi ve incelenmesi ihtiyacı ve bununla ne yapılacağına karar verme ihtiyacı gibi devam eden görevler E-posta öğesi.

Gönderenin E-posta adresinin gizli konumu

Belirtildiği gibi gönderenin kimliğini doğrulayan posta standardı, gönderenin E-posta adresine ilişkin bilgileri doğrular.

SMTP protokolü, gönderenin kimliği, yani gönderenin E-posta adresi hakkında bilgi depolamak için oluşturulan iki posta alanını tanımlar.

• Gönderenle ilgili bir tür "bilgi", posta zarfının içinde "bulunan" MAIL FROM adlı posta alanında tutulur.
• Gönderen hakkındaki bir tür "bilgi", posta başlığında "bulunan" - FROM adlı posta alanında tutulur.

Posta zarfı, iki posta sunucusunun iletişim kurduğu SMTP oturumu aşamasında veriler için “mantıksal konteyner” görevi gören “geçici bir veri deposu” olarak kabul edilir.

Posta zarfı kavramı “psişik posta zarfına” çok benzemektedir.
E-postanın ardından mesaj, hedef alıcıyı temsil eden hedef posta sunucusu tarafından kabul edilir ve hedef posta sunucusu gerekli tüm bilgileri okuduktan sonra. posta zarfında saklanan posta zarfı "imha edilir".

Bu aşamada aklımıza isteğe bağlı iki soru gelebilir:

S1: Gönderenin kimliğine (gönderenin E-posta adresi) ilişkin bilgileri depolamak için neden iki farklı posta alanı kullanmamız gerekiyor?

S2: Tüm bu bilgileri bana neden anlatıyorsun? Bu bilgi söz konusu konuyla nasıl bağlantılıdır?

A1:

Posta zarfında
(MAIL FROM) görünen "gönderen bilgilerinin" temel amacı, bir "iade postası" adresi görevi görmektir.
"Gönderen posta" adresi tarafından kullanılan Hedef posta sunucusu, E-posta mesajının hedef alıcıya gönderilemediği ve posta sunucusunun orijinal göndericisine "E-postayı iade etmesi" gerekeceği bir senaryoda.

Posta başlığında
(FROM) görünen "gönderen bilgilerinin" temel amacı, E-posta mesajını "yazan" gönderen olan hedef alıcıyı bilgilendirmektir.

Bazı senaryolarda, MAIL FROM'da (posta zarfı) görünen gönderen, FROM'da görünen gönderen kimliğinden farklı olabilir. alanı (posta başlığı).

C2: Size bu "sıkıcı bilgileri" anlatmamın nedeni, posta standardının - SPF ve DKIM'nin bu alanda depolanan bilgileri kullanmasıdır (MAIL FROM ve <FROM) gönderenin kimliğiyle ilgili bilgileri almak ve gönderenin doğrulama prosedürünü uygulamak için kullanılır.

Bu güvenlik açığı hakkında daha fazla bilgi edinmek istiyorsanız, şu makaleyi okuyabilirsiniz: Düşman öğesi Sahte E-posta saldırısını nasıl yürütebilir ve mevcut SPF uygulamasını nasıl atlayabilir? | giriş | 1#2

E-posta mesajı bileşenleri - posta zarfı, posta ve posta başlığı

Aşağıdaki şemada, iki parçayı içeren standart bir E-posta mesajının yapısını görebiliriz: posta zarfı ve posta.

Bir sonraki şemada, yine iki bölümden oluşan "posta bileşeninin" yapısını görebiliriz: posta gövdesini içeren "posta bölümü" ve posta başlığı.

Posta zarfı - gönderenin ve alıcının değerini tutan “posta alanları”

Posta zarfı, gönderenin kimliği ve hedef alıcının kimliği hakkındaki bilgileri depolamak için aşağıdaki alanları kullanır:

1. Gönderenin kimliği - Posta zarfı, gönderenin kimliği (gönderenin E-posta adresi) hakkındaki bilgileri "tutmak" için MAIL FROM adında bir "posta alanı" kullanır. .
2. Alıcı kimliği - Posta zarfı, alıcının kimliği (hedef alıcının E-posta adresi) hakkındaki bilgileri "tutmak" için RCPT TO adında bir "posta alanı" kullanır ).

Posta başlığı - gönderenin ve alıcının değerini tutan “posta alanları”

“Posta bileşeni”ne gelince, gönderen ve alıcının kimliklerine ilişkin bilgilerin tutulduğu kısım Posta başlığı'dır.

Posta başlığı, gönderenin kimliği ve hedef alıcının kimliği hakkındaki bilgileri depolamak için aşağıdaki alanları kullanır:

1. Gönderenin kimliği - Posta başlığı, gönderenin kimliği (gönderenin E-posta adresi) hakkındaki bilgileri "tutmak" için FROM adında bir "posta alanı" kullanır.
2. Alıcı kimliği - Posta başlığı, alıcı kimliği (hedef alıcının E-posta adresi) hakkındaki bilgileri "tutmak" için TO adında bir "posta alanı" kullanır. .

Güncel makale serisinin bir sonraki makalesi

Gönderen doğrulaması nasıl çalışır? (Sahte postayı nasıl tanımlarız) | Beş kahramanın SPF, DKIM DMARC, Exchange ve Exchange Online koruması | Bölüm 9#9