Exchange Çevrimiçi Korumada SPF, DKIM ve DMARC
Önceki iki blog yazısında, Exchange Online Protection'ı şirket içi Exchange ortamınız için hem gelen hem de giden posta akışı için bir mesaj hijyeni çözümü olarak nasıl uygulayacağınızı açıklamıştım.
Bu blog yazısında Exchange Online Protection'ı yapılandırırken daha fazla ayrıntıya gireceğim
SPF, DKIM ve DMARC
Exchange Online Protection tamamen çalışır durumda olduğunda, mesaj kimlik doğrulaması amacıyla SPF, DKIM ve DMARC'yi yapılandırmaya devam edebilirsiniz. Bu, e-posta alan adınızın sahteleştirilmesinin çok daha zor olmasını ve e-posta alan sistemlerin, e-postanızın kaynağının güvenilir bir kaynak olduğunu bilmesini sağlayacaktır.
SPF
SPF yıllardır var ve önceki blog yazımda Exchange Online Protection ile kullanmak için gereken SPF kaydından zaten bahsetmiştim. SPF'yi uygulama hakkında daha fazla bilgi edinmek istiyorsanız lütfen Exchange 2016 - Bölüm I blog gönderimdeki SenderID, SPF, DKIM ve DMARC'ye göz atın.
Yalnızca Exchange Online Protection kullanırken, SPF kaydınız v=spf1 include:spf.protection.outlook.com -all gibi görünecektir.
DKIM
Exchange Online Protection'ın iyi yanı, DKIM imzalamayı ve doğrulamayı kutudan çıktığı gibi desteklemesidir. Yapmanız gereken tek şey Exchange Yönetim Merkezi'nde bunu etkinleştirmek!
Exchange (Çevrimiçi Koruma) Yönetici Merkezi'nde oturum açın, gezinme menüsünde koruma'yı seçin ve araç çubuğunda DKIM'i tıklayın. Etkinleştir'i tıkladığınızda, önce uygun DNS kayıtlarını oluşturmanız gerektiğini belirten bir hata mesajı (sarı renkte) gösterilir (büyütmek için tıklayın).
Hata mesajı şu şekildedir (arama motoru amaçları için):
Bu yapılandırma için CNAME kaydı mevcut değil. Lütfen önce aşağıdaki iki CNAME kaydını yayınlayın.
selector1-domain-com._domainkey.tenantname.onmicrosoft.com
selector2-domain-com._domainkey.kiracıadı.onmicrosoft.com
Bir DKIM gurusu olmadığınızda açıklama o kadar net olmayabilir ancak aşağıdaki CNAME kayıtlarını oluşturmanız gerekir:
Selector1._domainkey.domain.com CNAME selector1-domain-com._domainkey.tenant.onmicrosoft.com
Selector2._domainkey.domain.com CNAME selector2-domain-com._domainkey.tenant.onmicrosoft.com
DNS kayıtları oluşturulduğunda, bunların geçerli olup olmadığını kontrol etmek için MXToolbox'ı kullanabilirsiniz:
Şirket içi Exchange sunucusundan Exchange Online Protection aracılığıyla örneğin Gmail'e bir e-posta gönderilirse başlıkları kontrol edebilirsiniz. Doğru yapılandırılırsa SPF kontrolünün geçtiğini, EOP tarafından oluşturulan DKIM imzasını ve kimlik doğrulama sonuçlarını görebilirsiniz. Aşağıdaki ekran görüntüsünde gösterildiği gibi Kimlik Doğrulama Sonuçları altında spf=pass ve dkim=pass yazmalıdır (büyütmek için tıklayın):
DKIM ve Exchange hakkında daha fazla bilgi için lütfen Exchange 2016 - Bölüm II blog yayınındaki SenderID, SPF, DKIM ve DMARC bilgilerimi kontrol edin.
DMARC
DKIM ve SPF doğru şekilde yapılandırıldığında genel DNS'de bir DMARC kaydı oluşturabilirsiniz. DMARC politikası, alıcı posta sunucusuna diğer ayarlara uymayan e-postalarla ne yapması gerektiğini söyleyecektir. Örneğin, e-posta SPF kaydında listelenmeyen bir posta sunucusundan geliyorsa, sahtecilik olabilir. DKIM imzası eksikse sahte olabilir, DKIM imzası geçerli değilse mesajda değişiklik yapılabilir. Böyle bir durumda bu tür bir mesajı reddedecek bir politika tanımlayabilirsiniz. DNS kaydı şu şekilde olacaktır:
v=DMARC1;p=reject;sp=reject;pct=100;rua=mailto:dmarcreports@exchange2019.nl
RUA, DMARC raporlarının gönderildiği bir e-posta adresidir, dolayısıyla Exchange sunucunuzda böyle bir posta kutusunun olması iyi bir şeydir.
SPF, DKIM ve DMARC yapılandırıldığında Exchange sunucusundan EOP aracılığıyla Gmail'e e-posta gönderirken, e-posta başlıklarında aşağıdaki ekran görüntüsüne benzer bilgileri görebilirsiniz (büyütmek için tıklayın):
Artık her şey doğru şekilde yapılandırıldı ve kötü niyetli kullanıcılar için sahtecilik yapmak çok daha zor.
DMARC ve Exchange hakkında daha fazla bilgi için lütfen Exchange 2016 - Bölüm III blog gönderisindeki SenderID, SPF, DKIM ve DMARC'ı kontrol edin.
Özet
Bu blog yazısında, kötü niyetli kullanıcılar tarafından yapılan kimlik sahtekarlığını önlemek için Exchange Online Protection'da SPF, DKIM ve DMARC'yi nasıl yapılandıracağınızı gösterdim.
Bir sonraki blogumda Exchange Online Protection'da mesaj hijyeni seçeneklerinin kendilerinin yapılandırılması hakkında daha ayrıntılı bilgi vereceğim.