DNS und DMARC: Die Beziehung verstehen

Als die Bedrohung durch SubdoMailing neu entdeckt wurde, haben wir einen umfassenden Leitfaden verfasst und dafür gesorgt, dass unsere betroffenen Kunden innerhalb von 72 Stunden nach der Veröffentlichung der Entdeckung durch Guardio Labs Abhilfe erhielten.

Wir sind stolz auf das, was wir erreicht haben, aber im Laufe des Prozesses haben wir auch festgestellt, dass viele Menschen die Überschneidung von DMARC und DNS nicht vollständig verstehen. Aufgrund der weiten Verbreitung von SubdoMailing ist es entscheidend, dass Sicherheitsteams verstehen, wie diese beiden Protokolle zusammenhängen, um sicherzustellen, dass ihre Domain geschützt ist.

In diesem Beitrag möchten wir einen nicht-technischen Überblick über DNS und DMARC geben, um die gegenseitigen Abhängigkeiten dieser zentralen Säulen der E-Mail-Sicherheit anhand einer Burg-Metapher besser zu veranschaulichen.

Domains, Subdomains, DNS und DMARC sind alle eng miteinander verknüpft. Lassen Sie uns zunächst jedes dieser Themen einzeln betrachten und anschließend die Überschneidungen behandeln.

Stellen Sie sich vor, die Website Ihres Unternehmens ist eine Burg und Ihr Domainname ist das Haupttor. Die kleineren Gebäude und Innenhöfe außerhalb des Haupttors sind Ihre Subdomains. Diese Subdomains sind wie Nebeneingänge, Tunnel und sogar versteckte Zugänge zu Ihrer Burg.

Stellen Sie sich nun das DNS (Domain Name System) als das Kartensystem der Burg vor. Es hilft Besuchern, den Haupteingang (Domain) und andere Eingänge (Subdomains) zu finden.

Wenn jemand fragt: „Wo ist example.com?“, übersetzt das DNS diese Anfrage in einen bestimmten Standort (IP-Adresse). Das entspricht dem Führen des Besuchers zum richtigen Ort innerhalb der Burg.

Wenn jemand entsprechend nach blog.example.com fragt, liefert das DNS die genaue Wegbeschreibung zum Nebeneingang – in diesem Fall zum Blog-Bereich.

Wenn DNS korrekt funktioniert, erreichen Nutzer mühelos die gewünschte Website – genau wie das Auffinden des richtigen Eingangs auf einer gut gepflegten Burgkarte.

Bei Red Sift sind wir große Fans von DMARC (Domain-based Message Authentication, Reporting, and Conformance). Im Rahmen unserer Burg- und Karten-Metapher können Sie sich DMARC als die gewissenhaften Wächter vorstellen, die die Burg davor schützen, dass die falschen Personen ein- und ausgehen.

• Verifizierung: Genau wie die Wächter die Identität von Boten überprüfen, die vorgeben, die Burg zu vertreten, verifiziert DMARC E-Mails, die angeben, von der Domain zu stammen. Dadurch wird sichergestellt, dass die E-Mails tatsächlich von autorisierten Absendern stammen und nicht von bösartigen Betrügern.
• Richtlinien für Maßnahmen: Die Wächter verfügen über spezifische Richtlinien für den Umgang mit Boten, basierend auf den Verifizierungsanforderungen, die die Organisation festgelegt hat: None: Sie lassen den Boten ohne besondere Maßnahme passieren, notieren sich aber seine Angaben zur späteren Überprüfung.
• Quarantäne: Sie halten den Boten in einem sicheren Bereich zur weiteren Überprüfung fest und stellen sicher, dass kein unmittelbarer Schaden entsteht.
• Reject: Sie verweigern dem Boten den Zutritt vollständig und stellen so sicher, dass keine gefälschten oder bösartigen Nachrichten die Burg erreichen.

DMARC-Richtlinien befinden sich im DNS. DMARC prüft das DNS, um die Richtlinie zu verifizieren, festzustellen, ob eine bestimmte Domain berechtigt ist, E-Mails im Namen Ihres Unternehmens zu senden (über SPF), und ob diese manipuliert wurden (über DKIM).

Anders ausgedrückt – die Burgkarte (DNS) leitet die E-Mails zur richtigen Domain, während die gewissenhaften Wächter (DMARC) sicherstellen, dass nur legitime E-Mails Zugang zum Posteingang erhalten.

Sind Sie sich bei DMARC unsicher? Schauen Sie sich unseren E-Mail-Sicherheitsleitfaden an.

Im Fall von SubdoMailing haben Angreifer bewiesen, dass selbst Organisationen mit den höchsten Stufen der DMARC-Durchsetzung (p=reject) weiterhin Opfer von Angreifern werden können, die betrügerische E-Mails von ihrer Domain aus versenden, wenn ihre DNS-Hygiene mangelhaft ist.

Kehren wir noch einmal zu unserer Metapher zurück – was passiert, wenn die Karte aktuell ist, die Wächter aber einen der geheimen Eingänge vergessen und ihn unverschlossen und ungeschützt gelassen haben? Das entspricht einer schlechten DNS-Hygiene, bei der DNS-Einträge nicht ordnungsgemäß gepflegt werden, sodass Cyberkriminelle diese geheimen Eingänge übernehmen und unbemerkt an den Wächtern vorbeikommen können.

Schlechte DNS-Hygiene ermöglicht es Angreifern, Sicherheitsmaßnahmen zu umgehen und bösartige E-Mails an ahnungslose Empfänger zuzustellen, da diese legitim erscheinen.

Wir wissen, dass Angreifer angesichts der weiten Verbreitung des SubdoMailing-Angriffs schlechte DNS-Hygiene ausnutzen. Wir sehen es als unsere Pflicht, unseren Kunden die Werkzeuge zur Verfügung zu stellen, die sie benötigen, um ihre Domains vor Übernahme, Missbrauch und Supply-Chain-Angriffen zu schützen.

Deshalb freuen wir uns, heute DNS Guardian anzukündigen – eine neue Funktion in OnDMARC, die Nutzern hilft, die DNS-Hygiene kontinuierlich zu überwachen und zu verwalten.

Alle Details zu DNS Guardian finden Sie hier.

Sicherheit: Die Wächter schützen die Burg vor dem Empfang schädlicher oder unerwünschter Pakete. In der digitalen Welt fügt DMARC eine zusätzliche Sicherheitsebene hinzu, indem es Phishing-Angriffe und E-Mail-Spoofing verhindert und sicherstellt, dass nur verifizierte E-Mails ihre vorgesehenen Empfänger erreichen.