19 miti su DMARC, sfatati dagli esperti

Viviamo in un'epoca di innovazione, in cui automazione, intelligenza artificiale, machine learning e altre tecnologie migliorano le nostre vite in modi che i nostri antenati potevano solo immaginare. Ma purtroppo viviamo anche in un'epoca di disinformazione, il che significa che esiste un pericolo reale che miti e falsità sabotino la nostra capacità di utilizzare queste tecnologie al meglio.

Lavoro nel settore DMARC fin dall'inizio, e in questo blog mi sono addentrato a fondo per sfatare 19 idee sbagliate e veri e propri miti su DMARC, così potrai arrivare al nocciolo della questione e capire perché è essenziale per la tua azienda.

DMARC (Domain-based Message Authentication, Reporting, and Conformance) è lo standard moderno di autenticazione email utilizzato da tutti i principali server di posta (Office 365, Google Workspace e i gateway email sicuri commerciali (SEG) per autenticare la posta in entrata e in uscita.

Nessuno dei SEG sopra menzionati si limiterà a guardare SPF e/o DKIM per prendere decisioni sulla consegna, perché non forniscono informazioni sufficienti. Considereranno invece diversi fattori, come DMARC, il tasso di coinvolgimento e altro ancora.

Falso! I report DMARC ti forniranno le informazioni necessarie su SPF e DKIM per risolvere i problemi di autenticazione. Implementare un record DMARC in modalità di monitoraggio (p=none) è il primo passo di qualsiasi progetto DMARC e ti darà visibilità sui problemi di autenticazione con i flussi di posta autorizzati, oltre a eventuali attività di shadow IT e/o spoofing.

O365 e Google Workspace controllano la posta in entrata per l'autenticazione DMARC, ma non forniscono visibilità su DMARC e non ti aiutano a portare i tuoi domini all'enforcement DMARC, né possono autenticare altri servizi cloud o on-premise che inviano posta per tuo conto.

C'è una differenza fondamentale tra supportare DMARC e implementare DMARC. Il tuo secure email gateway (SEG) offre la prima funzione, mentre OnDMARC di Red Sift offre la seconda ospitando i tuoi record SPF, DKIM, DMARC e BIMI – una funzionalità non fornita da O365, Google Workspace o altri fornitori DMARC.

DMARC è interoperabile con qualsiasi gateway email, sia esso on-premise o basato su cloud. DMARC è separato dal flusso di posta stesso ed è una voce distinta nel DNS rispetto ai record MX. Red Sift ha implementato con successo DMARC per clienti che utilizzano Exchange, O365, Google Workspace e tutti i gateway email commerciali (ad es. Proofpoint, Mimecast, Ironport, MessageLabs, Barracuda, Sophos, ecc).

Sbagliato di nuovo, infatti DMARC darà alla tua posta di marketing le migliori possibilità di consegna una volta autenticata correttamente. La sfida è che se implementi DMARC senza prima identificare e autenticare tutta la posta di marketing, questa potrebbe essere inavvertitamente messa in quarantena o rifiutata se passi a una policy DMARC di enforcement.

Il modo migliore per proteggerti da questo potenziale esito è usare OnDMARC, che identifica chiaramente tutte le fonti di email di marketing e ti permette di autenticarle con un solo clic.

Questo non è assolutamente il caso, DMARC è rilevante per ogni tipo di azienda, indipendentemente dalle dimensioni! Ogni azienda deve autenticare la propria posta legittima e bloccare lo spoofing non autorizzato e l'impersonificazione dei propri domini, entrambi ottenibili implementando DMARC in enforcement. OnDMARC ha prezzi e pacchetti disponibili per aziende di qualsiasi dimensione e in qualsiasi mercato verticale.

DMARC è in realtà un progetto trasversale, e viene realizzato nel modo più efficiente e produttivo quando c'è uno sforzo collaborativo tra IT, Sicurezza, Compliance e Marketing (sì, anche Marketing!). DMARC fermerà davvero lo spoofing malevolo e il phishing che sfruttano domini affidabili, ma identificherà anche lo shadow IT, migliorerà la consegna della posta legittima e aumenterà le impression del brand con BIMI!

È vero che tutti i progetti DMARC dovrebbero partire da p=none. Questo per ottenere la visibilità necessaria a effettuare le modifiche di autenticazione per raggiungere l'enforcement DMARC. Ma alcuni utenti credono erroneamente che la loro postura di sicurezza sia migliorata avendo una policy DMARC di none. Questo semplicemente non è vero – se la tua policy DMARC è 'none' puoi essere vittima di spoofing esattamente come se non avessi affatto un record DMARC (avrai solo visibilità quando guarderai i tuoi report!).

Non lasciarti cullare in un falso senso di sicurezza pensando di essere 'a posto con DMARC' con una policy di none. Il percorso DMARC semplicemente non è completo a meno che tu non raggiunga l'enforcement DMARC, che è una policy di almeno quarantine (idealmente reject) su tutti i tuoi domini e sottodomini organizzativi, con pct=100.

Ci sono generalmente 2 motivi principali per cui le aziende abbandonano i loro progetti DMARC:

1. Apportare manualmente modifiche ai record di autenticazione nel DNS può richiedere molto tempo, specialmente se devi passare ogni volta attraverso un controllo delle modifiche. Anche l'appiattimento manuale e la manutenzione di SPF possono essere complessi, senza garanzia di successo.
2. Non essere sicuri che tutta la posta legittima sia stata identificata e autenticata, e che non venga influenzata da una policy DMARC di quarantine o reject. (In sostanza, non essere sicuri di aver implementato DMARC correttamente, e preoccuparsi che le email legittime inviate non raggiungano la casella di posta dell'utente).

È vero che senza gli strumenti giusti, DMARC può essere una bestia difficile. Ma con uno strumento come OnDMARC, hai la garanzia di una policy minima di p=quarantine al 100% entro 6-8 settimane, e puoi essere sicuro che sia configurata correttamente.

DMARC è in effetti una specifica pubblica che chiunque può implementare gratuitamente. Red Sift scansiona milioni di record DMARC ogni giorno, e vediamo che la maggior parte dei progetti DMARC fai-da-te resta a p=none e non riesce a raggiungere l'enforcement DMARC. Questo significa che queste aziende rimangono prive di protezione da attacchi di impersonificazione, spoofing e phishing.

Sebbene l'attuale specifica DMARC non sia cambiata sostanzialmente da quando è stata originariamente rilasciata nel 2012 (siamo ancora alla versione 1), esistono miglioramenti e innovazioni disponibili per le aziende che vogliono sfruttare al meglio l'automazione per autenticare la propria posta e raggiungere il pieno enforcement DMARC.

OnDMARC si basa sulla specifica DMARC pubblica e aggiunge intelligenza non disponibile in un'implementazione fai-da-te. Ad esempio, in OnDMARC la nostra funzionalità Dynamic DMARC consente alle aziende di ospitare i propri record SPF, DKIM, DMARC e BIMI nella nostra console dopo aver effettuato una modifica una tantum al DNS. Da quel momento in poi, tutte le modifiche di autenticazione vengono effettuate in OnDMARC, e non nel DNS.

Otteniamo inoltre dati forensi non pubblici e integriamo utili informazioni sulle minacce da più fornitori, il che rende OnDMARC molto più prezioso rispetto all'analisi manuale dei report DMARC e al tentativo di ricavarne informazioni utili.

Non sarà una sorpresa, ma i report DMARC non sono progettati per essere leggibili dall'uomo! Infatti, devi analizzare i report DMARC in qualche modo per dare loro un senso, e poi aggiungere reportistica, avvisi e interpretazione.

Francamente, nel mondo di oggi, non ha senso cercare di implementare DMARC da soli – hai bisogno di una soluzione moderna come OnDMARC per gestire il grosso del lavoro di implementazione ed enforcement DMARC con una soluzione completamente automatizzata, per proteggere il tuo dominio in modo rapido, semplice, sicuro ed economico.

I report forensi DMARC sono incredibilmente utili per risolvere problemi di autenticazione con flussi di posta legittimi, oltre che per identificare fonti malevole di email. Ma qualsiasi informazione personale identificabile dovrebbe essere oscurata dal report dal provider di posta di origine, e OnDMARC eseguirà una seconda oscuramento per garantire che nessun dato privato venga mai rivelato.

Il monitoraggio e la visibilità DMARC sono ormai una commodity, dato che ci sono molti fornitori in grado di elaborare i report DMARC per conto di un dominio tramite un'interfaccia grafica. Ciò che non è una commodity è un processo ripetibile, sicuro, semplice ed efficiente per portare un dominio all'enforcement DMARC utilizzando le innovazioni più recenti in materia di autenticazione email ospitata e canali di dati privati, una specialità unica di OnDMARC.

È certamente una sfida gestire e mantenere aggiornato manualmente un record SPF nel mondo attuale dei servizi email cloud. Ma diventa molto più semplice con gli strumenti giusti a disposizione. OnDMARC ha alcune qualità chiave che rendono questo processo molto più facile da gestire:

• Identificazione chiara di tutte le fonti di email, così gli utenti non devono mai preoccuparsi di aver dimenticato un servizio legittimo usato per la posta, e tutte le fonti sono chiaramente etichettate e riconoscibili grazie alla nostra esclusiva intelligence sui mittenti.
• Una volta identificati i mittenti, le fonti autorizzate possono essere autenticate con un solo clic usando Dynamic SPF. I vecchi servizi non più utilizzati possono essere rimossi e il record può essere facilmente gestito in futuro.
• Il limite di 10 lookup SPF può essere evitato anche con Dynamic SPF, poiché il record SPF viene appiattito dinamicamente ed è sempre sintatticamente corretto.

Sebbene la maggior parte dei moderni gateway email utilizzi DMARC come standard per l'autenticazione email, esiste una lunga coda di sistemi legacy che utilizzano ancora SPF come principale determinante per il filtraggio della posta.

Superare il limite di 10 lookup significa che il tuo record è tecnicamente rotto quando una casella di posta ricevente esegue il controllo SPF. Inoltre, se il tuo record DMARC è in enforcement (quarantine o reject) rischi di bloccare posta che non firma nemmeno con DKIM. La tua email legittima avrà le migliori possibilità di essere consegnata se si autentica correttamente sia con SPF che con DKIM, e dove il record SPF non supera i 10 lookup.

C'è una grande differenza tra una policy DMARC di 'none' (l'impostazione meno sicura che affligge la maggior parte dei domini e li lascia privi di protezione) e un record DMARC in enforcement (una policy di quarantine o reject). Il semplice atto di 'attivare' DMARC con una policy di 'none' è un primo passo necessario, ma non migliora in alcun modo la tua postura di sicurezza né protegge il tuo dominio dall'essere impersonato (non ci sono premi solo per essersi presentati in questo modo!).

Per completare il tuo percorso DMARC, devi raggiungere una policy di quarantine o reject con pct=100. Altrimenti, stai ancora lasciando il tuo dominio completamente esposto a spoofing e phishing.

Red Sift ha clienti con migliaia di domini monitorati e protetti in OnDMARC. Solo perché hai un ampio portfolio di domini non dovresti essere scoraggiato dall'iniziare un progetto DMARC. Anzi, avere più domini non protetti significa che sei un bersaglio facile se non utilizzi DMARC in enforcement, quindi semplicemente cercare di ignorare il problema perché hai molti domini non è la risposta. *domain discover*

OnDMARC ha un prezzo e un pacchetto adatti a qualsiasi azienda commerciale, agenzia governativa o organizzazione no-profit, indipendentemente dalle dimensioni. Anzi, puoi acquistare direttamente dal nostro sito web se hai meno di 50 dipendenti. Utilizziamo l'automazione nella misura massima possibile, il che permette ai nostri clienti di beneficiare delle nostre efficienze ed economie di scala.

I domini che non inviano posta possono subire spoofing esattamente come i domini che la inviano, e sono esche particolarmente attraenti se sfruttano brand, siti web, persone e aziende noti per inviare email di phishing e impersonificazione. I destinatari di email malevole provenienti da un dominio che non invia posta non capiranno necessariamente che il dominio del mittente non è configurato per inviare email, penseranno semplicemente che sei tu se l'email è sufficientemente convincente e appare legittima, mettendo a rischio l'intero brand e la reputazione della tua azienda.

Ecco quindi tutti i miti e le leggende su DMARC completamente sfatati. Ma non fidarti solo della nostra parola, perché non provare OnDMARC? Iscriviti oggi per la tua prova gratuita!