Sintesi Esecutiva: BreakSPF è una minaccia emergente che sfrutta i record SPF configurati in modo errato, in particolare quelli con intervalli IP eccessivamente ampi. Gli attaccanti possono sfruttare queste vulnerabilità per inviare email fraudolente che appaiono legittime.Utilizzare soluzioni come Red Sift OnDMARC può aiutare le organizzazioni a rilevare e correggere queste configurazioni errate, migliorando la loro postura di sicurezza email complessiva.
Questo articolo:
- Presenta BreakSPF, un framework di attacco che sfrutta le configurazioni errate nel Sender Policy Framework (SPF), in particolare gli intervalli IP eccessivamente permissivi.
- Spiega come gli attaccanti sfruttano infrastrutture condivise come i provider cloud e le content delivery network (CDN) per eludere i controlli SPF e inviare email contraffatte.
- Evidenzia l'importanza di utilizzare strumenti come Red Sift OnDMARC per identificare e risolvere le configurazioni SPF eccessivamente permissive, rafforzando così la sicurezza email.
Introduzione
BreakSPF è un framework di attacco identificato di recente che sfrutta le configurazioni errate nel Sender Policy Framework (SPF), un protocollo di autenticazione email ampiamente utilizzato. Una configurazione errata comune riguarda intervalli IP eccessivamente permissivi, dove i record SPF consentono a grandi blocchi di indirizzi IP di inviare email per conto di un dominio. Questi intervalli spesso includono infrastrutture condivise come provider cloud, proxy o content delivery network (CDN).
BreakSPF capitalizza su questo identificando e abusando di tali configurazioni, permettendo agli attaccanti di eludere i controlli SPF, inviare email contraffatte che appaiono legittime e manipolare servizi condivisi per evitare la rilevazione.
Tipi di attacco BreakSPF
BreakSPF utilizza tre forme principali di attacco per sfruttare le vulnerabilità SPF, mirando sia ai server HTTP che SMTP. Queste includono:
- Attacchi con indirizzo IP fisso
In questo metodo, gli attaccanti ottengono il controllo a lungo termine su indirizzi IP specifici, utilizzandoli come Mail Transfer Agent (MTA) per inviare email contraffatte. Sfruttando infrastrutture condivise come server cloud e proxy, eludono le difese tradizionali come il greylisting.
- Attacchi con indirizzo IP dinamico
In questo caso, gli attaccanti valutano dinamicamente i domini vulnerabili monitorando gli IP in uscita in continuo cambiamento, sfruttandoli temporaneamente. Questo metodo si basa su infrastrutture pubbliche come funzioni serverless o piattaforme CI/CD, rendendo inefficace il blacklisting IP tradizionale. A differenza degli attacchi con IP fisso, evita di dipendere da indirizzi IP specifici, aumentando la complessità e rendendoli più difficili da mitigare.
- Attacchi cross-protocol
Negli attacchi cross-protocol, gli hacker incorporano dati SMTP all'interno di pacchetti HTTP e utilizzano proxy HTTP o nodi di uscita CDN per inoltrarli alle vittime. Sfruttando infrastrutture condivise come proxy HTTP aperti e servizi CDN, questi attacchi mescolano l'attività dannosa con il traffico legittimo, rendendoli estremamente furtivi e difficili da rintracciare.
Idee sbagliate su SPF che debilitano la sicurezza email
Un'idea sbagliata comune su SPF è che autentichi l'indirizzo “From” visibile nei client email. In realtà, verifica l'indirizzo 5321.MailFrom, noto anche come return path o bounce address, visibile solo nelle intestazioni delle email.
Questo equivoco spesso porta le organizzazioni ad aggiungere erroneamente ogni strumento di invio ai propri record SPF. L'esperta di email Laura Atkins di Word to the WiseWord to the Wise lo spiega bene: “Uno degli errori nasce dal fatto che molte persone, anche molti esperti di email, non sempre sanno o ricordano che in un'email esistono due indirizzi From: separati ma altrettanto importanti.”
SPF dovrebbe includere solo i meccanismi per i messaggi che utilizzano il tuo dominio organizzativo nel return path. Se nel return path viene utilizzato un sottodominio o un dominio diverso, non è necessario aggiungerlo al record SPF del dominio principale poiché non verrà controllato. Includere meccanismi non necessari spreca spazio prezioso nelle ricerche SPF.
Proteggersi da BreakSPF con Red Sift OnDMARC
BreakSPF sfrutta intervalli SPF eccessivamente permissivi, consentendo agli attaccanti di eludere DMARC e inviare email dannose che appaiono autenticate. Per contrastare questo fenomeno, è essenziale esaminare non solo le fonti che falliscono ma anche quelle che passano ma sembrano sconosciute o sospette.
La funzione Dynamic SPF di Red Sift OnDMARC protegge il tuo dominio analizzando continuamente i record SPF per identificare e risolvere gli intervalli eccessivamente permissivi. Questo approccio proattivo aiuta a migliorare la tua postura di sicurezza e a ridurre la superficie di attacco, garantendo che le potenziali vulnerabilità sfruttate da BreakSPF vengano risolte prima che si verifichino danni. OnDMARC rileva e corregge anche le lacune nelle configurazioni errate dei protocolli, fornendo una protezione completa.
Gli utenti di OnDMARC beneficiano anche di un reporting forense ottimizzato per il monitoraggio continuo su domini e sottodomini, inclusa la rilevazione di indirizzi IP sospetti. Inoltre, la funzione Dynamic SPF previene i problemi legati al limite di 10 ricerche DNS consolidando tutti i servizi autorizzati in un'unica istruzione include dinamica. Questo garantisce la validazione SPF per tutto il traffico legittimo, indipendentemente dal numero di servizi di invio utilizzati.
Rimani un passo avanti rispetto a minacce come BreakSPF—inizia la tua prova gratuita con Red Sift OnDMARC oggi!
Jack leads content, PR, GEO, and email security research at Red Sift.