raport spoofingu

Raport spoofingu to zestawienie prób podszycia się pod domenę organizacji.

Zestawienie prób nadużycia domeny

Raport spoofingu to okresowe podsumowanie wiadomości, które zostały wysłane z użyciem domeny organizacji jako adresu nadawcy, wraz z informacją, czy przeszły kontrolę uwierzytelniającą. Najpowszechniejszym źródłem takich raportów są zbiorcze zestawienia przesyłane przez serwery odbiorców w ramach polityki DMARC. Zawierają one adresy IP serwerów wysyłających, liczbę wiadomości z każdego z nich oraz wynik weryfikacji rekordu nadawcy i podpisu kryptograficznego.

Nazwa bywa myląca: raport nie pokazuje wyłącznie ataków. Znaczna część pozycji to własne, legalne systemy firmy, o których nikt nie pamiętał przy konfiguracji, na przykład sklep internetowy, system fakturujący albo drukarka wielofunkcyjna wysyłająca skany pocztą.

Jak czytać takie zestawienie

Surowe raporty przychodzą w postaci skompresowanego pliku z danymi w formacie znacznikowym, co czyni je praktycznie nieczytelnymi bez narzędzia analitycznego. Usługi przetwarzające je przedstawiają dane w formie tabeli z podziałem na źródła i wyniki. Analizę prowadzi się w dwóch krokach: najpierw identyfikuje się wszystkie źródła należące do organizacji i uzupełnia dla nich uprawnienia, dopiero potem to, co zostaje, traktuje jako podejrzane.

Warto zwrócić uwagę na dwie kolumny: zgodność rekordu uprawniającego serwer oraz zgodność podpisu. Wiadomość przekazana dalej przez serwer pośredniczący często traci pierwszą, zachowując drugą, i nie jest żadnym nadużyciem. Wysyłka z zupełnie obcej infrastruktury, bez podpisu i bez uprawnienia, przy dużej liczbie wiadomości, wskazuje już na kampanię wykorzystującą domenę.

Częste nieporozumienia przy wdrażaniu

Pierwsze to ustawienie od razu najostrzejszej polityki odrzucania przed przeanalizowaniem raportów, co skutkuje zatrzymaniem własnej poczty transakcyjnej i telefonami od klientów, którzy nie dostali faktur. Drugie to skierowanie adresu raportowego na zwykłą skrzynkę pracownika, która w kilka tygodni zapełnia się nieczytelnymi załącznikami i przestaje być otwierana. Trzecie to traktowanie raportu jako dowodu włamania, podczas gdy fałszowanie pola nadawcy nie wymaga żadnego dostępu do systemów firmy. Osobno warto pamiętać, że raporty zbiorcze nie zawierają treści wiadomości ani adresów odbiorców, więc na ich podstawie nie ustali się, kto dostał fałszywą korespondencję.

Wdrożenie ochrony domeny krok po kroku

Konfigurujemy dla firm komplet wpisów uwierzytelniających pocztę, ustawiamy zbieranie i analizę raportów, inwentaryzujemy wszystkie systemy wysyłające wiadomości w imieniu organizacji i stopniowo zaostrzamy politykę, tak aby nic z prawidłowej korespondencji nie przepadło. Przy okazji porządkujemy konfigurację programów pocztowych na stanowiskach. Pracujemy całodobowo przez siedem dni w tygodniu, dla firm i klientów indywidualnych.