امنیت ایمیل سازمانی؛ اجرای درست SPF، DKIM و DMARC

همهٔ سامانه‌های ارسال‌کننده را پیدا کنید

پیش از تغییر DNS، صندوق کارکنان، فرم سایت، نرم‌افزار فاکتور، خبرنامه و ابزار پشتیبانی را فهرست کنید. در جدول پیشنهادی ما، مسئول سرویس، دامنهٔ ارسال و یک پیام نمونه ثبت می‌شود. از تیم مالی و پشتیبانی هم دربارهٔ ابزارهایشان بپرسید؛ مدیر وب‌سایت ممکن است تمام فرستنده‌ها را نشناسد. فهرست ناقص، تشخیص پیام نامعتبر از یک اتصال کاری فراموش‌شده را دشوار می‌کند.

فرستنده‌های مجاز را با SPF معرفی کنید

راهنمای SPF گوگل توضیح می‌دهد که رکورد TXT، سرورهای مجاز به ارسال برای دامنه را معرفی می‌کند. همهٔ سرویس‌های معتبر را در یک سیاست SPF جمع کنید و چند سیاست رقیب منتشر نکنید. پیش از افزودن include جدید، راهنمای عرضه‌کننده و محدودیت جست‌وجوی DNS در SPF را بررسی کنید. نمونه‌ای که فقط گوگل را مجاز می‌کند برای دامنه‌ای با چند سرویس ارسال کافی نیست.

امضای DKIM هر سامانه را تأیید کنید

DKIM امضای پیام را با کلید عمومی منتشرشده در DNS بررسی می‌کند. کلید خصوصی نزد سامانهٔ امضاکننده می‌ماند. selector اعلام‌شدهٔ همان سرویس را منتشر کنید و یک پیام خروجی واقعی را بررسی کنید. فهرست پذیرش پیشنهادی شامل پیام کارکنان، رسید وب‌سایت و پاسخ پشتیبانی است؛ موفقیت یک سامانه وضعیت بقیه را ثابت نمی‌کند.

DMARC را از مشاهده به اعمال سیاست برسانید

DMARC هم‌راستایی دامنهٔ From با SPF یا DKIM را بررسی و ترجیح برخورد و گزارش‌دهی را اعلام می‌کند. هنگام شناسایی فرستنده‌ها با مشاهده و گزارش شروع کنید؛ پس از رفع خطاهای معتبر، قرنطینه یا رد را برنامه‌ریزی کنید. سیاست صرفاً نظارتی به معنی درخواست رد پیام جعلی نیست. مسئول خواندن گزارش‌ها را تعیین کنید و با اضافه‌شدن هر فرستنده، فهرست را بازبینی کنید.

تحویل کار باید قابل‌فهم باشد

رکوردهای نهایی، فهرست فرستنده‌ها و نتیجهٔ پیام‌های آزمایشی را کنار هم تحویل بگیرید. مسئول تغییر هر سامانه و مسیر پیگیری خرابی فوری را مشخص کنید. احراز اصالت، رسیدن قطعی پیام به صندوق اصلی را تضمین نمی‌کند و جای امنیت حساب را نمی‌گیرد. آن را با ورود چندمرحله‌ای تکمیل کنید و رکوردها را هنگام انتقال DNS حفظ کنید. برای ترسیم وضعیت ایمیل شرکت با خدمات فناوری اطلاعات کیاوا تماس بگیرید.