Tag DMARC FO: Guida alle opzioni di segnalazione dei fallimenti DMARC

Se sta rafforzando l'autenticazione delle e-mail, ilreporting di DMARC è il luogo in cui si trovano le vere informazioni. La maggior parte dei team inizia con i rapporti aggregati DMARC (tendenze di alto livello), per poi aggiungere i rapporti sui guasti quando hanno bisogno di visibilità a livello di messaggio. 

È qui che entra in gioco l'impostazione DMARC fo=1. Aiuta a far emergere i fallimenti parziali dell'autenticazione, che possono nascondere le configurazioni errate di , le lacune nell'allineamento e i primi segnali di spoofing. 

Questa guida spiega cosa fa il tag FO, come funziona FO=1 nella pratica, come si confronta con altre opzioni e quando ha senso per gli ambienti aziendali.

Che cos'è il tag DMARC FO?

Il tag DMARC FO (Failure Options) è un tag nel suo record DMARC che influenza quando un server di posta ricevente può generare rapporti forensi (di fallimento). FO aiuta a definire quali condizioni di fallimento dell'autenticazione DMARC devono attivare un rapporto a livello di messaggio.

È importante separare il FO da un rapporto aggregato:

• Aggregato (RUA): Rapporti DMARC di sintesi che mostrano i risultati dell'autenticazione e dell'allineamento DMARC su grandi volumi di posta.
• Guasti/forensi (RUF): Dati di report forensi a livello di messaggio legati a guasti o condizioni specifiche.

FO è legato al comportamento di segnalazione dei guasti (tipicamente consegnato tramite l'indirizzo in ruf=), mentre i riepiloghi aggregati sono consegnati tramite rua=.

Cosa significa FO=1 in una politica DMARC

FO=1 richiede rapporti di fallimento quando l'autenticazione SPF di fallisce o l'autenticazione DKIM fallisce.

Anche se il messaggio passa comunque DMARC perché l'altro meccanismo passa e si allinea, FO=1 può comunque richiedere un rapporto. Questa visibilità aggiuntiva la aiuta a individuare i fallimenti parziali di , come i casi in cui il record SPF di è corretto ma la firma DKIM si rompe, o in cui DKIM passa ma l'allineamento SPF fallisce a causa di mittenti terzi.

Come funziona DMARC FO=1 nella pratica

Quando un destinatario valuta un messaggio, verifica SPF e DKIM, quindi controlla l'allineamento degli identificatori per decidere se l'identità autenticata si allinea con il dominio "Da" visibile (requisito fondamentale del DMARC). L'allineamento è ciò che trasforma "l'autenticazione è avvenuta" in "l'autenticazione è significativa per questo dominio From".

Ecco il flusso decisionale semplificato:

1. Controllo SPF: Il destinatario valuta se l'IP di invio è autorizzato per il dominio utilizzato nell'SPF, quindi valuta l'allineamento (se tale dominio SPF si allinea con il dominio Da configurato per l'invio di indirizzi e-mail).
2. Controllo DKIM: Il destinatario convalida la firma del record DKIM rispetto al dominio di invio nell'intestazione DKIM, quindi valuta l'allineamento dkim (se il dominio DKIM è allineato con il dominio Da).
3. Risultato del controllo DMARC: DMARC passa se si verifica un passaggio allineato SPF o un passaggio allineato DKIM. Se entrambi falliscono l'allineamento, DMARC fallisce e il destinatario applica la sua politica DMARC (p=).

Come FO=1 attiva un rapporto

Con FO=1, può essere generato un rapporto di fallimento quando uno dei due SPF o DKIM fallisce, indipendentemente dal risultato finale DMARC pass/fail . Questo è utile quando si cerca di capire perché alcuni messaggi di posta elettronica falliscono in modo intermittente in un meccanismo, anche , sebbene le e-mail legittime arrivino comunque.

Cosa si può vedere nei rapporti sui guasti FO=1

Un rapporto di guasto include comunemente segnali a livello di messaggio come:

• Intestazioni dei messaggi chiave (sufficienti per risolvere i problemi di routing e identità)
• Risultati dell'autenticazione(SPF/DKIM pass/fail e risultati dell'allineamento)
• Indicatori dell'infrastruttura di invio, come gli IP e i domini di origine

Poiché si tratta di dati a livello di messaggio, possono contenere informazioni sensibili. Molte aziende trattano i rapporti sui guasti come la telemetria riservata di : limitano chi può accedervi, definiscono la conservazione ed evitano di inoltrare i rapporti grezzi in generale.

Tenga presente che il supporto per la segnalazione dei guasti varia a seconda del provider di mailbox. Anche se pubblica FO e ruf=, i ricevitori possono non inviare i rapporti forensi in tutti i casi.

Esempio di record DMARC con FO=1

Ecco un semplice esempio di record DMARC che mostra FO=1 in un record TXT DMARC (pubblicato come record DNS TXT sotto _dmarc.yourdomain.com):

• fo=1 richiede la segnalazione del fallimento quando SPF o DKIM falliscono
• adkim=s e aspf=s stringono l'allineamento (modalità rigorosa)
• rua= riceve i riepiloghi aggregati; ruf= riceve i rapporti sui guasti

Se sta convalidando i record durante il rollout, un controllore di record DMARC di può confermare la sintassi e se appare un risultato di record DMARC trovato per il dominio.

DMARC FO=1 vs altre opzioni di tag FO

FO supporta diversi valori e ognuno di essi modifica la visibilità e il carico operativo:

FO=0

FO=0 richiede rapporti di fallimento principalmente quando DMARC fallisce (più orientato al "fallimento completo"). Questa è l'opzione meno rumorosa di e può essere un'opzione predefinita pratica quando sta costruendo una linea di base per il reporting.

FO=d

FO=d restringe la segnalazione dei guasti a quelli legati a DKIM. È utile se il suo ambiente si basa molto sulla firma DKIM e vuole concentrarsi maggiormente sulle rotture DKIM, che influiscono sulla recapitabilità e sull'autenticazione delle e-mail.

FO=s

FO=s restringe la segnalazione dei guasti ai soli guasti legati a SPF. È utile se l'autorizzazione SPF e i flussi di lavoro basati su SPF sono la fonte principale dei problemi di autenticazione.

Un modo semplice per scegliere quale valore FO utilizzare è quello di considerare i requisiti specifici della sua organizzazione:

• Scelga FO=0 se desidera un volume inferiore e un punto di partenza più pulito.
• Scelga FO=1 se desidera una visione più approfondita dei guasti parziali ed è disposto a gestire più dati.
• Scelga FO=d o FO=s se vuole isolare la risoluzione dei problemi ad un solo meccanismo.

FO=1 può aumentare il volume dei rapporti e le spese operative. Se non dispone di un processo di selezione e archiviazione di questi rapporti , può ritrovarsi con del rumore invece che con degli approfondimenti.

Perché DMARC FO=1 è importante per la sicurezza delle imprese

FO=1 è prezioso perché i guasti parziali sono i luoghi in cui si nascondono i problemi. Un messaggio può "passare il DMARC" pur mostrando un punto debole di , come un percorso di firma DKIM interrotto, un mittente di terze parti che causa problemi di allineamento o un cambiamento graduale nell'infrastruttura di che interrompe l'autenticazione per alcuni flussi. FO=1 può aiutarla:

• Individuare prima le disconfigurazioni di autenticazione e DMARC (soprattutto tra molti mittenti).
• Individuare gli indicatori precoci di impersonificazione del marchio o di tentativi di phishing che minacciano la sicurezza delle email 
• Convalida che la sua configurazione DMARC funziona in modo coerente tra i domini, l'infrastruttura e gli indirizzi e-mail di invio.
• Ridurre gli angoli morti quando un solo meccanismo svolge tutto il lavoro.

Rischi e compromessi da gestire

I compromessi dell'utilizzo di FO=1 sono per lo più operativi e legati alla governance:

• Esposizione dei dati: I rapporti sui guasti possono includere segnali di contenuti sensibili
• Conformità e gestione: Ha bisogno di controlli sull'accesso a, di regole di conservazione e di un'archiviazione sicura.
• Volume: FO=1 può generare più rapporti di quanto i team si aspettino.

Per la governance aziendale, trattare la segnalazione dei guasti come la telemetria della sicurezza. Definisca chi può visualizzarlo, per quanto tempo viene conservato e come viene utilizzato per le indagini.

Migliorare il monitoraggio DMARC con FO=1

Il tag DMARC FO aiuta a perfezionare la reportistica DMARC controllando quando vengono richiesti i rapporti sui fallimenti, e FO=1 è particolarmente utile per far emergere i fallimenti di autenticazione parziali che possono essere facilmente ignorati. 

Per gli ambienti aziendali medio-grandi con molti mittenti, FO=1 può rafforzare il monitoraggio migliorando la visibilità dei problemi SPF/DKIM, delle lacune di allineamento e dei primi segnali di abuso.

Se sta prendendo in considerazione il FO=1, lo consideri come parte di una strategia matura: pianifichi la gestione dei rapporti, la privacy e il volume. E se la gestione dei rapporti su più domini e mittenti risulta pesante, Mimecast DMARC Analyzer e il generatore di record DMARC possono aiutare a ridurre la complessità e a trasformare i rapporti in informazioni utili.