Autenticazione dei messaggi basata sul dominio
All’inizio di quest’anno, nell’ambito dell’impegno a livello aziendale volto a conformarci ai 20 controlli di sicurezza critici del Center for Internet Security (CIS) (si apre in una nuova scheda), Tanium ha implementato una configurazione più restrittiva utilizzando il protocollo DMARC (Domain Based Message Authentication, Reporting, and Conformance) per le e-mail aziendali. Come previsto, ciò ha ridotto in modo significativo il numero di messaggi di spam e di phishing del tipo “ ”. Tuttavia, durante l'implementazione abbiamo anche dovuto affrontare diverse difficoltà impreviste. Considerato il numero di altre aziende che scelgono di non configurare il DMARC, abbiamo ritenuto che potesse essere utile condividere la nostra esperienza fornendo una panoramica sul DMARC, sulle difficoltà più comuni legate alla sua implementazione e su alcuni suggerimenti utili che abbiamo appreso nel corso del nostro percorso.
DMARC utilizza due tecnologie, Sender Policy Framework (SPF) e DomainKeys Identified Mail (DKIM), per determinare se un’e-mail sia stata falsificata (ovvero contraffatta in modo da sembrare proveniente dalla Sua organizzazione) o inviata legittimamente dalla Sua azienda. Sia SPF che DKIM vengono pubblicati come record pubblici di tipo “ DNS ” a cui è possibile fare riferimento da qualsiasi luogo. Questi controlli consentono ai server di ricezi SMTP i di esaminare le intestazioni in entrata, confrontare le chiavi di origine e di integrità con quelle pubblicate dalla vostra organizzazione e, successivamente, decidere se consegnare il messaggio o intraprendere determinate azioni, come ad esempio metterlo in quarantena. Tali informazioni vengono quindi inviate a un indirizzo e-mail specifico, dove possono essere analizzate e ordinate al fine di individuare eventuali anomalie o problemi.
L’SPF è semplicemente un elenco di nomi di dominio completi (FQDN) o di indirizzi IP che un’azienda ha designato come mittenti approvati di messaggi SMTP . I server di ricezione SMTP sono in grado di analizzare le intestazioni di un messaggio in arrivo per determinare il server SMTP di origine. Il DKIM è un meccanismo di controllo molto più dettagliato che si basa sulla crittografia asimmetrica. Tanium pubblica una chiave pubblica tramite DNS e conserva in modo sicuro la corrispondente chiave privata, che non viene resa pubblica. Qualsiasi soggetto terzo che intenda inviare e-mail per conto dell’azienda deve a sua volta generare una coppia di chiavi pubblica/privata e includere la propria chiave pubblica anche in DNS .
Quando arriva un’e-mail, il server ricevente estrae la chiave DKIM allegata dalle intestazioni del messaggio e invia una richiesta al server di origine per verificarne la legittimità. Se la chiave DKIM fornita non corrisponde alla chiave privata del server di origine, il messaggio è contraffatto. Se si riscontra una corrispondenza, il server remoto riconosce che l’e-mail proviene dal mittente e può essere recapitata in tutta sicurezza.
Sfide relative all’attuazione
Sebbene sia l’SPF che il DKIM siano piuttosto semplici da implementare, richiedono comunque che altre organizzazioni partecipino e configurino correttamente i propri record DNS . Nel valutare l’utilizzo di software di terze parti che invieranno e-mail per suo conto, è opportuno verificare se il fornitore supporti pienamente i protocolli SPF e DKIM. L’eventuale mancata corretta implementazione di SPF e DKIM da parte del fornitore potrebbe rendere difficile, se non impossibile, la piena applicazione di tali misure.
Detto questo, anche qualora altre organizzazioni configurassero correttamente SPF e DKIM, è opportuno tenere presente l’esistenza di ulteriori difficoltà:
Scalabilità di SPF
SPF può eseguire solo dieci query “ DNS ”, limitate a diversi tipi di record (tra cui i record A, MX, PTR, EXISTS, INCLUDE e REDIRECT). Tale limite è stato introdotto per impedire ricerche infinite tra i record, ma limita anche la scalabilità dell’SPF. I reindirizzamenti e altri meccanismi di " DNS " che richiedono più ricerche possono esaurire rapidamente il limite e causare confusione durante la risoluzione dei problemi. Per questo motivo, è estremamente importante valutare attentamente in che modo i record “ DNS ” vengono utilizzati per l’implementazione dell’SPF. Gli indirizzi IP e gli intervalli di indirizzi IP non rientrano in questa limitazione; tuttavia, tenere il passo con gli indirizzi IP in continua evoluzione può richiedere un impiego significativo di risorse rispetto all’utilizzo di un servizio di gestione degli indirizzi IP ( FQDN).
Sottodomini non inclusi
SPF valuta esclusivamente il nome di dominio esatto specificato nel record: i sottodomini sono e , ma none . Ad esempio, se si specifica un indirizzo IP nel record SPF per @company.com e tale IP effettua invii da @_subdomain.company.com, _il controllo SPF fallirà. Ogni sottodominio deve disporre di un proprio record SPF.
Utilizzo delle chiavi DKIM di altri domini
Le chiavi DKIM consentono ad altre organizzazioni di essere pienamente autenticate rispetto al Suo dominio (e quindi di poter inviare e-mail verificate per Suo conto). I soggetti terzi correttamente configurati possono fornirLe una chiave di selezione (tale chiave consiste essenzialmente nel fatto che presti a la propria chiave pubblica, pur mantenendo il controllo della chiave privata). Sebbene non siate in possesso della chiave privata, una corretta configurazione della chiave di selezione nell’ DNS e vi consentirà di inoltrare le richieste di decrittografia alla terza parte e di completare la convalida.
Le organizzazioni possono specificare il livello di rigore con cui controllare gli errori relativi a SPF o DKIM tramite le seguenti opzioni:
-Nessuna: i messaggi vengono sottoposti a digest e registrati per essere esaminati, pur consentendo comunque la consegna del messaggio in questione
-Quarantena: Ciascun provider di posta elettronica determina quale azione intraprendere, ma nella maggior parte dei casi ciò comporta l’invio diretto dei messaggi nella cartella “Spam” dell’utente
-Rifiuto: I messaggi vengono respinti senza esitazione qualora non risultino conformi ai criteri SPF o DKIM
Si tenga presente che: i risultati DMARC non sono di facile lettura. I risultati vengono forniti in un file XML e inviati all’indirizzo e-mail specificato nella politica DMARC da ogni server SMTP che riceve messaggi. A seconda del volume del traffico e-mail, potrebbero essere inviati migliaia di messaggi al giorno, con conseguente difficoltà nell’individuare e risolvere eventuali problemi.
Per comprendere adeguatamente il Suo ambiente, esistono diversi strumenti che consentono sia di individuare eventuali problemi nei record DMARC/SPF/DKIM stessi, sia di individuare quelli nascosti nei rapporti DMARC XML che vengono inviati quando un server SMTP ha stabilito che un messaggio non è conforme alla politica. Tanium utilizza un servizio denominato Dmarcian (si apre in una nuova scheda) per facilitare l’analisi delle nostre impostazioni e l’aggregazione dei risultati.
Sebbene non sia perfetta, l’implementazione del DMARC contribuisce in modo significativo a garantire alle organizzazioni sia la visibilità che il controllo su chi invia e-mail utilizzando il loro nome di dominio. Utilizzando in modo efficace questi strumenti, le organizzazioni possono ridurre in modo significativo il numero di e-mail dannose che raggiungono la vostra organizzazione e impedire agli utenti malintenzionati di falsificare il vostro dominio. DMARC offre alle organizzazioni il controllo sulle modalità con cui i server di ricezione SMTP possono sia verificare sia intervenire in merito alle e-mail legittime e non legittime che dichiarano di provenire dall’origine “@vostrodominio.com”.
Grazie alla configurazione di un’adeguata implementazione DMARC, Tanium è riuscita ad ampliare la copertura dei controlli di supporto in 3 diverse aree CIS:
- CSC 7: Misure di protezione per la posta elettronica e i browser web
- CSC 8: Misure di difesa contro il malware
- CSC 9: Limitazione e controllo delle porte di rete, dei protocolli e dei servizi
Conclusione
Se gestite domini che forniscono servizi di posta elettronica, vi consigliamo vivamente di valutare l’implementazione del protocollo DMARC. Non solo ciò è nell’interesse di ogni singola azienda, ma ne trarrà beneficio anche l’ecosistema della posta elettronica nel suo complesso, poiché il numero di domini che possono essere oggetto di spoofing diminuirà progressivamente. Ridurre il rischio di spoofing del Suo dominio significa diminuire la probabilità che i Suoi utenti siano vittime di abusi e ridurre la necessità di sostenere spese per far fronte a incidenti o gestire altre questioni relative alla responsabilità civile. Si tratta di un aspetto, seppur modesto, ma importante nell’ambito della piena attuazione di misure di sicurezza proattive quali i controlli CIS Top 20 , e contribuisce a soddisfare i requisiti necessari per ottenere la certificazione relativa a quadri normativi di conformità quali l’ ISOe 27002. È semplicemente una scelta sensata per la salute e il benessere delle aziende di ogni dimensione.
Informazioni sull’autore: Eric Fisher è un analista della sicurezza informatica ed esperto di progettazione delle operazioni aziendali presso Tanium a Raleigh, Carolina del Nord. Eric ha conseguito un master in sicurezza informatica e informatica forense e in passato ha lavorato come consulente di sicurezza, occupandosi della creazione di centri operativi di sicurezza (SOC) e di programmi di risposta agli incidenti per diverse banche, catene di negozi e aziende tecnologiche incluse nella classifica Fortune 500 . In qualità di dipendente del Penn State Applied Research Laboratory e della Raytheon, ha inoltre progettato e realizzato architetture di elaborazione dati e reti su larga scala per diverse agenzie governative e per le forze armate.
