Authentification de message basée sur le domaine
Plus tôt cette année, dans le cadre de notre effort à l’échelle de l’entreprise pour se conformer au Center for Internet Security (CIS) 20 Critical Security Controls, Tanium a mis en œuvre une configuration plus restrictive à l’aide de l’authentification, du reporting et de la conformité des messages basés sur le domaine (DMARC) pour les e-mails de l’entreprise. Comme prévu, cela a considérablement réduit le nombre d’e- mails de spam et d’hameçonnage. Mais nous avons également rencontré plusieurs défis imprévus lors du déploiement. Étant donné le nombre d’autres entreprises qui choisissent de ne pas configurer DMARC, nous avons pensé qu’il pourrait être utile de partager notre expérience en fournissant une vue d’ensemble du DMARC, des défis courants associés à la mise en œuvre et quelques suggestions utiles que nous avons apprises tout au long du processus.
DMARC utilise deux technologies, Sender Policy Framework (SPF) et DomainKeys Identified Mail (DKIM), pour déterminer si un e-mail a étéusurpé (c.-à-d. falsifié pour sembler provenir de votre organisation) ou légitimement envoyé par votre entreprise. SPF et DKIM sont publiés sous forme d’enregistrements DNS publics qui peuvent être référencés de n’importe où. Ces contrôles permettent à la réception des serveurs SMTP d’examiner les en-têtes entrants, de comparer leurs clés source et d’intégrité à celles publiées par votre organisation, puis de décider s’il faut ou non livrer ou prendre des mesures, telles que la mise en quarantaine d’un message. Ces informations sont ensuite rapportées à une adresse e-mail individuelle qui peut être analysée et triée pour détecter des anomalies ou des problèmes.
SPF est simplement une liste de noms de domaine entièrement qualifiés (FQDN) ou d’adresses IP qu’une entreprise a désignés comme expéditeurs SMTP approuvés. La réception des serveurs SMTP peut analyser les en-têtes d’un message entrant pour déterminer le serveur SMTP d’origine. DKIM est un contrôle beaucoup plus granulaire qui repose sur le chiffrement asymétrique. Tanium publie une clé publique via DNS et conserve en toute sécurité la clé privée non publiée correspondante. Tous les tiers qui souhaitent envoyer des e-mails au nom de l’entreprise doivent également générer une paire de clés publiques/privées et inclureleur clé publique dans DNS également.
Lorsqu’un e-mail arrive, le serveur destinataire prend la clé DKIM jointe dans les en-têtes de message et interroge le serveur d’origine pour vérifier sa légitimité. Si la clé DKIM fournie ne correspond pas à la clé privée du serveur d’origine, le message est usurpé. S’il existe une correspondance, le serveur distant sait que l’e-mail provient de l’expéditeur et peut être livré en toute sécurité.
Défis de mise en œuvre
Bien que SPF et DKIM soient relativement simples à mettre en œuvre, ils exigent que d’autres organisations participent et configurent correctement leurs enregistrements DNS. Lorsque vous envisagez d’utiliser un logiciel tiers qui enverra des e-mails en votre nom, vous devez déterminer si SPF et DKIM sont entièrement pris en charge par le fournisseur. Le fait que le fournisseur ne mette pas correctement en œuvre SPF et DKIM pourrait rendre l’application complète difficile ou impossible.
Cela dit, même si d’autres organisations configurent correctement SPF et DKIM, vous devez être conscient des défis supplémentaires :
Évolutivité SPF
SPF ne peut effectuer que dix requêtes DNS limitées à plusieurs types d’enregistrement différents (cela inclut les enregistrements A, MX, PTR, EXISTS, INCLUDE et REDIRECT). Cette limite existe pour empêcher les recherches d’enregistrements infinies, mais elle limite également l’évolutivité du SPF. Les redirections et d’autres mécanismes DNS qui nécessitent plusieurs recherches peuvent épuiser rapidement la limite et entraîner une confusion lors du dépannage. Pour cette raison, il est extrêmement important de réfléchir attentivement à la manière dont les enregistrements DNS sont utilisés pour mettre en œuvre le SPF. Les adresses IP/plages ne sont pas incluses dans cette limitation ; cependant, suivre les changements d’adresses IP peut être gourmand en ressources par rapport à l’utilisation d’un FQDN.
Sous-domaines non inclus
SPF évalue uniquement le nom de domaine exact spécifié dans l’enregistrement ; les sous-domaines ne sont pas inclus. Par exemple, si vous spécifiez une adresse IP d’enregistrement SPF pour @company.com, et que cette adresse IP est envoyée depuis @_subdomain.company.com, la vérification SPF échouera. Chaque sous-domaine doit avoir son propre enregistrement SPF.
Utilisation des clés DKIM d’autres domaines
Les clés DKIM permettent à d’autres organisations d’être entièrement authentifiées par rapport à votre domaine (et donc d’envoyer des e-mails vérifiés en votre nom). Les tiers correctement configurés peuvent vous fournir une clé de sélection (cette clé vous prélève essentiellement leur clé publique pendant qu’ils gardent le contrôle de la clé privée). Même si vous ne possédez pas la clé privée, la configuration correcte de la clé de sélecteur dans le DNS vous permettra de renvoyer les demandes de décryptage au tiers et de terminer la validation.
Les organisations peuvent spécifier le degré de contrôle des défaillances à partir de SPF ou DKIM avec les options suivantes :
-Aucun : les messages sont assimilés et consignés pour examen, tout en permettant la livraison du message incriminé
-Quarantaine : chaque fournisseur de messagerie détermine quelle sera cette action, mais pour la plupart, cela signifie que vous videz les messages directement dans le dossier Spam de l’utilisateur
-Rejeter : les messages sont rejetés lorsqu’ils ne sont pas alignés via SPF ou DKIM
Gardez à l’esprit que la sortie DMARC n’est pas facile à lire. Les résultats sont livrés dans un fichier XML et sont envoyés à l’e-mail spécifié dans la politique DMARC de chaque serveur SMTP qui reçoit des messages. En fonction de la quantité de trafic par e-mail, des milliers de messages pourraient être envoyés par jour, ce qui rendrait difficile l’identification et le dépannage des problèmes potentiels.
Afin de bien comprendre votre environnement, plusieurs outils existent pour identifier les problèmes dans les enregistrements DMARC/SPF/DKIM eux-mêmes et aider à identifier les problèmes cachés dans les rapports DMARC XML qui sont renvoyés lorsqu’un serveur SMTP a déterminé qu’un message est en violation de la politique. Tanium utilise un service appelé Dmarcian pour analyser nos paramètres et agréger les résultats.
Bien que ce ne soit pas parfait, la mise en œuvre de DMARC contribue grandement à permettre aux organisations à la fois la visibilité et le contrôle sur les personnes qui envoient des e-mails à l’aide de leur nom de domaine. En utilisant efficacement ces outils, les organisations peuvent réduire considérablement la quantité d’e-mails malveillants atteignant votre organisation et empêcher les utilisateurs malveillants d’usurper votre domaine. DMARC offre aux organisations un contrôle sur la manière dont les serveurs SMTP de réception peuvent à la fois vérifier et prendre des mesures sur les e-mails légitimes et illégitimes prétendant provenir de l’origine « @yourdomain.com ».
En configurant une mise en œuvre DMARC appropriée, Tanium a pu ajouter une couverture de contrôle de soutien dans 3 domaines CIS différents :
- CSC 7 : Protections des e-mails et des navigateurs Web
- CSC 8 : défenses contre les logiciels malveillants
- CSC 9 : Limitation et contrôle des ports, protocoles et services réseau
Conclusion
Si vous gérez des domaines servant de messagerie, vous devez fortement envisager la mise en œuvre de DMARC. Non seulement cela est dans le meilleur intérêt de chaque entreprise individuelle, mais l’écosystème d’e-mails dans son ensemble en bénéficiera car le nombre de domaines qui peuvent être usurpés devient de moins en moins important. Réduire les chances d’usurper votre domaine signifie moins de chances que vos utilisateurs soient exploités et moins de chances de dépenser de l’argent pour répondre aux incidents ou traiter d’autres problèmes de responsabilité. Il s’agit d’une partie petite mais importante de la mise en œuvre complète de mesures de sécurité proactives telles que les contrôles CIS Top 20 , et elle aide à satisfaire aux exigences d’obtention de la certification pour les cadres de conformité standard tels que ISO 27002. Cela a juste un sens pour la santé et le bien-être des entreprises de toutes tailles.
À propos de l’auteur : Eric Fisher est analyste de la sécurité de l’information et expert en conception des opérations d’entreprise chez Tanium à Raleigh, en Caroline du Nord. Eric est titulaire d’une maîtrise en sécurité de l’information et en criminalistique, et a précédemment travaillé comme consultant en sécurité en mettant en place des programmes de SOC et de réponse aux incidents pour plusieurs banques, détaillants et entreprises technologiques du Fortune 500 . Il a également conçu et sécurisé des architectures et des réseaux informatiques à grande échelle pour plusieurs agences gouvernementales et militaires en tant qu’employé du Penn State Applied Research Laboratory et de Raytheon.
