電子メールとDNSのセキュリティ
SPF と DMARC がなければ、誰でもあなたのドメインから送信されたように見えるフィッシングメールを送信できます。レジストラのロックがないと、ドメインがハイジャックされる可能性があります。どちらもダメージを受けるまでは見えません。
Ludwig Makhyan · 創設者, WebsiteCoach
セクションにジャンプ
概要
ドメインはブランド資産です。適切な DNS セキュリティ レコードがないと、攻撃者は、顧客、パートナー、または従業員をターゲットにして、会社から送信されたものとまったく同じように見えるフィッシングメールを送信する可能性があります。レジストラ ロック (EPP コード) がないと、攻撃者がレジストラ アカウントにアクセスし、ドメインを完全に移転してしまう可能性があります。
ビジネスへの影響
保護されていないドメインを使用した電子メールのなりすまし攻撃は、ビジネス電子メール侵害 (BEC) 詐欺の主な原因であり、FBI は、2022 年に企業に 27 億ドルの損害を与えたと報告しています。ドメインのハイジャックに成功すると、サイトが数日間オフラインになり、長年にわたって構築された検索エンジンのランキングが破壊される可能性があります。 DMARC 強制 (p=reject) は、この種の攻撃をメール サーバー レベルでブロックします。
ソース: Cloudflare DNS over HTTPS API 経由で取得された DNS レコード。
DNS レコードの説明
この DNS/電子メール信号は、配信可能性、スプーフィング保護、ドメインの信頼性、または証明書管理の衛生状態に影響を与えます。
- SPF レコード — 存在し、有効で、厳密です
- DMARC — ポリシー レベル (なし / 隔離 / 拒否)
- DMARC rua= 集約レポートのアドレス
- DKIM — 18 個の共通セレクターがプローブされました
- MX レコード - 設定された受信メール
- CAA — 認証局の制限
- TLS-RPT — TLS 障害レポート
- MTA-STS — 受信メールに TLS を適用する
- BIMI — 電子メールクライアントのブランドロゴ
- サーバーの地理位置情報とホスティングプロバイダー
- 複合到達性スコア (0 ～ 100)
役割別の行動計画
- →監視フェーズ後に DMARC p=reject ポリシーを承認します (通常、p=none で 30 ～ 60 日)
- →ドメイン レジストラー アカウントで 2FA が有効になっていて、EPP ロックがアクティブであることを確認します。
- →サイバー保険の評価に電子メール認証のコ ンプライアンスを含める
- →SPF TXT レコードを追加します: v=spf1 include:your-mail-provider.com -all
- →rua= レポート アドレスを使用して DMARC TXT レコードを _dmarc.yourdomain.com に追加します
- →ドメイン レジストラで 3 つの EPP ロック コードをすべて有効にする
- →電子メール送信サービスで DKIM を構成し、DNS キーを公開します
- →DMARC 集計レポート解析のセットアップ (Valimail、Postmark DMARC、MXToolbox)
- →レポートの整合性が確認されると、DMARC を p=none → p=quarantine → p=reject にエスカレーションします
- →DMARC レポートに表示される新しい送信元を監視します - シャドウ IT または電子メール サービスを示す可能性があります
よくある質問
電子メールとDNSのセキュリティとは何ですか?
SPF と DMARC がなければ、誰でもあなたのドメインから送信されたように見えるフィッシングメールを送信できます。レジストラのロックがないと、ドメインがハイジャックされる可能性があります。どちらもダメージを受けるまでは見えません。
電子メールとDNSのセキュリティ が重要なのはなぜですか?
保護されていないドメインを使用した電子メールのなりすまし攻撃は、ビジネス電子メール侵害 (BEC) 詐欺の主な原因であり、FBI は、2022 年に企業に 27 億ドルの損害を与えたと報告しています。ドメインのハイジャックに成功すると、サイトが数日間オフラインになり、長年にわたって構築された検索エンジンのランキングが破壊される可能性があります。 DMARC 強制 (p=reject) は、この種の攻撃をメール サーバー レベルでブロックします。
関連トピック