Hvad tjekket kigger på
DMARC-politikken. Findes der en record, og hvad står der i den? p=none beskytter ingenting. Først ved p=reject bliver falske mails afvist hos modtageren.
Rapporteringen. Sender modtagerne rapporter tilbage til jer, og lander de et sted, nogen læser? Uden rapporter kan politikken ikke strammes forsvarligt.
SPF. Findes recorden, er der kun én, og holder den sig under grænsen på ti DNS-opslag? Vi følger hele include-kæden ned, ikke bare det første led. Fejlen gemmer sig som regel tre niveauer nede hos en leverandørs leverandør.
DKIM. Vi afprøver fjorten almindelige selector-navne. Finder vi ingen, betyder det ikke nødvendigvis, at der ingen er. Nøglen ligger på et navn, kun I kender.
MX. Modtager domænet overhovedet mail? Et domæne uden MX kan stadig misbruges som afsender, og det bliver næsten altid glemt.
Hvad resultatet betyder
Scoren er en indikator, ikke en karakter. Et domæne med p=reject, gyldig SPF under grænsen og DKIM på plads får høj score, fordi de tre lag arbejder sammen.
Det, der trækker mest ned, er p=none. Det er også den hyppigste tilstand. Recorden blev sat op engang, politikken blev aldrig strammet, og domænet kan stadig spoofes frit.
Af de elleve domæner, vi gennemgik den seneste måned, havde syv ingen håndhævet politik. Tre havde slet ingen record. Fordelingen har ikke overrasket os en eneste gang.
Hvad I gør ved fundene
Rækkefølgen er den samme hver gang.
Find først ud af, hvem der sender i jeres navn. Ikke gættet, men skrevet ned. Også de systemer, marketing har oprettet uden om IT.
Få SPF og DKIM på plads for dem alle. DMARC uden de to er en tom instruks.
Sæt p=none og læs rapporterne i tre til fire uger. Her dukker de afsendere op, I ikke vidste I havde.
Stram derefter til quarantine og til sidst reject. Først dér er I beskyttet.
For en virksomhed med en håndfuld afsendersystemer tager forløbet fire til otte uger. Det er ikke teknikken, der trækker tiden. Det er beslutningen om at stramme. Sæt en dato på, allerede når recorden oprettes, ellers bliver det en opgave, der altid kan vente til efter næste kvartal.
Skal nogen tage forløbet for jer, er det den opgave, vi løser under stop mailspoofing.