Distribuire DMARC passo dopo passo
Distribuire DMARC riguarda meno la scrittura di un record DNS e più la conduzione di un rollout controllato: partire in modalità monitoraggio, scoprire ogni mittente legittimo, sistemare l’allineamento e poi applicare progressivamente. L’applicazione affrettata è la causa numero uno di posta legittima persa: trattatela come una migrazione a fasi.
Prerequisiti
DMARC poggia su SPF e DKIM: verificate prima che entrambi siano a posto.
- Un record SPF che copra ogni sorgente legittima (
v=spf1 ... -all), sotto il limite di 10 lookup. - Firma DKIM attiva presso i vostri provider di posta, con chiavi a 2048 bit pubblicate sotto i selettori.
Verificate che un messaggio reale oggi superi entrambi e sia allineato con il vostro dominio From: prima di toccare DMARC.
Passo 1 — Pubblicare un record di monitoraggio
Partite da p=none. Non cambia nulla nella consegna: richiede soltanto i report.
_dmarc.example.com. IN TXT
"v=DMARC1; p=none; rua=mailto:[email protected]; ruf=mailto:[email protected]; fo=1"
rua— dove vanno i report aggregati (XML giornaliero).ruf— report forensi/di fallimento (spesso non supportati per motivi di privacy; opzionali).fo=1— richiedi un report ogni volta che un qualsiasi meccanismo fallisce l’allineamento.
Se i report vanno a un dominio diverso, aggiungete lì un record di autorizzazione:
example.com._report._dmarc.reports-vendor.net. IN TXT "v=DMARC1"
Passo 2 — Leggere i report aggregati
I report aggregati sono XML, uno per destinatario al giorno, indicizzati per IP sorgente:
<record>
<row>
<source_ip>198.51.100.10</source_ip>
<count>42</count>
<policy_evaluated><dkim>pass</dkim><spf>fail</spf></policy_evaluated>
</row>
<identifiers><header_from>example.com</header_from></identifiers>
</record>
L’XML grezzo diventa insostenibile su larga scala: datelo in pasto a uno strumento di analisi DMARC. Costruite un inventario di ogni IP che invia: piattaforma di marketing, sistema di ticket, strumento HR, fatturazione, help desk, i vostri MTA. Per ciascuno verificate se supera SPF e/o DKIM e se è allineato.
Passo 3 — Sistemare i mittenti legittimi
Per ogni sorgente il cui allineamento fallisce:
- SPF fallito — aggiungete l’
include:o gli IP del mittente, tenendo d’occhio il tetto dei 10 lookup. - DKIM fallito — attivate DKIM presso quel provider e pubblicatene il selettore; l’allineamento DKIM resiste meglio agli inoltri, quindi preferitelo.
- Nessuno dei due si allinea — instradate quella posta su un percorso autenticato oppure spostatela su un sottodominio dedicato (ad esempio
mail.example.com) con record propri.
Iterate finché i report aggregati non mostrano circa il 100 % del volume legittimo superato e allineato. In una grande organizzazione questa fase può richiedere diverse settimane.
Passo 4 — Quarantena con rampa
Passate a quarantine, ma distribuitela gradualmente con pct:
"v=DMARC1; p=quarantine; pct=25; rua=mailto:[email protected]; adkim=s; aspf=s"
pct=25 applica la policy a un quarto casuale della posta che fallisce; il resto continua a essere trattato come none. Salite 25 → 50 → 100 nelle settimane successive, sorvegliando i report per eventuali mittenti legittimi sfuggiti.
Passo 5 — Applicare reject
Quando la quarantena a pct=100 è pulita, passate all’applicazione piena:
"v=DMARC1; p=reject; rua=mailto:[email protected]; adkim=s; aspf=s"
Non dimenticate i sottodomini. Impostate una policy esplicita così che nessuno possa abusare di uno inutilizzato:
"v=DMARC1; p=reject; sp=reject; rua=mailto:[email protected]"
Modalità di allineamento: stretta o rilassata
aspf=r/adkim=r(rilassata, predefinita) — basta lo stesso dominio organizzativo (mail.example.comsi allinea conexample.com).aspf=s/adkim=s(stretta) — serve corrispondenza esatta.
Di solito la rilassata è quella giusta; usate la stretta solo se controllate del tutto ogni mittente dei sottodomini.
Il senso di DMARC è
p=rejectcon alta copertura. Un dominio lasciato per sempre ap=noneè monitorato ma ancora falsificabile: la reportistica è il mezzo, l’applicazione è l’obiettivo.
Gestione nel tempo
- Continuate a leggere i report aggregati: nascono di continuo nuovi strumenti SaaS, che falliranno se non autorizzati.
- Ruotate periodicamente i selettori DKIM.
- Impostate allarmi sui picchi di volume fallito da IP sconosciuti: spesso è una campagna di spoofing in corso.
Come aiuta GottaPhish
Arrivare a p=reject ferma lo spoofing del dominio esatto, ma gli aggressori rispondono con domini simili ed esche sul nome visualizzato che DMARC non può bloccare. GottaPhish e il suo team di esperti chiudono questo divario residuo: simulazioni realistiche proprio contro quei vettori — domini «cugini», mittenti disallineati — più cruscotti che collegano ogni attacco alle persone che ci sono cadute. I nostri esperti seguono l’avvio, disegnano scenari coerenti con la vostra fase di applicazione e aiutano a interpretare i risultati, così il rollout DMARC procede insieme alla formazione che colma il divario umano.
