Implementando a Aplicação de Políticas DMARC

Visão Geral

Domain-based Message Authentication, Reporting and Conformance (DMARC) é a base da proteção anti-spoofing de e-mails. Uma implementação DMARC progride através de três fases: monitoramento (p=none), quarentena (p=quarantine) e aplicação total (p=reject). Quando configurado em p=reject, qualquer e-mail que falhe nas verificações SPF e DKIM é rejeitado imediatamente. Google e Yahoo agora exigem DMARC para remetentes em massa (mais de 5.000 e-mails), impulsionando uma redução de 65% em mensagens não autenticadas. A implementação geralmente leva de 3 a 6 meses para uma implantação segura.

Quando Usar

• Ao realizar avaliações de segurança que envolvam a implementação de políticas DMARC
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
• Ao realizar atividades programadas de testes ou auditoria de segurança
• Ao validar controles de segurança através de testes práticos

Pré-requisitos

• Acesso administrativo ao gerenciamento de DNS para o domínio
• Compreensão dos protocolos SPF, DKIM e DMARC (RFC 7208, 6376, 7489)
• Inventário completo de todas as fontes legítimas de envio de e-mail
• Ferramenta de análise de relatórios DMARC (EasyDMARC, DMARCLY, Valimail ou dmarcian)
• Gateway de e-mail com capacidade de aplicação DMARC

Conceitos Chave

Níveis de Política DMARC

Anatomia do Registro DMARC

v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc-agg@company.com; ruf=mailto:dmarc-forensic@company.com; adkim=r; aspf=r; fo=1

• p: Política para o domínio organizacional
• sp: Política para subdomínios
• pct: Porcentagem de mensagens sujeitas à política (para implementação gradual)
• rua: Destino do relatório agregado (relatórios XML diários)
• ruf: Destino do relatório forense (relatórios por falha)
• adkim: Modo de alinhamento DKIM (r=relaxed, s=strict)
• aspf: Modo de alinhamento SPF (r=relaxed, s=strict)
• fo: Opções de relatório de falha (0=ambos falham, 1=qualquer um falha)

Alinhamento SPF e DKIM

• Alinhamento SPF: O domínio no Return-Path (remetente do envelope) deve corresponder ao domínio do cabeçalho From
• Alinhamento DKIM: O domínio "d=" na assinatura DKIM deve corresponder ao domínio do cabeçalho From
• Relaxed (Relaxado): Correspondência do domínio organizacional (sub.exemplo.com corresponde a exemplo.com)
• Strict (Rígido): Correspondência exata do domínio exigida

Fluxo de Trabalho

Etapa 1: Inventariar Todas as Fontes de Envio (Semanas 1-2)

• Auditar todos os sistemas que enviam e-mail como seu domínio (marketing, CRM, tickets, transacionais)
• Documentar serviços de terceiros: Salesforce, Mailchimp, SendGrid, Zendesk, etc.
• Identificar servidores de e-mail internos, aplicativos e hosts de retransmissão
• Verificar o envio de e-mail por "shadow IT" (departamentos usando serviços não autorizados)

Etapa 2: Configurar SPF e DKIM (Semanas 2-4)

• Consolidar o registro SPF com todos os IPs de envio legítimos e includes
• Garantir que o registro SPF permaneça abaixo do limite de 10 consultas DNS
• Gerar e publicar chaves DKIM para cada fonte de envio
• Verificar se a assinatura DKIM funciona para todos os caminhos de e-mail de saída
• Testar com MX Toolbox ou validadores SPF/DKIM do dmarcian

Etapa 3: Implementar DMARC em Modo de Monitoramento (Semanas 4-6)

• Publicar o registro DMARC inicial: v=DMARC1; p=none; rua=mailto:dmarc@company.com; fo=1
• Aguardar 1-2 semanas para coletar relatórios agregados representativos
• Analisar relatórios para identificar remetentes não autorizados e falhas de alinhamento
• Corrigir SPF/DKIM para todas as fontes legítimas que apresentarem falhas
• Iterar até que todo o e-mail legítimo passe no DMARC

Etapa 4: Mover para Quarentena com a Tag pct (Semanas 6-12)

• Atualizar para quarentena em 10%: v=DMARC1; p=quarantine; pct=10; rua=...
• Monitorar falsos positivos (e-mail legítimo sendo colocado em quarentena)
• Aumentar o pct gradualmente: 10% -> 25% -> 50% -> 75% -> 100%
• A cada aumento: aguardar 1-2 semanas e revisar relatórios antes de avançar
• Corrigir quaisquer problemas de alinhamento restantes descobertos em cada estágio

Etapa 5: Avançar para a Política de Rejeição (Semanas 12-20)

• Após quarentena estável em 100%, mover para rejeição em 10%: v=DMARC1; p=reject; pct=10; rua=...
• Aumentar gradualmente o pct: 10% -> 25% -> 50% -> 100%
• Monitorar de perto e-mails legítimos sendo rejeitados
• Estabelecer procedimento de reversão de emergência (retornar para quarentena)
• Aplicar política de subdomínio: sp=reject para subdomínios

Etapa 6: Monitoramento e Manutenção Contínuos

• Monitorar continuamente os relatórios agregados DMARC
• Adicionar novas fontes de envio antes que comecem a enviar

…