Analisar cabeçalhos de correio eletrónico: Como encontrar fontes de spam de forma rápida e fiável

A cabeçalho do correio eletrónico ajuda-o a reconhecer e-mails de phishing e spam de botnet mesmo antes de serem abertos. Ao analisar os cabeçalhos, pode localizar de forma fiável o remetente, a verificação de autenticação, a cadeia de entrega e as manipulações.

Pontos centrais

• Informações sobre o cabeçalho fornecer pormenores técnicos sobre a origem e a entrega de cada mensagem.
• SPF, DKIM e os valores DMARC mostram se um correio é legítimo ou foi manipulado.
• endereços IP e Linhas recebidas ajudam a encontrar o servidor de origem.
• Ferramentas para a análise de cabeçalhos facilitam a avaliação e a visualização das principais caraterísticas.
• Indicadores de spam tais como o estado X-Spam e os valores BCL indicam conteúdos indesejados ou perigosos.

O que é um cabeçalho de correio eletrónico?

Para além do texto visível, cada mensagem de correio eletrónico contém também uma secção invisível - o cabeçalho da mensagem. Esta secção é constituída por informações técnicas armazenadas linha a linha. Entre outras coisas, mostra através de que servidor a mensagem foi enviada, quando foi enviada e como o servidor de correio eletrónico do destinatário a verificou. Contém também resultados de autenticação e informações de segurança.

Um cabeçalho completo começa normalmente com o primeiro Recebido-line - documenta cronologicamente cada nó da cadeia de distribuição. Quanto mais cedo aparecer, mais próximo está da fonte original. Existem também dados de controlo, tais como Caminho de regresso, ID da mensagem, Resultados da autenticação ou Estado do X-Spam.

Campos de cabeçalho com relevância para a segurança

Alguns campos do cabeçalho de uma mensagem de correio eletrónico são particularmente úteis se pretender determinar a origem de uma mensagem de correio eletrónico não solicitado. Estes incluem o endereço completo Corrente recebidamas também domínios como Resultados da autenticação e X-Cabeçalhos.

Os dados SPF, DKIM e DMARC também são transmitidos no cabeçalho - por exemplo, desta forma:

Campo	Descrição	Exemplo
Resultados da autenticação	Resultado da autenticação do domínio	spf=pass; dkim=pass; dmarc=fail
Recebido	Histórico de receção através de saltos SMTP	de mail.example.com (IP) por mx.google.com
Estado do X-Spam	Resultado da verificação do filtro de spam	SIM, pontuação=9,1 necessária=5,0

Identificar fontes de spam com base nas linhas recebidas

O Linhas recebidas fornecem informações sobre as estações servidoras através das quais uma mensagem foi transportada. A última linha Recebido representa o servidor original, ou seja, a verdadeira fonte. Os remetentes de spam utilizam frequentemente cabeçalhos manipulados ou loops para disfarçar o caminho.

Em primeiro lugar, deve olhar para a linha mais antiga recebida e verificar se contém endereços IP invulgares, nomes de servidores ou desvios horários invulgares. Ao consultar o mapeamento GeoIP ou a resolução DNS, pode descobrir onde este servidor está localizado e se pertence a um fornecedor legítimo - ou se está registado em redes de spam conhecidas. Em casos críticos, uma comparação com bases de dados como Casa de Spam.

Reconhecimento de informações manipuladas do remetente

Os autores de spam manipulam frequentemente o campo do endereço de visualização ("De:"), os campos "responder a" ou o caminho de retorno. O remetente é levado a acreditar que o e-mail vem de um parceiro ou cliente de confiança. No entanto, os cabeçalhos revelam muito sobre o servidor de correio eletrónico tecnicamente responsável - há aqui contradições.

Se o "From:" e o "Return-Path:" não corresponderem, deve suspeitar. Um campo "Reply-To" que leva a um domínio completamente diferente também indica tentativas de engano. Alguns e-mails de phishing até contêm assinaturas DKIM falsas ou nomes de domínio supostamente válidos - mas o cabeçalho mostra o percurso real através da rede.

Ler verificações de autenticação: SPF, DKIM e DMARC

Para se proteger contra a falsificação e o correio de robôs, a maioria dos servidores de correio eletrónico recorre a procedimentos de autenticação. Estes geram resultados de verificação legíveis por máquina, por exemplo:

• FPS: O remetente estava autorizado a enviar através deste IP?
• DKIM: A chave criptográfica corresponde ao domínio de envio?
• DMARC: O endereço de origem e a autenticação são compatíveis?

Pode encontrar esta informação na linha "Authentication-Results:". O seu aspeto varia consoante o fornecedor, mas contém frequentemente SPF=pass, dkim=fail ou dmarc=pass. Se, por exemplo, o DMARC falhar mas o correio parecer estar correto, deve analisar o cabeçalho mais detalhadamente ou efetuar uma verificação DNS adicional. Nesses casos, faz sentido examinar mais de perto os relatórios DMARC - suportados por ferramentas como Relatórios do SecureNet para DMARC.

Avaliação do spam por filtros: estado do X-Spam e BCL

Muitas mensagens de correio eletrónico contêm campos adicionais que foram adicionados por um filtro interno de spam. Estes campos contêm uma pontuação ou estado que indica a probabilidade de o conteúdo ser indesejado. Estes são particularmente comuns:

Estado do X-Spam: Mostra se a mensagem ultrapassa o limiar do filtro interno (por exemplo, SIM, pontuação=9,3).

X-Spam-Level: Contém um número de asteriscos ("*") que representam um valor limite.

Valor BCL: Os mails da Microsoft-family contêm Business Category Level - um fator de risco entre 0 e 9.

Se estes valores forem muito elevados, deve iniciar ativamente o rastreio e a pesquisa do remetente. Muitas vezes, é possível encontrar informações cruciais sobre a configuração e a pontuação utilizando ferramentas de análise ou comparando-as com outros cabeçalhos do mesmo canal.

Ferramentas de análise para avaliação de cabeçalhos

A verificação manual dos cabeçalhos pode ser morosa. É por isso que muitas ferramentas oferecem análise gráfica, apresentam passos intermédios a cores ou permitem verificações diretas de IP. As soluções mais populares incluem

• Analisador de Cabeçalho de Mensagem da Microsoft (compatível com Office365)
• Google Header Analyser (para Gmail)
• Mailheader.net (multiplataforma, código aberto)

Estas ferramentas destacam explicitamente as avaliações SPF, DKIM ou DMARC. Os mapeamentos IP-DNS, as configurações incorrectas ou as cadeias incompletas também podem ser rapidamente reconhecidos num relance. Gosto de as utilizar quando analiso o reencaminhamento ou a entrada de correio em massa.

Dados de registo como fonte suplementar: análise do servidor de correio eletrónico

Para além do cabeçalho do correio eletrónico, os registos do servidor de correio eletrónico também fornecem mais informações. Aqui pode identificar facilmente fluxos de mensagens correlacionados, entregas incorrectas ou remetentes recorrentes. Os registos detalhados são particularmente úteis em ambientes empresariais com Postfix, Exim ou Microsoft Exchange.

A combinação de cabeçalhos e registos fornece uma imagem mais completa. Por exemplo, procuro cadeias de ID de mensagens suspeitas ou domínios IP que fornecem repetidamente dados SPF incorrectos. A análise técnica pode ser organizada de forma eficiente - por exemplo, com Análise do ficheiro de registo do Postfix e devoluções automáticas.

Classificação das vias de transporte legítimas

Nem todas as linhas de cabeçalho de aspeto invulgar são automaticamente suspeitas. Um serviço de terceiros pode estar envolvido: Os serviços de boletins informativos, os sistemas CRM ou os gateways internos alteram frequentemente as entradas DKIM/SPF. O contexto é crucial aqui.

Deve guardar regularmente os cabeçalhos de referência de remetentes legítimos. Isto permitir-lhe-á reconhecer imediatamente a diferença em casos invulgares. Isto aumenta a rapidez dos diagnósticos de encaminhamento ou de erros críticos de entrega.

Detetar de forma fiável as fontes de spam através da análise dos cabeçalhos

Os cabeçalhos de correio eletrónico contêm inúmeras pistas técnicas que lhe permitem reconhecer utilizações indevidas e conteúdos indesejados de uma forma muito mais direcionada. Pode descobrir cadeias de servidores ocultas, erros de autenticação ou falsificações direcionadas. Isto é muito mais eficaz do que uma verificação puramente baseada no conteúdo.

Ao verificar regularmente cabeçalhos suspeitos e documentar anomalias, pode melhorar as suas taxas de entrega e proteger o seu encaminhamento de correio. Também pode proteger a sua infraestrutura contra entradas de lista e escaladas de abuso.

Procedimentos avançados para casos complexos

Especialmente em ambientes empresariais de maior dimensão ou com tráfego intenso de correio eletrónico, é frequente aparecerem várias estações de reencaminhamento e intermédias nas linhas recebidas. Por exemplo, as empresas enviam através de fornecedores externos de listas de correio eletrónico ou utilizam dispositivos anti-spam centralizados. Isto resulta em campos adicionais de cabeçalho Received e X, que podem parecer confusos à primeira vista. Nessas situações, pode ser útil desenhar diagramas pormenorizados ou gerar uma lista automática utilizando ferramentas de análise de cabeçalhos.

Se tiver de lidar frequentemente com cabeçalhos complexos, pode também criar uma lista de controlo. Esta contém os elementos típicos e o seu conteúdo esperado. Na lista, indique quais os IPs que estão armazenados como servidores de origem autorizados na sua zona SPF e quais os selectores DKIM que devem aparecer nos e-mails. Assim que encontrar desvios, este é um bom indicador de uma possível manipulação do cabeçalho.

• Comparação com cabeçalhos de referência: Tenha à mão exemplos de mensagens de correio eletrónico legítimas do seu domínio.
• Manutenção regular dos seus registos DNS: As estruturas IP alteradas devem ser sempre reflectidas prontamente no SPF e no DMARC.
• Consideração dos transitários: Verificar se o ARC (Authenticated Received Chain) é utilizado para transmitir informações de autenticação.

ID da mensagem e seu significado

O campo também é revelador ID da mensagem. A cada mensagem de correio eletrónico enviada é atribuído um identificador único quando é criada ou transportada. No entanto, algumas campanhas de spam utilizam IDs de mensagens genéricos ou completamente aleatórios que não podem ser associados ao remetente ou ao conteúdo. IDs de mensagens duplicadas ou IDs visivelmente simples também podem indicar ferramentas automatizadas de spam.

Em alguns casos, é possível utilizar ficheiros de registo ou sistemas de arquivo para encontrar IDs de mensagens semelhantes e, assim, reconhecer padrões. Isto permite-lhe detetar mais rapidamente campanhas de phishing em série. Se o ID da mensagem também for inconsistente com o domínio no campo "De:", isso aumenta a probabilidade de as informações do remetente terem sido falsificadas aqui.

Normas de segurança complementares: ARC e BIMI

A Authenticated Received Chain (ARC) pode ser utilizada para fluxos de correio complexos com reencaminhamento ou listas de correio, em particular. Permite transmitir os resultados da autenticação através de estações intermédias, para que os servidores de correio dos destinatários possam avaliar melhor se um correio é legítimo. Isto pode ser reconhecido no cabeçalho por linhas como ARC-Seal ou Resultados da autenticação ARC. Se estes cabeçalhos forem geridos corretamente, uma assinatura DKIM original permanece válida mesmo após o reencaminhamento.

Existem também iniciativas mais recentes, como o BIMI (Brand Indicators for Message Identification), que pode apresentar o logótipo do remetente se o DMARC for implementado corretamente. Embora o BIMI não seja um componente direto do cabeçalho do correio eletrónico em termos da cadeia de entrega, só funciona de forma fiável se os dados do cabeçalho, como o DKIM e o DMARC, puderem ser analisados corretamente. Desta forma, o BIMI fornece uma indicação visual sobre se um correio eletrónico provém efetivamente do proprietário da marca ou se é uma falsificação.

Configurações incorrectas típicas e como as encontrar

Nem todos os cabeçalhos chamativos são o resultado de intenções maliciosas. Muitas vezes, erros simples de configuração estão por detrás deles. Por exemplo, o seu próprio servidor de correio pode, inadvertidamente, fornecer entradas SPF ou DKIM incorrectas se não tiver ajustado corretamente o DNS ao mudar de host. As entradas com "softfail" em vez de "pass" também indicam por vezes que o IP do remetente não está incluído no registo SPF.

• Assinatura DKIM em falta: Serviços de assinatura acidentalmente não activados ou incorretamente configurados.
• IPs inadequados na entrada SPF: IPs novos ou eliminados não actualizados.
• Subdomínios esquecidos: Os subdomínios são facilmente ignorados, especialmente em organizações maiores, pelo que não é introduzido um registo SPF correto.

Se continuar a deparar-se com a mesma configuração incorrecta durante a verificação do cabeçalho, deve verificar a entrada DNS do remetente e corrigir eventuais erros de digitação. Isto reduzirá a taxa de falsos positivos para e-mails legítimos e, ao mesmo tempo, garantirá uma defesa eficaz contra o spam.

Monitorização e tempos de resposta

Uma estratégia anti-spam eficaz exige que seja capaz de reconhecer rapidamente os e-mails conspícuos e reagir em conformidade. Dependendo da dimensão da sua rede ou do número de e-mails que recebe diariamente, a automatização pode valer a pena. Muitas empresas criam sistemas SIEM ou de gestão de registos que analisam automaticamente os cabeçalhos das mensagens de correio eletrónico e verificam a existência de ameaças. São definidos determinados valores-limite acima dos quais é comunicado um incidente.

Outra medida útil é a formação regular dos empregados que trabalham no apoio ao cliente ou na equipa de TI. Eles devem saber como reconhecer imediatamente os piores indicadores de spam no cabeçalho. Desta forma, é possível evitar que uma mensagem de correio eletrónico crítica permaneça no sistema durante demasiado tempo antes de ser identificada como uma ameaça. Uma vez reconhecido um incidente, uma rotina clara de resposta a incidentes apoia uma investigação mais aprofundada. É aqui que as ferramentas e técnicas descritas no artigo entram novamente em ação.

Integração da análise do cabeçalho no processo global de segurança

Uma análise exaustiva do cabeçalho nunca deve ser efectuada de forma isolada. Pode combiná-la com outras medidas de segurança para criar uma cadeia de defesa holística. Por exemplo, depois de encontrar um endereço IP suspeito, não só verifica o estado SPF, como também efectua uma análise antivírus e de ligações no corpo da mensagem. As verdadeiras ondas de spam de botnets baseiam-se frequentemente em múltiplos ângulos de ataque, incluindo anexos manipulados, ligações forjadas ou cavalos de Troia.

Se utilizar uma pilha de segurança normalizada, pode também combinar os resultados da análise de cabeçalhos com informações de firewalls, segurança de terminais ou registos de servidores Web. Um IP que esteja atualmente a causar falhas de início de sessão ou ataques DDoS para vários serviços é particularmente suspeito se aparecer nas linhas de correio eletrónico recebidas ao mesmo tempo. Isto permite-lhe obter um tempo de resposta significativamente mais rápido e uma avaliação de segurança abrangente.

Melhores práticas para uma avaliação eficiente do cabeçalho

Para ter sucesso a longo prazo, é aconselhável seguir alguns princípios básicos ao analisar os cabeçalhos. Estes princípios incluem

• Proceder de forma sistemática: Trabalhar de acordo com uma sequência definida, por exemplo, primeiro as linhas recebidas, depois os resultados da autenticação, seguidos dos cabeçalhos X.
• Atualizar regularmente: Mantenha actualizadas as bases de dados de conhecimento e os cabeçalhos de referência dos seus parceiros de comunicação mais importantes.
• Utilizar ferramentas automatizadas: Algumas coisas podem ser feitas mais rapidamente e de forma mais segura utilizando ferramentas de análise especializadas - especialmente em ambientes de grande volume.
• Documentação sustentável: Qualquer anomalia no cabeçalho pode fazer parte de um padrão maior. Utilize bilhetes ou registos internos para gerir os incidentes de forma rastreável.

Em particular nas equipas, é boa ideia manter uma base de dados de conhecimentos e recolher exemplos específicos de correio eletrónico - incluindo cabeçalhos, resultados de autenticação e um breve resumo da análise. Desta forma, mesmo os novos colegas podem aprender rapidamente o que é importante quando se analisa uma mensagem de correio eletrónico suspeita.

Benefícios partilhados para o remetente e o destinatário

Uma infraestrutura de correio eletrónico limpa e rastreável não é apenas importante para os destinatários, mas também para si, enquanto remetente. Qualquer pessoa que envie newsletters profissionais ou mensagens de correio eletrónico transaccionais deve garantir que todos os mecanismos de autenticação estão corretamente configurados. Caso contrário, os e-mails podem acabar na pasta de spam sem querer. Uma entrada SPF correta, assinaturas DKIM válidas e uma política DMARC adequada garantem que os remetentes com boa reputação são imediatamente reconhecidos e têm menos probabilidades de serem apanhados em filtros questionáveis.

Os destinatários, por sua vez, beneficiam de rotas e resultados de autenticação claramente visíveis, uma vez que podem detetar potenciais ataques ou tentativas de falsificação muito mais rapidamente. Isto resulta numa troca de correio eletrónico transparente de ambos os lados, o que cria confiança e minimiza as superfícies de ataque.

Resumo

A análise de cabeçalhos é uma das técnicas mais importantes para verificar o tráfego de correio eletrónico e reconhecer ataques de spam ou phishing antes de causarem danos. Ao analisar as cadeias recebidas, as verificações de autenticação (SPF, DKIM, DMARC) e os campos especificamente inseridos, como o X-Spam-Status ou os valores BCL, é possível descobrir truques ocultos e tentativas de engano direcionadas. Em ambientes complexos, é útil proceder de forma sistemática, manter cabeçalhos de referência e documentar desvios com precisão. Ao mesmo tempo, vale a pena combinar ferramentas e análises de registos para obter resultados fiáveis.

Aqueles que analisam regularmente os cabeçalhos de correio eletrónico e lidam com os padrões que descobrem não só beneficiam de uma maior segurança e de taxas de spam mais baixas, como também melhoram a sua própria taxa de entrega. Uma abordagem estruturada, as ferramentas certas e uma base sólida de conhecimentos sobre registos DNS, comportamento do servidor de correio e configurações propensas a fiascos são as chaves para um tráfego de correio seguro e fiável.