跳到内容 
DMARC 报告提供了一种有效方法，可以在早期识别欺骗攻击，并就域名验证做出明智决策。如果定期分析 DMARC 报告，就可以验证发件人身份，并可靠地排除未经授权的电子邮件发件人。
中心点
- DMARC 报告 分析有助于及早发现欺骗企图。
- SPF- 和 DKIM-结果可为合法或欺诈性发件人提供有价值的线索。
- 明确界定 已评估政策-战场显示攻击是否被击退以及如何被击退。
- 该 来源 IP 提供域外可能的威胁源信息。
- 工具 自动评估 使经验不足的用户也能访问 DMARC 报告。
DMARC 报告包含哪些内容以及它们为何有用
DMARC 报告由机器可读的 XML 文件组成，记录了每次电子邮件发送尝试的 SPF 和 DKIM 结果。它们还包含有关 IP 地址、使用的域和应用的措施的信息。我可以使用这些报告来识别哪些电子邮件是合法的，哪些是可疑的欺骗企图。违反预期 SPF/DKIM 值或配置不正确的域对齐尤其有用。这些信息有助于我采取有针对性的技术和组织措施。 为了利用这些数据的实际优势，值得对 DMARC 报告中包含的信息类型有一个基本的了解。因为在很多情况下，附加值就体现在细节上：例如，DNS 记录中重复出现的错误配置可能是一个警告，表明某些发件人或应用程序没有正确集成。通过每次分析，我对自己的电子邮件基础架构有了更多了解，也更清楚哪些发件人真正属于我的合法网络。 特别是在大型组织中，多个自治部门和外部服务提供商代表主域发送电子邮件，复杂性会迅速增加。DMARC 报告则是可视化各种邮件来源的核心信息来源。这意味着我不会在毫无准备的情况下成为欺骗攻击的受害者，而是有机会在早期阶段进行干预并隔离未经授权的发件人。区分汇总报告和法证报告
DMARC 报告大致可分为两种类型：汇总报告提供许多交易的总体数据，每天发送，是长期分析的理想工具。而取证报告则提供对失败验证的个别分析，是实时威胁检测的重要工具。这两类报告具有不同的功能，应同时考虑。汇总报告揭示的是模式，而取证 DMARC 报告提供的是个别事件的具体证据。因此，这两种格式的结合尤为有效。 不过，应该注意的是，取证报告的提供程度往往不如汇总报告。数据保护法规或技术限制往往会限制报告的详细程度，这意味着有些交易只包含基本信息。尽管如此，还是值得索取并积极分析取证报告，因为这些报告还可以发现一些有针对性的攻击，而这些攻击在汇总数据中只能作为统计异常而被注意到。取证报告是迅速采取应对措施的重要工具，特别是在可疑情况严重时，如某个特定 IP 地址变得非常显眼时。 为了利用这两种方法的优势，建立同时使用汇总数据和取证数据的自动评估流程是很有意义的。这样，我就能了解整体情况，同时还能深入分析具体的可疑案件。
最重要的数据字段一览
本表显示 DMARC 汇总报告的典型字段及其含义：| 现场 | 意思 |
|---|---|
| 源 IP | 发送 IP 地址 - 对于追踪外部发件人非常重要 |
| 已评估政策 | 表示信息是否已被接受、隔离或拒绝 |
| SPF / DKIM | 两种认证方法的测试结果 |
| 标识符对齐 | 表示发送域是否与发件人字段正确匹配 |
识别可疑活动
我定期使用报告进行 DMARC 检查。如果源 IP 地址看起来可疑，我会首先检查它们是否是授权系统（如合作伙伴邮件服务器）。如果出现以我的域名反复发送电子邮件的未知 IP，则很有可能是欺骗企图。地理位置出乎意料的服务器位置也会让人觉得可疑，尤其是从没有业务联系的地区发送的查询。DMARC 报告会自动启动适当的保护措施。 IP 的来源在评估中尤其起着决定性的作用。例如，如果您只在欧洲开展业务，那么如果一个来自东南亚的 IP 地址突然开始发送大量电子邮件，您就应该怀疑。这种情况通常可以被识别为总部设在遥远地区的合法服务提供商。不过，要想从一开始就防止网络犯罪分子漏网，认真审查是必不可少的。 除了纯粹的 IP 分析外，还值得注意 SPF、DKIM 或对齐失败的频率。同一来源的多个签名失败是欺骗或网络钓鱼企图的强烈迹象。我通过系统化的文件记录来实现最高级别的安全性：我记录所有明显的来源，将其与现有合法发件人的白名单进行比较，必要时阻止未经授权 IP 的访问。
重新评估 SPF、DKIM 和对齐方式
DMARC 报告中的许多问题都是由于 SPF 或 DKIM 条目设置不正确造成的。因此，我定期检查 DNS 条目并使用验证工具来避免错误。特别相关：仅有 SPF 和 DKIM 结果是不够的。决定性因素是所谓的 对齐 - 即验证程序中使用的域名与可见发件人之间的对应关系。只有在这一点正确的情况下，信息才会被认定为经过完全验证。使用以下工具可以很容易地检查这一点 电子邮件认证指南. 任何使用外部服务提供商发送电子邮件（如时事通讯平台或客户关系管理系统）的人都应确保这些服务提供商也使用正确的 SPF 和 DKIM 设置。经常出现错误的原因是这些第三方提供商没有完全集成到您自己的基础设施中。如果 SPF 记录中缺少他们的 IP 地址或没有存储合适的 DKIM 密钥，验证就会失败。结果是：发件人被归类为潜在欺诈者，即使他们的行为实际上是合法的。 还有不同的对齐模式，如 "宽松 "或 "严格"。在许多情况下，"宽松 "模式足以防止合法电子邮件流量被拦截。但是，如果你有特别高的安全要求，或者已经成为欺骗攻击的受害者，就应该考虑切换到 "严格 "模式。虽然这可能会降低对最小偏差的容忍度，但也能防止攻击者仅通过最小修改的域名就能通过。确定处理策略
每个新域配置开始时，我都会将 DMARC 设置为监控模式（"策略=无"）。这样我就能知道谁在代表我的域发送电子邮件。在下一阶段，我会切换到 "隔离 "模式，将可能被欺骗的电子邮件隔离到垃圾邮件文件夹中。如果没有合法发件人通过，也没有欺骗企图，我就会使用 "拒收 "作为最后的保护机制。监控、保护和拒收这三者构成了防止滥用的安全框架。 根据公司规模和风险评估，在中间阶段停留更长时间可能是合理的。例如，"隔离 "已经可以为许多公司提供足够的保护，因为假冒邮件通常已被移至垃圾邮件文件夹，因此不再构成直接风险。同时，错误配置仍可纠正，而不会完全拒收重要邮件。因此，在采取 "拒收 "措施前应做好充分准备，仔细检查所有合法发件人并监控其配置。 在对错误的 DKIM/SPF 条目实施处罚之前，与所有利益相关者进行无缝沟通也很重要。如果内部或外部合作伙伴的 IT 资源有限，可能需要一些时间才能正确设置所有条目。透明的交流可以澄清误解，防止重要邮件突然被阻止。
自动分析 DMARC 报告
乍一看，DMARC 报告的 XML 结构似乎令人生畏。我没有手动分析每份报告，而是使用分析平台将这些报告转换成图形仪表盘。这样，我就能一目了然地识别出哪些 IP 地址更有可能是负面的，或者 SPF 错误何时增加。对于邮件量较大的公司，我建议使用自动工具，如解析器门户或集成安全服务。邮件 与垃圾邮件防护网关集成 在这里很有帮助。 自动化远不止读取报告这么简单。例如，一些先进的系统可以自动将可疑的 IP 地址列入黑名单，或在发现某些异常情况时立即通过电子邮件发送警报。这就减轻了人工监控的负担，让我可以更加专注于战略决策。自动 DMARC 分析对于及时做出反应几乎是必不可少的，尤其是在电子商务或大型通讯活动等邮件量较大的情况下。 即使是较小的项目，也不值得完全手工进行分析。如果使用免费平台或编写自己的脚本，就能很快熟悉 DMARC。如果需要，您还可以随时升级到专业工具。最佳实践：我定期检查的内容
为了有效保护我的域名不受欺骗，我始终坚持基本的验证流程：- 我每周都会分析 DMARC 的汇总报告，以了解新的 IP 地址和被拒绝的访问。
- 每次对基础设施进行更改时，我都会检查 SPF 和 DKIM 条目。
- 我创建了一个白名单，列出所有有权代表我的域名发送电子邮件的合法系统。
- 我优先对可疑模式进行评估，例如许多失败的 DKIM 签名。
明确认识并考虑到局限性
DMARC 报告不是一种通用的保护机制。由于数据保护规则的原因，取证报告并不总能提供完整的内容。配置不正确的云服务也会将合法的电子邮件送入深渊--即使它们在内容上是无害的。因此，我以区别对待的方式评估每个警告，特别是仔细查看被拒邮件的标题，然后决定是否应阻止或仅监控某个域。这需要定期关注，但可以有效防止身份滥用和名誉损失。 另一个挑战是正确评估国际发件人来源。如果我的公司在全球都有客户，仅仅封堵个别国家是不够的。我必须仔细区分真正的客户查询和恶意软件活动。监控 IP 地址和分析转发情况（如合法邮件服务器转发邮件）很快就会变得复杂。尤其是在涉及邮件列表或转发服务的情况下，对齐可能会出现问题，从而导致错误的 DMARC 结果。 我还应该意识到，仅靠 DMARC 并不能消除所有欺诈方法。例如，攻击者可以使用社交工程技术诱骗收件人点击虚假链接。DMARC 的确可以防止虚假发件人的电子邮件被成功发送，但必须继续提高 IT 环境的整体安全性和用户的警惕性。
