Trusted . Delivered.

Transcriptie

1 Trusted . Delivered. DMARC deployment in een enterprise omgeving SIDN connect, 29 november 2018

2 Introductie 2 Danny Hoogeveen Account Manager Michiel van de Vis CTO/Medeoprichter

3 Kennis niveau 3 Wie gebruikt SPF? Wie gebruikt DKIM?? Wie gebruikt DMARC? Voor wie is dit allemaal nieuw?

4 4 heeft één groot probleem Iedereen kan zich voordoen als uw bedrijf! Kunnen we dit oplossen? Jazeker!

5 5 76% van alle bedrijven is ten minste één keer slachtoffer geworden van een spear-phishing aanval in de afgelopen 12 maanden

6 6 Deze cijfers groeien! 1,5B? 105k? 30%? jaarlijkse schade door Business Compromise volgens FBI onderzoek gemiddelde kosten van een incident bij kleine tot grote organisaties van de phishing berichten wordt geopend volgens onderzoek van Verizon 12%? van de gebruikers klikt op een malafide bijlage of link

7 7

8 8 Voorbeeld phishing mail Afzender: no Groot publiek Geen bescherming via DMARC Geringe schade per slachtoffer Huidige status: DMARC geïmplementeerd 100% reject Beschermd tegen dit type phishing aanval

9 9 Voorbeeld spear phishing Afzender: C-level Ontvanger: specifieke groep gebruikers binnen een organisatie Zorgvuldig voorbereid Aanzienlijke schade per slachtoffer

10 10 Voorbeeld whaling Ontvanger: hooggeplaatst individu Zeer goed voorbereid: Uitgebreide processen Social engineering Specifieke informatie gebaseerd op de ontvanger en/of de verzender Focus meer op vergaren informatie dan op geld Dit is een gefabriceerd voorbeeld op basis van de recente aanval bij Pathé die aan het licht is gekomen.

11 11 Wat betekent een succesvolle aanval voor uw bedrijf? In het kort, het kan verwoestend zijn... Klanten vertrekken 60% van de klanten overweegt de samenwerking met een bedrijf te stoppen na een cyberaanval, zelfs als ze geen materiële schade hebben opgelopen, wat 30% wel zal doen. Bedrijven: 105k per incident Volgens FBI onderzoek is de schade van een aanval voor kleine tot grote bedrijven gemiddeld per onderzocht incident Gelukkig kunt u zich beschermen tegen een dergelijke aanval...

12 Hoe beschermt u uw bedrijf? 12 Binnenkomend verkeer beveiligen Anti-Spam oplossing Anti-Virus oplossing

13 DMARC als extra e -mail validatie techniek 13 DMARC is in 2012 gemaakt door enkele grote e -m a il p ro vid e rs d ie s a m e n zijn g a a n we rke n in d e s trijd tegen phishing en online misbruik. DMARC DMARC toegelicht DMARC (Domain-based Message Authentication Reporting and Conformance) is een e -mail validatie techniek gemaakt om uw e -mail domein tegen e - mail spoofing, phishing en andere online aanvallen te beschermen.

14 Inzicht & controle uitgaande berichten 14 Binnenkomend verkeer beveiligen Anti-Spam oplossing Anti-Virus oplossing DMARC Uitgaand verkeer controleren DMARC Verkrijg inzicht in en controle over uw uitgaande berichten!

15 DMARC combineert SPF & DKIM 15 DMARC SPF DKIM Sender Policy Framework SPF is niet ideaal voor het alle user cases en zal falen als een bericht wordt doorgestuurd. Het Mail From domein dat door SPF wordt beschermd is meestal niet zichtbaar in een client Domain Keys Identified Mail DKIM is lastiger in te stellen dan SPF omdat er een cryptografische handtekening moet worden toegevoegd aan elk verzonden bericht. DKIM zal falen als een bericht tijdens de aflevering wordt aangepast (zoals in het geval van een mailinglijst)

16 Aggregate & Forensic rapporten 16 Aggregate (RUA) rapporten (Veelal) op dagelijkse basis Geeft een overzicht van het e -mail verkeer Geeft een overzicht van alle IP adressen die mail sturen namens uw domeinnaam inclusief de authenticatie resultaten van deze berichten. Forensic (RUF) rapporten Real time Worden alleen verzonden voor de ongeldige berichten Bevat de originele bericht headers Kan ook de originele inhoud van het bericht bevatten.

17 DMARC: Krachtig 17 DMARC he e ft 3 ve rschille nd e DMARC policy le ve ls: None Quarantine Reject Gebruik deze policy om te starten met het verzamelen van DMARC data en te starten met de analyze. Zet berichten die zich niet houden aan de DMARC standaard in quarantaine. Dit betekent veelal dat de berichten in de spam folder worden geplaatst. Negeer alle berichten die zich niet aan de DMARC standaard houden volle d ig. Dit word t op SMTP niveau gedaan wat resulteert in een bounce naar de afzender.

18 Bedrijven die DMARC gebruiken 18 DMARC record voor Mimecast: v=dmarc1; p=none; sp=none; rf=afrf; pct=100; ri=86400 DMARC record voor NASA: v=dmarc1; p=reject; fo=1; ; sp=none DMARC record voor Formula One: v=dmarc1; p=none; ruf=mailto:b8e6e9f405e6974@rep.dmarcanalyzer.com; adkim=r; aspf=r; fo=1 (10/8/18) DMARC record voor Ministerie van Justitie en Veiligheid: v=dmarc1; p=quarantine; rua=mailto:dmarc- ruf=mailto:dmarc - forensic@minvenj.nl; rf=afrf; pct=100; DMARC record voor Vodafone.com: v=dmarc1; p=none; rua=mailto:adeeb5c538f9684@rep.dmarcanalyzer.com; ruf=mailto:adeeb5c538f9684@for.dmarcanalyzer.com; sp=none; fo=1 (10/8/18) DMARC record voor Reader s Digest: v=dmarc1; rua=mailto:8e2955e720d7497@rep.dmarcanalyzer.com; ruf=mailto:8e2955e720d7497@for.dmarcanalyzer.com; p=reject; pct=100; sp=reject; fo=0:1; (10/8/18)

19 DMARC adoptie trends 19

20 DMARC in een enterprise organisatie 20 Petrochemische onderneming uit het Midden -Oosten +/ (sub)domeinen Focus op merk bescherming & tegengaan BEC Waar loop je dan zoal tegenaan?

21 Proces DMARC deployment 21 Als een pure player binnen de DMARC wereld is onze missie om DMARC deployment eenvoudig te maken. We ondersteunen en begeleiden organisaties bij het beschermen van hun kanalen middels DMARC. Klanten profiteren van onze gebruiksvriendelijke software en services op maat. DMARC project fases Onboarding Governance Policy Analysis Policy Enforcement Active Monitoring

22 Wat hebben wij gedaan? 22 Onboarding DMARC data geanalyseerd en strategie keuze Legitieme bronnen onthuld en geauthenticeerd Groepsgewijze aanpak zorgt voor snel resultaat Stapsgewijs DMARC beleid toegepast False positives bewaken Full reject Blijvende monitoring resultaten

23 Uitdagingen? 23 Langdurig legal traject Publicatie DNS records (DMARC/DKIM/SPF) Derde partijen (achterhalen / contact / implementatie) Niet compatible bronnen Culturele verschillen

24 Resultaat 24 Nulmeting Eind meting Totaal aantal geblokkeerde malafide berichten 0 500k + per maand Aantal malafide bronnen Aantal malafide berichten die aankomen 1 miljoen per maand 0 Aantal niet geauthenticeerde legitieme bronnen Aantal domeinen met een reject policy Deze gegevens zijn gebaseerd op de door ons ontvangen DMARC data voor de betreffende partij

25 SIDN & DMARC 25 Verplicht voor overheidsorganisaties Inzage in kanalen Inzetbaar voor merkbescherming Effectief tegen impersonatie Onderdeel van SIDN scorecard

26 Vragen? 26?

27 DMARC Analyzer Address Stationsplein EX Hilversum The Netherlands Phone Phone DMARC Analyzer Stationsplein EX Hilversum Netherlands +31 (0) (0)

28 Wat is uitlijning? 28 Belangrijk onderdeel van DMARC Bewijst dat de verzender geauthenticeerd was Vereist een match met het From domein en: SPF Normaliter de Return -Path header: RFC5321.MailFrom (MAIL FROM) RFC5321.EHLO/HELO Niet zichtbaar voor eindgebruiker DKIM Het domein gespecificeerd in de d= parameter Zichtbaar in enkele GUI s ( ondertekend door X ) Meerdere uitlijnings modi Strict: vereist een exacte match tussen deze domeinen Relaxed: vereist een match tussen het organizational domain wat subdomeinen zal toestaan.

29 Wat gebeurt er met forwarders? 29 Voorbeelden: Een student stuurt berichten van zijn universiteit door naar adres Een gebruiker stuurt zijn inbox door naar een adres Een relaying gateway dat binnenkomende mail afhandelt, stuurt dit door naar ande re ontvange rs SPF is niet geschikt voor doorsturen De doorsturende server zal normaliter niet in de SPF record van het verzendende domein staan. DKIM kan doorsturen overleven De forwarder moet het bericht niet wijzigen: De inhoud moet gelijk blijven De in de DKIM-signature gebruikte headers moeten gelijk blijven De message encoding moet gelijk blijven De forwarde r kan: Extra headers toevoegen (m its d ie nie t wo rd e n g e b ruikt in d e DKIM-s ig na ture )

30 Hoe ziet een DMARC record er uit? 30 DMARC record versie Basis: _dmarc. <domeinnaam> IN TXT v=dmarc1;p=quarantine; rua=mailto: < adres> ; ruf=mailto: < adres>; pct=100;

31 Hoe ziet een DMARC record er uit? 31 DMARC policy Basis: _dmarc. <domeinnaam> IN TXT v=dmarc1; p=quarantine;rua=mailto: < adres> ; ruf=mailto: <e-m a ila d re s >; p c t=10 0 ;

32 Hoe ziet een DMARC record er uit? 32 DMARC aggregate rapport adres Basis: _dmarc. <domeinnaam> IN TXT v=dmarc1; p=quarantine; rua=mailto: < adres> ; ruf=mailto: <e-m a ila d re s >; p c t=10 0 ;

33 Hoe ziet een DMARC record er uit? 33 DMARC forensic rapport adres Basis: _dmarc. <domeinnaam> IN TXT v=dmarc1; p=quarantine; rua=mailto: < adres> ; ruf=mailto: <e-m a ilad re s >; pct=100;

34 Hoe ziet een DMARC record er uit? 34 Basis: _dmarc. <domeinnaam> IN TXT v=dmarc1;p=quarantine; rua=mailto: < adres> ; ruf=mailto: < adres>; pct=100;