Schutz vor gefälschten E-Mails im Alias- / Phrasenfeld

Question

Wir haben die SPF-, DKIM- und DMARC-Richtlinien (100% abgelehnt) für unsere E-Mail-Domain (z. B. spoofed.com), die von Google Mail verwaltet wird, vollständig konfiguriert. Vor kurzem wurden jedoch Spear-Phishing-E-Mails mit dem folgenden Format (unsere E-Mail-Adressen /) angezeigt. Namen wurden bereinigt):

From: Bob Smith [email protected] <[email protected]>
Date: Wed, Aug 26, 2020 at 10:02 AM
Subject: External legal counsel.
To: <[email protected]>

tim,

I am contacting you regarding a sensitive operation that I have approved and for which I need you to manage it, has Adv.Thomas Legler informed you about this case?


Best Regards,
Bob Smith

Sent from my iPhone

Die E-Mail-Adresse von: lautet:

From: "Bob Smith [email protected]" <[email protected]>

So können wir sehen , dass die [email protected] E - Mail - Adresse „gefälscht“ , dass die Phisher imitieren versucht , einen Teil der E - Mail - Alias / Phrase Feld ist. Solche From-Header können dazu führen, dass Empfänger fälschlicherweise glauben, dass die E-Mail wirklich von [email protected] stammt, obwohl sie tatsächlich von [email protected] stammt .

Gibt es weitere Best-Practice-Schutzmaßnahmen, die wir einrichten können, um zu verhindern, dass gefälschte E-Mail-Adressen auf diese Weise in den E-Mail-Alias ​​aufgenommen werden?

Wenn weitere Header erforderlich sind, lassen Sie es mich bitte wissen.

Answer 1

DMARC- Schlüssel (und SPF und DKIM, obwohl diese nicht stark genug sind, um ohne DMARC zu blockieren) befinden sich ausschließlich in der Domäne in der Adresse, nicht im Freiformfeld, das als Friendly From oder Display Name (oder Alias ​​oder Phrase) bezeichnet wird. Es gibt kein solches Äquivalent für Friendly From Spoofing. ( BIMI ist ein Versuch, Firmenlogos zu erstellen , aber das ist wieder nicht Friendly From.)

Für Postfächer, die Sie steuern , können Sie einen Filter schreiben, der diese beendet. Ich kenne die Optionen von GMail nicht (aktivieren Sie zunächst die erweiterten Anti-Phishing- und Malware-Einstellungen von Google Mail ), aber mit der F / OSS SpamAssassin- Software können Sie eine Regel wie die folgende schreiben:

header    MF_SPOOFED_SPOOFED_COM  From:name =~ /\@spoofed\.com\b/i
describe  MF_SPOOFED_SPOOFED_COM  https://security.stackexchange.com/a/237604/42391
score     MF_SPOOFED_SPOOFED_COM  10

Ich verwende das Präfix, MF_weil Ihr Stack Exchange-Handle impliziert, dass dies Ihre Initialen sind. Es ist immer gut, Kredit aufzunehmen, damit Sie und Ihre Kollegen Fehler beheben können, wenn ein Problem auftritt.

Für Postfächer, die Sie nicht kontrollieren , können Sie leider nichts tun, um Fälschungen Ihrer Domain zu stoppen, bei denen Ihre genaue Domain nicht in der FromHeader-Adresse verwendet wird.