O mecanismo DMARC verifica o domínio do verdadeiro remetente de um e-mail e pode, assim, desmascarar e-mails falsos. Os especialistas da Kaspersky resolveram as desvantagens do relatório de autenticação de mensagem baseada em domínio e conformidade (DMARC) por meio de uma tecnologia recém-desenvolvida.
Ao longo da história do e-mail, as pessoas criaram muitas tecnologias para proteger os destinatários de e-mails fraudulentos (principalmente phishing). DomainKeys Identified Mail (DKIM) e Sender Policy Framework (SPF) tinham desvantagens significativas, portanto, o mecanismo de autenticação de email DMARC (Domain-based Message Authentication Reporting and Conformance) foi desenvolvido para identificar mensagens com um domínio de remetente falsificado. No entanto, o DMARC não provou ser uma panacéia. Portanto, os pesquisadores da Kaspersky desenvolveram tecnologia adicional para eliminar as desvantagens do DMARC.
Como funciona o DMARC
Uma empresa que deseja impedir que outras pessoas enviem e-mails em nome de seus funcionários pode configurar o DMARC em seu registro de recurso DNS. Isso basicamente permite que os destinatários da mensagem garantam que o nome de domínio no cabeçalho "De:" seja o mesmo que em DKIM e SPF. Além disso, o registro de recurso especifica o endereço para o qual os servidores de correio enviam relatórios de mensagens recebidas que falham na verificação (por exemplo, quando ocorreu um erro ou foi detectada uma tentativa de personificação fraudulenta do remetente).
No mesmo registro de recurso, também é possível configurar a política DMARC para determinar o que acontece com a mensagem se ela falhar na verificação. Três tipos de políticas DMARC cobrem esses casos:
- Rejeitar é a política mais rigorosa. Se você selecionar esta opção, todos os e-mails que não passarem na verificação DMARC serão bloqueados.
- Com a política de quarentena, dependendo do provedor de e-mail, a mensagem acaba na pasta de spam ou é entregue, mas marcada como suspeita.
- Com Nenhum, a mensagem chega à caixa de entrada do destinatário, embora um relatório ainda seja enviado ao remetente.
Desvantagens do DMARC
Desvantagens do DMARC
No geral, o DMARC é bastante capaz. A tecnologia torna o phishing muito mais difícil. Mas ao resolver um problema, esse mecanismo causa outro: falsos positivos. Mensagens inocentes podem ser bloqueadas ou marcadas como spam em dois tipos de casos.
- Mensagens encaminhadas: alguns sistemas de correio quebram as assinaturas SPF e DKIM em mensagens encaminhadas, independentemente de as mensagens serem encaminhadas de caixas de correio diferentes ou de serem reencaminhadas por meio de nós de correio intermediários (retransmissores).
- Configurações incorretas: não é incomum que administradores de servidores de e-mail cometam erros ao configurar DKIM e SPF.
Quando se trata de e-mail comercial, é difícil dizer qual cenário é pior: deixar passar um e-mail de phishing ou bloquear uma mensagem legítima.
Abordagem da Kaspersky para lidar com as falhas do DMARC
Essa tecnologia é sem dúvida útil, então a Kaspersky decidiu fortalecê-la adicionando aprendizado de máquina ao processo de validação, minimizando assim os falsos positivos sem prejudicar os benefícios do DMARC. E é assim que funciona:
Quando os usuários escrevem e-mails, eles usam um Mail User Agent (MUA), um programa de e-mail como o Microsoft Outlook. O programa é responsável por gerar a mensagem e enviá-la ao Mail Transfer Agent (MTA) para posterior roteamento. O programa de e-mail adiciona os cabeçalhos técnicos necessários ao corpo da mensagem, assunto e endereço do destinatário (que são preenchidos pelo usuário).
Os invasores costumam usar seus próprios programas de e-mail para burlar os sistemas de segurança. Via de regra, são mecanismos de correio caseiros que geram e preenchem mensagens de acordo com um determinado modelo. Por exemplo, eles geram cabeçalhos técnicos para mensagens e seu conteúdo. Cada programa de e-mail tem sua própria "caligrafia".
Distinguir e-mail legítimo de e-mail de phishing
Se a mensagem recebida falhar na verificação do DMARC, nossa tecnologia entrará em ação. Ele é executado em um serviço de nuvem que se conecta à solução de segurança no dispositivo. Ele começa analisando ainda mais a sequência do cabeçalho e o conteúdo dos cabeçalhos X-Mailer e Message-ID usando uma rede neural, permitindo que a solução diferencie um e-mail legítimo de um e-mail de phishing. A tecnologia foi treinada em uma enorme coleção de mensagens de e-mail (cerca de 140 milhões de mensagens, 40% das quais eram spam).
A combinação de tecnologia DMARC e aprendizado de máquina ajuda a garantir a proteção do usuário contra ataques de phishing, reduzindo o número de falsos positivos. Já implementamos a tecnologia em cada um de nossos produtos que possuem um componente antispam: Kaspersky Security for Microsoft Exchange Server, Kaspersky Security for Linux Mail Server, Kaspersky Security for Mail Gateway (parcialmente no Kaspersky Total Security for Business) e Kaspersky Security for Microsoft Escritório 365.
Leia mais no blog em Kaspersky.com
Sobre Kaspersky A Kaspersky é uma empresa internacional de cibersegurança fundada em 1997. A profunda inteligência de ameaças e experiência em segurança da Kaspersky serve como base para soluções e serviços de segurança inovadores para proteger empresas, infraestrutura crítica, governos e consumidores em todo o mundo. O abrangente portfólio de segurança da empresa inclui proteção de endpoint líder e uma variedade de soluções e serviços de segurança especializados para se defender contra ameaças cibernéticas complexas e em evolução. Mais de 400 milhões de usuários e 250.000 clientes corporativos são protegidos pelas tecnologias da Kaspersky. Mais informações sobre Kaspersky em www.kaspersky.com/