Verwendung von Sender Policy Framework zur Eindämmung von Spoofing

Was ist das Sender Policy Framework (SPF)?

Sender Policy Framework (SPF) ist ein E-Mail-Überprüfungssystem. Es wurde erstmals 2014 von der Internet Engineering Task Force (IETF) eingeführt und hilft dabei festzustellen, ob ein Absender einer Nachricht die Erlaubnis hat, die angegebene Domain zu verwenden.

Wie funktioniert das SPF-Protokoll?

Ein SPF-Datensatz - ein DNS-Datensatz, der die Hosts identifiziert, die berechtigt sind, E-Mails im Namen einer bestimmten Domain zu senden - ist ein Datenbankdatensatz, der vom SPF-Protokoll veröffentlicht und abgefragt werden kann. Das Hinzufügen eines SPF-Datensatzes zum Domain Name System (DNS) trägt auch zum Schutz von Empfängern und Absendern vor Spam, Spoofing und Phishing bei; Absender können eine Liste zugelassener Server für den Versand von E-Mails von ihrer Domain erstellen.

Die E-Mail wird dann von den empfangenden Servern überprüft, um sicherzustellen, dass sie von einem Server stammt, dem die Erlaubnis erteilt wurde, die E-Mail im Namen der Domäne des Absenders zu versenden. Wenn festgestellt wird, dass der Absender nicht berechtigt ist, die E-Mail von dieser Domäne aus zu versenden, bestimmt die Spam-Richtlinie des Servers, was mit der Nachricht zu tun ist.

Obwohl es den SPF-Standard schon seit vielen Jahren gibt, hat er sich noch nicht überall durchgesetzt, vor allem nicht in kleinen Unternehmen und einigen mittelständischen Betrieben. Angreifer haben es auf kleine Unternehmen abgesehen, da diese oft nicht über das technische Know-how verfügen, um SPF zu konfigurieren.

Bei Angriffen verschleiert ein Angreifer die E-Mail-Adresse, von der er die E-Mails sendet, eine Technik, die als Spoofing bekannt ist. Infolgedessen erscheint die E-Mail dem Empfänger als von einer bekannten und vertrauenswürdigen E-Mail-Adresse stammend.

Beispiel für eine gefälschte E-Mail: ein von Google Drive freigegebenes Dokument, das ein Makro-Dokument enthält, das dazu dient, die Konnektivität auf dem Endpunkt aufrechtzuerhalten.

Der Prozess des Sender Policy Framework (SPF):

Das folgende Diagramm veranschaulicht die Aktionen des empfangenden E-Mail-Servers beim Empfang einer E-Mail.

1. Der SPF-Eintrag wird vom Domain-Administrator der Organisation erstellt und in deren DNS-Einträgen veröffentlicht.

2. Die E-Mail wird von einem Mitarbeiter der absendenden Organisation verfasst und an die Empfänger gesendet.

3. Die E-Mail wird anschließend vom E-Mail-Server der absendenden Organisation an den Posteingangsserver weitergeleitet.

4. Nach Erhalt der E-Mail liest der Posteingangsserver die im E-Mail-Header angegebene „Return-Path“-Domain aus, um die DNS-Einträge dieser Domain abzufragen.

5. Anschließend ermittelt der Posteingangsserver die IP-Adresse des Absenders und vergleicht sie mit den IP-Adressen, die im SPF-Eintrag vorab autorisiert wurden.

6. Sobald bestätigt ist, dass die IP-Adresse des E-Mail-Absenders mit einer der IP-Adressen im SPF-Eintrag übereinstimmt, wird die E-Mail an den vorgesehenen Empfänger zugestellt. Stimmt die IP-Adresse jedoch nicht mit einer im SPF-Eintrag überein, wendet der Posteingangsserver die im SPF-Eintrag der Domain festgelegten Regeln an und blockiert die Nachricht entweder oder kennzeichnet sie.

Wie Datto SaaS Defense SPF verwendet, um Spoofing-Angriffe zu verhindern

Datto SaaS Defense verhindert Phishing- und Spam-Angriffe bereits beim ersten Auftreten. Zunächst wird überprüft, ob die eingehende E-Mail die gesamte Domäne des Unternehmens in ihrer Rücksprungadresse enthält. Dann greift SaaS Defense auf den SPF-Eintrag der Domäne zu, um zu überprüfen, ob der sendende Server autorisiert ist. SaaS Defense betrachtet jede Diskrepanz als definitives Zeichen für E-Mail-Spoofing.

Datto SaaS Defense blockiert E-Mails, die zwischen Clients in Ihrem Unternehmen gesendet werden und deren SPF-Einträge nicht korrekt konfiguriert sind. Auch wenn der Absender keine böswilligen Absichten hat, führt ein ungenauer SPF-Eintrag dazu, dass die E-Mail blockiert wird.

Warum Unternehmen einen SPF-Eintrag zu ihrer Domain hinzufügen sollten

SPF ist für den Versand von E-Mails nicht erforderlich, aber mit dieser Richtlinie geben Sie dem empfangenden Mailserver ein zusätzliches Vertrauenssignal, das die Wahrscheinlichkeit erhöht, dass die E-Mails den Posteingang des Empfängers erreichen.

SPF beseitigt zwar nicht alle durch Spoofing verursachten Probleme, bietet jedoch eine zusätzliche Schutzebene, die in Kombination mit Standards wie DKIM und DMARC die Zustellraten verbessern und Missbrauch verhindern kann.

Beschränkungen des Sender Policy Framework (SPF)

Das Simple Mail Transfer Protocol (SMTP) sieht keine Schutzmaßnahmen hinsichtlich der Angaben im„Von“-Feld einer E-Mail vor: Die einzige Voraussetzung ist eine gültige E-Mail-Adresse. Dies ermöglicht es Angreifern, sich als Finanzinstitut, Arbeitgeber oder eine beliebige Person auszugeben – was zur Entwicklung von SPF führte.

SPF überprüft oder validiert die mit der E-Mail-Adresse verknüpfte Domain nicht. Stattdessen wird der „Return-Path“ überprüft – also die Adresse, über die der empfangende Server den sendenden Mailserver über Zustellungsprobleme informiert. Beispielsweise könnte die E-Mail-Adresse auf dem empfangenden Server nicht existieren. Somit kann eine E-Mail die SPF-Prüfung bestehen, unabhängig davon, ob die„Von“-Adressegefälscht ist oder nicht.

Wie ist ein SPF-Eintrag aufgebaut?

Während der Prozess des Hinzufügens oder Aktualisierens eines SPF-Eintrags bei jedem E-Mail-Anbieter leicht variieren kann, sind die Syntax und die Attribute des Eintrags universell.

Ein SPF-Datensatz besteht aus den folgenden Elementen (in der Abbildung unten dargestellt). Obwohl er kompliziert aussieht, besteht er aus drei verschiedenen Teilen.

• Version (Präfix): Domains können mehrere TXT-Einträge enthalten, die Angaben zum Domain-Eigentümer, zur Erkennung des DNS-Dienstes sowie DKIM-Informationen enthalten. SPF1 wird von den Parsern ausgelesen und gibt den Eintrag an, der für die SPF-Prüfung verwendet wird.
• Mechanismen: Der Mechanismus gibt einen oder mehrere bestimmte E-Mail-Server an, die in den SPF-Eintrag aufgenommen werden sollen. Der eingehende Mailserver sucht nach dem Mechanismus, der mit der IP-Adresse des E-Mail-Absenders übereinstimmt. Ein SPF-Eintrag kann aus mehreren Mechanismen bestehen, die jeweils durch ein Leerzeichen voneinander getrennt sind.
• Durchsetzungsregel: Diese Qualifizierungsregel legt fest, wie der Posteingangsserver E-Mails verarbeiten soll, die von einem Server gesendet wurden, der nicht im SPF der Domain definiert ist (d. h. eine E-Mail von einem Server, der die SPF-Überprüfung nicht besteht).

Typ des SPF-Eintrags Qualifier

Es gibt vier Qualifizierer, um die Strenge anzugeben, mit der der Eingangsserver eine E-Mail von einem nicht autorisierten Server verarbeiten soll.

Fail Qualifier: Minus (-all)

Das Minuszeichen bedeutet "fail" - E-Mails von nicht autorisierten Servern sollen blockiert und nicht zugestellt werden.

Soft Fail Qualifier: Tilde (~alle)

Der Tilde-Qualifizierer bedeutet Soft Fail - E-Mails von nicht autorisierten Servern sollten zugestellt werden, aber als verdächtig (z. B. Junk) gekennzeichnet werden.

Pass Qualifier: Plus (+all)

Der Plus-Qualifier bedeutet, dass E-Mails von beliebigen Servern zugestellt werden sollen. Es wird nicht empfohlen, diesen Qualifizierer zu verwenden.

Neutraler Qualifier: Fragezeichen (?all)

Der Fragezeichen-Qualifizierer bedeutet neutral, es gibt keine Richtlinie. Es wird nicht empfohlen, diesen Qualifizierer zu verwenden.

Wenn eine E-Mail die SPF-Prüfung nicht besteht, wird sie in den meisten E-Mail-Clients nicht angezeigt. Leider haben Bedrohungsakteure dies herausgefunden und tarnen E-Mails so, dass sie von einer vertrauenswürdigen oder dem Empfänger bekannten Quelle stammen. Die Neutralisierung dieser Bedrohungen innerhalb der ersten Sekunden nach ihrem Eintreffen schützt die Mailbox des Benutzers vor Spam-, Phishing- und Spoofing-E-Mails. Ein erweiterter Bedrohungsschutz wie Datto SaaS Defense ist ein wichtiger Bestandteil der Cyber-Abwehrstrategie eines Kunden, um E-Mails zu identifizieren, bei denen SPF versagt, und andere Bedrohungen mit gültigem SPF zu erkennen.

Lassen Sie Ihr Unternehmen nicht der Gefahr durch Ransomware und andere Hackerangriffe schutzlos ausgeliefert. Nehmen Sie am MSP Technology Day teil und erfahren Sie, wie Sie mit Datto SaaS Protection und Datto SaaS Defence Ihre Sicherheitsmaßnahmen verstärken können.