Uso del Marco de Políticas del Remitente para Mitigar la Suplantación de Identidad

¿Qué es el Marco de políticas del remitente (SPF)?

El Marco de Políticas del Remitente (SPF) es un sistema de verificación de correo electrónico. Introducido por primera vez a través del Grupo de Trabajo de Ingeniería de Internet (IETF) en 2014, ayuda a determinar si el remitente de un mensaje tiene permiso para utilizar el dominio especificado.

¿Cómo funciona el protocolo SPF?

Un registro SPF —un registro DNS que identifica los hosts autorizados para enviar correo electrónico en nombre de un dominio específico— es un registro de base de datos que puede publicarse y consultarse mediante el protocolo SPF. Agregar un registro SPF al Sistema de Nombres de Dominio (DNS) también ayuda a proteger a los destinatarios y remitentes contra el spam, la suplantación de identidad y el phishing; los remitentes pueden establecer una lista de servidores aprobados para enviar correos electrónicos desde su dominio.

A continuación, los servidores receptores verifican el correo electrónico para asegurarse de que proviene de un servidor al que se le ha concedido permiso para enviar en nombre del dominio específico del remitente. Si se determina que el remitente no tiene permiso para enviar el correo electrónico desde ese dominio, la política de spam del servidor determinará qué hacer con el mensaje.

Aunque el estándar SPF existe desde hace muchos años, no se ha adoptado plenamente en todas partes, especialmente en las pequeñas empresas y en algunas organizaciones del mercado medio. Los atacantes se centran en las pequeñas empresas, ya que estas a menudo no cuentan con los conocimientos técnicos necesarios para configurar el SPF.

Al llevar a cabo ataques, un adversario oculta la dirección de correo electrónico desde la que envía los mensajes, una técnica conocida como suplantación de identidad. Como resultado, el destinatario ve el correo electrónico como si proviniera de una dirección conocida y de confianza.

Ejemplo de correo electrónico falso: documento compartido desde Google Drive que contiene una macro diseñada para establecer una conexión persistente en el dispositivo final.

El proceso del Marco de políticas del remitente (SPF):

El siguiente diagrama ilustra las acciones que realiza el servidor de correo electrónico receptor al recibir un correo electrónico.

1. El registro SPF lo crea el administrador del dominio de la organización y se publica en sus registros DNS.

2. El correo electrónico lo redacta alguien de la organización remitente y se envía a los destinatarios.

3. A continuación, el correo electrónico se transfiere del servidor de correo de la organización remitente al servidor de entrada.

4. Al recibir el correo electrónico, el servidor de entrada lee el dominio de la ruta de retorno que figura en el encabezado del correo para consultar los registros DNS de ese dominio.

5. A continuación, el servidor de correo entrante tomará la dirección IP del remitente del correo y la comparará con las direcciones IP que hayan sido preautorizadas en el registro SPF.

6. Una vez que se confirma que la dirección IP del remitente del correo coincide con una de las direcciones IP del registro SPF, el correo electrónico se entrega al destinatario previsto. Sin embargo, si no se encuentra una dirección IP que coincida con alguna del registro SPF, el servidor de correo entrante aplicará las reglas especificadas en el registro SPF del dominio y bloqueará o marcará el mensaje.

Cómo Datto SaaS Defense utiliza SPF para prevenir ataques de suplantación de identidad

Datto SaaS Defense trabaja para prevenir los ataques de phishing y spam desde el primer momento en que se detectan. En primer lugar, comprueba que el correo electrónico entrante tenga el dominio completo de la organización en su dirección de ruta de retorno. A continuación, SaaS Defense accede al registro SPF del dominio para verificar que el servidor remitente esté autorizado. SaaS Defense considera cualquier discrepancia como una señal definitiva de suplantación de identidad en el correo electrónico.

Datto SaaS Defense bloquea los correos electrónicos enviados entre clientes de su organización cuyos registros SPF no estén configurados correctamente. Aunque el remitente no tenga intenciones maliciosas, un registro SPF incorrecto provoca que el correo electrónico sea bloqueado.

Por qué las organizaciones deberían añadir un registro SPF a su dominio

SPF no es necesario para enviar correos electrónicos, pero al implementarlo, se proporciona una señal de confianza adicional al servidor de correo receptor, lo que aumenta la probabilidad de que los correos lleguen a la bandeja de entrada del destinatario.

Si bien el SPF no elimina todos los problemas causados por la suplantación de identidad, sí ofrece una capa adicional de protección que, combinada con estándares como DKIM y DMARC, puede mejorar las tasas de entrega y prevenir el uso indebido.

Limitaciones del Marco de Políticas del Remitente (SPF)

El Protocolo simple de transferencia de correo (SMTP) no cuenta con medidas de protección respecto a lo que se incluye en el campo«De»de un correo electrónico: el único requisito es una dirección de correo electrónico válida. Esto permite que los actores maliciosos se hagan pasar por una institución financiera, una empresa o cualquier persona, lo que llevó a la creación del SPF.

El SPF no verifica ni valida el dominio asociado a la dirección de correo electrónico. En cambio, examina el campo «Return-Path», es decir, la dirección que utiliza el servidor receptor para notificar al servidor de correo remitente cualquier problema de entrega. Por ejemplo, si la dirección de correo electrónico no existe en el servidor receptor. Por lo tanto, un correo electrónico puede pasar la verificación del SPF independientemente de si la direccióndel «Remitente»es falsa o no.

¿Cuál es la estructura de un registro SPF?

Aunque el proceso para agregar o actualizar un registro SPF puede variar ligeramente según el proveedor de correo electrónico, la sintaxis y los atributos del registro son universales.

Un registro SPF incluye los siguientes elementos (identificados en la imagen a continuación). Aunque parece complicado, consta de tres partes distintas.

• Versión (prefijo): Los dominios pueden tener varios registros TXT, que contienen información sobre la propiedad del dominio, la detección del servicio DNS e información DKIM. Los analizadores leen el SPF1 e identifican el registro que se utiliza para la verificación SPF.
• Mecanismos: El mecanismo identifica uno o varios servidores de correo electrónico específicos que se deben incluir en el registro SPF. El servidor de correo entrante busca el mecanismo que coincida con la dirección IP del remitente del correo. Un registro SPF puede constar de varios mecanismos, cada uno separado por un espacio.
• Regla de aplicación: Esta regla de calificación determina cómo debe procesar el servidor de correo entrante los mensajes enviados por un servidor que no esté definido en el SPF del dominio (es decir, un mensaje procedente de un servidor que no pase la verificación SPF).

Tipo de registro SPF Calificadores

Hay cuatro modificadores que indican el nivel de rigor con el que el servidor de entrada debe procesar un correo electrónico procedente de un servidor no autorizado.

Condición de fallo: Menos (-todo)

El calificador «menos» significa «fallo»: los correos electrónicos procedentes de servidores no autorizados deben bloquearse, no entregarse.

Condición de fallo suave: Tilde (~all)

El calificador de tilde significa «fallo leve»: los correos electrónicos procedentes de servidores no autorizados deben entregarse, pero marcarse como sospechosos (por ejemplo, como correo no deseado).

Requisitos de acceso: Plus (+todos)

El calificador «plus» significa «aprobar»: los correos electrónicos de cualquier servidor deben entregarse. No se recomienda utilizar este calificador.

Calificador neutro: Signo de interrogación (?all)

El calificador con signo de interrogación significa que es neutral, es decir, que no hay ninguna política. No se recomienda utilizar este calificador.

Cuando un correo electrónico no pasa las verificaciones de SPF, no se mostrará en la mayoría de los clientes de correo electrónico. Desafortunadamente, los actores maliciosos se han dado cuenta de esto y disfrazarán los correos electrónicos para que parezcan provenir de una fuente confiable o familiar para el destinatario. Neutralizar estas amenazas en los primeros segundos tras su llegada mantiene el buzón del usuario a salvo de correos electrónicos de spam, phishing y suplantación de identidad. La protección avanzada contra amenazas, como Datto SaaS Defense, es fundamental en la estrategia de ciberdefensa de un cliente para identificar los correos electrónicos en los que falla el SPF y otras amenazas de primer contacto con un SPF válido.

No dejes que tu empresa quede expuesta al ransomware y otros ataques cibernéticos. Únete a nosotros en el MSP Technology Day para aprender cómo aprovechar Datto SaaS Protection y Datto SaaS Defence para reforzar tus medidas de seguridad.