Utilisation de Sender Policy Framework pour atténuer le spoofing

Qu'est-ce que le Sender Policy Framework (SPF) ?

Sender Policy Framework (SPF) est un système de vérification des courriels. Introduit pour la première fois par l'Internet Engineering Task Force (IETF) en 2014, il permet de déterminer si l'expéditeur d'un message a la permission d'utiliser le domaine spécifié.

Comment fonctionne le protocole SPF ?

Un enregistrement SPF - un enregistrement DNS qui identifie les hôtes autorisés à envoyer des e-mails au nom d'un domaine spécifique - est un enregistrement de base de données qui peut être publié et interrogé par le protocole SPF. L'ajout d'un enregistrement SPF au système de noms de domaine (DNS) contribue également à protéger les destinataires et les expéditeurs contre le spam, l'usurpation d'identité et l'hameçonnage ; les expéditeurs peuvent établir une liste de serveurs approuvés pour envoyer des courriels à partir de leur domaine.

L'e-mail est ensuite vérifié par les serveurs de réception pour s'assurer qu'il provient d'un serveur qui a reçu l'autorisation d'envoyer au nom du domaine de l'expéditeur spécifique. S'il s'avère que l'expéditeur n'est pas autorisé à envoyer l'e-mail à partir de ce domaine, la politique anti-spam du serveur déterminera ce qu'il convient de faire du message.

Bien que la norme SPF existe depuis de nombreuses années, elle n'a pas été totalement adoptée partout, en particulier dans les petites entreprises et certaines organisations de taille moyenne. Les attaquants ciblent les petites entreprises car elles ne possèdent souvent pas le savoir-faire technique nécessaire pour configurer SPF.

Lors d'une attaque, un adversaire dissimule l'adresse électronique à partir de laquelle il envoie les courriels, une technique connue sous le nom d'usurpation d'identité. Le destinataire a ainsi l'impression que l'e-mail provient d'une adresse électronique connue et fiable.

Exemple d'email usurpé : document partagé à partir de Google Drive contenant un document macro conçu pour établir la persistance de la connectivité sur le point final.

Le processus Sender Policy Framework (SPF) :

Le diagramme ci-dessous illustre les actions du serveur de messagerie de réception lors de la réception d'un courriel.

1. L'enregistrement SPF est créé par l'administrateur de domaine de l'organisation et publié dans ses enregistrements DNS.

2. L'e-mail est rédigé par un membre de l'organisme expéditeur et envoyé aux destinataires.

3. L'e-mail est ensuite transféré du serveur de messagerie de l'organisme expéditeur vers le serveur de réception.

4. À la réception du courriel, le serveur de réception lit le domaine du « return-path » indiqué dans l'en-tête du courriel afin de consulter les enregistrements DNS de ce domaine.

5. Ensuite, le serveur de messagerie entrant récupère l'adresse IP de l'expéditeur du message et la compare aux adresses IP préalablement autorisées dans l'enregistrement SPF.

6. Une fois qu'il est confirmé que l'adresse IP de l'expéditeur correspond à l'une des adresses IP figurant dans l'enregistrement SPF, l'e-mail est remis au destinataire prévu. En revanche, si aucune correspondance n'est trouvée entre l'adresse IP et celles de l'enregistrement SPF, le serveur de messagerie entrant appliquera les règles spécifiées dans l'enregistrement SPF du domaine et bloquera ou marquera le message.

Comment Datto SaaS Defense utilise SPF pour prévenir les attaques de spoofing

Datto SaaS Defense s'efforce de prévenir les attaques de phishing et de spam dès la première fois qu'elles se produisent. Tout d'abord, il vérifie que le courriel entrant contient le domaine de l'organisation dans son adresse de retour. Ensuite, SaaS Defense accède à l'enregistrement SPF du domaine pour vérifier que le serveur d'envoi est autorisé. SaaS Defense considère toute divergence comme un signe irréfutable d'usurpation d'adresse électronique.

Datto SaaS Defense bloque les e-mails envoyés entre les clients de votre organisation dont les enregistrements SPF ne sont pas configurés correctement. Bien que l'expéditeur n'ait aucune intention malveillante, un enregistrement SPF inexact entraîne le blocage de l'e-mail.

Pourquoi les organisations doivent-elles ajouter un enregistrement SPF à leur domaine ?

SPF n'est pas nécessaire pour envoyer des courriels, mais avec la politique en place, vous fournissez un signal de confiance supplémentaire au serveur de messagerie de réception, augmentant ainsi les chances que les courriels atteignent la boîte de réception du destinataire.

Même si le SPF ne résout pas tous les problèmes liés à l'usurpation d'identité, il offre une couche de protection supplémentaire qui, associée à des normes telles que DKIM et DMARC, permet d'améliorer les taux de livraison et de prévenir les abus.

Limites de Sender Policy Framework (SPF)

Le protocole SMTP (Simple Mail Transfer Protocol) n'impose aucune restriction quant au contenu du champ« De »d'un e-mail : la seule exigence est qu'il s'agisse d'une adresse e-mail valide. Cela permet aux acteurs malveillants de se faire passer pour une institution financière, un employeur ou n'importe quel individu, ce qui a conduit à la création du protocole SPF.

Le SPF ne vérifie ni ne valide le domaine associé à l'adresse e-mail. Il examine plutôt le champ « Return-Path », c'est-à-dire l'adresse utilisée par le serveur destinataire pour signaler au serveur d'envoi les problèmes de livraison. Par exemple, l'adresse e-mail n'existe pas sur le serveur destinataire. Ainsi, un e-mail peut passer le contrôle SPF, que l'adresse« De »soit fausse ou non.

Quelle est la structure d'un enregistrement SPF ?

Bien que le processus d'ajout ou de mise à jour d'un enregistrement SPF varie légèrement d'un fournisseur de messagerie à l'autre, la syntaxe et les attributs de l'enregistrement sont universels.

Un enregistrement SPF comprend les éléments suivants (identifiés dans l'image ci-dessous). Bien qu'il paraisse compliqué, il se compose de trois parties distinctes.

• Version (préfixe): les domaines peuvent comporter plusieurs enregistrements TXT, qui contiennent des informations relatives à la propriété du domaine, à la découverte du service DNS et au protocole DKIM. L'enregistrement SPF1 est lu par les analyseurs et indique l'enregistrement utilisé pour la vérification SPF.
• Mécanismes: le mécanisme identifie un ou plusieurs serveurs de messagerie spécifiques à inclure dans l'enregistrement SPF. Le serveur de messagerie entrant recherche le mécanisme correspondant à l'adresse IP de l'expéditeur du message. Un enregistrement SPF peut comporter plusieurs mécanismes, séparés les uns des autres par un espace.
• Règle d'application : cette règle de qualification définit la manière dont le serveur de messagerie entrant doit traiter les e-mails envoyés par un serveur qui n'est pas défini dans le SPF du domaine (c'est-à-dire un e-mail provenant d'un serveur qui échoue à la vérification SPF).

Type d'enregistrement SPF Qualificatifs

Il existe quatre qualificatifs pour indiquer la rigueur avec laquelle le serveur entrant doit traiter un courriel provenant d'un serveur non autorisé.

Qualificatif d'échec : Moins (-all)

Le qualificatif "moins" signifie "échec" : les courriers électroniques provenant de serveurs non autorisés doivent être bloqués et non délivrés.

Qualification pour l'échec en douceur : Tilde (~all)

Le qualificatif tilde signifie "soft fail" - les e-mails provenant de serveurs non autorisés doivent être délivrés mais marqués comme suspects (par exemple, courrier indésirable).

Qualificatif de passage : Plus (+all)

Le qualificatif "plus" signifie "pass", c'est-à-dire que les courriers électroniques provenant de n'importe quel serveur doivent être délivrés. Il n'est pas recommandé d'utiliser ce qualificatif.

Qualificatif neutre : Point d'interrogation (?all)

Le point d'interrogation signifie neutre, il n'y a pas de politique. Il n'est pas recommandé d'utiliser ce qualificatif.

Lorsqu'un courriel échoue aux contrôles SPF, il n'est pas visible dans la plupart des clients de messagerie. Malheureusement, les acteurs de la menace l'ont compris et déguisent les e-mails de manière à ce qu'ils proviennent d'une source fiable ou familière pour le destinataire. La neutralisation de ces menaces dans les premières secondes de leur arrivée permet de protéger la boîte aux lettres d'un utilisateur contre le spam, le phishing et les courriels usurpés. Une protection avancée contre les menaces telle que Datto SaaS Protection + est essentielle dans la stratégie de cyberdéfense d'un client afin d'identifier les courriels pour lesquels SPF échoue et d'autres menaces de première rencontre avec un SPF valide.

Ne laissez pas votre entreprise exposée aux ransomwares et autres attaques informatiques. Rejoignez-nous à l'occasion du MSP Technology Day pour découvrir comment tirer parti de Datto SaaS Protection et de Datto SaaS Defence afin de renforcer vos mesures de sécurité.