Het Sender Policy Framework gebruiken om spoofing tegen te gaan

Wat is het Sender Policy Framework (SPF)?

Sender Policy Framework (SPF) is een e-mailverificatiesysteem. Het werd voor het eerst geïntroduceerd door de Internet Engineering Task Force (IETF) in 2014 en helpt te bepalen of een afzender van een bericht toestemming heeft om het opgegeven domein te gebruiken.

Hoe werkt het SPF-protocol?

Een SPF-record - een DNS-record dat de hosts identificeert die geautoriseerd zijn om e-mail te versturen namens een specifiek domein - is een databaserecord dat kan worden gepubliceerd en opgevraagd door het SPF-protocol. Het toevoegen van een SPF-record aan het DNS (Domain Name System) helpt ook om ontvangers en verzenders te beschermen tegen spam, spoofing en phishing; verzenders kunnen een lijst van goedgekeurde servers opstellen om e-mails vanaf hun domein te verzenden.

De e-mail wordt vervolgens gecontroleerd door de ontvangende servers om er zeker van te zijn dat het afkomstig is van een server die toestemming heeft om namens het domein van die specifieke afzender te verzenden. Als wordt vastgesteld dat de afzender geen toestemming heeft om de e-mail vanaf dat domein te verzenden, bepaalt het spambeleid van de server wat er met het bericht moet gebeuren.

Hoewel de SPF-standaard al vele jaren bestaat, is deze nog niet overal volledig geïmplementeerd, met name in kleine bedrijven en sommige organisaties in het middensegment van de markt. Aanvallers richten zich op kleine bedrijven omdat ze vaak niet de technische kennis hebben om SPF te configureren.

Bij het uitvoeren van aanvallen vermomt een tegenstander het e-mailadres van waaruit hij de e-mails verstuurt, een techniek die bekend staat als spoofing. Hierdoor lijkt het voor de ontvanger alsof de e-mail afkomstig is van een bekend en vertrouwd e-mailadres.

Voorbeeld van gespoofde e-mail: gedeeld document van Google Drive met macro-documenten die zijn ontworpen om verbinding te maken met het eindpunt.

Het SPF-proces (Sender Policy Framework):

Het onderstaande diagram illustreert de acties van de ontvangende e-mailserver bij het ontvangen van een e-mail.

1. Het SPF-record wordt aangemaakt door de domeinbeheerder van de organisatie en opgenomen in de DNS-records van de organisatie.

2. De e-mail is opgesteld door iemand van de verzendende organisatie en naar de ontvangers verzonden.

3. De e-mail wordt vervolgens doorgestuurd van de e-mailserver van de verzendende organisatie naar de inkomende server.

4. Zodra de inkomende server de e-mail ontvangt, leest hij het ‘return-path’-domein dat in de e-mailheader staat vermeld om de DNS-records van dat domein op te zoeken.

5. Vervolgens neemt de inkomende e-mailserver het IP-adres van de afzender van de e-mail en vergelijkt dit met de IP-adressen die vooraf in het SPF-record zijn geautoriseerd.

6. Zodra is vastgesteld dat het IP-adres van de afzender van de e-mail overeenkomt met een van de IP-adressen in het SPF-record, wordt de e-mail aan de beoogde ontvanger bezorgd. Als het IP-adres echter niet overeenkomt met een adres in het SPF-record, past de inkomende mailserver de regels toe die in het SPF-record van het domein zijn opgegeven en wordt het bericht geblokkeerd of gemarkeerd.

Hoe Datto SaaS Defense SPF gebruikt om spoofing-aanvallen te voorkomen

Datto SaaS Defense voorkomt phishing- en spamaanvallen op het moment dat ze voor het eerst voorkomen. Eerst wordt gecontroleerd of de inkomende e-mail het domein van de hele organisatie heeft in het retouradres. Vervolgens raadpleegt SaaS Defense het SPF-record van het domein om te controleren of de verzendende server geautoriseerd is. SaaS Defense beschouwt elke discrepantie als een definitief teken van e-mailspoofing.

Datto SaaS Defense blokkeert e-mails die worden verzonden tussen klanten in uw organisatie waarvan de SPF-records niet correct zijn geconfigureerd. Hoewel de afzender geen kwade bedoelingen heeft, leidt een onjuist SPF-record ertoe dat de e-mail wordt geblokkeerd.

Waarom organisaties een SPF-record aan hun domein moeten toevoegen

SPF is niet vereist om e-mails te versturen, maar met dit beleid geeft u een extra signaal van vertrouwen aan de ontvangende mailserver, wat de kans vergroot dat de e-mails de inbox van de ontvanger bereiken.

Hoewel SPF niet alle problemen die door spoofing worden veroorzaakt volledig oplost, biedt het wel een extra beschermingslaag die, in combinatie met standaarden zoals DKIM en DMARC, de bezorgingspercentages kan verbeteren en misbruik kan voorkomen.

Beperkingen van SPF (Sender Policy Framework)

Het Simple Mail Transfer Protocol (SMTP) biedt geen bescherming tegen wat er in het veld‘Van’van een e-mail wordt ingevuld: de enige vereiste is een geldig e-mailadres. Hierdoor kunnen kwaadwillenden zich voordoen als een financiële instelling, een werkgever of een willekeurig persoon – wat aanleiding gaf tot de ontwikkeling van SPF.

SPF controleert of valideert het domein dat aan het e-mailadres is gekoppeld niet. In plaats daarvan controleert het het Return-Path – het adres dat door de ontvangende server wordt gebruikt om de verzendende mailserver op de hoogte te stellen van bezorgingsproblemen. Het e-mailadres bestaat bijvoorbeeld niet op de ontvangende server. Een e-mail kan dus aan de SPF-controle voldoen, ongeacht of het„Van”-adresal dan niet vals is.

Wat is de structuur van een SPF Record?

Hoewel het proces van elke e-mailprovider om een SPF-record toe te voegen of bij te werken enigszins kan verschillen, zijn de syntaxis en attributen van het record universeel.

Een SPF-record bevat de volgende elementen (geïdentificeerd in de afbeelding hieronder). Hoewel het er ingewikkeld uitziet, zijn er drie verschillende onderdelen.

• Versie (voorvoegsel): Domeinen kunnen meerdere TXT-records bevatten, die informatie bevatten over het eigendom van het domein, het vinden van DNS-diensten en DKIM-gegevens. SPF1 wordt door de parsers gelezen en geeft aan welk record wordt gebruikt voor de SPF-controle.
• Mechanismen: Het mechanisme geeft aan welke specifieke e-mailserver(s) in het SPF-record moeten worden opgenomen. De inkomende e-mailserver zoekt naar het mechanisme dat overeenkomt met het IP-adres van de afzender van de e-mail. Een SPF-record kan uit meerdere mechanismen bestaan, die elk door een spatie van elkaar worden gescheiden.
• Toepassingsregel: Deze kwalificatieregel bepaalt hoe de inkomende mailserver e-mails moet verwerken die door een server zijn verzonden als deze niet in de SPF van het domein is gedefinieerd (d.w.z. een e-mail van een server die de SPF-controle niet doorstaat).

Type SPF-record Kwalificeerders

Er zijn vier kwalificaties om de striktheid aan te geven waarmee de inkomende server een e-mail van een niet-geautoriseerde server moet verwerken.

Faal kwalificatie: Minus (-all)

De min-kwalificatie betekent fail-Emails van niet-geautoriseerde servers moeten worden geblokkeerd, niet afgeleverd.

Soft Fail-kwalificatie: Tilde (~all)

De tilde qualifier betekent soft fail-Emails van niet-geautoriseerde servers moeten worden afgeleverd, maar gemarkeerd als verdacht (bijv. junk).

Pas Kwalificator: Plus (+all)

De plus-kwalificatie betekent pass-Emails van alle servers moeten worden afgeleverd. Het wordt niet aanbevolen om deze kwalificatie te gebruiken.

Neutrale kwalificatie: Vraagteken (?all)

Het vraagteken betekent neutraal, er is geen beleid. Het wordt niet aanbevolen om deze kwalificatie te gebruiken.

Wanneer een e-mail de SPF-controle niet doorstaat, wordt deze in de meeste e-mailclients niet zichtbaar. Helaas hebben bedreigers dit door en vermommen ze e-mails zodat ze voor de ontvanger afkomstig zijn van een vertrouwde of bekende bron. Door deze bedreigingen binnen de eerste paar seconden na aankomst te neutraliseren, blijft het postvak van een gebruiker veilig voor spam, phishing en spoofing e-mails. Advanced Threat Protection zoals Datto SaaS Defense is van cruciaal belang in de cyberverdedigingsstrategie van een klant om e-mails te identificeren waarbij SPF faalt en andere bedreigingen die voor het eerst worden aangetroffen met geldige SPF.

Laat uw bedrijf niet kwetsbaar zijn voor ransomware en andere cyberaanvallen. Neem deel aan de MSP Technology Day en ontdek hoe u Datto SaaS Protection en Datto SaaS Defence kunt inzetten om uw beveiliging te versterken.