Google и Yahoo продвигают DMARC, заставляя компании наверстывать упущенное

К февралю 2024 года любая компания, отправляющая более 5,000 сообщений электронной почты через Google или Yahoo, должна будет начать использовать технологию аутентификации, известную как отчеты и соответствие проверки подлинности сообщений на основе домена (DMARC).

Требования — озвучены Google и Yahoo на этой неделе — достигнет гораздо большего, чем маркетологи, однако заставит все компании, отстающие в освоении тройки технологий безопасности, наверстать упущенное. Предприятия, использующие Sender Policy Framework (SPF) и DomainKeys Identified Mail (DKIM), получат защиту от выдачи себя за другое лицо за счет улучшенной аутентификации, в то время как DMARC создает канал уведомлений обратно к владельцу доменного имени для сбора информации о том, подделывается ли их электронная почта.

Требования двух крупных провайдеров должны подтолкнуть больше компаний к принятию DMARC до тех пор, пока внедрение не достигнет уровня, на котором станут возможными более эффективные меры безопасности, говорит Нил Кумаран, менеджер по продуктам группы Google Gmail Security & Trust.

«Принимая DMARC так, как мы просим, ​​отправители начинают получать много информации, которая поможет им выявить проблемы с их конфигурацией [и] вещи, которые они, возможно, захотят изменить», — говорит он. «Таким образом, отправителю будет материально выгодно принять DMARC и коллективно подумать об этих вещах».

В последние годы три технологии обеспечения безопасности электронной почты получили ускоренное внедрение, особенно во время пандемии коронавируса, когда компании были вынуждены перейти на удаленную работу. В результате около половины отправителей электронной почты имеют запись DMARC, но только 14% настроили DMARC для обеспечения строгой политики карантина или отклонения писем, что, по данным Valimail, поставщика услуг DMARC, широко считается конечной целью. Около половины всех компаний установили запись DMARC для обеспечения соблюдения строгой политики. Однако только 1% некоммерческих доменов настройте DMARC.

Требования Google и Yahoo — хорошее начало, но рынок не готов к более строгим требованиям. Но Сет Бланк, технический директор Valimail, надеется, что крупные провайдеры электронной почты быстро поднимут планку.

«Я думаю, что это просто фантастика, но я думаю, что этого недостаточно», — говорит он. «Я рад, что они подняли планку, но сейчас у нас есть набор лучших отраслевых практик, которые применяются непоследовательно. У вас есть пара отправителей крупных объемов, которые делают это хорошо, а затем есть и все остальные, поэтому злоупотребления так распространены в экосистеме».

Расширение внедрения безопасности электронной почты

В своем сообщении в блоге Google изложил свои требования, включая записи SPF и DKIM для аутентификации доменов отправки электронной почты; запись DMARC для домена; и заголовок «От», который соответствует записи SPF или DMARC, известный как «выравнивание». Кроме того, маркетологи должны иметь уровень спама ниже 0.3% и предоставлять возможность отказаться от подписки одним щелчком мыши.

Google будет применять новые правила к тем, кто отправляет более 5,000 сообщений на адреса Gmail в течение определенного дня. Yahoo будет применять требования к «массовым отправителям», но в своем блоге не определяет, что представляет собой массовая отправка. Требования должны быть выполнены к февралю 2024 года для Google и «в первом квартале 2024 года» для Yahoo.

Заявление Google, наряду с аналогичным шагом Yahoo!, означает, что принятие DMARC больше не является предложением, написал Лен Шнейдер, вице-президент по связям с промышленностью Twilio SendGrid, службы электронного маркетинга, написал в блог о новостях.

«[Учитывая] новости Yahoo, вы можете считать это новой нормой», – написал он. «Новые требования знаменуют собой изменение в том, как отрасль рассматривает аутентификацию электронной почты и лучшие практики: то, что когда-то было набором рекомендаций, теперь становится обязательным набором требований».

Google ожидает, что эти требования приведут к почти полному внедрению аутентификации электронной почты на ее платформе. В настоящее время компания обрабатывает около 15 миллиардов электронных писем каждый день, а количество неаутентифицированных сообщений сократилось на 75%, поскольку компания потребовала, чтобы каждое сообщение было проверено. в некоторой форме аутентификации.

Аутентификация — это только начало

Цель требований DMARC — гарантировать, что вся законная электронная почта установила записи DMARC в своей службе DNS, предоставляя информацию аутентификации для проверки заголовков любых полученных сообщений электронной почты. Почти каждый провайдер электронной почты сообщает информацию о соответствии DMARC авторитетному владельцу домена.

По этой причине лучшая идентификация источников и более строгая идентификация сообщений являются ключом к улучшению технологии электронной почты, говорит Кумаран из Google.

«Аутентификация сама по себе не является панацеей для борьбы со спамом, но она позволяет каждому лучше понять передаваемую электронную почту», — говорит он. «Я ожидаю, что фильтры начнут улавливать эти шаблоны, использовать преимущества аутентификации и работать лучше — мы должны увидеть влияние по всем направлениям».

По словам Бланка, после внедрения аутентификации отправителя поставщики средств безопасности и провайдеры электронной почты смогут лучше фильтровать нежелательный трафик.

«Вы контролируете, кто имеет право отправлять от вашего имени, а это означает, что к тому времени, когда сообщение попадет к любому поставщику почтовых ящиков во всем мире, аутентификация будет установлена, и они смогут воспользоваться преимуществами DMARC», — он говорит. «Поддельные или проверенные сообщения никогда не попадают в почтовые ящики пользователей, и поэтому мы получаем коллективный иммунитет и защиту в масштабе, далеко за пределами Google и Yahoo, где есть требования».

Ожидайте обходных путей

Хотя эти требования, вероятно, заставят все законные маркетинговые фирмы настроить свои конфигурации безопасности электронной почты, компаниям следует ожидать, что злоумышленники по-прежнему найдут способы рассылать спам, фишинг и вредоносное ПО, говорит Раф Маркони, управляющий старший консультант компании Bishop Fox.

«Злоумышленник может либо оставаться ниже пороговых значений, либо использовать законные сервисы, чтобы избежать воздействия требований», — говорит он и добавляет: «Эти новые требования должны оказать некоторое влияние на уровень спама и фишинга, но это трудно оценить». сколько времени потребуется до того, как требования будут реализованы, а также зависит от правильной реализации DKIM, SPF и DMARC».

В недавнем отчете интернет-компании Cloudflare обнаружилось, что 89% сообщений заблокированы как спам имел правильную информацию SPF, DKIM или DMARC, подчеркивая, что технологии являются частью уравнения, но не всем решением», — говорит Орен Фальковиц, полевой директор по безопасности Cloudflare.

«По этой причине бесполезно полагаться исключительно на стандарты, отслеживающие информацию об отправителе, чтобы обнаружить и остановить кампании», — говорит он. «Чтобы устранить реальный ущерб, группы безопасности должны выявлять и контролировать полезную нагрузку, файлы, ссылки и вредоносные запросы, которые включают в себя фишинг и причиняют ущерб».

Бланк из Valimail подтвердил эту точку зрения.

«Плохие актеры, как правило, первыми следуют лучшим практикам», — говорит он. «Предположение, что наличие SPF, DKIM или DMARC означает, что почта хорошая, ошибочно. Это означает, что мы знаем, от кого пришло письмо, и это имеет решающее значение для принятия репутационных решений».

• SEO-контент и PR-распределение. Получите усиление сегодня.
• PlatoData.Network Вертикальный генеративный ИИ. Расширьте возможности себя. Доступ здесь.
• ПлатонАйСтрим. Интеллект Web3. Расширение знаний. Доступ здесь.
• ПлатонЭСГ. Углерод, чистые технологии, Энергия, Окружающая среда, Солнечная, Управление отходами. Доступ здесь.
• ПлатонЗдоровье. Биотехнологии и клинические исследования. Доступ здесь.
• Источник: https://www.darkreading.com/dr-tech/google-yahoo-push-dmarc-forcing-companies-to-catch-up