DMARC-monitoring: welke systemen versturen e-mail namens je organisatie?

Het verschil tussen DMARC instellen en monitoren

Bij het instellen publiceert je een DMARC-beleidsrecord in DNS. Daarin staat wat ontvangende partijen met berichten moeten doen wanneer ze de DMARC-controle niet halen. Met de optie rua= kun je ook een rapportageadres opgeven.

Monitoren begint zodra ontvangende mailproviders rapporten naar dat adres sturen. Die zogenaamde aggregate reports bevatten geaggregeerde informatie over berichten die de ontvanger heeft gezien. Per bron geven ze aan hoeveel berichten zijn verwerkt en welke SPF-, DKIM- en DMARC-resultaten zijn gerapporteerd.

Dit is belangrijk, omdat een DNS-record op zichzelf niet verraadt welke leveranciers in werkelijkheid namens je organisatie mail versturen.

Wat leest je in het dashboard?

Verzendbronnen. Een IP-adres of netwerk wordt gerapporteerd als bron van inkomende mail bij een ontvanger. Sommige bronnen zijn direct aan Microsoft 365 of een bekende maildienst te koppelen; andere vragen onderzoek. Een onbekende bron betekent niet automatisch spoofing.

Verzendvolume. Het aantal door de rapporterende ontvangers waargenomen berichten per tijdvak. Dit is een waardevolle trendindicator, maar geen gegarandeerd totaal van alle verzonden mail.

SPF- en DKIM-alignment. Of de geslaagde authentications passen bij het zichtbare From-domein. Dit onderscheidt een geldig technisch SPF- of DKIM-resultaat van een bericht dat ook onder DMARC voldoet.

Wijzigingen. Een nieuwe externe provider, een toename van failures of plotselinge verschuivingen kan wijzen op een nieuwe legitieme verzendstroom of een aanleiding tot nader onderzoek.

Waarom eerst meten voordat je aanscherpt?

Stel dat je e-maildomein p=none gebruikt. De rapportages tonen 99% DMARC-pass. Bij de overige procent blijkt je offertesysteem een relevante verzender. Direct omschakelen naar reject kan belangrijke zakelijke mail laten uitvallen bij ontvangers die dat beleid toepassen. Door eerst de leverancier goed in te richten, kun je het beleid met minder operationeel risico aanscherpen.

In de praktijk werkt dit gefaseerd: inventariseren, analyseren, leveranciers corrigeren, beleid testen, stapsgewijs aanscherpen en blijven controleren.

Wat doet Kynexis Domain Security Monitor?

Kynexis ontwikkelt een dienst die geaggregeerde DMARC-rapporten per geverifieerd klantdomein verzamelt, controleert en verwerkt. De resultaten komen in een afzonderlijke klantomgeving beschikbaar, naast DNS-, HTTPS-, certificaat- en internetstandaardcontroles.

De precieze scanfrequentie en meldingsinstellingen worden bij ingebruikname overeengekomen. Rapporterende partijen bepalen zelf wanneer en óf zij rapporten versturen. Je hoeft daarvoor geen leesrecht op de persoonlijke of zakelijke mailboxen van je medewerkers aan Kynexis te geven; DMARC-rapporten komen op een afzonderlijke centrale rapportbestemming binnen.

Gegevensbescherming

DMARC-aggregatierapporten bevatten doorgaans bron-IP's, berichtaantallen en beleids-/authenticatieresultaten. Ze bevatten doorgaans geen mailinhoud. IP-adressen kunnen in specifieke gevallen persoonsgegevens zijn; daarom horen verwerkersafspraken, beperkte toegang en passende bewaartermijnen bij de inrichting.

Vragen

Is een DMARC-rapport hetzelfde als een spamfilter? Nee. Het rapport beschrijft door ontvangende partijen waargenomen resultaten. Het past geen DNS-instellingen aan en blokkeert zelf geen berichten.

Kunnen alle mailproviders rapporten sturen? Niet allemaal. Ook frequentie en detailniveau verschillen. Het dashboard toont de waargenomen rapportages; ontbrekende data worden als ontbrekend benoemd.

Wat doet een onbekend IP-adres? Onderzoek of het een legitieme dienst, forwarder of verdachte herkomst is. Een ASN- of reverse-DNS-indicatie is ondersteuning, geen sluitend bewijs.

Samenvatting

DMARC-monitoring maakt het gebruik van je e-maildomein zichtbaar. Daarmee kun je leveranciers beheren, afwijkingen onderzoeken en het DMARC-beleid onderbouwd aanscherpen. Bekijk de monitoringpakketten · Wat is DMARC? · DMARC-rapporten analyseren.