เปิด DMARC อย่างไร ไม่ให้อีเมลใบแจ้งหนี้และระบบบริษัทถูกปฏิเสธ
ตั้งนโยบายสำเร็จ ไม่เท่ากับงานส่งอีเมลผ่านครบ
องค์กรอาจส่งอีเมลจากมากกว่ากล่องพนักงาน เช่น โปรแกรมบัญชีส่งใบแจ้งหนี้ เว็บไซต์ส่งแบบฟอร์ม ระบบขายส่งใบเสนอราคา และบริการข่าวสาร หากตั้ง DMARC เป็น reject ก่อนค้นผู้ส่งเหล่านี้ครบ อีเมลจริงของบริษัทบางชุดอาจถูกปลายทางปฏิเสธ ทั้งที่พนักงานส่งเมลจากกล่องหลักได้ตามปกติ
เป้าหมายจึงเป็นการยืนยันว่าระบบที่มีสิทธิส่งในชื่อโดเมนผ่านการตรวจได้ และแยกผู้ส่งที่ไม่ควรมีสิทธิออกอย่างมีหลักฐาน ไม่ใช่เปลี่ยนค่า DNS ให้ดูเข้มที่สุดในวันเดียว บทความนี้เสนอวิธีจัดงานก่อนเปิดใช้จริง โดยต้องปรับรายละเอียดตามผู้ให้บริการอีเมลและ DNS ขององค์กร
SPF ผ่านอย่างเดียว ยังต้องถามว่าเป็นโดเมนใด
DMARC ตรวจความสัมพันธ์กับโดเมนในช่อง From ที่ผู้รับเห็น โดยอาศัยผล SPF หรือ DKIM ที่ผ่านและมี domain alignment ตามเกณฑ์ที่ใช้ SPF เกี่ยวข้องกับแหล่งส่งและโดเมน envelope sender ส่วน DKIM ใช้ลายมือชื่อดิจิทัลและโดเมนผู้ลงนาม การผ่านของโดเมนผู้ให้บริการที่ไม่สอดคล้องกับ From จึงไม่ใช่คำตอบว่าผ่าน DMARC แล้ว
ให้ทีมตรวจ Authentication-Results จากอีเมลทดสอบจริง พร้อมชื่อโดเมนที่ระบบตรวจ ไม่อ่านแค่คำว่า pass ตัวเดียว นโยบาย none ใช้ติดตามโดยไม่ร้องขอให้ปลายทางจัดการเพิ่มเติมจาก DMARC ส่วน quarantine และ reject ขอให้ปลายทางเข้มขึ้น แต่ผู้รับยังใช้นโยบายกรองของตนเอง จึงไม่มีค่าใดรับประกันว่าเข้า Inbox ทุกครั้ง
ทำทะเบียนแหล่งส่งก่อนแตะค่า DNS
หนึ่งแถวต่อระบบควรมีเจ้าของงาน โดเมน From ผู้ให้บริการ วิธีตั้ง DKIM หรือ SPF ที่ผู้ให้บริการรองรับ ปริมาณโดยประมาณ และรอบงานที่สำคัญ เช่น วันวางบิลสิ้นเดือน เก็บตัวอย่างเมลที่ส่งถึงผู้รับภายนอกได้จริงด้วย บริการที่ยังหาผู้รับผิดชอบไม่ได้ให้แยกเป็นรายการรอยืนยัน ไม่อนุญาตผ่านอัตโนมัติเพียงเพราะพบในรายงาน
ตรวจทั้งโดเมนหลักและโดเมนย่อย โดยเฉพาะระบบเก่าที่ใช้ชื่อบริษัทใน From แต่ส่งผ่านบริการภายนอก การแยกโดเมนย่อยอาจช่วยจัดขอบเขตงานและทดสอบได้ง่ายขึ้น แต่ต้องตรวจการสืบทอดนโยบายจากโดเมนแม่ก่อน ไม่สมมติว่าโดเมนย่อยหลุดจากนโยบายเสมอ
ใช้รายงานเป็นหลักฐาน ไม่ใช้วันครบกำหนดเป็นเกณฑ์เดียว
Microsoft แนะนำการเปิดใช้แบบค่อยเป็นค่อยไป เริ่มจากติดตามผลแล้วเพิ่มความเข้มเมื่อแก้ผู้ส่งจริงครบ ในการปฏิบัติ ให้กำหนดผู้รับรายงานรวม ผู้ตรวจ และรายการข้อผิดพลาดที่ต้องปิดก่อนยกระดับ ตรวจให้ครอบคลุมรอบงานสำคัญ ไม่ใช่ดูสองวันที่ไม่มีใบแจ้งหนี้แล้วสรุปว่าพร้อม
เกณฑ์ผ่านที่องค์กรกำหนดเองอาจประกอบด้วย ผู้ส่งสำคัญทุกตัวทดสอบแล้ว รายการไม่ผ่านที่เป็นเมลจริงมีเจ้าของแก้ไข และทีมรับแจ้งเหตุรู้วิธีย้อนกลับ เกณฑ์เหล่านี้เป็นข้อเสนอการบริหารงาน ไม่ใช่เกณฑ์รับรองของผู้ให้บริการหรือจำนวนวันที่ใช้ได้กับทุกบริษัท
ตัวอย่าง: กล่องพนักงานผ่าน แต่ใบแจ้งหนี้ไม่ผ่าน
สมมติบริษัททดสอบ Microsoft 365 แล้วผ่าน แต่ใบแจ้งหนี้จากระบบบัญชีใช้ DKIM ของผู้ให้บริการซึ่งไม่สอดคล้องกับ From หาก SPF ก็ไม่ผ่านพร้อม alignment เมลชุดนี้จะไม่ผ่าน DMARC ทีมต้องตรวจวิธีตั้งโดเมนส่งของระบบบัญชีหรือ DKIM ที่รองรับ แทนการเพิ่มข้อยกเว้นกว้าง ๆ ให้เมลทุกชนิด
หลังแก้ ให้ส่งใบแจ้งหนี้ตัวอย่างที่ไม่มีข้อมูลลูกค้าจริงไปยังกล่องทดสอบภายนอกหลายปลายทางตามขอบเขตงาน ตรวจทั้งผลยืนยันตัวตน การได้รับเมล และขั้นตอนตอบกลับ หากเมลถูกส่งต่อ ต้องวิเคราะห์เส้นทางส่งต่อแยก เพราะผล SPF และกลไกอื่นอาจเปลี่ยนไป ไม่สรุปว่าเป็นการปลอมทุกกรณี
เตรียมการย้อนกลับและเจ้าของงานหลังเปิดใช้
ก่อนเปลี่ยนนโยบาย เก็บค่า DNS เดิม ผู้อนุมัติ เวลาเปลี่ยน และช่องทางรับแจ้งใบแจ้งหนี้หรือรหัสเข้าใช้ที่ไม่ถึงผู้รับ กำหนดว่าใครมีสิทธิแก้ DNS และใครติดต่อผู้ให้บริการ การย้อนกลับไม่จำเป็นต้องมีผลทุกปลายทางทันทีเพราะการแคช จึงต้องติดตามผลจริงต่อเนื่อง
DMARC ช่วยเรื่องการใช้โดเมนส่งเมล แต่ไม่แทน MFA การตรวจการเปลี่ยนบัญชีคู่ค้า หรือการป้องกันบัญชีถูกยึด หลังเปิดใช้ต้องเพิ่มขั้นตอนตรวจเมื่อมีบริการส่งเมลใหม่ด้วย Chawinnix ให้บริการวางระบบ IT และความปลอดภัยตามเว็บไซต์ จึงใช้ทะเบียนผู้ส่ง ผลทดสอบ และแผนเปลี่ยนนโยบายเป็นโจทย์ปรึกษาที่ตรวจสอบได้
