はじめに
DMARCは、メール送信者と受信者が相互に連携して詐欺的なメールを検知し、防止するための仕組みです。その一部である集計レポートは、組織の電子メールがどのように処理されているかを詳細に示します。この記事では、DMARC集計レポートを分析する方法について詳しく説明します。
症状・背景
このテーマが必要になる主な場面：
- メールサーバーのセキュリティ強化
- 送信元のドメインが詐欺的なメールに利用されている可能性がある場合
- DMARCポリシーの有効性を確認する必要がある場合
手順・設定方法
ステップ1: メールサーバーからのDMARC報告を受信するための設定
# SPFとDKIMの設定を確認します。これらはDMARCポリシーが機能するために必要です。
echo "v=spf1 +a +mx ~all" > /etc/mail/spf.txt
postconf -e 'smtpd_milters = inet:localhost:8891'
postconf -e 'non_smtpd_milters = $smtpd_milters'
# DMARCの設定を追加します。
echo "m=EOP.milter:reject" >> /etc/mail/spf.txt
postconf -e 'milter_default_action = accept'
postconf -e 'milter_protocol = 2'
postconf -e 'non_smtpd_milters = $smtpd_milters'
# メールサーバーの再起動で設定を反映します。
systemctl restart postfixステップ2: DMARC報告を収集するためのDNSレコード設定
# TXTレコードを追加してDMARCポリシーを公開します。
echo "_dmarc.example.com. IN TXT "v=DMARC1; p=none; rua=mailto:dmarc@example.com;" > /etc/bind/example.com.dmarc.txt
named-checkzone example.com /etc/bind/example.com.dmarc.txt
rndc reload
# 送信元のドメインに対して同じ手順を繰り返します。
echo "_dmarc.secondarydomain.com. IN TXT "v=DMARC1; p=none; rua=mailto:dmarc@secondarydomain.com;" > /etc/bind/secondarydomain.com.dmarc.txt
named-checkzone secondarydomain.com /etc/bind/secondarydomain.com.dmarc.txt
rndc reloadステップ3: DMARC報告を定期的に確認する
# メールサーバーのログファイルからDMARC報告を取り出すためのスクリプトを作成します。
cat /var/log/mail.log | grep 'dmarc' > dmarc_report.txt
tail -n 100 dmarc_report.txtステップ4: DMARC集計レポートを分析する
# レポートの内容を解析するために、主要な指標を確認します。
cat /var/log/mail.log | grep 'dmarc' | awk -F '"' '{print $8}' > dmarc_analysis.txt
awk -F',' '{if ($1=="pass") print "Pass: " $2; else if ($1=="fail" || $1=="none") print "Fail/None: " $2}' dmarc_analysis.txt
# 送信元のドメインを特定します。
cat /var/log/mail.log | grep 'dmarc' | awk -F '"' '{print $6}' > sender_domain.txt
sort -u sender_domain.txt注意事項
- DMARCポリシーが「none」の場合、報告しか行われません。これを「quarantine」または「reject」に変更することで、不正な送信元のメールを制御することができます。
- レポートの内容は定期的にチェックし、必要であればポリシーを更新することです。
- プライバシー保護のために、個人情報が含まれるレコードには注意が必要です。
まとめ
1. SPFとDKIMの設定: DMARCの機能を最大限に活用するために必須です。
2. DNS TXTレコードの追加: ドメイン所有者としてDMARCポリシーを公開します。
3. DMARC報告の収集: メールサーバーから自動的に報告を受け取ります。
4. 集計レポートの分析: 送信元のドメインやレポート内容を解析し、不正なメールの検知と防止を行います。
関連記事: