mcpField
P
performing-dmarc-policy-enforcement-rollout

performing-dmarc-policy-enforcement-rollout

github.com/mukul975安全35.2k39 次安装8 周前更新
代码仓库

关于 performing-dmarc-policy-enforcement-rollout

这是一份分阶段实施 DMARC 邮件策略的技能指南，适用于负责域名邮件认证与反欺骗防护的安全和邮件管理人员。它从发件源盘点与 SPF、DKIM 校准开始，逐步从监控推进到隔离和拒收，并持续审查报告。

主要功能

  1. 01盘点合法邮件发件源
  2. 02配置 SPF 与 DKIM 并检查校准
  3. 03依次推进监控、隔离和拒收策略
  4. 04分析 DMARC 报告并处理误判
  5. 05维护发件源、子域策略和 DKIM 密钥

适用场景

  1. 01为组织域名部署 DMARC
  2. 02分阶段启用邮件反欺骗控制
  3. 03排查合法邮件认证失败
  4. 04审计拒收策略及子域配置

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill performing-dmarc-policy-enforcement-rollout

安装后在 Claude Code 中输入/performing-dmarc-policy-enforcement-rollout确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
assets/
template.md
references/
api-reference.md
standards.md
workflows.md
scripts/
agent.py
process.py

详细介绍

执行 DMARC 策略强制实施推广

概述

基于域的消息认证、报告与一致性（DMARC）是电子邮件反欺骗保护的核心基石。DMARC 推广分为三个阶段：监控（p=none）、隔离（p=quarantine）和完全强制实施（p=reject）。当配置为 p=reject 时，任何同时未通过 SPF 和 DKIM 检查的邮件都会被直接拒绝。Google 和 Yahoo 现在要求批量发送者（5,000+ 封邮件）使用 DMARC，这使得未认证邮件减少了 65%。安全部署的推广通常需要 3-6 个月。

何时使用

  • 当进行涉及执行 DMARC 策略强制实施推广的安全评估时
  • 当遵循相关安全事件的事件响应流程时
  • 当执行计划的安全测试或审计活动时
  • 当通过实际操作测试验证安全控制措施时

前提条件

  • 拥有该域名的 DNS 管理访问权限
  • 了解 SPF、DKIM 和 DMARC 协议（RFC 7208、6376、7489）
  • 所有合法邮件发送来源的完整清单
  • DMARC 报告分析工具（EasyDMARC、DMARCLY、Valimail 或 dmarcian）
  • 具备 DMARC 强制实施能力的邮件网关

关键概念

DMARC 策略级别
策略行为使用场景
p=none仅监控，对失败不采取行动发现阶段
p=quarantine将失败邮件发送至垃圾邮件/垃圾箱过渡阶段
p=reject完全阻止失败邮件完全强制实施
DMARC 记录结构
v=DMARC1; p=quarantine; pct=25; rua=mailto:[email protected]; ruf=mailto:[email protected]; adkim=r; aspf=r; fo=1
  • p：组织域的策略
  • sp：子域的策略
  • pct：受策略约束的邮件百分比（用于逐步推广）
  • rua：聚合报告接收地址（每日 XML 报告）
  • ruf：取证报告接收地址（每次失败的详细报告）
  • adkim：DKIM 对齐模式（r=宽松，s=严格）
  • aspf：SPF 对齐模式（r=宽松，s=严格）
  • fo：失败报告选项（0=两者都失败，1=任一失败）
SPF 和 DKIM 对齐
  • SPF 对齐：Return-Path（信封发件人）中的域名必须与 From 头中的域名匹配
  • DKIM 对齐：DKIM 签名中的 d= 域名必须与 From 头中的域名匹配
  • 宽松：组织域匹配（sub.example.com 匹配 example.com）
  • 严格：要求域名完全匹配

工作流

步骤 1：清点所有发送来源（第 1-2 周）
  • 审计所有以你的域名发送邮件的系统（营销、CRM、工单、事务性邮件）
  • 记录第三方服务：Salesforce、Mailchimp、SendGrid、Zendesk 等
  • 识别内部邮件服务器、应用程序和中继主机
  • 检查影子 IT 邮件发送（部门使用未经授权的服务）
步骤 2：配置 SPF 和 DKIM（第 2-4 周）
  • 将所有合法发送 IP 和 include 合并到 SPF 记录中
  • 确保 SPF 记录保持在 10 次 DNS 查询限制以内
  • 为每个发送来源生成并发布 DKIM 密钥
  • 验证 DKIM 签名对所有出站邮件路径均有效
  • 使用 MX Toolbox 或 dmarcian SPF/DKIM 验证器进行测试
步骤 3：以监控模式部署 DMARC（第 4-6 周）
  • 发布初始 DMARC 记录：v=DMARC1; p=none; rua=mailto:[email protected]; fo=1
  • 等待 1-2 周以收集具有代表性的聚合报告
  • 分析报告以识别未经授权的发送者和对齐失败
  • 为所有出现失败的合法来源修复 SPF/DKIM
  • 反复迭代，直到所有合法邮件都通过 DMARC
步骤 4：使用 pct 标签迁移到隔离（第 6-12 周）
  • 以 10% 更新为隔离：v=DMARC1; p=quarantine; pct=10; rua=...
  • 监控误报（合法邮件被隔离）
  • 逐步增加 pct：10% -> 25% -> 50% -> 75% -> 100%
  • 每次增加：等待 1-2 周并审查报告后再继续推进
  • 修复每个阶段发现的任何剩余对齐问题
步骤 5：推进到 Reject 策略（第 12-20 周）
  • 在 100% 稳定隔离后，以 10% 的比例推进到 reject：v=DMARC1; p=reject; pct=10; rua=...
  • 逐步提高 pct：10% -> 25% -> 50% -> 100%
  • 密切监控是否有合法邮件被拒收
  • 建立紧急回滚流程（回退到 quarantine）
  • 应用子域策略：对子域设置 sp=reject
步骤 6：持续监控与维护
  • 持续监控 DMARC 汇总报告
  • 在新的发送源开始发送之前将其添加进来
  • 审查取证报告以发现伪造尝试
  • 随着发送基础设施变化维护 SPF 记录
  • 每年轮换 DKIM 密钥

工具与资源

  • EasyDMARC：DMARC 监控仪表盘，支持汇总/取证报告分析
  • DMARCLY：SPF、DKIM、DMARC 监控，支持自动更新 DNS
  • dmarcian：DMARC 部署与管理平台
  • Valimail：通过托管认证实现自动化 DMARC 强制执行
  • MX Toolbox：DNS 记录查询与 DMARC 验证器
  • Google Admin Toolbox：DMARC 检查与诊断工具

验证

  • DMARC 记录已发布，并能在 _dmarc.domain.com 正确解析
  • 所有合法发送源均通过 SPF 和/或 DKIM 对齐
  • 汇总报告显示超过 99% 的合法邮件通过 DMARC
  • 来自未授权发送者的伪造邮件被拒收
  • 在完全执行 p=reject 后没有合法邮件被拦截
  • 子域策略（sp=）也设置为 reject

评论

支持 Markdown