정상 메일을 막지 않으면서 SPF·DKIM·DMARC로 사칭 메일 막기

## 메일 DNS 설정을 바꾸기 전에 승인자와 되돌리는 방법 정하기 이메일 인증을 공유 인프라로 다룬다. 하나의 레코드 변경이 같은 도메인을 사용하는 거래 이메일, 지원 시스템, 마케팅, 내부 도구, 외부 업체에 영향을 줄 수 있다. - 범위에 포함할 발송 도메인, 하위 도메인, 표시되는 From 도메인, 업무상 중요한 이메일 흐름을 파악한다. - 책임을 지는 도메인 소유자와 권한이 있는 DNS 운영자를 지정한다. - 각 변경을 제안, 검토, 승인, 게시, 검증, 모니터링하는 역할을 분리한다. - 현재 DNS 값, 유효 시간, 의존 관계, 검증된 복구 값을 기록한다. - 중요한 흐름의 책임자가 결과를 관찰할 수 있는 시간에 변경을 계획한다. - 명시적인 승인과 복구 계획 없이 운영 DNS를 수정하지 않는다. - 발신원 목록이나 소유권 증거가 불완전하면 정책 강화를 중단한다. ## 내 도메인으로 메일을 보내는 서비스 모두 적기 인증 레코드를 작성하기 전에 발신원 목록을 만든다. 합법적인 서비스 하나라도 빠지면 정책 집행이 필요한 이메일을 차단할 수 있고, 오래된 권한은 발신자 위조의 공격 표면을 넓힌다. - 해당 도메인을 사용해 발송하는 모든 플랫폼, 애플리케이션, 중계 서버, 장치, 공급업체를 나열한다. - 봉투 발신자, 표시되는 From 도메인, 서명 도메인, IP 소유자, 책임 팀을 기록한다. - 직접 발신자를 전달, 메일링 목록, 관문 경로와 구분한다. - DKIM으로 서명할 수 있는 발신원과 SPF 정렬에 의존하는 발신원을 표시한다. - 더 이상 합법적인 트래픽을 발송하지 않는다는 사실을 확인한 뒤에만 사용이 끝난 발신원을 제외한다. - 위험이나 소유 책임이 다른 그룹을 전용 하위 도메인으로 분리하는 방안을 고려한다. - 발신원 목록을 변경 기록과 인증 보고서에 연결해 유지한다. ## 모든 발신원을 담은 올바른 SPF 레코드 하나만 만들기 SPF는 봉투 발신자에서 특정 도메인을 사용할 수 있는 시스템을 허가한다. 연결을 설정한 발신원을 평가하며, 콘텐츠에 서명하지 않고 표시되는 From 주소 자체를 인증하지도 않는다. - 필요한 각 호스트 이름에 SPF 정책을 정확히 하나만 게시한다. - 중복 SPF 레코드를 만들지 말고 모든 합법적인 발신자를 해당 정책 하나에 통합한다. - 책임 발송 서비스가 지원하는 메커니즘과 포함 항목만 사용한다. - 평가 중 DNS를 조회하는 메커니즘은 SPF 제한인 10회 이내로 유지한다. - 제한에 가까워지기 전에 중복 포함 항목과 사용하지 않는 발신자를 정리한다. - 마지막 all 메커니즘을 신중히 선택하고 적용 범위를 입증한 뒤에만 더 엄격하게 설정한다. - 구문, 확장 경로, 조회 횟수, 대표 발신자의 결과를 검증한다. ## 발송 서비스마다 DKIM 서명 켜기 DKIM을 사용하면 발신자는 선택한 메시지 콘텐츠에 개인 키로 서명하고, 수신자는 DNS에서 이에 대응하는 공개 키를 가져올 수 있다. 서명 검증을 통과하면 서명된 콘텐츠가 전송 중 그대로 유지되었음을 보여 주고 서명 도메인을 식별한다. - 각 발신자가 지원하는 방식에 따라 별도의 셀렉터와 키 쌍을 생성한다. - 발신자와 DNS 서비스가 모두 지원하면 2048비트 키와 같은 강력한 키를 우선한다. - 발신자가 지정한 셀렉터 위치에 정확한 공개 키 레코드를 게시한다. - 개인 키를 보호하고 DNS, 지원 요청, 공유 문서 또는 시스템 기록에 절대로 넣지 않는다. - 공개 레코드가 올바르게 조회되는 것을 확인한 뒤에만 서명을 활성화한다. - 실제 테스트 메시지를 보내 셀렉터, 서명 도메인, 서명 결과, 헤더 적용 범위를 확인한다. - 기존 키를 사용 중단하기 전에 새 키를 검증할 수 있도록 셀렉터 기반 키 교체를 계획한다. ## DMARC를 지켜보기만 하는 설정으로 시작하고 보고서 읽기 DMARC는 표시되는 From 도메인이 검증을 통과한 SPF 또는 DKIM 신원과 정렬되는지 평가한 다음, 도메인 소유자가 게시한 정책을 적용한다. 인증에 성공해도 정렬되지 않으면 DMARC에 실패할 수 있다. - 각 합법적인 흐름이 SPF, DKIM 또는 둘 다를 통해 정렬되는지 확인한다. - 완화 정렬과 엄격 정렬 중 어느 방식이 도메인 구조와 위험에 적합한지 파악한다. - 정책에 필요한 호스트 이름에 승인된 보고 대상이 포함된 DMARC 레코드를 게시한다. - 합법적 발신원과 승인되지 않은 발신원을 파악하는 동안에는 모니터링 정책으로 시작한다. - 보고서는 인프라 세부 정보를 드러낼 수 있으므로 보고서 수신함을 보호하고 접근을 제한한다. - 실패를 발신원, 인증 결과, 정렬, 발송량, 업무 책임자별로 분류한다. - 중요한 합법적 흐름을 모두 파악하기 전에는 정책 집행으로 전환하지 않는다. ## 정상 메일을 막지 않도록 DMARC를 단계별로 강화하기 합법적인 이메일이 계속 정렬된다는 증거가 있을 때만 관찰에서 격리와 거부로 전환한다. 정책 집행은 위험 통제 결정이며 일회성 DNS 형식 설정 작업이 아니다. - 각 단계의 통과율, 알 수 없는 발신원, 업무 영향 기준을 정의한다. - 정책의 강도를 높이기 전에 합법적인 발신원의 실패를 해결한다. - 기능이 지원되고 위험 감소에 유용하면 제한된 정책 집행 비율을 사용한다. - 각 변경 후 집계 보고서, 전달 오류, 지원 사고, 중요 흐름의 상태를 모니터링한다. - 전환 기간 내내 문서화된 복구 정책을 준비해 둔다. - 정책 집행을 강화하거나 정렬 방식을 변경하기 전에 책임자의 승인을 받는다. - 합법적인 이메일이 거부되거나 격리되거나 예상과 달리 인증되지 않으면 중단하고 조사한다. ## 바꿀 때마다 DNS 레코드와 실제 테스트 메일 확인하기 레코드 게시와 실제 이메일 동작을 모두 확인한다. 구문상 유효한 DNS 레코드만으로는 모든 발신자가 이를 사용하거나 DMARC 정렬이 성공한다고 입증할 수 없다. - 전파가 끝난 뒤 권한 있는 DNS에 SPF, DKIM 셀렉터, DMARC를 질의한다. - 중복 레코드, 잘린 값, 잘못된 호스트 이름, 의도치 않게 상속된 정책을 확인한다. - 대표적인 모든 운영 경로를 통해 여러 수신 환경으로 테스트 메시지를 보낸다. - 메시지 헤더에서 SPF, DKIM, DMARC, 도메인, 셀렉터, 정렬 결과를 검사한다. - 일반 메시지와 전달 또는 중계된 이메일 같은 중요한 변형을 모두 테스트한다. - 테스트 경로, 날짜와 시각, 결과, 증거, 검토자를 기록한다. - 발신자, DNS, 경로 지정 또는 서명이 변경되면 검증을 반복한다. ## SPF·DKIM·DMARC 실패 원인을 근거로 찾기 인증 결과, DNS 응답, 메시지 헤더, 변경 이력을 바탕으로 진단한다. 우연히 테스트가 통과할 때까지 레코드를 계속 수정해서는 안 된다. - SPF 영구 오류는 중복 정책, 구문, 재귀 포함 항목, 10회 조회 제한을 검사한다. - DKIM 실패는 셀렉터 이름, 복사한 키 자료, 서명 상태, 정규화, 메시지 변경을 검사한다. - DMARC 실패는 표시되는 From 도메인을 SPF 및 DKIM 신원과 비교한다. - 합법적인 이메일이 차단되면 정책을 완화하기 전에 정확한 발신원을 파악한다. - 운영 흐름이 손상되면 원인이 된 변경 중 가장 작은 범위를 복구한다. - 수정할 때마다 실패 경로와 영향을 받지 않은 대조 경로를 다시 테스트한다. - 향후 변경을 위해 원인과 해결에 관한 증거를 보존한다. ## 인증 결과만 보지 말고 반송과 스팸함 분류도 지켜보기 SPF, DKIM, DMARC는 신원 악용을 줄이고 수신자의 중요한 검사를 충족하지만 받은편지함 도착을 보장하지는 않는다. 평판과 수신자 반응은 별도의 신호로 남는다. - 인증 통과율과 함께 거부, 지연, 스팸 분류, 불만 신고, 반송을 모니터링한다. - 정확한 수신자 목록을 유지하고 유효하지 않거나 계속 실패하는 주소를 제외한다. - 발송량과 발송 패턴을 도메인에 형성된 평판과 일치하게 유지한다. - 정직한 발신자 신원, 관련성 있는 콘텐츠, 불필요한 이메일을 명확히 중단할 방법을 사용한다. - 도메인, 흐름, 수신자, 콘텐츠, 배포 사건별로 갑작스러운 변화를 조사한다. - 발송량 예열 활동이나 인증 검사 통과를 평판이 건전하다는 증거로 여기지 않는다. - 증거가 지속적인 피해를 보여 주면 위험한 흐름을 중단한다. ## 발신원 목록과 DKIM 키를 정해진 주기로 점검하고 바꾸기 서비스가 바뀌거나 키가 오래되거나 책임자가 떠나거나 새 발신자가 검토를 우회하면 인증 수준이 저하된다. 인증을 완료된 설정 프로젝트가 아니라 반복적으로 관리하는 통제로 유지한다. - 정해진 주기에 따라 발신원 목록, DNS 레코드, DMARC 보고서, 소유 책임을 검토한다. - 유효한 서명을 보존하는 중복 운영 기간을 두고 DKIM 셀렉터와 키를 교체한다. - 포함 항목이나 발송 서비스가 바뀔 때마다 SPF 조회 횟수를 다시 검증한다. - 정책 변경, 승인, 게시 값, 검증 증거, 복구 결과를 추적한다. - 새로운 발신원, 통과율 하락, 보고서 누락, 갑작스러운 정렬 실패에 경보를 설정한다. - 관련 흐름이 비활성 상태임을 확인한 뒤 오래된 권한을 제외한다. - 위험, 발송량 또는 업무 용도가 바뀌면 하위 도메인 경계와 정책 집행을 다시 평가한다.