UJP - DMARCレポートがGoogleから送られて来た　その２

カテゴリスパム・フィッシングの最新配信
RSS
RDF
ATOM

ブログ - DMARCレポートがGoogleから送られて来た　その２

DMARCレポートがGoogleから送られて来た　その２

カテゴリ :: セキュリティ » スパム・フィッシング

ブロガー :: ujpblog 2021/12/28 0:59

　ほぼ1年ぶりにDMARCレポートが送られてきたので，すっかり忘れているので，レポートの中身を解読してみる．

　まず，送られてきたXML形式のレポートはこれ．

<?xml version="1.0" encoding="UTF-8" ?>
<feedback>
  <report_metadata>
    <org_name>google.com</org_name>
    <email>noreply-dmarc-support@google[.com</email>
    <extra_contact_info>https://support.google[.com/a/answer/2466580</extra_contact_info>
    <report_id>6674644931422901562</report_id>
    <date_range>
      <begin>1640476800</begin>
      <end>1640563199</end>
    </date_range>
  </report_metadata>
  <policy_published>
    <domain>ujp.jp</domain>
    <adkim>r</adkim>
    <aspf>r</aspf>
    <p>none</p>
    <sp>none</sp>
    <pct>100</pct>
  </policy_published>
  <record>
    <row>
      <source_ip>27.89.248[.243</source_ip>
      <count>1</count>
      <policy_evaluated>
        <disposition>none</disposition>
        <dkim>fail</dkim>
        <spf>fail</spf>
      </policy_evaluated>
    </row>
    <identifiers>
      <header_from>ujp「.jp</header_from>
    </identifiers>
    <auth_results>
      <dkim>
        <domain>keyboardcoronation[.com</domain>
        <result>fail</result>
        <selector>selector</selector>
      </dkim>
      <spf>
        <domain>keyboardcoronation[.com</domain>
        <result>softfail</result>
      </spf>
    </auth_results>
  </record>
</feedback>

　ブロックごとに解読．

　まずはreport_metadata

  <report_metadata>
    <org_name>google.com</org_name>
    <email>noreply-dmarc-support@google[.com</email>
    <extra_contact_info>https://support.google[.com/a/answer/2466580</extra_contact_info>
    <report_id>6674644931422901562</report_id>
    <date_range>
      <begin>1640476800</begin>
      <end>1640563199</end>
    </date_range>
  </report_metadata>

　これはDMARCレポートを送ってきた事業者．Googleが送ってきた．beginとendはそれぞれUNIXTIMEなので，読み解くと2021年12月26日9時0分0秒から2021年12月27日8時59分59秒までの24時間．

　次に，policy_publishedのブロック．

  <policy_published>
    <domain>ujp.jp</domain>
    <adkim>r</adkim>
    <aspf>r</aspf>
    <p>none</p>
    <sp>none</sp>
    <pct>100</pct>
  </policy_published>

　これはDMARC設定の通り．　DNSレコードを確認してみる．

$ dig _dmarc.ujp.jp txt @8.8.8.8🆑

; <<>> DiG 9.10.6 <<>> _dmarc.ujp.jp txt @8.8.8.8
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 22251
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 512
;; QUESTION SECTION:
;_dmarc.ujp.jp.			IN	TXT

;; ANSWER SECTION:
_dmarc.ujp.jp.		3600	IN	TXT	"v=DMARC1;p=none;rua=mailto:dmarc@ujp[.jp;ruf=mailto:dmarc@ujp[.jp;rf=afrf;pct=100"🈁

;; Query time: 18 msec
;; SERVER: 8.8.8.8#53(8.8.8.8)
;; WHEN: Tue Dec 28 00:17:48 JST 2021
;; MSG SIZE  rcvd: 134

$

　pをnoneとしているので「何もしない」という設定．

　次は，recordブロックを確認．ここからが送信ドメイン認証の結果レポートになる．IPアドレスごとにレポートされる．

    <row>
      <source_ip>27.89.248[.243</source_ip>
      <count>1</count>
      <policy_evaluated>
        <disposition>none</disposition>
        <dkim>fail</dkim>
        <spf>fail</spf>
      </policy_evaluated>
    </row>

　27.89.248[.243というIPアドレスから，なりすましメールが1回送信された模様．このIPアドレスは何だろうと調べてみる．

　KDDIが持っているIPアドレスの模様．このIPアドレスはfwd01003.au[.comで．mail.au[.comの模様．送信メールサーバはauを使っていることがわかる．

    <identifiers>
      <header_from>ujp[.jp</header_from>
    </identifiers>

　identifiersはDMARCの評価のドメイン．私の管理するドメイン．

　そしてSPFとDKIMの評価結果がまとめられています．

    <auth_results>
      <dkim>
        <domain>keyboardcoronation[.com</domain>
        <result>fail</result>
        <selector>selector</selector>
      </dkim>
      <spf>
        <domain>keyboardcoronation[.com</domain>
        <result>softfail</result>
      </spf>
    </auth_results>

　fail,softfailになっている．

　keyboardcoronation[.comというドメインで調べるとフィッシングサイトで使われていることが疑われている模様．

POTENTIAL PHISHING DOMAINS FOR 2021-04-12
https://jamesbrine.com.au/phishingdomains-2021-04-13/

ーーー
　ピーティックスで漏洩したメアドがあるから，そのメアドを使って，なりすまし送信されようとしたのかもしれない．
　もう設定して1年経ったし，pの設定をnoneじゃなくて，rejectにする．

アメリカ国土安全保障省 (DHS) 指示 BOD 18-01として

・90日以内に “p=none” を宣言すること
・1年以内に “p=reject”を宣言すること

なのだそうです．

送信ドメイン認証導入指南 2018
https://www.nic.ad.jp/ja/materials/iw/2017/proceedings/s12/s12-suzuki.pdf

ujpblogさんのブログを読む
トラックバック (0)
閲覧 (3373)

ブログ - DMARCレポートがGoogleから送られて来た その２

DMARCレポートがGoogleから送られて来た その２

トラックバック

ブログ - DMARCレポートがGoogleから送られて来た　その２

DMARCレポートがGoogleから送られて来た　その２