3 Sep 20266 minutes read
Waseem OsmanEntusiasta de DMARCSuplantación de marca: el manual de defensa DMARC para empresas
Resumen sobre la suplantación de marca:
- Mapea antes de aplicar. Un inventario de dominios incompleto significa brechas que la suplantación de marca puede explotar.
- El modo de monitorización no es opcional. Ejecutar
p=nonedurante 30 días o más saca a la luz remitentes desconocidos y fallos de alineación antes de que rompan el correo. - La aplicación ocurre por etapas. Pasa a rechazo después de haber confirmado que la cuarentena ha sido estable.
- Los fallos de alineación tienen causas raíz. Se remontan a cadenas de reenvío, plataformas de terceros y remitentes heredados de fusiones y adquisiciones.
- La documentación de auditoría importa. Convierte la aplicación en evidencia de cumplimiento para riesgo y reporting regulatorio.
Tu equipo de marketing reporta correos de phishing que suplantan tu dominio, pero tus registros DNS no muestran ninguna configuración incorrecta evidente. ¿De dónde viene realmente la suplantación?
Las carteras de dominios empresariales rara vez son tan ordenadas como un único dominio con unos pocos remitentes conocidos. Abarcan subdominios, variantes regionales, marcas adquiridas, plataformas de terceros y sistemas heredados que nadie ha revisado en años. Detener la suplantación de marca exige una visibilidad completa de tu superficie de ataque antes de tocar un solo registro.
Esta guía recorre cuatro fases: mapear, monitorizar, aplicar y auditar. Cada fase tiene un propósito claro. Saltarse pasos - pasar a la aplicación antes de tener visibilidad - es lo que rompe los flujos de correo legítimos.
El manual de las cuatro fases
Fase 1: Mapear - encuentra a todos los remitentes
La primera pregunta no es cuál debería ser tu política DMARC. Es qué dominios posees y quién envía desde cada uno.
Empieza con un inventario de dominios. Reúne todos los dominios y subdominios registrados bajo tu organización, incluidos los gestionados por marketing, oficinas regionales y entidades adquiridas. TI no siempre posee esta lista. Legal, finanzas y compras a menudo registran dominios de forma independiente. Un inventario incompleto significa brechas de aplicación que los atacantes encuentran rápidamente.
Para cada dominio, identifica qué está enviando correo activamente:
- Plataformas de automatización de marketing (a menudo enviando desde subdominios)
- Sistemas de RR. HH. y nóminas (incorporación, notificaciones de nómina)
- Plataformas de atención al cliente (confirmación de tickets, herramientas de encuestas)
- Sistemas de finanzas (envío de facturas, notificaciones de pago)
- Herramientas internas heredadas (todavía envían correo a través de infraestructura antigua)
Todo dominio sin registros de autenticación en vigor es un vector potencial de suplantación de marca. Los servidores receptores no tienen forma de verificar que un mensaje es legítimo a menos que existan registros SPF o DKIM para el dominio remitente. Los dominios aparcados y los subdominios inactivos están especialmente expuestos. Normalmente no tienen registros SPF ni DKIM, lo que significa que cualquiera puede enviar correo que parezca originarse en ellos.
Documenta tus hallazgos en un inventario de remitentes: dominio, subdominio, servicio de envío, estado de autenticación y responsable del negocio. Esa lista se convierte en la fuente de verdad para cada decisión.
Fase 2: Monitorizar - desplegar DMARC
Con un inventario de dominios completo en mano, el siguiente paso es desplegar DMARC en p=none en todos los dominios, no solo en los que gestionas activamente. El modo de monitorización no bloquea ningún mensaje. Genera informes agregados e informes forenses que muestran exactamente quién envía correo desde tus dominios y si esos remitentes se autentican correctamente.
Un registro DMARC de monitorización básico se ve así:
| Host | Tipo | Valor |
|---|---|---|
@ | TXT | v=DMARC1; p=none; rua=mailto:<[email protected]>; ruf=mailto:<[email protected]>; fo=1 |
Despliega este registro en todos los dominios de tu inventario, incluidos los dominios aparcados y los que crees inactivos. Los dominios aparcados sin flujo de correo seguirán apareciendo en los informes si los atacantes intentan suplantar la marca a través de ellos.
Ejecuta la monitorización durante un mínimo de 30 días antes de sacar conclusiones. Los informes agregados resumen los resultados de autenticación por fuente de envío, pero las direcciones IP de esos informes deben asociarse a servicios concretos. Aquí es donde el inventario de remitentes de la fase uno da sus frutos.
Durante esta fase, presta atención especialmente a:
- Direcciones IP desconocidas que pasan SPF: un servicio de envío del que no eras consciente
- Fallos de alineación DKIM: servicios que firman con un dominio distinto al del encabezado «From»
- Calificadores SPF
~allo?all: configuraciones permisivas que permiten que pase correo no autenticado - Subdominios sin ningún registro SPF: objetivos de suplantación que están completamente desprotegidos
Los fallos de alineación son una de las causas más comunes de problemas de entrega cuando las empresas pasan más tarde a la aplicación. DMARC exige que SPF o DKIM se alineen con el dominio «From», no solo que pasen de forma independiente.
Esta es también la fase en la que descubres remitentes ocultos: herramientas que los departamentos han contratado sin involucrar a TI. Resuelve esto antes de la aplicación, ya que los remitentes ocultos son una de las causas más comunes de flujos de correo rotos tras la aplicación total.
Fase 3: Aplicar - pasar a cuarentena y luego a rechazo
La aplicación no es un único cambio de configuración. Es un despliegue escalonado, dominio por dominio, basado en la confianza que construiste durante la fase de monitorización, para que el flujo de correo se mantenga intacto en cada paso.
La secuencia de aplicación sigue dos pasos:
p=quarantine: aplica una política de cuarentena una vez que tu inventario de dominios y los datos de monitorización confirmen que todos los remitentes legítimos están identificados.p=reject: pasa a rechazo solo después de que la cuarentena haya sido estable durante al menos 2 a 4 semanas sin que se vea afectado ningún correo legítimo.
Un registro p=reject para un dominio totalmente autenticado normalmente se ve así:
| Host | Tipo | Valor |
|---|---|---|
@ | TXT | v=DMARC1; p=reject; rua=mailto:<[email protected]>; aspf=s; adkim=s; |
Fase 4: Auditar - demuestra que tus defensas contra la suplantación de marca funcionan
La aplicación de DMARC es un control. Como cualquier control, necesita documentarse, probarse y reportarse. Para los responsables de riesgo y los equipos de cumplimiento, los datos de monitorización y aplicación que genera DMARC ofrecen un rastro de evidencia creíble.
Como mínimo, tu documentación de auditoría debería recoger:
- Estado actual de la política DMARC para cada dominio en alcance
- Fecha de los cambios de política y quién los autorizó
- Resúmenes de informes agregados que muestran las tasas de éxito de autenticación a lo largo del tiempo
- Registros de incidentes de cualquier correo legítimo afectado por los cambios de aplicación
- Registros de proveedores que confirman la configuración DKIM de remitentes externos autorizados
Muchos marcos regulatorios exigen que las organizaciones implementen salvaguardas técnicas adecuadas para las comunicaciones electrónicas. La autenticación de correo (SPF, DKIM y DMARC en p=reject) respalda ese requisito directamente. Los datos de reporting de DMARC pueden demostrar a los auditores que el correo no autenticado desde tus dominios se detecta y se bloquea.
Más allá del cumplimiento, la fase de auditoría es donde estableces una cadencia de monitorización continua. Las configuraciones de autenticación se desvían con el tiempo, los proveedores actualizan su infraestructura de envío, los registros SPF acumulan includes innecesarios, y se añaden nuevas herramientas sin que TI lo sepa. Una revisión periódica de los datos de informes agregados detecta el desvío antes de que se convierta en una brecha.
Solución de problemas de fallos de alineación
Los fallos de alineación más comunes en la fase de aplicación comparten unas pocas causas raíz:
- Cadenas de reenvío: el correo reenviado a través de un sistema de terceros suele romper la alineación SPF. La alineación DKIM sobrevive al reenvío si el mensaje no se modifica. Prioriza DKIM sobre SPF para remitentes que se enrutan a través de listas de correo o reglas de reenvío.
- Plataformas de terceros: las plataformas de CRM y marketing a menudo envían en nombre de tu dominio. Verifica que DKIM esté configurado correctamente.
- Remitentes heredados de fusiones y adquisiciones: las empresas adquiridas suelen tener su propia infraestructura de envío que ahora envía correo bajo tu dominio. Trata los dominios adquiridos como una categoría aparte y pásalos por la misma fase de monitorización antes de la aplicación.
Cómo ayuda Sendmarc
Ejecutar manualmente el flujo de mapear, monitorizar, aplicar y auditar supone un trabajo considerable a escala empresarial y exige más tiempo y personal del que la mayoría de los equipos de seguridad y TI pueden dedicar.
La plataforma de Sendmarc ofrece la visibilidad de remitentes, la gestión de políticas y la infraestructura de reporting que hace que este flujo de trabajo sea alcanzable a escala. Los datos de informes agregados se analizan y se asocian a remitentes automáticamente, de modo que los fallos de alineación aparecen como hallazgos sobre los que tu equipo puede actuar. Los cambios de política se despliegan por fases con capacidad de reversión, reduciendo el riesgo de que la aplicación interrumpa flujos de correo críticos.
Para las empresas que gestionan varios dominios, ya sea por fusiones y adquisiciones, estructura regional o arquitectura multimarca, Sendmarc ofrece visibilidad centralizada de toda tu cartera de dominios. Eso significa una única vista del estado de aplicación, la salud de la autenticación y los datos de reporting en cada dominio dentro del alcance, y detección continua de intentos de suplantación de marca a medida que tu entorno cambia.
Descubre cómo la plataforma de Sendmarc mapea tus fuentes de envío, cierra las brechas de autenticación y te guía hacia la aplicación antes de que la suplantación de marca explote tu dominio.
Leave a reply Cancelar respuesta
Your email address will not be published. Required fields are marked *