DMARC : E-mail Zero Trust
Au cours de l'année écoulée, nous avons assisté à un regain d'intérêt pour l'architecture de confiance zéro après la publication par le président Biden de son décret sur l'amélioration de la cybersécurité de la nation.
Le décret exécutif enjoint aux agences fédérales de « développer un plan pour mettre en œuvre une architecture Zero Trust ». Le décret note que « le modèle de sécurité Zero Trust élimine la confiance implicite en tout élément, nœud ou service et exige plutôt une vérification continue de la situation opérationnelle via des informations en temps réel provenant de multiples sources pour déterminer l'accès et d'autres réponses du système ».
L'architecture de confiance zéro gagne du terrain, mais de quoi s'agit-il exactement ? En termes simples, la confiance zéro signifie que les utilisateurs, les appareils, les réseaux, les services et les logiciels ne devraient pas faire l'objet d'une confiance intrinsèque. Ce modèle nécessite un accès privilégié et une vérification constante de l'identité. Bien que M. Biden ne soit plus en fonction, l'architecture de confiance zéro reste un modèle que les organisations découvrent et appliquent, y compris dans le domaine de la messagerie électronique.
Lorsque l'internet – un vaste réseau de réseaux – était en développement, l'attention était portée sur la connectivité entre les réseaux et les appareils qui interagissaient avec eux. Cette focalisation primaire sur l'interconnectivité est la grande force de l'internet et, comme il s'est avéré, une grande faiblesse dans le domaine de la confiance. Comme l'e-mail, ce vaste réseau de réseaux n'a pas été conçu avec une sécurité native pour arrêter les cyberattaques.
Authentification, rapport et conformité des messages basés sur le domaine (DMARC)
Le cas d'utilisation original de DMARC est la vérification d'identité pour lutter contre la fraude par e-mail. DMARC offre une visibilité sur la manière dont un domaine est utilisé et empêche les expéditeurs non autorisés d'envoyer des e-mails au nom d'une organisation ; en conséquence, la confiance dans le domaine est établie. Cette confiance entraîne la fiabilité des e-mails – DMARC est le fondement d'une livraison d'e-mails faisant autorité et souvent la première étape prise pour résoudre les problèmes de livraison d'e-mails.
Historiquement, la défense des e-mails consiste à filtrer les e-mails malveillants et indésirables. D'énormes marchés existent pour fournir des contre-mesures aux dernières menaces par e-mail : anti-spam, anti-phishing, anti-BEC, anti-malware et anti-usurpation d'identité.
DMARC et le modèle de sécurité e-mail Zero Trust qu'il représente ne sont pas un produit. On n'achète pas simplement DMARC, on ne le place pas dans un centre de données et on ne paie pas une redevance annuelle. DMARC est une norme de sécurité d'interopérabilité qui décrit comment les opérateurs et l'internet peuvent travailler ensemble pour apporter des identifiants de niveau domaine stables et fiables à l'e-mail.
Avec DMARC à un niveau de conformité, tous les services et contacts d'envoi d'e-mails sont considérés comme non fiables à moins qu'ils ne soient sans équivoque reconnus comme légitimes via les protocoles SPF, DKIM et DMARC. Grâce à ce contrôle, les personnes recevant des e-mails d'une organisation conforme à DMARC peuvent avoir confiance qu'ils proviennent bien de l'expéditeur indiqué.
L'intersection de DMARC et du Zero Trust
L'idée que le Zero Trust élimine la confiance implicite et exige une vérification continue est là où nous trouvons l'intersection de DMARC et du Zero Trust. DMARC est un modèle de sécurité e-mail Zero Trust depuis sa création – il y a dix ans et ça continue.
DMARC s'intègre à Zero Trust comme un contrôle qui autorise les e-mails légitimes à passer, afin que les utilisateurs n'aient pas à être fiables pour décider s'il s'agit d'un e-mail authentique ou d'une escroquerie.
L'utilité de DMARC en tant que technologie anti-usurpation d'identité découle d'une innovation majeure : au lieu de tenter de filtrer les e-mails malveillants, pourquoi ne pas offrir aux utilisateurs un moyen d'identifier facilement les e-mails légitimes ? En substance, la promesse de DMARC est de remplacer le modèle de sécurité e-mail fondamentalement défectueux du « filtrage du mauvais » par un modèle de « filtrage du bon ».
— Tim Draegen, fondateur de dmarcian et co-auteur de DMARC
Étant donné que l'e-mail est le vecteur d'attaque impliqué dans plus de 90 % des fraudes en ligne, DMARC doit être au centre de toute implémentation Zero Trust pour offrir de la visibilité, protéger les individus et créer des domaines fiables.
Si vous avez besoin d'aide pour déployer DMARC, nous sommes là pour vous assister. Vous pouvez nous contacter ou vous inscrire à un essai gratuit sans engagement. N'hésitez pas à utiliser nos outils de recherche et de test DMARC ; ils sont accessibles à tous, même si vous n'avez pas de compte dmarcian.
Vous souhaitez poursuivre la conversation ? Rendez-vous sur le Forum dmarcian.
