アラート・セントラルのドキュメント

アラート・セントラルはどのように機能するのですか？

Alert Centralは、dmarcianのTimelineを基盤としています。Timelineと同様に、追跡する変更を選択でき、設定したアラートにより、変更が検出され次第、すぐに通知を受け取ることができます。設定したアラートに一致するDNSの変更を検知した場合、設定されたチャネルを通じて通知します。

なぜDMARCアラートを設定するのでしょうか？

通知機能は、導入のどの段階においても有益です。DMARCプロジェクトの初期段階では、実施中のすべての変更を追跡したい場合があるでしょう。ドメインをDMARC強制ポリシーで保護した後は、Alert Centralが、破損したレコードやドメインの不正利用の可能性があるケースにアラートを絞り込むことで、DMARCの運用を支援します。アラートの種類にかかわらず、変更を迅速に検知し、必要に応じて是正措置を講じることが重要です。

デフォルトのDMARCアラート

トライアル利用者のアカウントには、SPF警告、SPF無効、SPF消失、DMARCのすべての変更といったデフォルトのアラートが設定されています。これらのデフォルトアラートはすべて有効になっていますが、SPF警告については、一部のユーザーにとってアラートが頻繁すぎたり、負担に感じたりする可能性があるため、デフォルトでは無効になっています。

アラートの頻度

お客様のDNSドメインを監視しております。DMARCは1時間ごとに、SPFおよびDKIMは毎日監視されています。

アラート・セントラルの設定方法

アラートを設定するには、DMARC Managerのドロップダウンメニューにある「Alert Central」項目に移動し、以下の手順に従ってください：

• 「アラートを追加」ボタンをクリックすると、下図のようなモーダル画面が表示されます。
• 指定するアラート名は一意である必要があります。これは通知に表示されるため、ユーザーがどのアラートがトリガーされたかを容易に判別できるようになります。
• アラート設定が可能なドメインは、「ドメインの概要」ページに表示されているドメインです。PlusおよびEnterpriseプランのユーザーは、ドメイングループを選択することができ、そのグループにドメインを追加または削除しても、アラートは常にそのドメイングループに関連付けられます。
• 受信者を追加し、チャンネルを設定します。受信者、Slack URL、およびWebhook URLは、アラート作成時に追加できます。また、「Alert Central」ページの「チャンネルを設定」ボタンをクリックして管理することも可能です。管理者以外のユーザーは、受信者を選択する際にチャンネルを追加することはできませんが、管理者が設定した受信者やチャンネルであれば、自由に選択することができます。
• フォームの入力欄をすべて入力したら、「アラートを作成」をクリックすれば完了です！
• アラートを編集または削除するには、アラート・セントラルのメインページに移動し、編集または削除のアイコンをクリックしてください。

アラートチャネルの設定 – 管理者専用

• この「チャンネルの設定」ページを表示できるのは、管理者のみです。
• 「アラートチャネル設定」ページでは、管理者がメール受信者、Slackチャネル、Webhook URLなど、アラートの受信対象となるすべてのリストを管理します。
• 非管理者ユーザーがアラートを作成する際、選択できるのは、管理者が「アラートチャネル設定」で設定した受信者とチャネルのみとなります。
• 管理者は、管理者以外のユーザーがアラートを自分に送信できるように、ここにメールアドレスを追加してください。
• 管理者が受信者やチャンネルを作成しない場合、管理者以外のユーザーはアラートを作成して自分自身に送信することしかできません。

以下の例では、管理者以外のユーザーはアラートを作成し、3つのメールアドレスまたはSlackチャンネルから選択することができます。ただし、受信者やSlackチャンネルを追加することはできません。

下の画像は、アラートセンターの詳細ページを示しています。アラートを編集または削除するには、アラートセンターのメインページに移動し、編集または削除のアイコンをクリックしてください。

付録A：アラート・セントラルのイベントとトリガー

注：ベーシックプランでは、「無効」と「警告」のみが表示されます

イベントの種類: DKIM

DKIMのトリガー：

• すべての変更 → RUAレポートを通じて把握しているセレクタについて、DNS内の現在のDKIMレコードに何らかの変更があった場合、ユーザーに通知されます。
• 「検出または作成」→ DMARC RUA データから新しい DKIM セレクタが検出された際、初めてユーザーに通知されます。これは、必ずしも DKIM レコードが DNS に登録された時点と一致するわけではありません。
• 無効
• 行方不明
• 警告
• 公開鍵の長さが変更されました
• 公開鍵が無効化されました
• 公開鍵の種類が変更されました
• ハッシュアルゴリズムが変更されました
• 旗が変更されました

イベントの種類: DMARC

DMARCのトリガー：

• すべての変更
• 発見または作成された記録
• 無効なレコード
• 消失した記録
• 方針が変更されました
• 拒否するように設定されたポリシー
• 検疫 % タグ値の変更
• SPF または DKIM の整合モードが変更されました
• 集計レポートのRUAが変更されました
• 法医学的な選択肢が変更されました
• RUFの鑑識報告書は無効です
• 警告

イベントの種類：権限の開始 (SOA)

SOA has the email address of the administrator, when the domain was last updated, and how long the server should wait between refreshes. SOA will show invalid currently when we see >1 SOA records and it becomes valid when <=1 SOA records.

SOAトリガー：

• 有効
• 無効

イベントの種類：SPF

SPFのトリガー：

• すべての変更
• 発見された、または創作された
• 行方不明
• 無効
• 警告
• 「すべて」の仕組みが変更されました
• IPアドレス／ネットワークが変更されました

ボリュームトリガー → 各ボリュームトリガーでは、ユーザーがパーセンテージ条件を設定する必要があります（「パークドメインが送信中」のトリガーを除く）。

• 保留中のドメインが送信中 → 条件なし
• 過去24時間でDMARC対応が急増
• 過去24時間でフォワーダー数が急増
• 過去24時間で、対応していないソースが急増した
• 過去24時間で脅威の急増／不明
• 過去24時間におけるDMARC対応の割合（脅威／不明）

付録B：Webhookアラートのペイロード例

Webhookは、Webアプリケーション同士が通信するための数ある方法の一つです。これにより、特定のイベントが発生した際に、当社のアプリケーションから別のアプリケーションへリアルタイムでデータを送信することができます。

変更後のレコードの例：

レコードのプロパティ変更の具体例：

具体的なレコード一覧の変更例：

特定のレコードに警告が表示される例：

無効になった特定のレコードの例：

特定のレコードが有効になった（RESOLVING）例：

ボリュームの例：

DMARC対応の割合（脅威／不明）に関する数値例：

私たちは、皆様がDMARCを理解し、導入できるようサポートいたします。当社のプラットフォームやAlert Centralについてご質問がございましたら、お気軽にお問い合わせください。