Best Practices für eure Domain Security

Vor kurzem haben wir euch über die Änderungen im Bereich DMARC von Google und Yahoo informiert. Den Beitrag haben wir uns als Anlass genommen um über weitere Sicherheitsmaßnahmen im Bereich euer Domain Sicherheit zu geben.

Vor einiger Zeit hatten wir unsere DNS-Verwaltung noch zu Microsoft ausgelagert, es war einfach bequem die Verwaltung der Einträge für die genutzten Dienste durch MS machen zu lassen. Aber es kamen immer wieder Themen auf die wir dort nicht lösen konnten, wie zum Beispiel alternative Nameserver für Subdomains, DNSSEC und DANE. Darum haben wir vor kurzem unsere DNS-Einträge wieder zu unserem Domain-Provider umgezogen, wo wir DNSSEC aktivieren konnten.

DNSSEC: Das Fundament der Domain-Sicherheit

Warum eigentlich DNSSEC? Diese Frage mag sich der ein oder andere stellen. DNSSEC, kurz für “Domain Name System Security Extensions”, ist ein entscheidender Schritt zur Verbesserung der Sicherheit eurer Domain. Durch die Implementierung von DNSSEC werden DNS-Einträge digital signiert, um sicherzustellen, dass sie authentisch und nicht manipuliert sind. Dies schützt vor einer Reihe von potenziellen Angriffen, darunter DNS-Cache-Vergiftung (Bei DNS-Poisoning manipuliert ein Angreifer die DNS-Cache-Einträge eines Servers, um Traffic umzuleiten. Dies kann dazu führen, dass legitime Benutzer auf gefälschte Websites umgeleitet werden, die von Angreifern kontrolliert werden.) und Man-in-the-Middle-Angriffe( Bei einem Man-in-the-Middle-Angriff platziert sich ein Angreifer zwischen zwei Kommunikationspartnern und fängt oder manipuliert die Kommunikation zwischen ihnen ab, ohne dass die Parteien davon wissen. Der Angreifer kann dann den Datenverkehr überwachen, abfangen oder ändern, was es ihm ermöglicht, sensible Informationen zu stehlen oder die Kommunikation zu manipulieren.). Doch DNSSEC ist nicht nur ein Schutzschild gegen gegenwärtige Bedrohungen. Es ist auch eine Investition in die Zukunft, da es das Fundament für weitere Sicherheitsmaßnahmen wie MTA-STS und DANE legt, die den E-Mail-Transport und die Authentizität von TLS-Zertifikaten verbessern.

MTA-STS: Sicheres E-Mail-Transportprotokoll

Bei der Sicherheit von E-Mail-Kommunikation spielt MTA-STS eine entscheidende Rolle. MTA-STS, kurz für Mail Transfer Agent Strict Transport Security, ist ein Mechanismus, der darauf abzielt, den E-Mail-Transport zwischen Mailservern zu sichern. Im Gegensatz zu STARTTLS, das die Verschlüsselung noch im Klartext verhandelt und daher anfällig für Man-in-the-Middle-Angriffe ist, ermöglicht MTA-STS eine sichere und vertrauenswürdige Kommunikation zwischen Mailservern.

Wie funktioniert MTA-STS?

MTA-STS basiert auf dem HTTP Strict Transport Security (HSTS)-Protokoll und verwendet spezielle DNS-Einträge, um Mailservern mitzuteilen, dass sie nur verschlüsselte TLS-Verbindungen akzeptieren sollen. Durch diese Richtlinie wird die Gefahr von Abhör- und Manipulationsversuchen erheblich reduziert, da alle E-Mail-Übertragungen verschlüsselt und authentifiziert werden.

DANE: Zusätzliche Sicherheit durch TLS-Authentifizierung

Eine weitere wichtige Sicherheitsverbesserung für den E-Mail-Transport ist DANE (DNS-based Authentication of Named Entities). DANE ermöglicht es, die Authentizität von TLS-Zertifikaten zu überprüfen, indem es den öffentlichen Schlüssel des Servers über DNSSEC signiert. Auf diese Weise können Mailserver sicherstellen, dass die TLS-Verbindungen zu anderen Servern echt sind und nicht von Angreifern manipuliert wurden.

Durch die Kombination von MTA-STS und DANE können wir sicherstellen, dass unsere E-Mail-Kommunikation nicht nur verschlüsselt ist, sondern auch von vertrauenswürdigen Mailservern gesendet und empfangen wird. Dies bietet ein höheres Maß an Sicherheit und Vertrauen für unsere Kunden und Partner.

DMARC: Richtlinien für vertrauenswürdige E-Mail-Zustellung

DMARC (Domain-based Message Authentication, Reporting, and Conformance) ist ein weiteres wichtiges Werkzeug zur Stärkung der Domain-Sicherheit. Mit DMARC können Domäneninhaber Richtlinien festlegen, um zu bestimmen, wie E-Mails von ihrer Domain behandelt werden sollen, wenn SPF (Sender Policy Framework) und DKIM (DomainKeys Identified Mail) nicht ordnungsgemäß authentifiziert sind. DMARC bietet drei Hauptmodi:

• none: In diesem Modus werden die E-Mails nicht abgelehnt oder in den Spam-Ordner verschoben, sondern es werden nur Berichte generiert.
• quarantine: E-Mails, die die DMARC-Richtlinien nicht erfüllen, werden in den Spam-Ordner verschoben.
• reject: E-Mails, die die DMARC-Richtlinien nicht erfüllen, werden abgelehnt und nicht zugestellt.

Durch die Überwachung und Analyse von DMARC-Berichten können wir unsere SPF- und DKIM-Richtlinien kontinuierlich verbessern, um sicherzustellen, dass unsere E-Mails vertrauenswürdig sind und ordnungsgemäß zugestellt werden. DMARC-Berichte enthalten Informationen darüber, welche E-Mails erfolgreich, fehlgeschlagen oder gefälscht wurden, sowie Details zu den Empfängern und den verwendeten Authentifizierungsmethoden. Diese Berichte helfen uns, potenzielle Probleme zu identifizieren und unsere E-Mail-Authentifizierung zu optimieren.

Bei betaITS setzen wir DMARC mit der Richtlinie “reject” ein, um sicherzustellen, dass nur E-Mails mit gültiger SPF- und DKIM-Authentifizierung zugestellt werden, und um unsere Domäne vor Spoofing- und Phishing-Angriffen zu schützen.

Fazit

Eine robuste Domain-Sicherheitsstrategie ist entscheidend, um die Integrität und Vertrauenswürdigkeit eurer Online-Präsenz zu gewährleisten. Wir wissen, dass in diesem Beitrag vermutlich viele Begriffe dabei waren, die ihr so noch nicht kanntet, sie sind aber essentiell für eine starke Domain-Security. Von der Analyse und Implementierung von DNSSEC über die Konfiguration von MTA-STS und DANE bis hin zur Feinabstimmung von DMARC-Richtlinien - wir stehen euch mit unserem Fachwissen und unserer Erfahrung zur Seite, um sicherzustellen, dass eure Domain sicher ist und euer Ruf geschützt ist.