Din e-postsäkerhet var korrekt – för sex månader sedan: det tysta problemet med konfigurationsglidning

Här är ett mönster vi ser hela tiden. Ett företag får ordning på sin e-postautentisering – kanske var det en konsult som konfigurerade SPF, DKIM och DMARC, kanske gjorde den IT-kunniga grundaren det under en helg. Allt godkänns. Bockarna lyser gröna. Projektet stängs.

Arton månader senare nämner en kund att fakturorna har hamnat i skräpposten sedan i våras. Ingen har rört e-postsäkerheten. Men allt runt omkring den har förändrats.

Ingenting förblir konfigurerat

En domäns e-post- och säkerhetsläge är ingen mur som man bygger en gång; det är en trädgård där ogräset växer. Förfallet har ingenting med angripare att göra – det är helt vanlig vardag i ett företag:

Marknadsavdelningen skaffar ett nytt verktyg. Den nya nyhetsbrevsplattformen skickar från din domän, men ingen lade till den i SPF eller satte upp dess DKIM-nyckel. Dess mejl underkänns i autentiseringen från första dagen. Om din DMARC-policy är satt till tvingande nivå avvisas de mejlen nu – helt enligt konstruktionen, eftersom policyn gör precis det du har sagt åt den att göra.

En DKIM-nyckel roteras illa. Din e-postleverantör eller ett SaaS-verktyg byter signeringsnycklar. Den nya nyckeln skulle ha publicerats i din DNS; ärendet föll mellan stolarna. Signaturerna börjar fallera utan att någon märker det.

En SPF-include ändras hos leverantören. En leverantör kan lägga till nästlade include som gör att vissa utvärderingsvägar överskrider budgeten på 10 DNS-termer. Berörda meddelanden får SPF permerror; andra vägar kan fortfarande gå igenom, och DKIM med alignment kan fortfarande klara DMARC.

Ett certifikat går ut. Din MTA-STS-policy eller TLS-certifikatet på din e-postserver löper ut. Krypterad leverans försämras eller misslyckas, och vissa mottagare börjar behandla dina mejl med misstänksamhet.

Någon ändrar i DNS av en helt annan anledning. En webbplatsflytt, en ny subdomän, en utrensning av ”gamla poster” – och en _dmarc-post eller en post för en DKIM-selektor försvinner. I ett litet företag går DNS-ändringar sällan igenom någon ändringshantering.

Ingen av de här händelserna gör väsen av sig. E-post har ingen varningslampa. Felbilden är alltid densamma: ett rykte som skadas gradvis, och sedan en kund som undrar varför något aldrig kom fram.

Varför den årliga genomgången inte räcker

Den instinktiva lösningen är återkommande granskning – låt någon titta på posterna en eller två gånger om året. Problemet är tidpunkten: EU:s cybersäkerhetsbyrå ENISA konstaterar i sin rapport om cybersäkerhet i små och medelstora företag att många av de system som små och medelstora företag förlitar sig på loggar bevisen för problem, men att intrång och fel utan aktiv övervakning och larmning helt enkelt passerar obemärkta – som att installera ett inbrottslarm och aldrig slå på det. En felkonfiguration som uppstår i februari och granskas i november har haft nio månader på sig att få fakturor att studsa och nöta ned avsändarryktet.

Årsmodellen har också en annan kostnad: den som granskar har tappat sammanhanget. Vilka av de här DKIM-selektorerna används fortfarande? Varför finns det här IP-intervallet i vår SPF? Kontinuerlig övervakning fångar ändringen medan orsaken fortfarande är färsk – ”det här gick sönder när vi flyttade webbplatsen i tisdags” – och åtgärden tar några minuter i stället för att bli ett arkeologiskt projekt.

Vad ”övervakad” egentligen betyder

För ett litet företag omfattar meningsfull övervakning av en domän tre lager:

1. Förekomst och giltighet – dina SPF-, DKIM-, DMARC-, MTA-STS- och närliggande DNS-poster finns, är syntaktiskt giltiga och håller sig inom de tekniska gränserna. Det fångar borttagningar, stavfel och problemet med de 10 uppslagen.
2. Autentiseringsresultat – mottagna aggregerade DMARC-rapporter visar resultat som rapporterande mottagare har sett. De kan hjälpa dig hitta tjänster som fallerar och problem med vidarebefordran, men täckning och fördröjningar begränsar hur snabbt ett problem blir synligt.
3. Transportens och infrastrukturens hälsa – TLS-konfiguration, certifikatens giltighetstid, DNSSEC-giltighet, MX-servrarnas nåbarhet. Rörledningarna under autentiseringen.

En användbar tankemodell: det engångsvisa uppsättningsprojektet tar dig till ett korrekt läge; övervakningen håller avståndet mellan ”det din DNS säger” och ”det ditt företag faktiskt gör” på noll, medan båda fortsätter att röra sig.

En egenkontroll på 15 minuter

Innan du investerar i något, ta reda på var du står i dag:

• Lägg till din domän i ettgratis Merula-konto och notera allt som inte är grönt.
• Leta upp din DMARC-post och kontrollera taggen rua=. Om det inte finns någon rapportadress – eller om den pekar på en brevlåda som ingen läser – har du flugit i blindo. Rapporter om din domän tas fram varje dag av Google, Microsoft och andra; de hamnar bara ingenstans.
• Räkna dina avsändande tjänster (e-postplattform, fakturering, kundtjänstsystem, nyhetsbrev, e-handel, kalender). Om antalet överraskar dig har konfigurationsglidning (configuration drift) troligen redan skett.

Det billigaste tillfället att upptäcka en trasig e-postkonfiguration är samma dag som den går sönder. Varje dag därefter kostar det lite mer – i leveransbarhet, i rykte och till slut i en kunds tålamod.