そのメール、ちゃんと届いていますか？DMARC・DKIM・SPFをしっかり運用管理してドメインの信頼を守る

Security Days 2025 Springで講演した内容になります。
重要なメールが迷惑フォルダに入ってしまったり、届いていないと指摘されたりしたことはありませんか？それは、メール送信者としての「信頼性」の証明が足りていない可能性があります。また、一度設定したきりで放置していませんか？各種レポートを確認しないままでは、折角の信頼性にヒビが入ってしまうこともあります。
本セッションでは、メールを安全に、確実に届けるための基本的な仕組み「DMARC」「DKIM」「SPF」などをわかりやすく解説します。そして、これらを簡単に設定し、管理できるツール 「DMARC Manager」 を紹介します。「DMARC Manager」があれば、専門知識がなくてもわかりやすい画面で簡単に設定したり、状況を確認したり、何らかのイベント時には通知を受け取ることですぐ対応でき、企業の信頼を守ります。

Transcript

1. そのメール、ちゃんと届いていますか？ ・ ・ をしっかり運用管理して ドメインの信頼を守る 株式会社 平野 善隆
2. 自己紹介 名前 平野 善隆 所属 Hornetsecurity株式会社 (旧Vade Japan) Principal Messaging Engineer 好きな メール、DNS、Python、Go 技術 AWS、Serverless 趣味 長距離の自転車大会(1,200kmとか、2,000kmとか) バンド演奏 主な活動 M3AAWG JPAAWG 迷惑メール対策推進協議会 Audax Randonneurs Nihonbashi
3. とは 設 立 2009年、フランス共和国リールにて設立 2024年 3月 ドイツ Hornetsecurityのグループとなる 2017年に日本市場に参入。日本国内にスレットセンター設立 約700名 ドイツ、フランス、アメリカ、カナダ、スペイン、イギリス、イタリア、北マケドニア、マルタ、日本 拠 点 社員数 国 内 エンドユーザ 約75,000社 ／ パートナー 12,000社 顧客数
4. 保護しているメールボックス数 億 全世界 億 日本
5. • 運用の全体像 •なぜ今 が必要なのか • の仕組み •設定の落とし穴 • でできること •メールに自社のロゴを表示する •脱 と暗号化 •まとめ もくじ
6. 安定運用までの流れ や を 設定 ポリシーを に設定 レポートの分析 設定に問題が ないことを確認 ポリシーを に設定 レポートの分析 設定に問題が ないことを確認 問題があれば 正しく設定 対応 全体の 全体の 全体の 全体の 全体の 全体の
7. 大阪の出展社のみなさんの割合 や を 設定 ポリシーを に設定 レポートの分析 設定に問題が ないことを確認 ポリシーを に設定 レポートの分析 設定に問題が ないことを確認 問題があれば 正しく設定 対応 全体の 全体の 全体の 全体の 全体の 全体の
8. 東京の出展社のみなさんの割合 や を 設定 ポリシーを に設定 レポートの分析 設定に問題が ないことを確認 ポリシーを に設定 レポートの分析 設定に問題が ないことを確認 問題があれば 正しく設定 対応 全体の 全体の 全体の 全体の 全体の 全体の
9. •なりすましを防ぎたい ⇧ 受信者の理屈 •メールを届けたい •受信者がやれというから仕方がない ⇧ 送信者のモチベーション が必要な理由
10. 年 月 日 米 が大量送信者に厳しくすると発表 を書いていないと メールを受けないぞ！
11. なぜ が 必要なのか
12. •なりすましを見抜けるようにする仕組み • • なりすましたメールが届かないようにする • • なりすましたメールも届くようにする とは
13. 登場人物 有名なドメインでもないので なりすまされていない。 知らんがな よくドメインが なりすまされている なんとかしないとなぁ ふふふ、フィッシングを ばんばん送ってもうけるぜ 商店 会社 悪い人
14. の なかった世界
15. ドメインの評価 のなかった世界 会社 商店 悪い人 商店 会社 会社 悪い人 良い ドメイン 悪い ドメイン めちゃ 悪い ドメイン
16. ドメインの評価 のなかった世界 会社 会社 会社 悪い ドメイン 受信者としては なりすまされているのか 悪い人のドメインなのか 区別が付かない
17. の ある世界
18. の世界 会社 商店 悪い人 商店 会社 会社 悪い人 全員が の世界では、誰も なりすましできない
19. ドメインの評価 の世界 会社 商店 悪い人 商店 会社 会社 悪い人 悪いメールを送るのは 悪いドメインだけ 良い ドメイン めちゃ 悪い ドメイン 良い ドメイン
20. ではない場合
21. ドメインの評価 を使わないと 古い会社 古い商店 古い悪い人 古い商店 古い会社 古い会社 古い悪い人 を使わなければ 良いドメインとは 言い切れない めちゃ 悪い ドメイン なし なし 悪い ドメイン なし よく わからない けど、まぁ、 届く
22. ドメインの評価 では 古い会社 古い商店 古い悪い人 古い商店 古い会社 古い会社 古い悪い人 を使っても では意味がない よく わからない けど、まぁ、 届く めちゃ 悪い ドメイン 悪い ドメイン でなければ 良いドメインとは 言い切れない
23. 攻撃者は ではないドメインを狙う 古い会社 古い商店 古い商店 古い会社 古い会社 なりすましの ターゲットにされる めちゃ 悪い ドメイン 悪い ドメイン 古い商店
24. でなければメールが届かなくなる 古い会社 古い商店 古い商店 古い会社 古い会社 なりすましの ターゲットにされる めちゃ 悪い ドメイン 悪い ドメイン 古い商店
25. •攻撃者は の設定が弱いところをなりすま してメールを送る。 なぜ が必要なのか 会社のメールが届かなくなる 会社のブランドイメージが毀損する 会社に問い合わせが来る では不十分
26. メール の対策 SPFかDKIM、もしくはDMARCの認証を導 入・判定クリアしていないメールは迷惑 メールと判定したり、受信を拒否したりす る場合があります。（2024年12月時点）
27. •スパムメールを配信するようなドメインからは 受けたくない •なりすまされている可能性のあるメールは受け たくない ➔ にしてほしい 受信サーバーの管理者の立場として
28. の 仕組み
29. • ・ の検証が両方失敗したときに どうして欲しいかを宣言する仕組み •ただし、 や のドメインは ヘッダのドメインと同じであること とは
30. とは 自社 メール配信業者 悪い人 確認 アドレス を登録 送信 送信 送信 ③ ② ① ④ ⑤
31. とは メール配信業者 悪い人 確認 登録 送信 送信 送信 預ける ハンコがない 送信元も 改ざんされ ていない なりすまし ているかも ③ ② ① ④ ⑤ ⑥
32. • • ヘッダの送信者 メールソフトに表示されるアドレ ス は参照しない • •署名者は誰でもいい 悪い人でも署名できる • ヘッダの送信者とは関係ない なぜ だけではだめなのか
33. は なりすませる 自社 メール配信業者 悪い人 確認 登録 送信 送信 送信 確認 登録
34. も なりすませる メール配信業者 悪い人 確認 登録 送信 送信 送信 預ける 送信元も 改ざんされ ていない 確認 送信元も 改ざんされ ていない 改ざん なりすまし
35. • の • 通常の に加えて •ヘッダ のドメインが のドメインと同じ • の •通常の に加えて • ヘッダ のドメインが 署名者と同じ の 悪い人は 送信ドメインの なりすましではきない
36. 実際の設定
37. •「何をやったらいいのかさっぱりわからない」 •「用語だけで頭が爆発しそう」 •「DNSパパッと書くだけだよ」 •「ちょっと勉強すればすぐ慣れる感じやね」 •「ミスするとめんどくさいから、慎重にやった 方がいいよ」 の設定は難しい？
38. の設定
39. • の レコードにメール送信サーバーの ア ドレスを記述 •別の レコードを することも可能 の設定方法 •送信サーバー： •配信事業者の指定の
40. どの レコードが正しいですか
41. どの レコードが正しいですか × × × ×
42. の設定は難しい あり 設定ミス なし
43. よくある の間違い
44. レコードが複数登録されている レコードは つしか書けません
45. 文法間違い 空白がない が 回ある になっている スペースは不要 不要な のスペルミス ピリオドではなく コンマ 別の レコードが 混ざっている
46. • は の参照が 回までしかできない の 数の制限
47. の参照は何回でしょう 回
48. の参照は何回でしょう 回
49. の参照は何回でしょう 回 ③ ② ① ④
50. ドメイン 東京の出展社の の参照回数上限超え
51. • は が存在しない場合、エラーになる の ができない場合 v=spf1 include:ok1.example.jp include:ng.example.com include:ok2.example.jp -all は参照されない 回までは許容される
52. • のドメインを購入 • に自分のサーバー の を記述 • をなりすまして送信 example.jp TXT “v=spf1 include:spf1.example.jp include:spf2.example.com –all” の書き間違い
53. を設定したと思っているけど 期待通り動作していない
54. 簡易診断やってます
55. の設定
56. 受信サーバがメールを受けたとき、 の または が失敗した。 このときにどうして欲しいか •受信拒否 •隔離 •なにもしない レポートの送信先 書くことはこれだけ
57. • • • • よくある設定ミス
58. • • • • よくある設定ミス 謎のピリオド 「 」は最初に書く方がいい
59. 設定の簡易診断やってます 秒で できます
60. 安定運用までの 流れ
61. •設定の文法がわからない • の設定部署が別で、変更に時間がかかる • の 参照が 回を超える • で十分だと思っている •送信サーバや配信事業者が把握し切れていない ので怖くて にできない • レポートの見方が分からない 運用でよく困るところ
62. の 紹介
63. • などの の設定支援 • の 回以上参照問題の解決 • レポートのわかりやすい分析 • のロゴ、証明書ホスティング • のポリシーホスティング の特長
64. 設定は大変 サーバー メールセキュリティや ブランドの管理者 の管理者 の設定・変更 設定依頼 にサーバー 追加してよ ちょっと立て込 んでるから、 来週まで待って で、具体的にどう 書けばいいの え、 わからな いんだけど レコードは書 くけど、その中身 は分からないよ えー、 じゃ調べるよ ないとき
65. の設定支援 サーバー などで 転送設定 メールセキュリティや ブランドの管理者 わかりやすい の管理者 最初に 回だけ 設定 などの レコードは ここで自動生成 あるとき
66. の設定画面 あるとき 設定ミスしようと 思ってもできない コメントも 残せます
67. の の参照回数制限 ③ ② ① ④ ⑤ ⑥ ⑦ ⑧ ⑨ ⑩ ⑪ ないとき
68. フラットニング が アドレスに展開 あるとき
69. 安定運用までの流れ や を 設定 ポリシーを に設定 レポートの分析 設定に問題が ないことを確認 ポリシーを に設定 レポートの分析 設定に問題が ないことを確認 問題があれば 正しく設定 対応 全体の 全体の 全体の 全体の 全体の 全体の
70. •メールに添付されて送られてくる •形式は • や で圧縮されている •あちこちから送られてくる •あまり欲しい情報が書かれていない • 送信メールアドレス、件名などはない。 レポートは難しい ないとき
71. レポートの例 ないとき 送信元 の の結果 ヘッダ のドメイン の結果
72. わかりやすい分析画面 だめ 送信 毎に 表示 あるとき
73. 詳細を展開 送信した国 送信ホスト名 送信元 あるとき だめ
74. 実際の例 これは自分の メールサーバー 結構失敗してる
75. 失敗してる部分の詳細 この は にも いれてある レンタル サーバーの ホスト名だ
76. さらに詳細 は ドメインが違うので の は 署名なし 届いていない 失敗
77. 何が起きていたのか メールサーバー サーバー 正しいドメインの レンタルサーバーの ドメインの ワードプレスの フォームからの お知らせメール
78. 無事 が しました 受信者が 転送した
79. 配送状況も確認できます 配送された 転送も 配送された なりすましなので 配送されなかった
80. 安定運用までの流れ や を 設定 ポリシーを に設定 レポートの分析 設定に問題が ないことを確認 ポリシーを に設定 レポートの分析 設定に問題が ないことを確認 問題があれば 正しく設定 対応 全体の 全体の 全体の 全体の 全体の 全体の
81. 安定運用までの流れ や を 設定 ポリシーを に設定 レポートの分析 設定に問題が ないことを確認 ポリシーを に設定 レポートの分析 設定に問題が ないことを確認 問題があれば 正しく設定 対応 全体の 全体の 全体の 全体の 全体の 全体の
82. 状態に変化があったらアラートが来ます
83. 安定運用までの流れ や を 設定 ポリシーを に設定 レポートの分析 設定に問題が ないことを確認 ポリシーを に設定 レポートの分析 設定に問題が ないことを確認 問題があれば 正しく設定 対応 全体の 全体の 全体の 全体の 全体の 全体の
84. メールに ロゴを表示する
85. 似たようなドメインでなりすます 会社 会杜 会社 会杜 も も もバッチリだぜ 杜 会社 悪い人 会社 悪い人
86. • などでロゴが 表示される • が必要 •登録商標が必要 • 証明書が必要 • の登録 •配布用 サーバの 用意
87. ロゴと証明書を簡単に管理・配布
88. 脱 と 暗号化
89. 送信者に依頼する うち、暗号化が必須なので、 にパスワード付けて 送ってくださいね。 了解。 です！
90. 送信サーバーに依頼する うち、暗号化が必須なので、 で暗号化せずに 送らないでくださいね 了解。 です！
91. •配送したかどうかのレポート送信先を に記述 • に を使うことを記述 • サーバーにポリシーを記述 • サーバーに受信メールサーバ一覧を記述 設定はやや複雑 • の証明書必須 • が決まっている • ファイルの も決まっている •
92. での どのポリシーにするかを 選ぶだけ
93. 状況のレポートも見れます
94. まとめ
95. • の運用は を継続的に維持すること が大切 • で管理を分離しよう • で設定ミスを撲滅しよう • で自信を持って にしよう • で安心して を維持しよう まとめ
96. 質問はこちらまで！ 資料