Visão geral
00:00:09 – Conheça Ash Morin da Dmarcian, junto com nossa própria Kate Nowrouzi
00:03:20 – O que é spoofing?
00:09:02 – Quando o DKIM chegou à festa
00:14:27 – DMARC e por que ele está aqui
00:00:05
Eric Trinidad: Bem-vindo ao Email’s Not Dead. Meu nome é Eric e comigo, como sempre, está Jonathan.
00:00:09
Jonathan Torres: Olá.
00:00:09
Eric Trinidad: Estamos aqui esta semana para falar com vocês, como fazemos o tempo todo, sobre e-mail. Este é um podcast criado por um par de geeks que por acaso trabalham na área de e-mail. Então, bem-vindos de volta, amigos. Nesta semana pós-Halloween. Ainda vamos falar sobre algumas coisas assustadoras. Então, estamos falando sobre phishing e spoofing, o que é bem perigoso por aí. Então, sabe, para nos ajudar nesta jornada, temos alguns amigos conosco. Temos, juntando-se a nós, Ash Morin da Dmarcian. Ele é um gerente de implantação. Ash, obrigado por se juntar a nós hoje.
00:00:37
Ash Morin: Obrigado por me receber.
00:00:38
Eric Trinidad: E também temos Kate Nowrouzi, que é nossa VP de Entregabilidade… Kate. Obrigado novamente por se juntar a nós. Como você está hoje?
00:00:45
Kate Nowrouzi: Estou ótima. Obrigada por me receber.
00:00:48
Eric Trinidad: É ótimo ter você de volta. Então, hoje estamos falando sobre spoofing e phishing e apenas sobre segurança em geral. Ash, eu entendo que, sabe, você tem experiência em segurança, mas principalmente na área de e-mail, sabe, então, como tem sido essa vida?
00:01:01
Ash Morin: Tem sido divertido, na verdade. Então, para muitas pessoas, acho que comecei como generalista e me concentrei principalmente nos típicos sites de desktop, suporte local principalmente, sabe, garantindo que o hardware e tudo isso continuassem funcionando e acompanhando. Mas, eventualmente, conforme me envolvi mais com e-mail e administração de e-mail, especialmente em meados dos anos 2000, quando algumas tecnologias realmente divertidas começaram a surgir, mas isso foi por necessidade. Vamos ser sinceros. Eu fiquei viciado e comecei a focar cada vez mais nisso. Eventualmente, por volta de 2011 foi quando consegui um cargo em tempo integral na área de antispam e segurança. Então eu percebi que provavelmente esse seria um amor que eu teria por muito tempo. E, de fato, isso é interessante porque foi apenas um ano antes de a especificação do DMARC se tornar mais oficial. Então, meu timing foi muito interessante. Mas sabem de uma coisa? Tudo deu certo no final.
00:01:57
Eric Trinidad: Sim, isso é incrível, te fisgou e não te soltou desde então.
00:02:00
Jonathan Torres: Sim, é isso que eu acho que o e-mail tende a fazer com todos nós. Eu sinto que este grupo em particular, mas digo, há tantas pessoas por aí que, assim que o e-mail te fisga, você está pronto, você está bem. É assim, é um bichinho que te morde e você vai com tudo.
00:02:15
Ash Morin: Com certeza.
00:02:16
Eric Trinidad: Então você provavelmente lidou com algumas coisas assustadoras que surgiram por aí e atingiram alguns de seus clientes como a Kate. Eu sei que você também já passou por isso. Sabe, só com o seu histórico.
00:02:26
Kate Nowrouzi: Eu costumava combater spam na operação antispam da AOL, e era divertido. É como um quebra-cabeça. Que você, quanto mais você vai atrás disso, eles mudam as táticas deles e então vira um jogo muito divertido. Desde então, sempre gostei de combater os bandidos e garantir que o ecossistema de e-mail permaneça limpo e seguro.
00:02:45
Jonathan Torres: Sim, a segurança é definitivamente uma grande parte disso. E acho que é mais ou menos para onde a conversa nos leva. Certo. É esse o próximo passo, porque nós temos o spam em geral. Spam é uma realidade. Nós conversamos tanto sobre isso e acho que a conversa sobre spam nunca vai terminar, como combatê-lo, como não fazê-lo, sabe, garantir que estamos fazendo a coisa certa. Então isso não entra em questão. Mas acho que aqui, especificamente, o que estamos focando é em toda a parte do spoofing. Certo. Isso já é um outro nível onde não é mais apenas spam. É algo intencionalmente ruim que alguém está tentando fazer. E acho que isso deveria ser discutido. E precisamos garantir que tenhamos tempo para falar sobre isso. E dentro desse espaço. Então, spoofing, o que é isso, alguém quer tentar explicar? Porque vou deixar em aberto.
00:03:20
Ash Morin: Bem, acho que me sentiria mal se não tentasse, para ser honesto. Eu realmente quero começar esclarecendo que, efetivamente, sabe, quando você estava falando sobre spam versus, sabe, spoofing, temos que entender que spam é tecnicamente e-mail em massa não solicitado. A intenção não é necessariamente maliciosa. É uma má prática. E às vezes pode ser, mas nem sempre. Mas quando você fala sobre spoofing, este é um ataque deliberado, geralmente direcionado, onde você tem indivíduos por aí tentando tirar algo de você e isso geralmente significará que você sofrerá uma perda. Então, é um ataque. E esse ataque é efetivamente muito assustador porque, para os usuários médios, eles não terão a menor ideia. E, com muita frequência, eles terão que confiar que sua segurança de TI ou, sabe, a organização com a qual trabalham está devidamente equipada para mantê-los seguros. E isso nem sempre ocorre apenas em um ambiente de trabalho. Também estamos falando sobre, sabe, seu próprio endereço de e-mail pessoal que você usa e que é, sabe, como uma conta gratuita de algum tipo. E também é um alvo esmagador desses ataques. Mas efetivamente, toda a ideia do spoofing é que, por causa de como o e-mail funciona, da maneira que o seu cliente de e-mail exibirá de onde um e-mail está vindo, aquele endereço de remetente, se você preferir, pode exibir absolutamente qualquer coisa que o remetente quiser. Qualquer coisa, absolutamente qualquer coisa. E sem tecnologias específicas que foram desenvolvidas ao longo do tempo para instalar algum controle em torno disso, alguma verificação, não existia nada disso antes. E, no final das contas, é disso que precisa. Ou seja, assim que você recebe um e-mail, ele vai tentar ser alguém que não é, ele vai chegar à porta e mostrar o crachá, dizendo, ei, eu sou seu provedor de gás, precisamos de um pagamento. E à primeira vista, há uma boa chance de que você não perceba a diferença. E isso é, em essência, o que é o spoofing, sabe, nuances e táticas que um invasor adotaria. Mas em essência, é isso que é. É alguém vestindo uma fantasia que é tão crível apenas por causa da forma como o e-mail funciona, e o seu cliente de e-mail tenta facilitar e adicionar uma camada de conveniência à sua vida, o que efetivamente o torna perigoso apenas para enganá-lo e tirar algo de você. E isso é ruim para você e bom para eles.
00:05:51
Jonathan Torres: Sim. Também existem tantas camadas diferentes quando falamos sobre esse tipo de coisa, porque há os pequenos micro-ataques que são muito direcionados, tipo, ataques do tipo whaling que enviam informações, fingindo ser… Eu sei que já recebi desses onde é como, ei, é o seu CEO. Tipo, por favor, compre um vale-presente e me envie o código do vale-presente porque eu preciso desse dinheiro. E é como, bem, isso não faz sentido. Mas eles ainda continuam tentando. E obviamente ainda acontece porque as pessoas estão fazendo isso. Está acontecendo e as pessoas estão caindo nisso. Então, essa é uma situação muito perigosa. E isso pode causar, sabe, definitivamente alguns problemas. Mas aí vemos coisas em grande escala. Eu sei que eu adoro fazer compras online. Acho que a pandemia fez com que eu adorasse fazer compras online ainda mais porque posso receber mais coisas direto na minha porta. Então, e aí, tem tantas coisas que chegam na minha caixa de correio. E, tipo, é uma coisa difícil para os provedores combaterem. E isso o torna muito perigoso porque, de qualquer grande empresa que esteja fazendo isso em grande escala, é fácil encontrar o logotipo deles. É fácil descobrir a forma como eles formatam suas mensagens. É fácil imitar essas informações e depois enviá-las a todos, enviá-las para qualquer um de quem eles consigam obter o endereço de e-mail na tentativa de enganar alguém e isso pode acontecer com você. Então, é uma daquelas coisas que, digo, para mim, parece um lugar muito assustador para se estar. Quero dizer, em e-mail em geral. É algo que, sabe, meio que faz meu coração acelerar um pouco. E acho que é mais ou menos, sabe, continuando o tema do Halloween. Sim, é mesmo. É intimidador, eu acho, às vezes. E simplesmente assustador no geral.
00:07:10
Eric Trinidad: Sim. Especialmente agora durante as festas de fim de ano. Sabe, provavelmente teremos muito mais mensagens agora do que nunca, sabe, estando nessa área. Sim. O que foi isso, Kate?
00:07:20
Kate Nowrouzi: Eu ia dizer que faz diferença se você já trabalhou com segurança de e-mail, se você tem a experiência, você pode olhar os cabeçalhos de e-mail, você conhece esses detalhes. Mas mesmo para mim, eu sempre pensava, tipo, ah, eu sou firme, ninguém consegue me enganar. Uma vez eu fui enganada por… Eu uso o Wells Fargo como minha conta bancária… por um ataque de phishing do Wells Fargo em que o W era dois V’s. Portanto, mesmo que você seja o melhor, você ainda pode ser enganado. Então esse é o ponto principal a ter em mente, que há tantas coisas que precisam ser feitas para proteger as pessoas comuns ou mesmo as pessoas experientes, para protegê-las de seus ataques de phishing.
00:07:59
Jonathan Torres: Sim, eu já vi tantas combinações diferentes desse tipo de coisa, onde eles usam um R e um N para fazer parecer um M, eles usam o mesmo tipo de tática aí como aquela que você viu com dois V’s para fazer um W. Existem tantas, existem tantas táticas diferentes por aí na maneira como eles vão fazer isso. E isso faz, isso torna as coisas bem do tipo, você precisa estar prestando atenção, sabe, você como consumidor, mas também como remetente, como as coisas estão se saindo. Então eu acho que é aí que meio que começamos a direcionar a conversa um pouco. Vamos torná-lo um pouco menos assustador e ver o que podemos fazer para nos ajudarmos. Então, eu sei que quando começamos a ir do topo, certo, começamos a ir e olhar para os princípios básicos disso e até onde foi no passado. Sabemos que o SPF existe, certo? Então, o SPF permite que você basicamente diga que esses são os locais que estão enviando mensagens para mim. Certo. Um registro TXT simples, razoavelmente fácil de configurar. Quase todo mundo deve ter isso configurado. Se nem todo mundo tem isso configurado, por favor, vá configurá-lo. Ele realmente só diz que este é o meu domínio. É daqui que meus e-mails estão vindo. Estes são os servidores sobre os quais quero dizer que, sim, eles podem enviar por mim. Então, muito, muito básico. Então, começamos a entrar em coisas que ficam um pouco mais complexas. Onde você está assinando suas mensagens com DKIM. Ash, você quer nos contar um pouco sobre o lado do DKIM das coisas?
00:09:02
Ash Morin: Sim, com certeza. Então, em essência, o DKIM entrou em cena em sua iteração atual como um tipo de fusão de duas tecnologias por volta de 2004. E efetivamente, a ideia é usar pares de chaves criptográficas em um nível muito alto. Não vou entrar muito em detalhes, mas efetivamente o remetente aplicará uma assinatura ao e-mail, tipo especificando, ei, quer saber, eu verifico a autenticidade deste e-mail. Esta é a minha assinatura. E assim que for recebido pelo destinatário pretendido, então esse ambiente, se estiver verificando o DKIM, a maioria, a esmagadora maioria fará isso agora. Ele então construirá sua própria verificação usando uma chave pública. E então o que fará de maneira eficaz é comparar o resultado que obtiveram com o que foi originalmente assinado pelo remetente. Se corresponder de forma idêntica, isso significa que aquele e-mail foi enviado e recebido sem qualquer modificação. A quê? Aquele DKIM ou aquela assinatura é coberta de forma tão eficaz que é uma maneira de aplicar um selo de certificado de aprovação declarando que quando foi enviado, essas partes específicas da mensagem eram parecidas com isto. E então, dessa forma, usando essa técnica, um receptor pode dizer: bem, então parece o mesmo de quando você o verificou. Então estamos bem. Mas se houver qualquer alteração feita em uma parte específica da mensagem, substituindo algumas coisas, mudando o conteúdo do corpo, coisas assim, então quando o receptor receber esse e-mail, ele vai perceber. Não, na verdade, estou vendo algo diferente do que você viu quando o enviou. Então, nesse ponto, saberemos que algo aconteceu. Agora, a parte complicada é, a coisa que aconteceu, foi feita, sabe, apenas legitimamente, foi só um erro ou foi malicioso? Isso já é outra história. Mas em essência, é isso que o DKIM faz.
00:10:54
Jonathan Torres: Sim. E digo, é uma daquelas coisas que é bom ter algo implementado para impedir que essas coisas aconteçam. Certo. Essas coisas, sabe, sejam acidentais ou intencionais, tipo. Certo. Para essas mudanças ocorrendo sempre que as coisas não estiverem parecendo iguais, sempre que enviado e que foi assinado e depois retornando ao espaço, na verdade com ambos, no entanto, porque se você estiver enviando uma mensagem e basicamente disser que não tem DKIM e não é uma mensagem assinada, então isso realmente torna isso meio que um ponto irrelevante, na verdade. Sempre que estivermos falando sobre spoofing. Não que seja completamente inútil, mas faz com que haja uma pequena lacuna. E eu sei que é meio aí que, sabe, temos a coisa do SPF, sabe, ainda meio que entrando um pouco em jogo e meio que cuidando de um pouco disso e basicamente dizendo algumas coisas sobre de onde o e-mail deveria estar vindo. Mas ainda assim, não é um conjunto de soluções completo, seguro ou totalmente complementar de tudo, sabe. E acho que é por isso que muitos de nós dentro da área de e-mail somos tão entusiasmados com o DMARC, porque ele é meio que o salvador para juntar tudo isso.
00:11:52
Ash Morin: Com certeza é. E de fato, temos que também ser realistas, se preferir, no sentido de que não há nenhuma medida única que vá consertar tudo. Simplesmente não há e é para isso que precisamos olhar. E foi isso que o SPF foi originalmente. É tipo, ok, agora estou autorizando quem tem permissão para enviar em nome do meu domínio, mas apenas como parte do return path. E agora estamos falando sobre a anatomia de um e-mail. Sabe, há dois endereços de envio, haverá o cabeçalho ‘from’ e haverá o ‘mail from’ ou o ‘rfc5321 mail from’ ou o ‘return path’ ou o ‘envelope from’ ou o endereço de devolução. É a mesma coisa com nomes diferentes, todos para a mesma identidade específica configurada em um e-mail. E a menos que você esteja familiarizado com o funcionamento do SMTP, você não sabe disso, o usuário médio evidentemente não sabe disso. Mas sob a perspectiva de um administrador de sistema você está olhando e dizendo, ok, sabe, eu tenho o SPF configurado, então estou bem com isso, mas mais coisas podem sofrer spoofing. E o principal problema aí é que o DMARC reúne tudo isso por um motivo muito específico porque é possível que, digamos que eu seja John Spammer e tenha registrado o domínio spammer.com. É, sabe, sim, é um pouco óbvio, mas isso é de propósito. Então eu registrei o spammer.com. Então eu sou dono desse domínio. Então eu tenho controle sobre seu DNS, tenho controle sobre qualquer servidor de e-mail que eu tenha configurado para enviar em nome desse domínio. E devido à forma como o e-mail funciona, posso enviar um e-mail programado de tal maneira que usará um cabeçalho ‘from’ diferente do ‘return path’. Então vou enviar um return path para o meu domínio spammer.com, assim eu controlo o domínio para poder configurar o registro SPF para o que eu quiser. Então uma autenticação especial vai passar. Sim, mas vou começar a enviar pelo PayPal usando um cabeçalho diferente e é isso que um receptor, um cliente de e-mail começou a mudar esmagadoramente. Isso começou a mudar e isso é bom. Mas no geral, especialmente no dispositivo móvel, sabemos que móvel é… todo mundo verifica o e-mail no dispositivo móvel agora, muito raramente no desktop, no cliente móvel você tem espaço de tela limitado. O que eles farão? Eles vão mostrar o cabeçalho ‘from’. Eles não vão começar a mostrar em detalhes todos os diferentes endereços que estão lá. Então você vai ver, ah, recebi um e-mail do PayPal. E se você conhece o John Spammer, ele é muito bom em criar um corpo de mensagem para parecer com um e-mail do PayPal e, sejamos realistas, é muito fácil encontrar um logotipo de aparência autêntica do PayPal em imagens e coisas do tipo na Internet.
00:14:25
Eric Trinidad: As pessoas têm muito tempo livre agora.
00:14:27
Ash Morin: Com certeza. E, sabe, você é um spammer. Então você é um phisher, esse é efetivamente o trabalho deles. Então eles são bons no que fazem. Então você faz um e-mail que se parece com o PayPal. Eles enviam. Você olha seu dispositivo móvel, parece ser paypal.com, mas foi enviado por spammer.com e o SPF passou. E o que é assustador é que o DKIM vai passar também, porque se eu usei o DKIM para enviar do meu servidor de e-mail spammer.com, entre aspas, então eu tenho controle sobre a assinatura. Então, e eu tenho controle sobre onde a chave pública está hospedada, que seria em spammer.com, então tudo isso passa na autenticação do SPF, na autenticação DKIM, mas parece que é do PayPal. Então o que eu faço? Por exemplo, o que o PayPal faz para proteger a reputação do domínio deles nesse ponto? E o que um usuário faz, mas eu posso sequer confiar no que é isso? Honestamente, isso não se resume apenas a heurísticas de spam. Isso não recai apenas sobre os usuários para que sejam bem instruídos porque não é realista pensar que todo mundo simplesmente tem a certa e, digamos, vamos chamar de educação ou skill para ser capaz de notar. Eu deveria me preocupar com isso? Isso é legítimo? Agora, está melhor hoje do que nunca porque foi socializado, mas ainda não chegamos lá. E então temos que transferir a responsabilidade para o proprietário do domínio, ei, faça alguma coisa. E foi isso que o SPF foi. É isso que o DKIM é, mas isso não é suficiente. Então o DMARC está lá para agir em um, sabe, digo, se vamos usar termos de leigo também, não é suficiente que o SPF passe ou descompacte o que está sendo usado para fazer essas verificações contra um domínio que você teve que pesquisar que um receptor tem que usar para ver se o SPF ou o DKIM passa. É necessário haver uma relação entre essas identidades. E o que é exibido como quem eles estão fingindo ser o remetente. É realmente onde, bem, já havia uma necessidade, essa necessidade foi identificada antes do DMARC e houve alguns esforços isolados e fragmentados para tentar estabelecer esse tipo de comportamento por meio de outras especificações e textos, mas nenhum que foi esmagadoramente adotado como um padrão que todos usariam. O DMARC foi realmente o primeiro que acabou fazendo isso. E então nesse ponto, quando a adoção aumentou e estou falando de verificação, adoção, para que o receptor esteja devidamente equipado para fazer uma verificação DMARC para o e-mail que eles recebem. Então nesse ponto, o que o DMARC acabou fazendo é, ok, sabe, para usar meu exemplo, estou tentando enviar um e-mail porque eu sou uma pessoa ruim. Estou tentando enviar um e-mail de paypal.com, mas o returnpath e o DKIM são de spammer.com. Bem, então alguém que, digamos, o PayPal, diz: ok, bem, isso não é bom. Então eu vou publicar o DMARC e vou instalar o que preciso instalar e fazer isso agora, de forma que qualquer um que não esteja autenticado falhará. Então o que acaba acontecendo é que um receptor, claro, verá isso, eles verão PayPal. Oh, o PayPal tem DMARC. Bem, é melhor eu ver se o returnpath e o DKIM também são paypal.com. Ah, não, é spammer.com. Isso não é a mesma coisa. Bem, isso não é bom o suficiente. E nesse ponto, o que acontece com aquele e-mail é baseado no que a política do DMARC diz. E então, mais uma vez, o proprietário do domínio está no controle disso. E então o receptor dirá, ah, eles querem que eu rejeite isso. Eu não vou aceitar. E é apenas um ou zero, tudo ou nada, algo preto no branco. Certo. Não é uma heurística de spam, só está lá para decidir. Passa ou não passa. Simples assim. Então essa é a ideia por trás do DMARC.
00:18:21
Jonathan Torres: É tão bonito, eu acho, dentro do seu design que ele faz exatamente isso. Certo. Essa é a coisa que estamos procurando, é por alguma forma de se proteger. Certo. Como o remetente. Se eu estou enviando coisas e estou enviando coisas como eu mesmo com minha marca, com minhas imagens, com meu conteúdo, quero que seja eu enviando e não qualquer outra pessoa. E, sabe, se é alguém que está fazendo isso, bem, sim, eu vou me proteger e quero ser capaz de me proteger dizendo: não, não deixem essas coisas entrarem. E acho que isso vem de você Kate, tipo, sabe, onde você já viu, tipo coisas como essas impactarem, sabe, o aspecto de entregabilidade das coisas. Quando alguém faz aquela coisa abusiva, que faz parecer que é outro alguém que é um remetente legítimo e no fim não é.
00:19:00
Kate Nowrouzi: Então, a coisa mais importante para qualquer marca é a sua reputação. Portanto, se eles sofrerem phishing ou spoofing, se a marca for atingida, os consumidores perderão a confiança nessa marca. E recuperar a confiança levará muito, muito tempo. Se você perdeu essa confiança, pode levar uma eternidade. Você pode até não conseguir sobreviver. É por isso que encorajamos muito todas as marcas a autenticarem seu tráfego, a estabelecerem definitivamente registros DMARC. Mas um dos desafios que eu vejo é que se tornou mais fácil incentivar as marcas a estabelecerem um registro DMARC. Mas a política que eles estão aplicando de que todo mundo publique um registro DMARC, tipo, é mais fácil fazer isso. Mas aí eles começam com o P, o relatório. O relatório de P é igual a e assim por diante. Trata-se de relatórios. Isso realmente se destina a um período de tempo muito, muito curto, enquanto você estiver testando e assim por diante. Portanto, você precisa mudar para quarentena e rejeição, então não pare, não há problema em desenvolver, ter uma política como p=none no começo. Mas se você continuar aí, é como se você tivesse comprado um presente de aniversário e o embrulhado, mas nunca o entregasse para a pessoa. Então basicamente passar por tudo isso e então ficar orgulhoso, ah, eu tenho uma política do DMARC.
00:20:29
Eric Trinidad: Construir esse relacionamento. E então, quando você conquista essa confiança com seus clientes. Digo, é isso que Jonathan e eu fazemos, como TAMs todos os dias estamos dizendo aos nossos clientes, sabe, vocês precisam construir essa reputação, ganhar essa confiança. É como qualquer outro relacionamento. Não sei se você já chamou o seu parceiro por outro nome e o quão fácil é reconquistar essa confiança depois que você faz isso, é bem difícil. Então, sabe, apenas faça do jeito certo, sabe, e tudo ficará bem. Configure-o, defina-o para reject (rejeitar) para que você não seja rejeitado.
00:21:06
Ash Morin: Sim, absolutamente. E apenas para aprofundar um pouco no que a Kate disse, o que acho interessante é implantar um p=none conforme estamos monitorando a aplicação, chame como quiser. E o que eu gosto de dizer também é, ok, sabe, você acha que as pessoas estão passando pelos portões, sabe, e você quer impedir que isso aconteça enquanto o p=none está lá para acender as luzes. Então instalamos uma câmera no portão para ver quem realmente está passando por aquele portão. Mas você não está comprando uma porta e não está comprando uma fechadura. Você não está fazendo nada para realmente impedi-lo. Agora você sabe quem está vindo, mas o que vai fazer? E sim, sobre o seu ponto, há muito acontecendo em relação aos motivos que podem explicar o porquê deles ficarem nessa política e não avançarem de fato. Com muita frequência, o que acaba acontecendo é que eles sabem que o DMARC é benéfico. Eles sabem que precisam dele, começam com ele. E então eles começam a ver aqueles relatórios e não têm como processá-los. É como, o que eu faço agora? Tipo, eu estou recebendo milhares e milhares de relatórios, todos eles são XML, e eu estou revisando cada um, e isso simplesmente não é viável. Então essa pode ser uma razão. Agora, existem muitas soluções por aí para isso, evidentemente a Dmarcian é uma delas. Mas quando você começa a analisar, digamos que você tenha uma solução, independentemente do que seja, talvez você mesmo a tenha desenvolvido. Você foi de forma profissional. Não importa. Você tem um meio de entender o que eles significam. E então você se dá conta de que, ah, há muito trabalho a fazer aqui. Isso vai consumir muitas horas da equipe. Há recursos que precisam ser alocados, e talvez precisemos de fato trabalhar em um projeto para conversar com muitas pessoas do setor, dependendo do tipo de organização na qual você está, especialmente se você for uma organização razoavelmente complexa, muitos usuários, muitas pessoas com quem falar para começar a juntar tudo isso a fim de realizar o que chamamos de descoberta de fonte, que é entender quem utiliza essa fonte. Eu não posso fazer uma alteração. Não há quantidade de mudanças de DNS que eu possa fazer agora para deixar isso em conformidade. Preciso descobrir quem usa isso. Isso pode ser muito difícil, dependendo da estrutura da sua organização e de como vocês estão distribuídos e de como operam. E então, quando cai a ficha de que é muito trabalho, eles podem ter que se perguntar: temos a capacidade para isso agora? E se não tiverem, eles precisarão de ajuda. Outra razão pela qual eles procurariam uma empresa como a Dmarcian, mas isso não vem ao caso. A questão é que, muitos deles, infelizmente, vão continuar no ‘none’ porque eles não sabem como lidar com isso. É muito trabalho. E o tempo é importante para essas pessoas. Eles estão muito ocupados mitigando ameaças de todos os lugares. Então agora eles têm que olhar pelo ponto de vista: bem, quais são os riscos de apenas mudar para reject (rejeitar) sem fazer o trabalho? E, muito rapidamente, eles também perceberão que isso não é possível, porque eles podem ter algum fluxo crítico muito importante de e-mail que será impactado. E talvez seja algo gerador de receita, ou algo semelhante, e eles simplesmente não podem impactá-lo. Então eles estão presos. E isso é lamentável.
00:24:07
Jonathan Torres: Esse é exatamente o ponto, certo, é que há tanto tempo em que é apenas um trabalho esmagador. E eu sei que há muitas vezes em que é apenas medo, medo de que, se você prosseguir e fizer parte desse trabalho, você vai deixar passar alguma coisa ou algo vai acontecer. E, sabe, você não o implementou exatamente da maneira certa. Ou então você quebra gravemente algo que estava funcionando antes, e tudo desmorona sobre você. Sendo a pessoa que estava tentando implementar isso. Então eu entendo completamente esse medo e isso nunca aconteceu comigo, felizmente. Mas não foi nesse nível ou não foi especificamente com o DMARC. Mas eu entendo que, às vezes, sabe, bem, há coisas que são confiadas a você e você quer ter certeza de que está agindo corretamente com elas. E eu acho que, no final das contas, é isso. E para aqueles de vocês que estão aí, que podem estar nessa situação, e que talvez tenham, tipo, uma política p=none agora. É por isso que eu adoro as Dmarcians do mundo, que têm um sistema e uma fonte que você pode meio que se conectar e receber esse feedback de volta. Certo. Ter as informações de que você precisa quase nas pontas dos dedos e realmente conseguir agir com base nelas, porque existem tantas coisas. Eu nem sei quantas vezes eu entrei e olhei o registro SPF de alguém. Vamos começar com algo simples, certo? Você olha para um registro SPF. Quantas pessoas estão enviando mensagens para esta única entidade, sabe, essa marca reconhecível? Eles estão fazendo muitas coisas de vários lugares diferentes. Nós olhamos para o SPF e o registro atingiu o limite de quantas fontes diferentes eles estão usando para, para enviar e-mail do seu domínio. E então, traduza isso na tentativa de implementar o DMARC. Com isso, você terá que olhar para todos esses lugares e avaliar quem realmente está enviando por você. Eles precisam estar enviando por você, sabe, esse tipo de auditoria, sabe, e qual departamento está fazendo isso? Sabe, tipo, se você é uma grande empresa, provavelmente tem vários departamentos diferentes onde cada um meio que escolheu seu próprio lugar para enviar e talvez estejam fazendo metade da autenticação. E é algo grande e esmagador. E eu posso definitivamente ver que é, sabe, aquela parte assustadora disso tudo. Certo, onde você meio que está tentando fazer a coisa certa, mas acaba ficando paralisado por causa da quantidade de trabalho que precisa ser feito com isso. Portanto, definitivamente é uma daquelas coisas onde você tem que ir com calma, dar um passo de cada vez, mas você deve trabalhar para o próximo passo, em direção à quarentena e, eventualmente, à rejeição.
00:26:04
Ash Morin: Exatamente.
00:26:05
Kate Nowrouzi: Então, Ash, tenho uma pergunta para você. Então, vocês ajudam as marcas a configurar o DMARC, mas vocês não as deixam por aí, vocês continuam o acompanhamento. Elas podem continuar se beneficiando do monitoramento de vocês, do envio de relatórios e, se algo der errado, da resolução do problema. Correto?
00:26:24
Ash Morin: Então, nós fazemos um pouco de tudo. Especificamente, faço parte do gerenciamento da parte dos serviços profissionais nos EUA, da parte das Américas eu deveria dizer, da Dmarcian. Então, nosso objetivo aqui é fazer tudo isso. Então, depende da ajuda que eles querem e em qual estágio eles estão. Mas a ideia é que entremos em cena se eles estiverem interessados, nós iremos avaliar qual é a quantidade de trabalho que precisa ser feita. E nós lhes damos uma ideia do que estaria envolvido, de forma que os preparamos. Nós os deixamos prontos. Nós fazemos com que eles entendam. Ei, esta não é uma tecnologia do tipo ‘configure e esqueça’. Você estará casado com o DMARC daqui para frente. E há muito o que considerar. Então, primeiro lhes fornecemos essa perspectiva e depois definimos o escopo do projeto para que tenham uma ideia de: OK, o que seria necessário para passar de none para reject? E a partir daí podemos chegar a um acordo. Talvez eles queiram nossa ajuda para continuar conosco até atingirmos o nível de reject. E nesse momento, faremos o máximo que pudermos, vamos ajudá-los não apenas a se acostumarem, no nosso caso, estaremos falando sobre a plataforma Dmarcian, é claro. Portanto, estou lá para garantir que eles se tornem usuários pro do nosso sistema e consigam entendê-lo de cabo a rabo. Também estou lá para garantir que eles entendam como DNS, SMTP, e-mail, SPT, DKIM, todos funcionam juntos e as nuances envolvidas, as práticas recomendadas, por exemplo, como você mencionou antes, vamos começar com o SPF, porque isso é fácil. Infelizmente, nem sempre. Às vezes, o SPF pode ser o gerenciamento de SPF é um problema conhecido desde maus conselhos da Internet até os limites que existem dentro de um registro SPF, ambos, pois o grande problema que todo mundo teme é o máximo de 10 pesquisas de DNS que um receptor precisa passar antes de emitir um erro, ou o registro TXT do DNS simplesmente não pode conter tantos caracteres. E porque, se estivermos no mundo do SaaS, o seu registro pode crescer imensamente. E então temos também que, especialmente se trabalharmos com indivíduos de métodos mais antigos, eles podem querer começar com o registro SPF sendo v=spf1 mx -all. Esse é um registro SPF muito comum que costumava existir. Isso não é mais relevante. Simplesmente não é. E ali estão dois mecanismos de consulta de DNS que são inúteis para a maioria dos domínios. Então, é apenas um exemplo. Mas se eles forem enormes, usarem muitos SaaS e quiserem focar principalmente no seu domínio principal de marketing, pode ser que eles não consigam, então teremos que falar sobre a estratégia de segmentação, que é efetivamente isolar fluxos para subdomínios por uma série de motivos, incluindo a reputação do domínio. Tenho certeza que a Kate poderia comentar sobre isso. Portanto, esse é apenas um dos aspectos. Então, estaremos falando sobre como configurar MTAs específicos até fazer alterações de DNS, coordenando e elaborando um plano para essas alterações, descobrindo e também catalogando cada fonte que envia e-mails, quem as possui, quem faz o quê e, em seguida, formular um plano e segurar as mãos deles. Eu não quero soar condescendente. É claro, isso é feito com os melhores interesses e intenções, mas segurar a mão de forma que, se precisarem de nós, estejamos lá. Daremos o melhor conselho que conhecemos com base na nossa experiência. E, a partir daí, garantimos o sucesso. Efetivamente, estamos lá para lhes dar um resultado bem-sucedido com risco mínimo. Se eu fosse resumir ao máximo possível.
00:29:44
Jonathan Torres: Sim, não, eu digo, isso é exatamente maravilhoso. Sim, isso soa ótimo. Bem, quer dizer, acho que isso cobre muito do que queríamos conversar hoje. Certo. Como, por exemplo, o que é isso, de onde está vindo. Soluções, as partes assustadoras disso. E então, quem sabe, encontrar um lugar bom, sabe, e obrigado por trazer isso para nós, Ash, acho que isso é realmente algo grande. E Kate, a sua visão sobre a parte da entregabilidade e sobre esse detalhe da reputação. Sei que você não tem apenas o conhecimento por trás disso, mas a experiência também. E acho que isso mostra imensamente a importância disso e por que é tão importante que todo mundo meio que entre e faça isso, e dê o próximo passo nesse espaço de segurança, porque é super, super, super importante.
00:30:28
Kate Nowrouzi: Eu adoraria continuar essa conversa. Provavelmente o próximo podcast sobre… O Ash trouxe um ponto muito interessante sobre segmentação e por que precisamos segmentar tráfegos diferentes em subdomínios diferentes, e como implementar uma política do DMARC. Esta política do DMARC precisa ser implementada no nível da organização ou em cada subdomínio. Então fiquem atentos. Assistam à nossa próxima sessão. Estaremos discutindo todos esses detalhes. Sim. Muito obrigada, Ash, Eric e JT, por nos receberem.
00:31:02
Ash Morin: Foi um prazer.
00:31:04
Eric Trinidad: Muito obrigado a todos. Nós realmente apreciamos a percepção de vocês e o seu tempo, seus conhecimentos, todas as coisas. Se não cobrimos algo hoje e você quiser ouvir mais a respeito, e quiser que entremos em detalhes para chegar aos mínimos pormenores do que o DMARC é e como configurá-lo, sabe, podemos definitivamente dar uma olhada nisso no próximo cast, talvez um webinar, quem sabe algo ao vivo, talvez possamos fazer algo assim. Eu não sei. Deixe-nos saber o que você acha. Mas se eles quiserem mais informações sobre o DMARC e a Dmarcian especificamente, fiquem à vontade para acessar o dmarcian.com e conferir as postagens e blogs de lá. E também acessem Mailgun.com/blog para os nossos blogs também. Obrigado novamente a todos pelo seu tempo. Eu realmente agradeço e espero que nos vejamos novamente em breve.
