メールのドメイン名変更とSPF/DKIM/DMARC導入

問2 ドメイン名変更に関する次の記述を読んで、設問に答えよ。

A社は、従業員1,000名の工作機械製造会社である。A社の技術力は高く評価されている。A社には、総務部、営業部、情報システム部、技術部及び製造部がある。

A社のWebサイトでは、一般向けにIR情報と関連会社へのリンクを、顧客向けに自社製の工作機械管理用アプリケーションプログラムとそのソフトウェア修正プログラムを提供している。また、A社では、電子メール(以下、メールという)を用いて、顧客との間で見積書や注文書の送受信をしたり、ニュースサイトのメールマガジンに登録して最新の情報を収集したりしている。

A社のドメイン名を詐称したメールが毎週2通程度、送られていることが、多くの顧客から報告されている。情報システム部長は、顧客に詐欺などの被害が生じるおそれがあることを認識し、メールの詐称対策が必要であると考えている。

〔情報システムの現状〕

A社は、10年前にドメイン名a-sha.co.jp(以下、A社ドメイン名という)を取得して以降、A社のWebサイト(以下、A-Webサイトという)及びメールアドレスのドメイン名として利用している。A社ドメイン名は、DNSサービス事業者であるS社の権威DNSサービス(以下、Sサービスという)を用いて管理している。

A-Webサイトは、Webサービス事業者であるW社のWebサービス(以下、Wサービスという)を用いて提供している。

A社のネットワークを図1に、構成要素の機能を表1に示す。A社の従業員は、PC-LAN内のPCで業務を行っている。

図1 A社のネットワーク(抜粋)

• インターネットには、Wサービス、キャッシュDNSサービス、Sサービスが接続されている。
• A社内は、DMZ、PC-LAN、サーバLANに分かれ、ファイアウォールがインターネット、DMZ、PC-LAN、サーバLANの間に接続されている。
• DMZにはメールサーバがある。
• サーバLANには、レイヤー2スイッチがあり、複数の業務サーバが接続されている。

注記 PC-LAN内のPCの記載は省略している。

表1 構成要素の機能(抜粋)

表2 第三者中継防止のためのルール

注記 項番が小さいルールから順に、最初に一致したルールが適用される。

〔ドメイン名の変更についての検討〕

A社は、3か月後にZ社への社名変更を予定している。情報システム部長は、メールの詐称対策の導入及び社名変更に合わせたドメイン名変更を検討するように情報システム部のN主任に指示した。N主任は情報システム部のEさんと、次のとおり検討した。

• z-sha.co.jp(以下、Z社ドメイン名という)が過去に取得されたことがないドメイン名であることを確認してから取得する。
• Z社ドメイン名の管理もSサービスで行う。
• WサービスでZ社ドメイン名のWebサイト(以下、Z-Webサイトという)も立ち上げる。
• 図1のメールサーバでは、複数のドメイン名のメールを受信できないことから、商用のメールサービスに移行する。
• メールの詐称対策は、SPF、DKIM及びDMARCで対応する。

N主任とEさんは、Z社が送信するメールの詐称対策(以下、送信対応という)と、Z社が受信するメールの詐称対策(以下、受信対応という)について方針をそれぞれ表3と表4のとおり作成した。

表3 送信対応方針

表4 受信対応方針

N主任とEさんは、これまでの結果を、情報システム部長に報告し、了承を得た。

〔メールサービスの機能の検討〕

N主任とEさんは、メールサービスの機能について検討し、メールサービス事業者であるU社のメールサービス(以下、Uサービスという)に移行することにした。Uサービスの機能の概要を表5に示す。

表5 Uサービスの機能の概要(抜粋)

〔Z-Webサイト及びUサービスへの移行手順の検討〕

Eさんは、Z-Webサイト及びUサービスへの移行手順を検討した。検討結果を、図2及び図3にそれぞれ示す。

Web-Step1:A-Webサイトのコンテンツを全て、Z-Webサイトに同一構成で配置する。Z-Webサイトに配置したコンテンツ中のA社ドメイン名をZ社ドメイン名に書き換える。
Web-Step2:次を1年間、実施する。
・A-Webサイトへのアクセスを、Z-Webサイトのトップページにリダイレクトする。
Web-Step3:A-Webサイトを停止する。A-Webサイト用のDNSレコードは削除する。

図2 Z-Webサイトへの移行手順

Mail-Step1:試行期間として次を1か月間、実施する。
・総務部及び情報システム部のメンバーだけが、Z社ドメイン名のメールアドレスを使用する。
・送信対応では、DMARCポリシーを、特定のアクションを要求しないこととし、メールを受信してもらう。
・受信対応では、DMARCの認証結果にかかわらず受信する。
Mail-Step2:図1のメールサーバの利用をやめ、次を3か月間、実施する。
・Z社全体が、Uサービスを用いてZ社ドメイン名のメールアドレスを使用する。
・Z社ドメイン名でのメールの利用を顧客に文書で周知するとともに、Z-Webサイトで周知する。
・A社ドメイン名宛てのメールをUサービスで受信する。
Mail-Step3:送信対応のDMARCポリシーを隔離に変更し、その6か月後、拒否に変更する。
Mail-Step4:A社ドメイン名でのメールの受信を停止する。メールサーバ用のDNSレコードは削除する。
Mail-Step5:問題がないと確認できたら、受信対応でDMARCの処理を行う。

図3 Uサービスへの移行手順

Eさんは、図2及び図3をN主任に説明し、了承を得た。

〔送信対応の設定内容についての検討〕

Eさんは、送信対応に用いるSPFレコードを、Uサービスから提供された情報に基づいて作成した。

次に、Eさんは、送信対応に用いるDKIMレコードについて検討した。Z社がUサービスを利用した場合、送信されるメールに付与されるDKIM-Signatureヘッダーのタグの内容を表6に示す。

表6 タグの内容(抜粋)

表6から、①DKIMレコードの名称として使用するFQDNが決まる。Eさんは、Uサービスから提供された情報に基づきDKIMレコードを作成した。

最後に、Eさんは、Mail-Step1の送信対応ではDMARCレコードを図4のとおりとすることにした。

v=DMARC1; p=【 d 】; rua=mailto:[email protected]

図4 DMARCレコード

Eさんは、設定内容をまとめてN主任に報告し、了承を得た。

〔A社ドメイン名の契約についての検討〕

N主任とEさんは、A社ドメイン名使用の契約を継続するか解約するかについて検討した。解約した場合、第三者がA社ドメイン名を取得することができる。N主任とEさんは、第三者がA社ドメイン名を取得した場合のA社ドメイン名の悪用例を検討し、表7のとおりまとめた。

表7 A社ドメイン名の悪用例

N主任とEさんは、A社ドメイン名使用の契約を継続することを情報システム部長に報告し、承認を得た。

また、A社ドメイン名については、Mail-Step4の後で次のとおり、設定することにした。

• DMARCレコードを設定する。
• DMARCの受信対応を行った組織がA社ドメイン名からのメールを拒否できるようにする。

そのために、A社ドメイン名について、SPFレコードを図5のように設定する。DKIMレコードは設定しない。

v=spf1 【 e 】

図5 SPFレコード

〔Uサービスへの移行の見直し〕

Mail-Step1において、DMARCレポートの分析結果を参照した結果、送信対応には問題がないことが確認できた。

Mail-Step2の開始1週間後、情報システム部のEさんに営業部のHさんから、図6に示すメールの一斉配信をしても問題ないか相談があった。

1.定期的に、Z社の公式情報の周知のためのメールを一斉配信する。
2.宛先には、社内と社外のメールアドレスが含まれている。
3.一斉配信には、T社のサービス(以下、Tサービスという)を利用する計画であり、Tサービスの仕様は次のとおりである。
 ・配信方法
  - 宛先メールアドレスは、サービス契約者が登録できる。
  - 宛先メールアドレスごとに個別に送信する。
 ・メールのヘッダーの設定
  - Fromは、サービス契約者が所属する組織が保有するドメイン名を用いたメールアドレスだけを設定できる。
  - Toは、宛先のメールアドレスから一つずつ、Tサービスが設定する。
  - Subjectは、一斉配信の都度、サービス契約者が設定する。
  - 他のヘッダーは、Tサービスが設定する。

図6 メールの一斉配信の説明

Eさんから相談を受けたN主任は、図6の一斉配信メールについて、次のとおりEさんに説明した。

• Mail-Step3以降で、一斉配信されたメールが届かない場合がある。メールが届くように、Mail-Step2の期間で、④表3の項番3での登録内容を見直す必要がある。

Eさんは、見直し案を作成し、N主任の了承を得てから、Hさんに問題ないことを説明した。

Mail-Step2の開始2週間後、情報システム部に技術部のJさんから、図7に示すメーリングリストを新たに利用することが可能か相談があった。

1.使用するメーリングリストは一つである。
2.メーリングリストの管理者は、Z社従業員である。
3.製品に関する情報交換のために、メーリングリストを使用する。
4.メーリングリストの配信先となる宛先には、社内及び社外のメールアドレスを登録する(以下、登録されたメールアドレスを登録メンバーという)。
5.登録メンバーから、メーリングリスト宛てにメールを送信できる。
6.メールサービス事業者であるY社のサービス(以下、Yサービスという)を利用する計画であり、Yサービスの仕様は次のとおりである。
 (1) メーリングリストのメールアドレスは、サービス契約者ごとに割り当てられたYサービスのメールアドレスである。ドメイン名はY社のドメイン名である。
 (2) Yサービスの管理画面で設定できる項目は(3)~(6)であり、配信されるメールに反映される。
 (3) エンベロープFromの設定
  ・メーリングリストの管理者のメールアドレスを設定する。
 (4) ヘッダーFromの設定
  ・次のいずれかを選択する。
   ヘッダーFrom設定1:メーリングリスト宛てに送信されたメールのヘッダーFromを使用する。
   ヘッダーFrom設定2:メーリングリストのメールアドレスを使用する。
 (5) Subjectの設定
  ・次のいずれかを選択する。
   Subject設定1:メーリングリスト宛てに送信されたメールのSubjectを使用する。
   Subject設定2:メーリングリスト宛てに送信されたメールのSubjectにメールの通番情報を付加する。
 (6) Reply-Toの設定
  ・メーリングリストのメールアドレスを設定する。
 (7) ヘッダーFrom、Subject及びReply-To以外のヘッダー
  ・メーリングリスト宛てに送信したメールのヘッダーを引き継ぐ。
 (8) Authenticated Received Chain 注1)(ARC)について
  ・ARCには、対応していない。

注1) メールが転送される場合でも、メールの認証結果を確認できるようにする仕組みとして、RFC 8617に定義されている。

図7 メーリングリストの説明

N主任は、Eさんに図8に示すとおり説明した。

・Mail-Step3以降にZ社の従業員が送信したメールについて
 - ヘッダーFrom設定1とSubject設定1の組合せでは、不達の問題は起きない。
 - ヘッダーFrom設定1とSubject設定2の組合せでは、⑤SPFによる認証及びDKIMによる認証の両方に失敗することによって不達の問題が発生することがある。
 - ヘッダーFrom設定2については、Z社の従業員が送信したメールであるかどうかの判定ができないので、用いるべきではない。
・Mail-Step3以降にZ社の従業員以外が送信したメールについて
 (省略)

図8 N主任の説明

N主任とEさんは、Jさんには、ヘッダーFrom設定1とSubject設定1の組合せを用いるよう説明した。

その後、Z-Webサイト及びUサービスへの移行は、順調に進み、完了した。