DMARCアナリストが日々膨大なレポートを分析し、メールセキュリティの課題解決や脅威の検知を行う様子を表現したイメージ画像

DMARCアナリストが毎日1万件のレポートから得る知見とは

DMARCアナリストが語る運用の舞台裏と教訓


著者: Ayan Bhuiya
翻訳: 東條 百々朱

この記事はPowerDMARCのブログ記事 A Day in the Life of a DMARC Analyst: Insights from 10,000 Reports Daily の翻訳です。
Spelldataは、PowerDMARCの日本代理店です。
この記事は、PowerDMARCの許可を得て、翻訳しています。

主なポイント

  1. DMARCは単なるDNSレコードではなく、専門家による継続的な監視と運用を必要とする戦略的な取り組みです。
  2. DMARCアナリストは、IT、セキュリティ、ビジネスコミュニケーションの橋渡し役を担い、組織のドメインから送信されるメールの正当性を確認します。
  3. アナリストは、膨大な認証データを対応可能な情報へ整理し、詐欺、フィッシング、ブランドのなりすましから組織を守ります。
  4. DMARCの真の価値は、攻撃による被害を未然に防ぐことにあります。
    適切なタイミングで発せられた1件のアラートが、ビジネスメール詐欺（BEC）を阻止し、組織を金銭的損失や信用の低下から守ることもあります。
  5. DMARCの導入は、段階的に進めることが重要です。
    まずは監視ポリシーであるp=noneから始めてメール環境を可視化し、問題を修正したうえで、p=quarantineやp=rejectなどの強制適用ポリシーへ移行します。

メールセキュリティには、危険な誤解があります。
それは、DMARCはDNSレコードを一度公開すれば、その後は何もしなくてよいという考え方です。
実際のDMARC運用は、常に変化するメール環境へ対応し続ける継続的なプロセスです。

送信サービスの追加や設定変更、攻撃手法の変化に合わせて、継続的に監視し、調整する必要があります。
DMARCを適切に管理しなければ、組織にとって重要なコミュニケーション手段であるメールが、詐欺、フィッシング、ブランドのなりすましといった脅威にさらされます。
自動化プラットフォームは、大量のデータを処理するために欠かせない基盤です。

しかし、DMARCによる防御を本当に機能させるには、収集されたデータを読み解き、適切な対応へつなげる専門家の存在が欠かせません。
DMARCアナリストは、毎日数万件に及ぶレポートを分析し、膨大な生データを組織の防御に役立つ情報へ変換する役割を担っています。
この重要な業務の舞台裏を詳しく知るため、PowerDMARCのシニアDMARCアナリストが、日々直面する課題や業務を通じて得られた知見について紹介します。

単なるIT管理者ではないDMARCアナリストとは

現在、多くの企業が、マーケティング、人事、顧客対応、請求管理など、さまざまな業務で数多くのサードパーティークラウドサービスを利用しています。
それぞれのサービスが企業のドメインを使用してメールを送信するため、ドメインのメール送信元を把握し、適切に管理することは非常に複雑になっています。

こうした背景から、IT、セキュリティ、ビジネスコミュニケーションをつなぐ専門職として、DMARCアナリストの重要性が高まっています。
DMARCアナリストは、認証結果を確認するだけではありません。
正当な送信元を把握し、設定不備を修正し、なりすましの兆候を検知しながら、組織が安全にDMARCの強制適用へ移行できるよう支援します。

DMARCアナリストの業務は、一般的なインフラ管理にとどまりません。
メールセキュリティの強化や到達性の改善など、明確な成果を実現するための、能動的かつ戦略的な役割です。
PowerDMARCのシニアDMARCアナリストによると、主な業務には以下が含まれます。

データを対応可能な情報へ変換する

DMARCアナリストは、生の認証データを分析し、セキュリティリスクやメール到達性の改善につながる情報へ整理します。
アナリストは次のように説明しています。

データ量は膨大になることがあります。
特に、複数のサードパーティー送信元が関与している場合、毎日数万件ものDMARCレポートが届きます。
構築されたレポートシステムを活用してデータを分類し、認証に成功したメールと失敗したメールを分けて確認します。
自動化された処理や高度なダッシュボードがなければ、この規模のデータを管理することは極めて困難です。

プラットフォームが調査すべき情報を整理し、DMARCアナリストがその情報をもとに原因を特定して、解決策を導き出します。

ブランドの信頼性を守る

正当な送信元だけが企業のドメインを使用できる状態を維持し、顧客や取引先からの信頼を守ることも重要な役割です。
攻撃者が企業のドメインを偽装したメールを送信すると、被害を受けるのは受信者だけではありません。
企業のブランドイメージや送信者レピュテーションも損なわれる可能性があります。

能動的に脅威を調査する

重大なセキュリティインシデントが発生する前に、設定ミスやドメイン悪用の兆候を探し出します。
アナリストは次のように説明しています。

PowerDMARCのような専用プラットフォームがなければ、大量のXMLファイルをダウンロードし、データを集計するためのスクリプトを作成し、傾向を確認するグラフを手作業で作る必要があります。
小規模なドメインであれば対応できるかもしれませんが、数百万通のメールを送信する企業では現実的ではありません。
手間がかかり、ミスが発生しやすいうえ、状況を十分に把握することも難しくなります。

DMARCアナリストの1日：大量のデータから重要な兆候を見つける

DMARCアナリストの一般的な1日は、膨大なデータから優先度の高い問題を選別し、調査と対応を進めることから始まります。
大量の認証結果を確認し、実際に対応が必要な少数の問題へ絞り込む、体系的なプロセスです。
アナリストは次のように説明しています。

最初に行うのは、DMARCダッシュボードで認証失敗が急増していないかを確認することです。
あるドメインで突然数千件の認証失敗が発生した場合は、注意すべき兆候です。
その後、新しい送信元、ポリシー適用上の問題、なりすましの可能性を示すレポートを確認します。
私の業務は、問題の選別、詳細調査、顧客とのコミュニケーションを組み合わせたものです。

日々の業務は、多くの場合、以下の3つの段階に分けて進められます。

1.問題の選別と全体確認

1日の始まりは、コードを書くことではなく、夜間に発生した異常の確認から始まります。
DMARCアナリストは、ダッシュボードを確認し、通常とは異なる動きが発生していないかを調べます。
例えば、以下のような事象です。

アナリストは次のように説明しています。

Aggregate ReportのダッシュボードとPowerSPFの組み合わせは、この作業に欠かせません。
どの送信元が認証に成功し、どの送信元が失敗しているかをすぐに確認でき、IPアドレス、プロバイダ、認証結果の詳細まで調査できます。
また、DKIMやSPFの結果をもとに、追加のアライメント対応が必要な送信元を顧客へ案内できます。
正当なメールの到達性に影響を与えたり、不要なリスクを生じさせたりすることなく、いつDMARCの強制適用へ移行できるかを判断するためにも役立ちます。

2.詳細な調査

注意すべき兆候が見つかると、DMARCアナリストは根本原因の調査へ進みます。
メールの送信元を追跡し、SPFやDKIMの設定、アライメントの状態、送信元IPアドレスなどを分析します。
そのうえで、認証失敗の原因が悪意のある攻撃なのか、正当なサービスの設定ミスなのかを判断します。

この作業では、複数の情報を組み合わせて確認することが重要です。
アナリストは、攻撃者によるなりすましについて、次のように説明しています。

攻撃者は役員の名前を使い、正規ドメインによく似たドメインからメールを送ることがあります。
例えば、アルファベットの「m」を「rn」に置き換えたり、.comの代わりに.coを使ったりします。
こうしたメールは、緊急の支払いを求めて財務部門を狙うことが一般的です。
さらに、社内で使われている表現や書式まで再現し、非常に信頼できるように見せかけることもあります。

ただし、類似ドメインからのメールはDMARCによる直接的なドメインなりすましとは異なるため、DMARCだけですべてを防げるわけではありません。
DMARCレポートによる送信元の可視化に加え、類似ドメイン監視、セキュリティ教育、高度なメールフィルタリングなどを組み合わせる必要があります。

3.対応方法を明確に報告する

調査後は、顧客へ分かりやすく、実行可能な解決策を提示します。
単に認証結果や数値を共有するだけではありません。
問題を修正し、脅威を抑止するための具体的な対応方法を説明します。

例えば、以下のような内容です。

DMARCアナリストが直面する最大の課題

DMARCアナリストの仕事は重要である一方、判断が難しい場面も少なくありません。
特に大きな課題となるのが、セキュリティとメール到達性のバランスです。
アナリストは次のように説明しています。

最も難しいのは、セキュリティと到達性のバランスを取ることです。
ドメインを厳格なp=rejectポリシーへ移行することは、直接的なドメインなりすましを防ぐうえで効果的です。
しかし、移行は段階的に進めなければなりません。
まず、すべての正当な送信元を慎重に把握し、重要なメールがブロックされないよう、顧客と確認しながら各手順を進めます。

もう1つの課題は、目に見える攻撃が発生していない段階で、DMARCの必要性を顧客へ理解してもらうことです。
DMARCの価値は、被害が発生してからではなく、被害を防いだときに最も明確になります。

しかし、実際には「問題が起きていないなら、対応しなくてもよい」と受け取られることもあります。
そのためDMARCアナリストには、技術的な内容を分かりやすく伝え、ビジネス上のリスクと結び付けて説明する力も求められます。

現場で得られた教訓

数百万件ものレポートを継続的に分析すると、経験豊富なアナリストは、異常な傾向を早い段階で見分けられるようになります。
興味深いことに、実際に頻繁に発生する問題は、高度な外部攻撃ではなく、組織内部の設定や運用に起因するケースが少なくありません。
アナリストは次のように説明しています。

最も多く見られる問題は、SPFまたはDKIMのアライメント不一致です。
顧客が新しいマーケティングプラットフォームやクラウドサービスを導入したものの、そのサービスがDMARCに合格できるよう、SPFやDKIMを正しく設定していない場合によく発生します。

最大のリスク：社内のシャドーIT

認証失敗の原因として多いのが、社内で十分に管理されていないサービスの利用です。
業務部門が新しいSaaSツールを急いで導入する際、正式なIT部門の確認手続きを経ないことがあります。
こうした、IT部門が把握・管理していないシステムやサービスは、一般に「シャドーIT」と呼ばれます。

メール送信機能を持つサービスが無断で導入されると、SPFやDKIMの設定が行われないまま、自社ドメインからメールが送信される可能性があります。
DMARCアナリストによると、「サービスは設定したものの、IT部門には知らせていない」というケースは珍しくありません。
その結果、以下のような問題が発生します。

送信者レピュテーションの低下
正当なメールであっても、SPFやDKIMが適切に設定されていなければDMARC認証に失敗します。
認証失敗が繰り返されると、メールプロバイダからの評価が低下し、到達性へ悪影響を与える可能性があります。
重要なメールの未達
請求書、パスワード再設定、予約確認など、業務上重要なメールが迷惑メールフォルダへ振り分けられたり、受信を拒否されたりする可能性があります。
セキュリティ体制の弱体化
組織が把握していない送信元が存在することは、メール送信環境を十分に管理できていないことを意味します。
攻撃者がこうした管理上の不備を悪用する可能性もあります。

隠れた危険：放置されたDNSレコード

日常的な設定ミスだけでなく、DMARC分析を通じて、長期間放置されていたDNS設定上の問題が発見されることもあります。
この点で、DMARCは単なるメール認証の仕組みにとどまらず、企業のメール送信環境やDNS管理状況を見直すきっかけにもなります。
アナリストは、何年も放置されていた古いCNAMEレコードが見つかった事例を紹介しています。

そのCNAMEレコードが参照していた外部サービスは、すでに適切に管理されていませんでした。
攻撃者に悪用されると、企業の管理下にあるサブドメインを使って、正規のものに見えるコンテンツやメール関連の仕組みを構築される恐れがあります。
DMARCレポートなどによる可視化やDNSの定期的な監査がなければ、長期間発見されなかった可能性があります。

不要になったDNSレコードを放置すると、サブドメインテイクオーバなどのリスクにつながる場合があります。
サービスを停止した際は、関連するCNAME、MX、TXTなどのDNSレコードも確実に削除することが重要です。

実際の効果：DMARCアナリストが攻撃を防ぐ方法

継続的な監視の価値は、検出した攻撃だけでなく、未然に防いだ被害によっても評価されます。
DMARC分析は、ビジネスメール詐欺（BEC）やドメインなりすましなどの脅威を早期に発見するための重要な仕組みです。

事例：BEC攻撃の阻止

DMARCアナリストは、監視と迅速な対応によって金銭的被害を防いだ事例を紹介しています。

検出
顧客の請求部門になりすましたメールで、DMARC認証失敗が突然急増していることを確認しました。
アナリストは次のように説明しています。
DMARCアライメントに失敗していたことに加え、送信元IPアドレスが、顧客が事業を行っていない地域のクラウドプロバイダに関連していたため、通常とは異なる動きだと判断しました。
警告
顧客の財務部門へ直ちに警告を送り、不審な支払い依頼を処理しないよう案内しました。
防止
警告は、従業員が不正な支払い依頼を処理する直前に届き、送金を防ぐことができました。
この事例は、DMARC運用の戦略的な価値を示しています。
DMARCは、単なる技術的な確認項目ではありません。

適切な監視と専門家による判断を組み合わせることで、金銭的被害を防ぐための重要な防御策となります。
アナリストは次のように説明しています。
適切なタイミングで発した1件のアラートが、攻撃の流れ全体を止めることもあります。

DMARCコミュニティから得られた教訓

オンラインコミュニティにおけるシステム管理者やDMARC運用担当者の議論を見ると、現場で共通して発生している課題が分かります。
DMARCは強力なプロトコルですが、その導入や運用には専門的な知識が必要であり、認証結果が誤解されることも少なくありません。

コミュニティでよく見られる主な話題

DMARCは機能していても、結果を理解しにくい
DMARCを導入した利用者が、レポートに大量の認証失敗が表示され、不安を感じるケースがあります。
しかし、認証失敗がレポートへ表示されること自体は、必ずしもDMARCの設定が壊れていることを意味しません。

なりすましメールや、設定が不十分な正当な送信元が可視化されている可能性があります。
重要なのは、失敗件数だけで判断せず、送信元や認証結果、アライメントの状態を詳しく確認することです。
DMARCへの理解不足
社内の他部門や外部ベンダーがDMARCを十分に理解していないことも、大きな課題です。
マーケティング部門が新しい配信サービスを導入したものの、IT部門へ連絡していないケースもあります。
そのため、技術担当者だけでなく、メールを利用する各部門との連携が重要になります。
サードパーティー送信元の設定
「DKIMは成功しているが、SPFは失敗している」「SPFは成功しているが、DMARCには失敗している」といった認証結果についても、頻繁に議論されています。
原因として多いのは、マーケティングプラットフォームやヘルプデスクなど、サードパーティーサービスの設定不備です。
メール転送によってSPFが失敗している場合もあります。

DMARCは、SPFまたはDKIMのどちらかが成功し、RFC5322.Fromドメインとアライメントしていれば合格できます。
そのため、SPFだけでなくDKIMも適切に設定することが重要です。
段階的な導入の重要性
最初はp=noneから始めるべきだという点は、多くの管理者に共通する認識です。
すべての正当な送信元を把握する前にp=quarantineやp=rejectへ移行すると、正当なメールまで影響を受ける可能性があります。
まずメール環境を可視化し、その後にポリシーを段階的に強化することが重要です。

コミュニティの経験とPowerDMARCアナリストの知見

PowerDMARCのアナリストから得られた知見は、オンラインコミュニティで共有されている現場の経験と多くの点で一致しています。

コミュニティでよく見られる課題 PowerDMARCアナリストの対応
レポートに大量の認証失敗が表示され、どのように対応すべきか分からない 認証失敗の急増を調査の出発点とし、送信元、IPアドレス、認証結果を詳しく分析します
社内や取引先がDMARCを十分に理解しておらず、何度も説明する必要がある 技術データをビジネス上のリスクや対応策へ置き換え、IT、セキュリティ、業務部門の橋渡しを行います
サードパーティー送信元でSPFやDKIMのアライメント不一致が発生する シャドーITや外部サービスを含む送信元を特定し、SPF、DKIM、アライメントの設定を体系的に修正します
p=noneから始めて慎重に進める必要がある 監視、送信元の特定、認証設定の修正を行った後、段階的に強制適用へ移行します

DMARC導入に向けた最終的なアドバイス

DMARCをこれから導入する組織や、現在の運用に課題を感じている組織が成功するためには、可視性を確保し、段階的に取り組むことが重要です。
十分な調査を行わずに厳格なポリシーへ移行すると、正当なメールまでブロックされる可能性があります。

DMARCを段階的に導入する方法

DMARCアナリストは、以下の手順に沿って導入を進めることを推奨しています。

1.監視から始める
まずはp=noneポリシーを設定します。
これにより、メール配信へ影響を与えることなく、どの送信元が自社ドメインを使用しているかを確認できます。
アナリストは、「慎重に開始し、積極的に監視すること」が重要だと説明しています。

ただし、p=noneはメールを隔離・拒否しないため、監視を続けるだけではなりすましを防止できません。
状況を把握した後は、強制適用へ移行する必要があります。
2.送信元の一覧を作成する
監視によって得られたデータをもとに、正当な送信元を洗い出します。
対象には、以下のようなサービスが含まれます。
  • 社内メールサーバ
  • Google WorkspaceやMicrosoft 365
  • メールマーケティングサービス
  • CRM
  • 問い合わせ管理システム
  • 請求・決済サービス
  • 採用管理システム
  • パスワード再設定メールを送信するアプリケーション
各送信元について、SPFまたはDKIMが正しく設定され、RFC5322.Fromドメインとアライメントしていることを確認します。
3.段階的にポリシーを強化する
すべての正当な送信元が適切に認証されていることを確認した後、p=quarantineへ移行します。
問題がないことを確認できたら、最終的にp=rejectへ移行します。
環境によっては、サブドメインポリシーや適用範囲も含め、段階的に調整します。
4.継続的に管理する
DMARCは、一度設定すれば終わりという取り組みではありません。
組織が成長し、新しいサービスを導入するたびに、メール送信環境も変化します。

新しい送信元の追加、既存サービスの変更、不要な送信元の削除などに合わせて、継続的に分析と設定の見直しを行う必要があります。
DMARCアナリストの言葉を借りれば、この専門家による継続的な取り組みは、最終的に「信頼を守り、企業のドメインを使用して送信されるメールが正当なものであることを確認する」ためのものです。

よくある質問

1.p=noneポリシーとは何ですか？なぜ最初に設定することが重要なのですか？
p=noneは、認証に失敗したメールを隔離または拒否せず、レポートを収集するための監視ポリシーです。
正当なメールの配信へ影響を与えることなく、自社ドメインを使用している送信元を可視化できます。

この情報をもとに設定不備を修正し、正当な送信元をすべて確認した後で、p=quarantineやp=rejectへ移行します。
ただし、p=noneでは認証に失敗したメールをブロックできないため、恒久的に使い続けるのではなく、強制適用へ移行するための準備段階として利用することが重要です。
2.自動化プラットフォームがあるのに、なぜDMARCアナリストが必要なのですか？
プラットフォームは、大量のデータを収集・整理し、認証結果を可視化します。
一方、DMARCアナリストは、そのデータから問題の原因やリスクを判断し、適切な対応方法を提案します。

正当な送信サービスの設定ミスと悪意のあるなりすましを区別したり、重要なメールをブロックせずにポリシーを強化したりするには、専門的な判断が必要です。
自動化と専門家による分析を組み合わせることで、効率性と正確性の両方を高められます。
3.DMARCを導入すると、メール到達性が低下しますか？
適切な手順で導入すれば、正当なメールの到達性向上につながる可能性があります。
SPFやDKIMを正しく設定し、DMARCアライメントを確保することで、メールプロバイダが送信元の正当性を判断しやすくなるためです。

一方、正当な送信元を十分に確認しないままp=quarantineやp=rejectを適用すると、正当なメールが迷惑メールフォルダへ振り分けられたり、拒否されたりする可能性があります。
そのため、p=noneで送信元を把握し、設定を修正したうえで、段階的にポリシーを強化することが重要です。