政府機関や公共部門におけるDMARC導入と、ドメインのなりすましを防ぐメールセキュリティ強化を表現したイメージ画像

政府機関および公共部門向けDMARC

政府の信頼を守るDMARC導入ガイド


著者: Ahona Rudra
翻訳: 東條 百々朱

この記事はPowerDMARCのブログ記事 DMARC for Government and Public Sector Agencies の翻訳です。
Spelldataは、PowerDMARCの日本代理店です。
この記事は、PowerDMARCの許可を得て、翻訳しています。

主なポイント

  1. 政府ドメインにDMARCを導入することは、公的な通信の信頼性を守り、デジタル空間における政府機関への信頼を維持するうえで重要です。
  2. 公共部門では、管理体制の分散や外部ベンダーへの依存など、固有の課題があるため、DMARCの導入が複雑になりやすい傾向があります。
  3. DMARCの導入が不十分な場合、国家レベルのリスクにつながる可能性があります。
    政府機関になりすましたメールは、偽情報の拡散、国民の混乱、行政への信頼低下を招く恐れがあります。
  4. DMARCは、中央で統一的に管理しながら段階的に導入する方法が効果的です。
    影響の大きいドメインから監視を始め、適切な可視性と管理体制を確保したうえで、DMARCポリシーの完全適用へ移行します。
  5. PowerDMARCは、政府機関によるDMARCの導入と運用を簡素化します。
    一元管理ダッシュボードやコンプライアンスの追跡機能を通じて、政府機関が安全かつ迅速に、透明性の高い形でDMARCポリシーを適用できるよう支援します。

政府機関からメールが届くと、多くの人はその内容を信頼し、すぐに対応しようとします。
災害警報、納税通知、医療予約の確認などは、国民の注意を引く政府機関からの通知の一例です。
もし、こうしたメールを装ったフィッシング攻撃が行われたら、どうなるでしょうか。

全国規模の混乱や社会的不安を招く可能性があります。
DMARC（Domain-based Message Authentication, Reporting & Conformance）は、こうした政府機関のドメインを悪用したなりすましメールを防ぐための重要な仕組みです。
本ガイドでは、公共部門においてメールセキュリティが重要である理由と、政府機関におけるDMARCの導入不足がもたらすリスクについて解説します。

公共部門のドメインにメールセキュリティが不可欠な理由

民間企業とは異なり、政府機関には以下のような特徴があります。

高い信頼性を持つドメインを保有している
国民は、不審に見えるECサイトからのメールを無視することがあっても、政府機関のドメインから届いたメールには対応しようとする傾向があります。
そのため、政府機関のドメインは、攻撃者にとって非常に価値の高いなりすまし対象となります。
非常に大規模に情報を発信している
偽装された健康警報や納税通知が1通送信されるだけでも、短期間に数百万人へ影響を与える可能性があります。
地政学的な影響を及ぼす可能性がある
政府機関になりすましたメッセージは、偽情報の拡散や、誤った危機対応の指示を流すために悪用される恐れがあります。
重要な公共サービスに影響する
医療、税務、防衛、移民、災害対応などの分野では、1通の悪意あるメールが公共サービスの運営や社会の安定を損なう可能性があります。

政府機関のメールアドレスには、大きな影響力があります。
国民、企業、他の行政機関は、.gov、.gov.uk、.euなどのドメインから届くメッセージを、正式な情報源として信頼しています。
そのため、政府機関は、正規の送信者になりすまして以下の行為を行う攻撃者にとって、価値の高い標的となります。

なりすましメールが1通成功するだけでも、緊急時の混乱、個人情報の盗難、金銭詐欺、政府機関の信用低下など、さまざまな被害が連鎖的に発生する可能性があります。
DMARCをSPFおよびDKIMと組み合わせて利用すると、公式アドレスから送信されたと主張するメールが、実際に許可された送信元から送られたものかどうかを受信側で確認できます。

また、認証に失敗したメールを隔離または拒否するよう、受信メールサーバへ指示できます。
これにより、政府機関のドメインを悪用したなりすまし攻撃の影響を軽減できます。

政府機関におけるDMARC導入不足のリスク

政府機関がDMARCポリシーを設定していない場合や、DMARCの設定に不備がある場合、以下のような問題が発生する可能性があります。

フィッシングと詐欺
攻撃者は、悪意あるメールを正規の政府機関から送信されたものだと受信者に信じ込ませることができます。
その結果、不正なリンクのクリックや、認証情報の窃取につながる可能性が高まります。
業務の中断
詐欺メールによって、緊急サービス、税務、給付金などに関する問い合わせが急増し、行政機関のヘルプデスクや窓口業務に大きな負担がかかる可能性があります。
国民からの信頼の低下
政府機関になりすましたメールが繰り返し送信されると、国民が本物の行政メールまで疑うようになる恐れがあります。
このような信頼の低下は、緊急情報や重要な通知の伝達にも影響を及ぼします。
規制や政府方針への不適合
国や地域によっては、政府機関のドメインに対してDMARCなどのメール認証対策を義務付けたり、強く推奨したりしています。
DMARCポリシーを適切に適用していない場合、政府方針やセキュリティ要件への不適合につながる可能性があります。
偽情報の拡散
自然災害、感染症の流行、選挙などの際に、攻撃者が政府機関の警報や通知を装うことで、誤った情報を急速に拡散させる可能性があります。
経済的な被害
偽の納税通知や、政府機関を装った不正請求書によって、個人や企業が金銭的な被害を受ける可能性があります。
国際的な信頼への影響
多くの政府機関は、他国の行政機関や国際機関、海外企業とメールでやり取りしています。
政府ドメインが侵害されたように見える状況は、外交関係や国際取引における信頼を損なう恐れがあります。

政府機関向けDMARCの要件と推奨事項

各国では、公共部門のメール認証について、それぞれ異なる義務や指針を定めています。
以下に代表的な例を示します。

米国
米国国土安全保障省のBinding Operational Directive（BOD）18-01では、民間の連邦政府機関に対して、SPF、DKIM、DMARCの導入と集約レポートの利用が指示されました。
英国
英国政府は2016年、政府ドメインを悪用したなりすましを抑制するため、政府機関のドメインにp=rejectのDMARCポリシーを適用する方針を進めました。
その後、NCSCによるMail Checkの集約レポート提供が終了したことで、政府機関には、メール認証の状況を継続的に把握するための代替手段が求められるようになりました。
可視性が不足すると、設定ミスやメール到達性の問題を発見しにくくなる可能性があります。
ドイツ
ドイツでは、マルウェアやスパムの拡散を抑制するため、メールセキュリティ強化に向けた取り組みが進められてきました。
インターネットサービスプロバイダなどに対して、送信者の正当性を検証し、デジタル通信への信頼を高めるための基本的なメール認証技術として、SPF、DKIM、DMARCの導入が推奨されています。
ニュージーランド
ニュージーランドのSecure Government Email（SGE）Frameworkでは、メール送信機能を持つ政府ドメインに対して、p=rejectのDMARCポリシー、ハードフェイルの-allを使用したSPF、送信メールへのDKIM署名などが求められています。
オランダ
オランダのForum Standaardisatieは、DMARCを政府機関が採用すべきオープン標準の一つとして位置付けています。
「Pas toe of leg uit（準拠するか、理由を説明する）」の方針に基づき、政府機関にはSPF、DKIM、DMARCなどのフィッシング対策用メール標準や、STARTTLS、DANEなどのメールセキュリティ技術の導入が求められてきました。

これらの政府機関向け要件に加えて、金融や医療などの分野でも、DMARCやメール認証は基本的なセキュリティ対策として重視されています。

政府機関・公共部門のドメインにDMARCを設定する方法

以下は、政府ドメインへDMARCを導入する際の基本的な手順です。
実際に設定する際は、使用するドメイン名やレポート受信先を自組織の情報へ置き換えてください。

1.すべての送信元を把握する

自組織のドメインやサブドメインを使用してメールを送信するサービスをすべて一覧化します。
対象には、以下のようなものが含まれます。

各送信元について、送信元IPアドレス、利用するReturn-Pathドメイン、DKIM署名ドメインなどを確認します。

2.SPFとDKIMの基本設定を整える

許可された送信元のみを含む、正確なSPFレコードを設定します。
不要なincludeを削除し、DNSルックアップ数が上限を超えないようにしてください。

また、すべての正当な送信サービスでDKIM署名が有効になっていることを確認します。
DKIM公開鍵はDNSのTXTレコードとして設定し、必要に応じて定期的に鍵を更新します。
SPFチェッカーやDKIMチェッカーなどの確認ツールを利用し、各送信元の設定が正しいか検証してください。

3.監視用のDMARCレコードを設定する

最初は監視モードから開始し、安全にレポートを収集します。

名前
_dmarc.example.gov
種類
TXT
値

v=DMARC1; p=none; rua=mailto:dmarc-aggregate@example.gov; ruf=mailto:dmarc-forensic@example.gov; pct=100; adkim=s; aspf=s; fo=1

p=noneでは、メール配信へ影響を与えることなくDMARCレポートを収集できます。
集約レポートの送信先はruaで指定し、認証失敗に関する詳細レポートの送信先はrufで指定します。
ただし、rufレポートにはメールに関する機密情報が含まれる可能性があります。

利用する前に、組織のプライバシーポリシーや法的要件を確認してください。
また、adkim=sとaspf=sは厳格なアライメントを指定します。
厳格モードはセキュリティを高められる一方で、正当なメールがDMARCに失敗する可能性もあるため、初期段階ではメール環境を確認したうえで慎重に設定する必要があります。

4.レポートを収集して分析する

集約レポートは、DMARCレポート分析ツールなどの解析ツールや管理ダッシュボードで確認・分析します。
レポートからは、主に以下の情報を確認できます。

正当な送信元と許可されていない送信元を分類し、必要に応じてSPFやDKIMの設定を修正します。
メール転送によってSPF認証が失敗している場合は、可能な限りDKIMを利用します。
ARCに対応した環境では、転送前の認証結果を維持するためにARCを活用することも検討してください。

5.段階的にDMARCポリシーを強化する

正当な送信元の確認と設定修正が完了したら、p=quarantineへ移行します。
移行後は、メールのバウンス、苦情、到達性への影響を確認してください。

問題がないことを確認したら、最終的にp=rejectへ移行します。
DMARCポリシーの完全適用後も、レポートの監視を継続することが重要です。

移行途中のレコード例

v=DMARC1; p=quarantine; pct=50; rua=mailto:dmarc-agg@example.gov; adkim=s; aspf=s
完全適用後のレコード例

v=DMARC1; p=reject; pct=100; rua=mailto:dmarc-agg@example.gov; adkim=s; aspf=s

なお、pctタグの扱いは仕様や受信側の実装によって異なる場合があります。
利用時は、現在のDMARC仕様や受信側メールプロバイダの対応状況を確認してください。

よくある課題と回避方法

1.p=noneでなりすましを防げると誤解する
監視モードであるp=noneは、レポートを収集するための設定です。
認証に失敗したメールを隔離したり拒否したりすることはできません。
p=quarantineやp=rejectへ移行するための手順とスケジュールを事前に決めておくことが重要です。
2.送信元の一覧が更新されていない
文書化されていない外部サービスや新たに導入されたクラウドサービスは、DMARCポリシーを強化した際に認証失敗を引き起こす可能性があります。
新しい送信サービスを導入する際は、必ずIT部門やセキュリティ担当者へ連絡し、SPFやDKIMの設定を更新する運用を整備してください。
3.DMARCまたはSPFレコードが複数存在する
1つのドメインに複数のDMARCレコードやSPFレコードが存在すると、認証結果が無効になる場合があります。
各ドメインに設定するDMARCレコードとSPFレコードは、それぞれ1つに統合してください。
4.SPFレコードが長すぎる、またはDNSルックアップ数を超えている
SPFでは、認証時に発生するDNSルックアップ数が最大10回に制限されています。
includeやa、mxなどを多用すると、この上限を超える可能性があります。

不要なメカニズムを削除し、SPFレコードを整理してください。
必要に応じて、SPF最適化サービスやマクロを活用する方法もあります。
5.メール転送によってSPFが失敗する
メール転送では、送信元IPアドレスが変わるため、正当なメールであってもSPF認証に失敗することがあります。
転送の影響を受けにくいDKIMを設定し、可能であればARCを利用して、転送前の認証結果を維持してください。
6.フォレンジックレポートに関するプライバシー上の懸念
フォレンジックレポートには、メールヘッダや本文の一部など、機密情報が含まれる場合があります。
rufを設定する前に、法務部門やプライバシー担当者へ確認してください。
利用する場合は、レポートの暗号化やアクセス制御に対応したサービスを選ぶことが重要です。
7.集約レポートの読み違い
XML形式の集約レポートは、そのままでは内容を理解しにくく、技術者以外が分析するのは困難です。
自動解析ツールやDMARC管理ダッシュボードを利用し、グラフや一覧などの分かりやすい形式へ変換することをおすすめします。

PowerDMARCが公共部門を支援する方法

政府機関では、コンプライアンス要件を満たしながらDMARCの導入を進めるために、専門的なサービスを利用することがあります。
PowerDMARCは、公共部門向けに以下のような機能を提供します。

レポートの自動解析
DMARCの集約レポートやフォレンジックレポートを自動的に解析し、色分け表示に対応した見やすく使いやすいダッシュボードへ表示します。
送信元、IPアドレス、認証結果、アライメントの状態などを簡単に確認できます。
SPFとDKIMの管理支援
SPFレコードの整理や最適化を支援する機能に加え、DKIMの設定や鍵の管理を効率化するホスト型サービスを提供します。
アラートとサポート
なりすましメールの急増、新たに確認された未許可の送信元、メール到達性の問題などを通知するアラート機能を提供します。
また、設定や問題の修正を支援するサポートも利用できます。
コンプライアンスとドメイン状態の確認
ドメインの健全性チェックやコンプライアンスの確認を行い、メールセキュリティ対策の進捗を一元的に把握できます。

PowerDMARCは、SOC 2 Type 2、SOC 3、ISO 27001などの認証を取得し、GDPRへの対応も進めています。

まとめ

政府機関にとって、DMARCは単なるセキュリティ設定の一つではありません。
継続的な管理と監視が欠かせない、重要なメールセキュリティ対策です。
DMARCを適切に導入・運用することで、以下のような効果が期待できます。

DMARCの導入では、まずすべての送信元を把握し、SPFとDKIMを正しく設定したうえで、p=noneから監視を開始します。
問題を修正した後、p=quarantine、最終的にはp=rejectへ段階的に移行することが重要です。
数多くの集約レポートの解析、未知の送信元の特定、安全なDMARCポリシーの完全適用などに支援が必要な場合は、PowerDMARCへの相談をご検討ください。