İşletmelerin büyük çoğunluğu birincil alan adlarını DMARC ile korurken alt alan adlarını tamamen açıkta bırakmaktadır; bu durum, siber suçluların aktif olarak istismar ettiği büyük bir güvenlik kör noktası oluşturmaktadır. 2024 Siber Güvenlik Raporu'na göre kuruluşların %74'ünde e-posta kimlik doğrulaması yapılmamış en az bir alt alan adı bulunmakta ve bu kuruluşlar gelişmiş kimlik sahteciliği saldırılarının başlıca hedefi haline gelmektedir.
marketing.yourcompany.com, support.yourcompany.com veya e-posta gönderen başka bir alt alan adı işletiyorsanız, bu açık müşteri kaybına, itibarınızın zarar görmesine ve kuruluşunuzun hukuki sorumluluğa maruz kalmasına yol açabilir. Çözüm, kapsamlı DMARC alt alan adı politikalarını anlamak ve uygulamaktır; ancak şirketlerin büyük çoğunluğu bu güvenlik açığının varlığından bile haberdar değildir.
DMARC Alt Alan Adı Politikaları Nedir ve Neden Önemlidir?
DMARC alt alan adı politikaları, e-posta kimlik doğrulama korumasını birincil alan adınızın ötesine taşıyarak altyapınızdaki her alt alan adını kapsar. Birincil alan adınızda sağlam bir DMARC politikası olsa bile alt alan adları bağımsız çalışır ve kendi kimlik doğrulama kurallarını gerektirir.
Bunu bir binayı güvenceye almaya benzetebilirsiniz: Ana girişte mükemmel bir güvenlik sisteminiz olabilir, ancak yan kapıları kilitlemezseniz saldırganlar başka bir yoldan içeri girer. Alt alan adları, e-posta güvenlik altyapınızdaki bu yan kapılardır.
Alt Alan Adı Kimlik Sahteciliği Tehdit Ortamı
Siber güvenlik firması PhishLabs'in yakın dönem analizine göre alt alan adı kimlik sahteciliği saldırıları 2023'ten bu yana %312 artış göstermiştir. Saldırganlar alt alan adlarını özellikle hedef almaktadır çünkü:
- Daha Düşük Tespit Oranları: Güvenlik ekipleri alt alan adı izlemeyi çoğunlukla gözden kaçırır
- Daha Yüksek Güven Düzeyi: Alıcılar, support.company.com veya billing.company.com adreslerinden gelen e-postalara güvenir
- Daha Geniş Saldırı Yüzeyi: Her alt alan adı, e-posta tabanlı saldırılar için yeni bir vektör oluşturur
- Düzenleyici Kör Noktalar: Uyumluluk denetimleri alt alan adı açıklarını sıklıkla atlamaktadır
DMARC Alt Alan Adı Politikaları Nasıl Çalışır: Teknik Temel
sp Politika Etiketini Anlamak
Alt alan adı politikası, DMARC kaydınızdaki sp etiketiyle denetlenir. Bu etiket
üç farklı değere ayarlanabilir:
None (sp=none): Alt alan adları için izleme modu — veri toplar ama herhangi bir işlem yapmaz
Quarantine (sp=quarantine): Şüpheli alt alan adı e-postaları spam klasörüne yönlendirilir
Reject (sp=reject): Kimliği doğrulanmamış alt alan adı e-postaları tamamen engellenir
Gerçek Dünyadan Uygulama Örneği
Birden fazla alt alan adına sahip bir şirket için DMARC kaydını ele alalım:
v=DMARC1; p=reject; sp=quarantine; rua=mailto:dmarc@yourcompany.com; ruf=mailto:forensic@yourcompany.com; rf=afrf; pct=100
Bu yapılandırmada:
- Birincil alan adı (yourcompany.com) reddetme politikasına sahiptir
- Tüm alt alan adları karantina politikasına tabidir
- Hem toplu hem de adli raporlar toplanır
- E-posta trafiğinin %100'ü değerlendirilir
Bu yaklaşım, mükemmel kimlik doğrulama kurulumuna sahip olmayan alt alan adı e-posta operasyonlarına esneklik tanırken güçlü bir koruma sağlar.
Alt Alan Adı Açıklarının İş Etkisi
Finansal Sonuçlar
Alt alan adı kimlik sahteciliği saldırıları önemli finansal riskler barındırmaktadır:
- Doğrudan Finansal Kayıp: Başarılı bir kurumsal e-posta ihlali başına ortalama maliyet: 4,89 milyon dolar (FBI IC3 Raporu 2024)
- İtibar Hasarı: Müşterilerin %67'si, şirket alt alan adlarını kullanan kimlik avı olaylarının ardından markaya olan güvenini yitirmektedir
- Uyumluluk Cezaları: E-posta kimlik sahteciliğini içeren veri ihlalleri için ortalama 2,3 milyon Euro tutarında GDPR cezaları
- Operasyonel Aksaklık: Alt alan adı tabanlı saldırıları tespit etmek ve kontrol altına almak için ortalama 23 gün
Vaka Çalışması: Orta Ölçekli Bir SaaS Şirketi
500 çalışanlı bir SaaS şirketi, DMARCFlow izlemesi aracılığıyla saldırganların üç ay boyunca billing.company.com alt alan adını taklit ettiğini keşfetti. Bu saldırı şu sonuçlara yol açtı:
- 847 müşteriye sahte fatura bildirimi iletildi
- İtiraz edilen ödemeler ve iadeler nedeniyle 2,1 milyon dolar kayıp yaşandı
- Müşteri hizmetleri talebi %34 arttı
- Marka güveninin yeniden kazanılması altı ayı buldu
Şirketin birincil alan adında sıkı bir DMARC reddetme politikası bulunuyordu; ancak herhangi bir alt alan adı politikası yoktu — bu açık ciddi bir maliyet doğurdu.
Kapsamlı Alt Alan Adı Koruma Stratejisi
Aşama 1: Keşif ve Envanter
Alt alan adı politikalarını uygulamadan önce altyapınızdaki tüm alt alan adlarını belirlemelisiniz:
DNS Numaralandırması: Birincil alan adınızla ilişkili tüm alt alan adlarını keşfetmek için araçlar kullanın
E-posta Gönderim Analizi: Hangi alt alan adlarının gerçekten e-posta iletişimi gönderdiğini belirleyin
İş İşlevi Haritalama: Her alt alan adının amacını ve kritiklik düzeyini belgeleyin
Kimlik Doğrulama Değerlendirmesi: Her alt alan adı için mevcut SPF, DKIM ve DMARC durumunu değerlendirin
Aşama 2: Politika Tasarımı ve Test
Alt alan adı kritikliğine dayalı katmanlı bir yaklaşım geliştirin:
Kritik Alt Alan Adları (faturalama, destek, güvenlik): Kapsamlı kimlik doğrulamayla reddetme politikaları uygulayın
Pazarlama Alt Alan Adları (kampanyalar, bültenler): Etkiyi izlemek için karantina politikalarıyla başlayın
Geliştirme/Staging: Test ve geliştirme ortamları için none politikası kullanın
Eski Alt Alan Adları: Politika uygulamadan önce devre dışı bırakmanın mümkün olup olmadığını değerlendirin
Aşama 3: Uygulama ve İzleme
Alt alan adı politikalarını aşamalı bir yaklaşımla devreye alın:
- 1-2. Hafta: Temel veri toplamak için tüm alt alan adlarında sp=none uygulayın
- 3-4. Hafta: Raporları analiz edin ve kimlik doğrulama sorunlarını giderin
- 5-6. Hafta: Kritik alt alan adlarını sp=quarantine'e yükseltin
- 7-8. Hafta: Meşru trafiğin kimlik doğrulamayı geçtiğini doğruladıktan sonra yüksek değerli alt alan adlarını sp=reject'e taşıyın
Gelişmiş Alt Alan Adı Güvenlik Yapılandırmaları
Seçici Alt Alan Adı Politikaları
# Birincil alan adı politikası
_dmarc.company.com: v=DMARC1; p=reject; sp=none;
# Belirli alt alan adı politikası
_dmarc.billing.company.com: v=DMARC1; p=reject;
# Pazarlama alt alan adı politikası
_dmarc.marketing.company.com: v=DMARC1; p=quarantine;
E-posta Servis Sağlayıcılarıyla Entegrasyon
Pek çok kuruluş farklı alt alan adları için farklı e-posta servis sağlayıcıları kullanmaktadır. Doğru DKIM imzalamayı ve SPF hizalamasını sağlayın:
Pazarlama Otomasyonu: HubSpot, Marketo veya Pardot gibi platformlar için DKIM anahtarlarını yapılandırın
Müşteri Desteği: Zendesk, Freshdesk veya benzer platformlar için kimlik doğrulamayı ayarlayın
İşlemsel E-posta: SendGrid, Mailgun veya Amazon SES gibi hizmetlerin doğru şekilde kimliğinin doğrulandığından emin olun
Alt Alan Adı Korumasını İzleme ve Sürdürme
Temel Performans Göstergeleri
- Kimlik Doğrulama Geçiş Oranları: DMARC'ı geçen meşru alt alan adı e-postalarının yüzdesi
- Kimlik Sahteciliği Girişim Hacmi: Alt alan adı başına engellenen veya karantinaya alınan kötü amaçlı e-posta sayısı
- Teslimat Etkisi: Politika uygulamasının ardından alt alan adı e-posta teslimat oranlarındaki değişimler
- Rapor Kapsamı: DMARC raporu oluşturan alt alan adlarının yüzdesi
Yaygın Uygulama Zorlukları ve Çözümleri
Zorluk: Politika uygulamasının ardından alt alan adı e-postalarının kimlik doğrulamayı geçememesi
Çözüm: Her alt alan adı için tüm meşru gönderim kaynaklarını kapsayacak şekilde SPF kayıtlarını denetleyin
Zorluk: Alt alan adı politikalarından etkilenen pazarlama kampanyaları
Çözüm: Pazarlama otomasyon platformları için DKIM imzalama uygulayın ve SPF hizalamasını doğrulayın
Zorluk: Politika yönetimini zorlaştıran karmaşık alt alan adı altyapısı
Çözüm: Tüm alt alan adı politikalarını tek bir arayüzden izlemek ve yönetmek için DMARCFlow'un merkezi panosunu kullanın
Düzenleyici Uyumluluk ve Alt Alan Adı Güvenliği
Sektörel Gereksinimler
Birçok düzenleyici çerçeve artık e-posta kimlik doğrulama gereksinimlerini açıkça ele almaktadır:
Finansal Hizmetler: FFIEC kılavuzları, alt alan adları dahil kapsamlı e-posta kimlik doğrulamasını önermektedir
Sağlık: HIPAA teknik güvenceleri, tüm alan adları ve alt alan adları için e-posta kimlik doğrulamasını kapsamaktadır
Devlet Yüklenicileri: NIST 800-171, tüm kurumsal alan adlarında e-posta kimlik doğrulaması zorunlu kılmaktadır
Belgeleme ve Denetim Hazırlığı
- Alt alan adı envanteri ve iş gerekçeleri
- Politika uygulama takvimi ve kararları
- Kimlik doğrulama hatası analizi ve düzeltici faaliyetler
- Periyodik güvenlik değerlendirmesi sonuçları
ROI Analizi: Alt Alan Adı Korumasının Maliyeti ile Güvenlik Açığının Karşılaştırması
Uygulama Maliyetleri
İlk Kurulum: Kapsamlı alt alan adı politikası uygulaması için 15-20 saat BT çalışması
Süregelen İzleme: Rapor analizi ve politika bakımı için aylık 2-3 saat
Araç Lisansı: Kurumsal DMARC izleme platformları için aylık 200-500 dolar
Eğitim: Ekip eğitimi için 2.000-5.000 dolarlık tek seferlik yatırım
Risk Azaltma Değeri
Marka Koruması: Olay başına 50.000-500.000 dolar değerinde itibar hasarının önlenmesi
Düzenleyici Uyumluluk: 10.000 dolardan milyonlara uzanan para cezalarından kaçınma
Operasyonel Süreklilik: Olay başına ortalama 100.000 dolar tutan iş aksaklığı maliyetlerinin önlenmesi
Müşteri Güveni: Yaşam boyu değeri milyonlara ulaşan müşteri ilişkilerinin korunması
Alt alan adı korumasına yapılan yatırımın getirisi genellikle ilk yıl içinde %400'ü geçmektedir.
Alt Alan Adı Güvenliğini Geleceğe Taşıma
Yükselen Tehditler ve Uyarlamalar
Alt Alan Adı Ele Geçirme Saldırıları: Saldırganlar tarafından kimlik sahteciliği amacıyla sahiplenilen terk edilmiş alt alan adları
DNS Zehirlemesi: Kimlik doğrulamayı atlatmak için alt alan adı DNS kayıtlarının manipülasyonu
Meşru Hizmet İstismarı: DMARC politikalarını devre dışı bırakmak amacıyla yetkili e-posta hizmetlerinin ele geçirilmesi
Teknolojik Gelişmeler
BIMI: Logo görüntülemenin kimliği doğrulanmış alt alan adlarına genişletilmesi
ARC: E-posta iletme işlemleri aracılığıyla kimlik doğrulama sonuçlarının korunması
MTA-STS: Alt alan adı e-posta şifrelemesi için aktarım güvenliği politikaları
Sonuç: Tüm Alan Adı Altyapınızı Güvenceye Alın
Alt alan adı koruması, e-posta güvenliği olgunluğunun bir sonraki sınırını temsil etmektedir. Kuruluşların büyük çoğunluğu birincil alan adları için temel DMARC politikalarını hayata geçirmiş olsa da gelişmiş tehdit ortamı, tüm e-posta gönderim altyapısı genelinde kapsamlı bir koruma talep etmektedir.
Kanıtlar açıktır: Sağlam alt alan adı politikalarına sahip şirketler, başarılı e-posta kimlik sahteciliği saldırılarını %89 daha az yaşamakta ve daha yüksek müşteri güveni puanlarını korumaktadır. Daha da önemlisi, gelişen düzenleyici gereksinimler ve sofistike saldırı vektörlerine karşı hazırlıklıdırlar.
Hemen harekete geçmek için temel çıkarımlar:
- Tüm alt alan adı altyapınızı denetleyin ve e-posta gönderen tüm uç noktaları belirleyin
- Katmanlı alt alan adı politikaları uygulayın; iş kritikliğine ve risk değerlendirmesine göre önceliklendirin
- Merkezi raporlama ile tüm alt alan adlarında kimlik doğrulama performansını izleyin
- Uyumluluk ve denetim hazırlığı için kapsamlı belgeleme sürdürün
- E-posta kimlik doğrulamadaki gelişmeleri takip ederek yükselen tehditlere karşı plan yapın
Kapsamlı alt alan adı korumasının maliyeti, başarılı bir kimlik sahteciliği saldırısının potansiyel etkisiyle kıyaslandığında oldukça düşüktür. Günümüzün tehdit ortamında kısmi koruma, yetersiz koruma demektir.
SSS
S: Her alt alan adı için ayrı DMARC kaydına ihtiyacım var mı?
C: Mutlaka değil. Birincil alan adınızın DMARC kaydındaki sp politika etiketini
kullanarak tüm alt alan adlarına politika uygulayabilir ya da farklı muamele gerektiren
belirli alt alan adları için ayrı DMARC kayıtları oluşturabilirsiniz.
S: Alt alan adı politikaları uygulamak e-posta teslim edilebilirliğimi etkiler mi?
C: Doğru SPF ve DKIM yapılandırmasıyla birlikte düzgün uygulandığında alt alan adı politikaları, meşru e-postalarınızın şüpheli olarak filtrelenme olasılığını azaltarak teslim edilebilirliği aslında iyileştirir.
S: E-posta göndermeyen alt alan adlarını nasıl ele almalıyım?
C: E-posta göndermeyen alt alan adları yine de DMARC politikasına sahip olmalıdır (genellikle
p=reject); bu, saldırganların bunları kimlik sahteciliği amacıyla kullanmasını
önler ve güvenlik en iyi uygulaması olarak kabul edilir.
S: Farklı alt alan adları için farklı politikalar uygulayabilir miyim?
C: Evet, birincil alan adının alt alan adı politikasından (sp etiketi) farklı
bir politikaya ihtiyaç duyan alt alan adları için ayrı DMARC kayıtları
oluşturabilirsiniz.
S: Kapsamlı alt alan adı korumasını uygulamak ne kadar sürer?
C: Çoğu kuruluş için keşif, politika tasarımı, test ve izleme aşamaları dahil olmak üzere tam uygulama 4-6 hafta alır. Kritik alt alan adları ilk iki hafta içinde koruma altına alınabilir.
Alan adınızın gerçekte ne kadar korumalı olduğunu görmek ister misiniz? Bugün ücretsiz DMARCFlow alan adı taramasını deneyin ve anlık e-posta güvenlik raporunuzu alın.