進まないメール受信サーバーのDMARC対応を加速
メッセージング社会のなりすまし撲滅サイクルを強化

株式会社TwoFive（本社：東京都中央区、社長 末政 延浩）は、なりすましメール対策の送信ドメイン認証DMARC（ディーマーク）の認証結果レポート作成サービス「DMARC/25 Reporter」を、本日11月10日より無償提供開始しました。
DMARC は「Domain-based Message Authentication, Reporting & Conformance」の略で、認証だけでなく、受信メールサーバー側からのDMARC認証結果レポート（以下、DMARレポート）が重要ですが、送信メールサーバー側のDMARC対応に比べて、受信メールサーバー側はDMARC対応が進んでいないのが現状で、送信・受信の双方の対応が揃わないとその効果は最大化されません。
「DMARC/25 Reporter」は、受信メールサーバーにDMARCレポート作成機能がなくても、DMARC認証結果レポートを送信可能にするクラウドサービスで、受信メールサーバー側のDMARC対応を加速し、メッセージングに関わる企業・団体が一丸となって取り組まなければならないなりすまし撲滅サイクル強化に寄与します。

◆ 開発の背景
DMARCは、送信ドメイン認証（SPF、DKIM）と組み合わせて使用する認証技術で、SPF/DKIM認証に失敗したメールを受信側がどう処理するか（隔離する、拒否するなど）を、送信元（ドメイン管理側）がポリシー設定します。該当メールを受信した側は、ポリシーに従って処理したメールの認証結果データをDMARCレポートとして送信元に提供することで、送信元はメールが確実に届いているか、自社ドメインを詐称したメールが送られていないかなどを把握することができます。
DMARCレポートは、世界中に存在する多数の受信メールサーバーが一定時間ごとに生成する膨大な情報をXML形式で提供する一方で、ドメイン管理者が自身で分析するには時間と知識が必要なことから、TwoFiveは、DMARCレポートを集計・可視化して解析するクラウドサービス「DMARC / 25 Analyze（※1）」を提供しています。同サービスは、2017年の提供開始以来、導入実績は年々増加していますが、利用者の多くが、送信側でDMARC対応しても、DMARCレポートが特に国内の受信メールサーバーからあまり送信されないとコメントしており、国内の受信サーバー側の多くがレポート作成機能を備えていないことがわかります。

◇国別のDMARCレポート送信ドメイン数比較を以下でご覧いただけます
www.twofive25.com/news/20201110_dmarc25.html

◆ 受信サーバーのDMARC対応方法
送信側でDMARCに対応するには、自社ドメインのDNSサーバーにTXTレコードを追加し、認証に失敗した場合のポリシー（モニタリングする /none、隔離する / quarantine、拒否する / reject）と、DMARCレポートを受け取るアドレスを記述することで、比較的容易に対応できます。
これに対して、受信側でメールサーバーをDMARCに対応させるためには、DMARCレポートを作成する機能をメールサーバーに実装することになります。アプライアンスをはじめとする最近のメールサーバーは、DMARCレポート作成機能を搭載する製品もありますが、国内で稼働中のメールサーバーの大半はその機能を備えていません。また、The Trusted Domain Projectからオープンソースのレポート作成ソフトウェア「OpenDMARC」が提供されていますが、受信メールの情報を蓄積するデータベースを用意する必要があります。このように、受信側での対応は、ビジネス効果が期待できない投資と考えられがちで、DMARCによるなりすまし撲滅対策のサイクルを停滞させています。

◆「DMARC/25 Reporter」の概要と特長
・ 利用者は、「DMARC/25 Reporter」用ソフトウェアを受信メールサーバーにインストールします。
・ TwoFiveが管理するクラウド環境「DMARC/25 Reporter」に認証結果データが定期的に転送されます。自社で認証結果データ蓄積用のデータベースを用意する必要はありません。
なお、データ転送頻度は利用者が設定できます。
・ 「DMARC/25 Reporter」から、送信元のドメイン管理者宛てに、DMARCレポートとして一定の間隔で送信されます。
・ 利用者は、「DMARC/25 Reporter」に蓄積された認証結果データ、レポート送信状況などをWeb UIで確認することができます。

◇「DMARC/25 Reporter」の仕組み図、Web UI（ダッシュボード画面）を以下でご覧いただけます。
www.twofive25.com/news/20201110_dmarc25.html

※1 「DMARC / 25 Analyze」について
www.twofive25.com/service/dmarc25.html
「DMARC / 25 Analyze」は、多数のメール受信サーバーが24時間ごとに生成するXMLで提供されるDMARCの認証結果レポートを集計・可視化して解析するサービスです。特別な専門知識がなくてもDMARCレポートを適切に活用できるように支援し、被害が起きる前に迅速かつ適切な対応を可能にし、ソフトウェアライセンスの購入や設備投資は不要で、簡単な設定だけですぐに使用開始できます。
「Standard」、「Professional」の2つのサービス区分があり、「Professional」では、DMARCなどの送信ドメイン認証だけでは見抜けないなりすましメールの手口である「類似ドメイン詐称（本物に似せたドメイン）」を検知するサービスも提供します。

※2 なりすまし対策ポータル「ナリタイ」
www.naritai.jp/
「ナリタイ」は、なりすましの理解を深めることで、セキュリティ対策を促進することを目的に2017年6月TwoFive他が開設し、送信ドメイン認証などの解説や最新情報を提供しています。

■株式会社TwoFiveについて
www.twofive25.com/
株式会社TwoFiveは、大手ISP、ASP、携帯事業者の電子メールシステムインフラで長年経験をつんだメールシステムの技術者集団により2014年に設立されました。日本の電子メール環境を向上させることを使命としてベンダーニュートラルな立場で最適な技術とサービスを組み合わせ、メールシステムの設計・構築、電子セキュリティなどについてコンサルティング、ならびに各種レピュテーションデータを提供しています。