ตรวจสอบความปลอดภัยของระบบ Email เบื้องต้นด้วย SPF

ระบบ Email ที่ใช้กันอยู่ทุกวันนี้ จะมีมาตราฐานความปลอดภัยหลายระดับ ขึ้นอยู่กับระบบ Email และผู้ที่ดูแลระบบจะเลือกเปิดใช้งานหรือไม่?

หากพูดถึงเรื่องความปลอดภัยระดับพื้นฐานที่สุด ซึ่งผู้ดูแลระบบหลายๆ ท่านอาจยังไม่ทราบ หรือทราบ แต่ลูกค้ามีการย้าย Web Hosting ผู้ให้บริการบางรายก็ไม่ได้สนใจระบบ Email เดิมของลูกค้า ก็ทำให้ระบบ Email ไม่สามารถใช้งานได้ไปชั่วขณะ หรือถ้าดีขึ้นมาก็อาจจะตั้งค่าระบบ Email หรือ MX Record ตามระบบเดิมให้ แต่ไม่ได้ตั้งค่าระบบความปลอดภัยอื่นๆ ตามระบบเดิมที่เคยตั้งไว้ เป็นต้น ทำให้ระดับความปลอดภัยของ Email ลดลง

ความปลอดภัยขั้นพื้นฐานที่สุดนี้ คือ Sender Policy Framework หรือ SPF ที่คุ้นเคยกันนั่นเอง การตั้งค่า SPF นั้นจะต้องตั้งค่าที่ DNS ของ Domain ของเรา ไม่ต้องไปตั้งค่าที่ระบบ Email ที่ใช้งานอยู่เลย เป็นการกำหนดค่าง่ายๆ ที่จะระบุว่า Domain ที่เราเป็นเจ้าของและใช้งานอยู่นั้นจะอนุญาตให้ส่งออกจาก Email Server ที่เป็น IP Address ใด หรือเป็น Hosting ที่ใดได้บ้าง

ถ้าหากมีใครปลอม Email Server ที่เป็น Domain ของเรา เพื่อที่จะนำไปส่งออกไปยังลูกค้าหรือผู้ให้บริการต่างๆ เพื่อจุดประสงค์ไม่ดีบางอย่าง ถ้าหากไม่ได้ตั้งค่านี้ Email ปลอมก็จะถูกส่งเข้า Mailbox ของผู้รับได้อย่างง่ายดาย หรือถ้าหากระบบ Email ของฝั่งผู้รับมีการตั้งค่าความปลอดภัยเพิ่มขึ้นไปอีก ก็อาจจะไม่ยอมรับ Email ต้นทางที่ไม่ตั้งค่า SPF ก็จะกลายเป็น Email ทั้ง Domain ของเรานั้นถูก Block ที่ระบบปลายทางอัตโนมัติ

แต่ถ้าหากเรามีการตั้งค่าไว้ Email ปลอมเหล่านั้น เมื่อเข้าไปยังระบบ Email ของปลายทาง เบื้องต้นจะถูกเอาเข้า Spam หรือจะเป็นการ Reject ทันที ขึ้นอยู่กับค่าที่กำหนดไว้ โดยที่ผู้รับไม่ต้องทำอะไรเลย

ตัวอย่าง ของ SPF แบบ TXT record

วิธีเบื้องต้น

v=spf1 ip4:123.456.7.89 include:_spf.google.com ~all

v=spf1 คือ การประกาศว่าข้อมูลนี้เป็นการกำหนดค่า SPF

ip4:123.456.7.89 คือ การกำหนด หมายเลข IP address ของเครื่อง email server หรือระบบใด ๆ ก็ตามที่สามารถส่ง email ออกได้ เช่น ระบบ web sites ecommerce หรือ email ที่ตั้งขึ้นเองภายในบริษัท เป็นต้น

Include:_spf.google.com คือ การประกาศว่าหมายเลข IP address ที่อยู่ในรายการ domain _spf.google.com ให้อนุญาตทั้งหมด

แต่ถ้า Domain ของเรามีเพียงระบบที่ส่ง email ออกได้เพียงระบบเดียว

ก็ให้ใส่ตามข้อมูลด้านล่างต่อไปนี้ ไม่ต้องใส่ ip4

v=spf1 include:_spf.google.com ~all

การตรวจสอบว่า Domain ของเราตั้งค่า SPF อะไรไว้อยู่

การตรวจสอบนี้มีหลายวิธี โดยที่นี้จะแนะนำ 2 วิธีต่อไปนี้

( รูปที่ 1 แสดงผลการตรวจสอบ SPF ของ domain tangerine.co.th )

1. ใช้ windows command รูปแบบ คำสั่ง nslookup
nslookup -type=txt ชื่อdomain
ยกตัวอย่างเช่น
nslookup -type=txt tangerine.co.th

จากรูปที่ 1
จะเป็นว่า domain tangerine.co.th มีการอนุญาตให้ Email ส่งออกในนาม tangerine.co.th ได้ 5 ระบบ เป็นต้น

( รูปที่ 2 แสดงผลการตรวจสอบ SPF ของ domain tangerine.co.th โดย dnschecker.org )

2. ใช้ Web สำหรับตรวจสอบ DNS
ตัวอย่างนี้ให้ลองใช้ https://dnschecker.org/

จากรูปที่ 2
จะเป็นว่ามีข้อมูลที่เป็น SPF ของ Domain เรา เหมือนที่รันด้วยคำสั่ง nslookup ในวิธีที่ 1

เมื่อเราตรวจสอบแน่ใจแล้วว่า SPF ที่ตั้งค่าไว้นั้น ไม่มี Email server ที่เราไม่รู้จัก มีแต่ Email Server หรือระบบที่เราใช้งานอยู่ในปัจจุบันจริง ๆ ก็สามารถไว้วางใจได้ระดับหนึ่ง

| รายละเอียดเบื้องต้นเกี่ยวกับการป้องกันสวมรอยอีเมล (Email Spoofing) คลิก

หากไม่แน่ใจ สามารถติดต่อ Support ของ Email ระบบนั้น ๆ เพื่อตรวจสอบได้เลย ถ้าหากเป็นระบบ G Suite ที่ใช้บริการกับแทนเจอรีนอยู่ สามารถส่ง Email มาที่ google.support@tangerine.co.th เพื่อให้เจ้าหน้าที่่ตรวจสอบได้

Share on social media

Thailand’s PDPA tools by Tangerine x OneTrust

ปกป้องข้อมูลอันเป็นหัวใจขององค์กรจากการโจมตีทางไซเบอร์ (Cyber Attack)

ทำไมเราควรมาใช้ระบบอีเมลบน Cloud?

Gmail ฟรี ต่างกับ G Suite อย่างไร?

All and More

Google Cloud Google Cloud Platform

ก้าวสำคัญขององค์กรกับการจัดการ Data บน Google Cloud Platform ด้วย Dataplex

เรื่องของการจัดการ data ถือเป็นก้าวสำคัญของแต่ละองค์กรที่ต้องเรียนรู้นอกเหนือจากการนำไปใช้งานในเรื่อง business เช่น เรื่องของควบคุมคุณภาพข้อมูล (data quality), นโยบายและความปลอดภัยของแต่ละองค์กร (security & policy), การเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต (data breach) ทั้งทางตรงและทางอ้อมเพราะว่าสิทธิ์ในการเข้าถึงอาจจะมากเกินไปก็ดี ไม่ได้ควบคุมก็ดี เป็นเรื่องที่องค์กรต้องคิดและวางแผนให้ครอบคลุมกับเรื่อง data management ครับ

Highlight Storage & Data Protection

Thailand’s PDPA tools by Tangerine x OneTrust

Shortcut สู่การเตรียมความพร้อมให้สอดรับกฎหมาย PDPA ที่จะเริ่มบังคับใช้กลางปี 2565 ให้เป็นไปมาตราฐานสากล ISO 27001 / 27701 ด้วย Thailand’s PDPA tools by Tangerine x OneTrust

December 27, 2021 OneTrust PDPA

G Suite Google Cloud Google Workspace

เจ้าของไฟล์ Google Drive ต้องรู้!!!

นโยบายใหม่ของ Google Drive ที่จะล็อคไฟล์ของคุณ หากเนื้อหาในไฟล์มีความรุนแรง และละเมิดนโยบายโปรแกรมที่กำหนด

December 27, 2021 Google Drive Google Workspace

Dell EMC Highlight

ปกป้องข้อมูลอันเป็นหัวใจขององค์กรจากการโจมตีทางไซเบอร์ (Cyber Attack)

การทำงานในปัจจุบันมีการปรับเปลี่ยนให้เข้ากับการใช้ชีวิตในยุค Next Normal ทุกคนสามารถทำงานได้ทุกที่ตลอดเวลา การทำงานดังกล่าวส่งผลให้มีการผลิตข้อมูลออกมาอย่างมหาศาล ซึ่งข้อมูลเป็นสิ่งที่มีความสำคัญอย่างยิ่งต่อองค์กร และเป็นหัวใจในการทำธุรกรรมเชิงพาณิชย์ ใครที่สามารถทำให้ข้อมูลของตนทันสมัย ทันต่อสถานการณ์ และมีความถูกต้องแม่นยำสำหรับการตัดสินใจของนักบริหารแล้ว ย่อมได้เปรียบกว่าผู้ที่ช้ากว่าหรือผู้ที่ไม่มีข้อมูลที่ถูกต้องในมือ

December 26, 2021 Cyber Security Cyber Threat Ransomware

Highlight

เตรียมพร้อมรับมือ PDPA กันอย่างไร?

แทนเจอรีนผู้เชี่ยวชาญในการเป็นที่ปรึกษาด้านการคุ้มครองข้อมูลส่วนบุคคล และแนะแนวทางในการดำเนินการเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลด้วยซอฟต์แวร์ของ OneTrust ที่สามารถนำมาปรับใช้ให้เหมาะกับหน่วยงานต่างๆ เพื่อนำมาใช้เป็นระบบบริหารจัดการข้อมูลส่วนบุคคล ที่รองรับข้อกฎหมายของ พรบ. คุ้มครองข้อมูลส่วนบุคคล (PDPA) โดยสามารถแบ่งออกเป็นระบบต่างๆ ดังนี้

December 26, 2021 OneTrust PDPA