Redirigidores SMTP y autenticación de correo

Las pasarelas de filtrado de correo electrónico empresariales (Proofpoint, Microsoft Defender for Office 365, Mimecast) evalúan la reputación técnica de cada mensaje entrante.

Para que un correo señuelo alcance la bandeja de entrada del usuario objetivo, el dominio emisor debe contar con registros DNS correctamente publicados: registro SPF autorizando la IP del relay, firma criptográfica DKIM en las cabeceras y política DMARC configurada para validar la correspondencia del remitente.

El servidor que emite los correos con señuelos opera bajo un riesgo extremo de detección temprana: basta con que un usuario reporte el correo como sospechoso mediante el botón de alerta de phishing para que el SOC extraiga la IP emisora y la bloquee en el cortafuegos perimetral.

Por este motivo, los servidores de reenvío de correo (Mail Relays) deben residir en segmentos y direcciones IP completamente independientes de los redirigidores web o servidores C2.

Por defecto, los servidores de correo como Postfix o Exim añaden una cabecera Received: por cada salto que realiza el mensaje, registrando la dirección IP y el nombre de equipo desde donde el operador inyectó el correo en el cliente de correo.

Los analistas defensivos inspeccionan el encabezado completo del mensaje en busca de la IP de origen. El servidor SMTP intermedio debe implementar reglas de supresión de cabeceras (header_checks en Postfix) para eliminar cualquier rastro de la estación de trabajo interna del Red Team.