MSSP-платформа · группа ИНКО · с 2003 года

Управляемая почтовая безопасность и DNS

DANE, DMARC и Threat Intelligence — по гибридной модели «облако + on-premises», без единой точки отказа. Ведём сервис 24×7: у вас — результат и отчётность, а не коробка.

Запросить пилот Бесплатный экспресс-аудит
  • DANE / DNSSEC
  • DMARC → p=reject
  • TI · 60 000+ IOC

Проблема

Почту и DNS ломают
в четырёх местах. Мы их закрываем.

01

Спуфинг бренда и компрометация почты

Фишинг «от вашего имени» бьёт по клиентам и репутации. Без сводных DMARC-отчётов легитимные и поддельные источники остаются неразличимы.

Закрываем: Managed DMARC до p=reject + DANE/DNSSEC

02

Слепая зона по угрозам

Когда Threat Intelligence, DNS и почтовая аутентификация живут в разных инструментах, сигнал об атаке не превращается автоматически в защитное действие на шлюзе и в DNS.

Закрываем: TI Gateway · 11 фидов · 60 000+ IOC · свой DNSBL

03

Одна точка отказа

DNS и почта завязаны на одного вендора или одну площадку. Падает он — падаете вы. Резервный DNS решает доступность, но не подмену ответа: DNSSEC у регистраторов доступен как опция к хостингу зоны, но не как управляемый сервис в связке с почтовой аутентификацией.

Закрываем: гибрид + provider-agnostic DNS, без SPOF

04

Нет ресурса вести это самим

DMARC, DANE, DNSSEC и фиды требуют редкой экспертизы и дежурства 24×7. Нанимать под это команду — дорого и долго.

Закрываем: управляемый сервис — ведём мы, у вас результат

Единый контур

Почта и DNS работают
как одна система

Ценность платформы — не в отдельной технологии, а в связях между ними: изменение в одном контуре доезжает до остальных по управляемому процессу.

  • 01

    DMARC связан с Managed DNS

    Отчёты превращаются в реестр легитимных отправителей, а согласованные изменения политик проходят путь none → quarantine → reject через управляемую публикацию DNS.

  • 02

    DANE связан с жизненным циклом MX

    TLSA-записи сверяются с сертификатами почтовых узлов, а ролловер планируется вместе с их заменой — без разрыва защищённой доставки.

  • 03

    Threat Intelligence действует в потоке

    Проверенные IOC применяются на почтовых шлюзах и публикуются через собственный DNSBL, чтобы сигнал становился правилом блокировки.

  • 04

    Панель не становится точкой отказа

    Control plane управляет гибридным контуром, а DNS- и почтовые узлы продолжают обслуживать трафик автономно при недоступной панели.

Один владелец процесса отвечает не только за настройки, но и за согласованность DNS, почтовых шлюзов, сертификатов и политик.

Платформа

Девять управляемых услуг.
Один ответственный — мы.

02

Managed DMARC

Приём, парсинг и агрегация отчётов, доведение до p=reject. Защита бренда от спуфинга — контролируемо и без потери легитимной почты.

03

Managed MTA-STS

Политика MTA-STS на нашей площадке, отчёты TLS-RPT, перевод testing → enforce инженером по отчётам. Шифрование доставки там, где TLSA не опубликовать. Как это устроено.

04

Managed BIMI

Проверенный логотип SVG Tiny PS и запись BIMI только при DMARC quarantine/reject. Без сертификата VMC/CMC — честно о том, где логотип покажут. Как это устроено.

06

Threat Intelligence Gateway

Собственный TI-конвейер: 11 фидов угроз, 60 000+ IP-IOC, свежесть 24×7. Проактивная защита вместо реактивной.

07

DNSBL

Собственный чёрный список dnsbl.mscs.ru, питается из нашего Threat Intelligence — а не только из чужих блэклистов.

08

MFA как услуга

Второй фактор для VPN, Windows, веб-приложений и SSH на сертифицированной платформе: свой тенант, квота за пользователя, подключение и эксплуатация — наши. Как это устроено.

09

Управление и доступ

Панель hub, защищённый удалённый доступ (mTLS-туннель, OCSP), read-only телеметрия узлов. Deny-by-default.

Услуги подключаются по отдельности — можно начать с одной зоны DNS и не брать остальное. Единицы тарификации, границы каждой услуги и три сценария старта — в каталоге услуг.

Модель поставки

Гибрид: облако там, где удобно.
On-premises — где требует регуляторика.

Облако · managed

Быстрый старт без своей инфраструктуры

Авторитативный DNS через ClouDNS, панель управления hub, TI/DMARC-конвейер. Подключение за дни, ведём мы.

On-premises

Суверенитет данных и регуляторика

Собственные BIND-NS в регионах СНГ и узлы Proxmox Mail Gateway на площадке клиента или оператора. Комбинируете контуры под свои требования.

  1. Инвариант 01

    Data plane автономен

    Почта и DNS работают, даже если панель управления недоступна.

  2. Инвариант 02

    Управление — только egress

    Входящих административных портов нет; сервисные порты принимают только профильный DNS- и почтовый трафик.

  3. Инвариант 03

    Provider-agnostic DNS

    ClouDNS ↔ собственный BIND, автоматический фолбэк.

  4. Инвариант 04

    Нет единой точки отказа

    Устойчивость заложена в архитектуру, а не в обещания SLA.

Где лежат данные и кто имеет доступ →

Почему MSCS

Не слайды — работающий пилот

Все числа — из боевого пилота платформы, срез на : DMARC доведён до p=reject на эталонных доменах, DANE/DNSSEC — на реальном почтовом потоке, полный прогон тестов зелёный.

116управляемых DNS-зон
60 000+IP-IOC в Threat Intelligence
11фидов угроз · обновление 24×7
6услуг в проде · deny-by-default

2 узла Proxmox Mail Gateway: mxa основной · mxc failover, разделение по весу MX · собственный DNSBL dnsbl.mscs.ru

Бесплатный экспресс-аудит Проверить наши домены самостоятельно

Как подключаем

От экспресс-аудита до прода —
без рывков и потери почты

  1. 01

    Экспресс-аудит

    Внешняя проверка домена: MX, SPF, DKIM, DMARC, DNSSEC, DANE/TLSA, CAA, MTA-STS с загрузкой политики и TLS-RPT, BIMI с проверкой логотипа и готовности DMARC, репутация домена в списках. Отчёт со статусами и приоритетами — за день. Состав проверки и пример отчёта →

  2. 02

    План и пилот

    Дорожная карта DMARC none → quarantine → reject, пилот на 1–3 доменах за 30–60 дней.

  3. 03

    Перевод в прод

    Миграция зон, включение DANE/DNSSEC, разворачивание on-prem узлов при необходимости.

  4. 04

    Сопровождение 24×7

    Мониторинг, отчётность, свежесть TI. Ведём мы — у вас результат.

Портфель

Флагман — почта и DNS.
Рядом — полный стек ИНКО.

Почтовая безопасность и DNS — флагман MSCS. Рядом — полный стек управляемых услуг Группы ИНКО: от ЦОД до коммуникаций.

DC / ЦОД

Серверы, СХД, инженерная инфраструктура.

Гибридные облака

Виртуализация, резервное копирование, миграции.

Сети

Проектирование, сегментация, эксплуатация.

Информационная безопасность

Периметр, мониторинг, аудит и консалтинг.

VoIP / UC / UCS

Корпоративная телефония и видеосвязь.

Группа ИНКО

За облачной платформой — интегратор
с двадцатилетней историей

MSCS — сервисное направление группы ИНКО: DC и ЦОД, гибридные облака, сети, безопасность, VoIP/UC. Мультивендорная экспертиза, партнёрства с вендорами и единая точка ответственности — это не стартап, это двадцать лет эксплуатации.

2003год основания группы
20+лет на рынке ИТ
10+постоянных корпоративных клиентов
9партнёрских статусов

Словарь

Что за буквы
и зачем они вам

Сорок один термин по-русски — почта, DNS, многофакторная аутентификация и регуляторика: сначала что это, потом строчка о том, что произойдёт, если этого нет. Слова, подчёркнутые пунктиром в тексте выше, ведут туда же.

Спуфинг · DMARC · p=none → quarantine → reject · DANE / TLSA · DNSSEC · SEG · MFA и 2FA · OTP, TOTP и HOTP · RADIUS · КИИ · ИСПДн · SPOF

Открыть словарь целиком →

Вопросы

Что спрашивают
перед пилотом

Что такое Managed DMARC и зачем доводить политику до p=reject?

DMARC определяет, что делать с письмами, не прошедшими проверку подлинности отправителя. Пока политика — p=none, подделывать письма «от вашего имени» можно безнаказанно. Мы принимаем и агрегируем отчёты, находим все легитимные источники почты и поэтапно доводим политику до p=reject — без потери легитимных писем.

Сколько длится подключение и пилот?

Внешний экспресс-аудит домена — один день. Пилот на 1–3 доменах — 30–60 дней: DMARC-мониторинг, Managed DNS и отчётность на ваших данных. Перевод в прод — по дорожной карте, согласованной по итогам пилота.

Что потребуется от нашей команды?

Минимум: доступ к DNS-записям доменов (или делегирование зон) и контактное лицо со стороны ИТ. Всю работу — настройку, мониторинг, разбор отчётов, дежурство 24×7 — ведёт команда MSCS.

Где размещаются данные и узлы?

Гибридная модель: облачный контур (управляемый DNS, панель hub, TI/DMARC-конвейер) и on-premises контур — собственные BIND-NS в регионах СНГ и узлы Proxmox Mail Gateway на площадке клиента или оператора. Контуры комбинируются под требования регуляторики и суверенитета данных.

Что будет, если панель управления станет недоступна?

Ничего критичного: data plane автономен — почта и DNS продолжают работать без панели управления. Это архитектурный инвариант платформы, наряду с provider-agnostic DNS, политикой «управление — только egress» и отсутствием единой точки отказа.

Чем MSCS отличается от SaaS-сервисов для DMARC?

Три отличия: управляемый сервис вместо инструмента — ведём мы, а не ваша команда; гибрид с on-premises узлами в СНГ вместо «только облака»; собственный Threat Intelligence с DNSBL вместо перепроданных чужих фидов. И за платформой — системный интегратор с 2003 года.

Контакты

Запросить пилот —
30–60 дней на ваших доменах

Начнём с бесплатного внешнего экспресс-аудита домена и демо панели hub. Нужен one-pager платформы для CISO — напишите в комментарии, отправим. Без «менеджеров по продажам» — сразу с инженерами. Отвечаем в течение одного рабочего дня.

На неё придёт ответ.

Посмотрим его до разговора.

Сначала экспресс-аудит

Или напишите письмом на info@mscs.ru — форма не обязательна.

Нижний Новгород +7 (831) 238-9787
Москва +7 (495) 133-8716
Почта info@mscs.ru
Офис 603006, Н. Новгород, ул. Варварская, 32, оф. 77