يجب أن تسمح حزمة الأدلة للمحلل الثاني بفهم الحادث دون تكرار أعمال التجميع أو تخمين الملف المعتمد. قم بتنظيمه حول سؤال القارئ وطريق التسليم الفعلي. تعد لقطات الشاشة المضغوطة الكبيرة أقل فائدة من مجموعة صغيرة يمكن تتبعها من العناصر ذات مصدر واضح وأسئلة لم يتم حلها.
اذكر الحادثة ونطاقها
ابدأ بملخص قصير للحالة: السلوك المتوقع، والأعراض التي تمت ملاحظتها، والنافذة الزمنية المتأثرة، ونطاق المرسل والمستلم ذي الصلة، وتأثير الأعمال، والسؤال الذي لا يزال بدون إجابة. التمييز بين الإخفاقات الفردية والاتجاهات الأوسع. سجل ما إذا كانت الأدلة قد جاءت من مستأجر مقدم خدمة، أو من اختبار محلي، أو من مثال تعليمي مُصمم.
افصل الفرضية الحالية عن الحقائق المثبتة. على سبيل المثال، "ربما قامت البوابة بتعديل النص" هي فرضية حتى تدعمها البايتات السابقة واللاحقة أو ما يعادلها من الأدلة الموثوقة. أ DKIM الفشل وحده لا يحدد نظام التعديل. يصف RFC 6376 عمليات التحقق من التوقيع، وليس الإسناد التلقائي للمسؤولية. RFC 6376 القسم 6.
الحفاظ على النسخ الأصلية وإنشاء بيان
احتفظ بالرسائل المستلمة غير المعدلة، وسجلات المرسل ذات الصلة، وتشخيصات المستلمين، وملاحظات DNS المعتمدة في منطقة النسخ الأصلية المقيدة. قم بتسجيل طريقة التجميع والمجمع والوقت والمنطقة الزمنية وتجزئة SHA-256 لكل قطعة أثرية. ضع المشتقات المعقمة في منطقة منفصلة مع تجزئاتها الخاصة وسجل التحويل. يتحقق التجزئة من اتساق البايت مع البيان؛ ولا يصادق على المطالبة الأساسية.
للحصول على أدلة DNS ، قم بتسجيل الاستعلام الدقيق ونوع السجل والمحلل ووقت الاستجابة والبيانات التي تم إرجاعها. لقطة الشاشة لسجل اليوم ليست دليلاً تاريخيًا على تكوين الأمس. بالنسبة للرسائل، احتفظ بالبايتات الأولية عند الحاجة إلى التحقق من التوقيع، واحتفظ بالمقتطفات التي يمكن قراءتها بواسطة الإنسان كطرق عرض ملائمة بدلاً من البدائل.
إنشاء جدول زمني لكل مستلم
تتبع الإرسال وقبول الترحيل والرفض الخاص بالمستلم وإعادة المحاولة والاستجابات النهائية والإشعارات كأحداث متميزة. قم بتضمين أسماء الملفات المصدر أو التجزئات لكل صف. يشرح RFC 5321 سياق قبول SMTP وإعادة المحاولة؛ يحدد RFC 3464 كتل المستلمين لحالة التسليم. RFC 5321, RFC 3464.
احتفظ بالطوابع الزمنية الأصلية إلى جانب قيم UTC المقيسة. وضع علامة على إزاحات الساعة غير المؤكدة والأحداث المفقودة. لا تستنتج موضع صندوق البريد من الاستجابة النهائية للمرحل البالغ عددها 250 أو تستنتج نتيجة رسالة معينة من إجمالي DMARC عدد. قم بتسمية ما إذا كانت كل عبارة قد تمت ملاحظتها أو اشتقاقها أو أنها لا تزال افتراضية.
تضمين الضوابط والقيود القابلة للتكرار
قم بتوفير الأوامر أو البرنامج النصي وإصدارات الأداة والتوقيع أو السجل المحدد وتجزئة الإدخال والملاحظات المتوقعة والمخرجات الفعلية. تجنب تضمين بيانات الاعتماد أو أسرار توقيع الإنتاج. يجب أن يوضح الاختبار المحلي باستخدام المفتاح العام المُدخل أنه لم يحدث أي بحث DNS ؛ لا ينبغي أن يتنكر مثال المحلل اللغوي الاصطناعي كتقييم للموفر.
لإجراء فحص مكتمل، احتفظ بمخرجاته الفعلية وقم بوضع علامة واضحة على العناصر المفقودة أو المتغيرة. بالنسبة للفحص المقترح، قم بتسمية أنه لم يتم تنفيذه واذكر الوصول أو الإدخال المطلوب. لا تملأ حزمة الأدلة الفارغة بالمخرجات المتوقعة المقدمة كملاحظات.
اجعل الإجراء التالي واضحًا
اختتم بالنتيجة التي تم التحقق منها، والفجوات المتبقية، والتصحيح الضيق المقترح، والمالك وشرط النجاح. احتفظ بالتفويض لتغييرات التكوين والمشاركة الخارجية بشكل منفصل عن جمع الأدلة. بعد الإصلاح المعتمد، أضف اختبارًا جديدًا محددًا واحتفظ بالأدلة القديمة بدلاً من استبدال الفشل بلقطة شاشة للنجاح.
يجب أن يكون محلل آخر قادرًا على الإجابة على ثلاثة أسئلة من المجموعة: ما الذي حدث وفقًا لكل مصدر، وما الذي يمكن التحقق منه بشكل مستقل، وما الذي لا يزال يتطلب الوصول إليه أو الحكم عليه. هذا هو معيار الإنجاز، حتى عندما يكون الاستنتاج الصادق هو أن السجلات المتاحة لا يمكنها بعد تحديد السبب.
رسم حالة تسليم افتراضية لم يتم حلها
لنفترض أن سجل التطبيق يسجل القبول، لكن المستلم لا يبلغ عن أي رسالة. يجب أن يشير ملخص الحالة إلى أن تسليم الوجهة لم يتم حله، وليس فشل المصادقة. تشتمل الحزمة الدنيا المقترحة على الإرسال الأصلي المعتمد أو البايتات المحتفظ بها، ومعرف قائمة انتظار المرحل والطابع الزمني، والتتبع لكل مستلم، وأي DSN لاحق، ومراقبة جانب المستلم عند توفرها.
قم بوضع علامة على كل عنصر غير متوفر كمفقود. المالك التالي هو الشخص الذي لديه حق الوصول إلى التتابع ذي الصلة أو تتبع المستلم؛ ترك الشخص غير المعين حتى يتم الاتفاق عليه فعليا. شرط النجاح المناسب هو التصرف المترابط للمستلم الأصلي وشرح لأي فجوة متبقية، وليس مجرد إرسال ناجح آخر.
هذا مخطط تفصيلي لحزمة افتراضية، وليس ملفات تم تسليمها، أو تحقيق في حادث تم تنفيذه أو ادعاء بأن مؤسسة حقيقية سمحت بجمع البيانات أو مشاركتها أو الاحتفاظ بها.
اجعل الحزمة مفيدة للمحلل التالي
- ابدأ بالأعراض والنطاق والنافذة الزمنية والسؤال الذي لم يتم حله.
- ربط كل ملاحظة بالقطعة الأثرية الأصلية وسياق المجموعة.
- أصول منفصلة ومشتقات وتفسيرات افتراضية.
- قم بتضمين مدخلات الفحص القابلة للتكرار والمخرجات الفعلية فقط عند تنفيذها.
- تعيين طلب الإثبات التالي وشرط نجاحه دون اختراع مالك أو موافقة.