Beslut hvilke beviser der er nødvendige, før du indsamler det
Godkendelsesbevis er ikke ét ensartet datasæt. An samlet rapport, en mislykket meddelelsesrapport, et komplet meddelelseseksempel og en DNS ændringslog kan besvare forskellige spørgsmål, mens forskellige oplysninger afsløres. Opbevaring og adgangsregler bør følge det diagnostiske formål og faktiske felter i stedet for navnet på den mappe, hvor alt tilfældigvis er gemt.
Denne vejledning foreslår en styringsarbejdsgang, ikke en lovlig opbevaringsplan. Den bruger maj 2026 DMARC rapporteringsspecifikationer og identificerede NIST kontroller gennemgået den 8. november 2026. Ingen kunderapport, postkasse eller bevisopbevaring blev inspiceret. Ingen opbevaringsindstilling blev ændret, prøve godkendt, fil delt eller data slettet.
Byg et markkort efter bevisklasse
For aggregeret rapportering skal du registrere rapportens oprindelse, rapporteringsinterval, domæne, IP-adresse til det tilsluttede mailsystem, antal meddelelser og relevante godkendelses-id'er og resultater. RFC 9990 beskriver aggregerede data på domæneniveau i stedet for beskedindhold eller individuelle brugerdetaljer. Undersøg ikke desto mindre det faktiske skema og eventuelle leverandørudvidelser, før du anvender denne beskrivelse på en modtaget fil. Infrastruktur og mængdeinformation kan stadig fortjene begrænset virksomhedsadgang. RFC 9990
Fejlrapporter kræver en særskilt klassificering. RFC 9991 forklarer, at de kan udsætte meddelelsesoverskrifter og nogle gange hele meddelelsen, inklusive personlige eller fortrolige oplysninger. At anmode om fejlrapporter er derfor en særskilt beslutning om dataindsamling, ikke en harmløs måde at gøre et samlet dashboard mere detaljeret på. Bekræft nødvendighed, omfang og modtagere, før du aktiverer eller videresender dem. RFC 9991
Fuld meddelelseseksempler kan indeholde adresser, emnelinjer, routinghistorik, vedhæftede filer, sporingsidentifikatorer og indhold, der ikke er relateret til undersøgelsen. DNS observationer besvarer generelt et konfigurationsspørgsmål, mens applikationslogfiler kan forbinde denne konfiguration med en rigtig tjeneste eller bruger. Kortlæg disse kategorier separat, så adgang til et lavt indhold teknisk resumé ikke automatisk afslører den originale besked.
Bind hvert felt til et formål og en ejer
For hver bevisklasse skal du skrive det spørgsmål, den besvarer, hvorfor de anmodede felter er nødvendige, og hvem der er ansvarlig for deres brug. En anmodning om at forstå justering kan have brug for domæner og pålidelige godkendelsesresultater, ikke en meddelelsestekst. En anden hændelse kan kræve en begrænset original prøve. Ingen af tilfældene retfærdiggør indsamling af alle tilgængelige felter som standard.
Angiv den godkendte lagerplacering, tilladte læsere, eksportrettigheder og tilbageholdelsesudløser. Skelne efterforskeren, der kan inspicere en begrænset prøve fra en tjenesteejer, der kun behøver en konklusion. En billet, der indeholder en ubegrænset vedhæftet fil, kan underminere kontrollerne på det originale lager, så markkortet skal indeholde kopier og afledte resuméer.
NIST SP 800-53 Rev. 5 AC-6 giver det mindste privilegium-princip, mens SI-12 adresserer informationsstyring på tværs af dets livscyklus. De understøtter bevidst at definere adgang og tilbageholdelse; de foreskriver ikke et universelt antal dage for DMARC materiale. Den citerede PDF er den opdaterede udgave af december 2020, med senere udgivelse 5.2.0 identificeret på udgivelsessiden. NIST sikkerheds- og privatlivskontrol
Rediger uden at overdrive, hvad prøven beviser
Opret kun en afledt prøve, når dens målgruppe og formål er godkendt. Hold en eksplicit registrering af fjernede eller erstattede felter. Stabile pladsholdere kan bevare relationer mellem domæner eller adresser uden at afsløre de originale værdier, men en sådan transformation kan ændre, hvad der kan verificeres fra prøven.
For eksempel kan ændring af en signeret overskrift eller brødtekst ugyldiggøre DKIM signatur. En redigeret meddelelse kan stadig illustrere et parserfund, men den kan ikke automatisk bevise det originale kryptografiske verifikationsresultat. Hvor verifikation er vigtig, skal du få en autoriseret analytiker til at inspicere den beskyttede original og vedhæfte et afgrænset fund med herkomst. RFC 6376
Hashing af en fil kan hjælpe med at opdage senere ændringer; det beviser ikke, at dataene var sandfærdige, indsamlet med tilladelse eller sikre at distribuere. Ligeledes er udskiftning af en adresse med en hash ikke en generel garanti for anonymitet. Overvej, om kontekstuelle felter eller et lille sæt mulige værdier tillader nogen at udlede den originale information.
Vælg fastholdelse efter bevisværdi og forpligtelse
Adskil rå input, parsede felter, undersøgelsesudtræk og beslutningsposter. De behøver ikke have identiske levetider. RFC 9990 overlader lagervalg efter behandling til rapportevaluatoren; den pålægger ikke en fast opbevaringsperiode. En lokal tilbageholdelsesbeslutning bør forklare, hvilken fortsatte værdi der er tilbage efter udvinding, og hvilke organisatoriske forpligtelser der gælder. RFC 9990
Til revisions- og beslutningsregistreringer bruger NIST AU-11 en organisationsdefineret periode i overensstemmelse med gældende opbevaringskrav. Få de ansvarlige optegnelser, privatlivets fred eller juridisk funktion til at løse enhver relevant forpligtelse eller tilbageholdelse. Brug ikke denne artikel til at slette materiale, der er underlagt en hændelse eller en juridisk beslutning om bevarelse. NIST revision fastholdelse kontrol
Definer, hvornår tilbageholdelsesuret begynder, hvem der kan forlænge det, hvordan undtagelser gennemgås, og hvordan sletning dokumenteres. Tag højde for sikkerhedskopier, eksporter og leverandørkopier i stedet for at kræve øjeblikkelig sletning fra én betjeningspanelhandling. En anmodning om at gennemgå tidsplanen godkender ikke sletning eller permanent udrensning.
Kontroller overførsler og automatiseret behandling
Før du deler beviser eksternt, skal du godkende de specifikke felter eller prøve, navngivne destination, formål og adgangsomfang. DNS autorisation for en ekstern DMARC -rapporteringsdestination er en protokolmekanisme, ikke en erstatning for organisationens beslutning om behandling og offentliggørelse. Gennemgå begge uafhængigt. RFC 9990
Behandl modtagne rapporter som upålidelige input. RFC 9990 identificerer skadeligt rapportindhold og forfalskede rapporteringsdata som risici. Parsinggrænser og herkomstkontrol bør evalueres i den faktiske implementering, ikke antages, fordi en fil er XML. En analyseagent bør kun modtage den godkendte delmængde og ingen uafhængig tilladelse til at eksportere den eller ændre lageradgang.
En fiktiv feltkortøvelse kunne bevare domæneniveaujusteringsobservationer i en analytikervisning, mens en nødvendig original meddelelse bevares i et separat begrænset hændelseslager. Dens retentionsværdier forbliver uafklarede, indtil den ansvarlige ejer godkender dem. Øvelsen er et designeksempel, ikke en godkendt prøve eller bevis på, at en sletningsproces fungerer.
Påkrævet originalt bevis: Et datafeltkort og godkendt minimal bevisprøve med en eksplicit beslutning om opbevaring. Markkortet i dette udkast er foreslået, godkendelsen og prøven mangler, og idriftsættelseslågen forbliver åben.