Definer implementering som en observerbar DNS egenskab
En undersøgelse DNS -implementering kan fastslå, at en bestemt registrering blev observeret på et bestemt ejernavn og tidspunkt. Den kan ikke i sig selv fastslå, at hver meddelelse fra organisationen er autentificeret, at modtagere har anvendt den samme politik, eller at en forretningsanmodning var legitim. Undersøgelsen bør definere dens målte egenskab, før den indsamler data: registreringstilstedeværelse, syntaktisk gyldighed, gældende politikopdagelse og overholdelse af operationelle meddelelser er forskellige resultater.
RFC 1035 definerer DNS meddelelses- og registreringsstrukturer. RFC 9989 definerer DMARC opdagelse og justering opførsel. Disse standarder understøtter en reproducerbar målemetode, ikke en påstand om, at en scanning blev udført. Dette manuskript indeholder ingen domæneobservationer, adoptionsprocenter eller udledte meddelelsesresultater.
Vælg enhed og population før forespørgsel
Angiv, om undersøgelsen tæller registrerede domæner, fuldt kvalificerede navne, afsendende identiteter eller kundeorganisationer. Disse enheder er ikke udskiftelige. Én organisation kan drive mange domæner, mens et domæne kan være vært for flere uafhængige afsendelsesarbejdsgange. En liste over webstedsnavne er ikke automatisk en liste over domæner, der sender mail. Registrer, hvordan prøven blev udvalgt, og hvad udvælgelsen udelukker.
Frys inputlisten med en versionsidentifikator og en bibeholdt hash. Definer håndtering af dubletter, internationaliserede navne, efterfølgende prikker, aliaser og ændringer i ejerskab eller status. Fjern ikke vanskelige navne stille efter at have set deres resultater. Hvis populationen er en bekvemmelighedsprøve, skal du beskrive den på den måde i stedet for at præsentere den som repræsentativ for alle e-mail-domæner. Ingen befolkningsliste blev oprettet eller forespurgt for dette udkast.
Skelne eksakt navn observation fra opdagelse
Et nøjagtigt TXT opslag besvarer et snævrere spørgsmål end at bestemme en gældende DMARC -politik. Under RFC 9989, opdagelsesprocessen kan involvere en DNS Tree Walk. En metode, der kun forespørger på ét forventet ejernavn, skal mærke dens tilstedeværelse med nøjagtigt navn, ikke fuldstændig DMARC implementering. Behold den anvendte algoritme og standardversion, så en anden analytiker kan forstå, hvad et negativt resultat betyder.
SPF har sin egen identitet og journaludvælgelsesregler i RFC 7208. At lede efter en politik på et webstedsdomæne beviser ikke, at det er MAIL FRA identitet brugt af organisationens beskeder. En DNS-only-undersøgelse kan beskrive publicering ved udvalgte navne, men den må ikke opfinde afsendende identiteter eller erstatte mærkenavne for observeret SMTP kontekst.
Behold autoritative og rekursive beviser separat
For hver autoriseret observation skal du registrere den nøjagtige ejer, type, klasse, server eller resolver, tid og svarstatus. Autoritative svar beskriver den forespurgte myndigheds svar; rekursive svar kan afspejle cachelagrede data og resolverens egen behandling. Hvis begge er indsamlet, skal du bevare begge i stedet for at vælge det svar, der passer til det forventede resultat. Deres uenighed kan være analytisk vigtig.
Dokumenter, hvordan autoritative servere opdages, og hvordan metoden håndterer inkonsistente svar på tværs af dem. Registrer eventuelle fejl i opdagelsesstien i stedet for at mærke dem fravær af den endelige politik. En rekursiv TTL kan afspejle resterende cachelevetid, så den bør ikke rapporteres som den oprindeligt konfigurerede TTL uden bevis. Undersøgelsen bør bevare rå transskriptioner sammen med normaliserede felter for at understøtte senere gennemgang.
Bevar registreringsgrænser og fejlkategorier
TXT RDATA kan indeholde flere tegnstrenge i én post. Det adskiller sig fra flere TXT ressourceposter hos samme ejer. En måleparser bør bevare disse grænser, før den anvender protokolspecifik udvælgelse. Ikke-relaterede TXT data kan eksistere side om side med godkendelsesposter; den bør ikke puste en politikoptælling op eller flettes sammen til en gyldig påstand.
Distinguish name error, et vellykket svar uden anmodede data, serverfejl, timeout, ugyldig syntaks og tvetydige relevante poster. Disse kategorier bør ikke alle blive manglende implementering. Resultattabellen skal bevare det oprindelige svar og den regel, der bruges til at tildele en kategori. Hvis metoden prøver igen, skal du foruddefinere genforsøgsplanen og den endelige klassificering, så midlertidige fejl ikke håndteres forskelligt afhængigt af det ønskede resultat.
Hold DNSSEC beviser på sit eget område
RFC 4033 skelner mellem sikre, usikre, falske og ubestemte valideringstilstande. En rekord kan være til stede uden en sikkert valideret kæde. En valideringsfejl kan også forhindre en resolver i at returnere brugbare data. Hvis undersøgelsen måler DNSSEC, skal den dokumentere tillidsanker- og resolverkontekst i stedet for at antage, at enhver synlig post er autentificeret.
Gør ikke DNSSEC status til en skjult ekskludering, der ændrer stikprøvenævneren. Rapporter, hvor mange navne der blev vurderet, hvilke tilstande der blev observeret, og hvilke der ikke kunne bestemmes, ved hjælp af faktiske beviser, når de blev indsamlet. Dette udkast indeholder ingen sådanne optællinger. Pointen med metoden er at bevare usikkerhed, ikke at gøre utilgængelige data til et praktisk implementeringsresultat.
Adskil udgivelse fra overholdelse af meddelelsesniveau
En offentliggjort SPF politik viser ikke, hvilken IP-adresse, der har sendt en reel besked. EN DKIM nøgle viser ikke, at en udbyder har underskrevet en bestemt besked eller opbevaret den tilsvarende private nøgle sikkert. En DMARC politik viser ikke, at alle legitime strømme stemmer overens. Disse spørgsmål kræver operationelt bevis fra den faktiske rute og en betroet modtager.
RFC 8601 forklarer tillidsgrænsen for Authentication-Results. Et matchende eksempel på modtaget meddelelse kan understøtte en scoped-observation på meddelelsesniveau, men det validerer ikke automatisk alle domæner eller arbejdsgange i en DNS undersøgelse. Behold publikationsmålinger og meddelelsesmetrikker som separate målinger med deres egne populationer og begrænsninger. Du må ikke ommærke en DNS adoptionsprocent som overholdelse eller opnået beskyttelse.
Et reproducerbart observationsark
Opret et regneark med eksempelversion, domæneenhed, normaliseret input, nøjagtig forespurgt ejer, posttype, forespørgselsmetode, observationstid, autoritativ transskription, rekursiv transskription og parserversion. Tilføj den tildelte resultatkategori, den relevante politikopdagelsessti, DNSSEC status, hvor vurderet, og en forklaring af fejl. Bevar et link til det rå bevis i stedet for kun den endelige klassificering.
Analysespecifikationen skal angive tæller og nævner for hver metrik. Tilstedeværelse blandt alle forsøgte navne, gyldighed blandt navne med svar og gældende policedækning er forskellige fraktioner. Hvis flere er nyttige, rapporter dem separat. Definer ekskluderinger før analyse og bevar en ekskluderingslog med årsager. Ingen originale input, forespørgselstransskriptioner eller måleresultater er leveret i dette manuskript.
Fiktiv diagnose: et implementeringsdiagram bliver et krav om overholdelse
En fiktiv analytiker forespørger på en liste over firmaets webstedsdomæner og finder TXT -data, der ser politikker ud på nogle af dem. En præsentation mærker resultatet e-mail-godkendelsesoverholdelse. Den foreslåede gennemgang identificerer to huller: prøven etablerer ikke de faktiske afsendende identiteter, og registrerings tilstedeværelse etablerer ikke godkendelse på meddelelsesniveau. Diagrammet skal omdøbes for at beskrive den observerede DNS egenskab og dens prøve.
En senere autoriseret undersøgelse kunne tilføje afsenderopgørelser og modtagne meddelelsesbeviser, men det ville kræve en ny metrisk definition i stedet for lydløst at opgradere den oprindelige påstand. Dette eksempel indeholder ingen rigtige domæner, tællinger eller scanninger. Det illustrerer en rapporteringsfejl i en hypotetisk metode, ikke en konstatering om en organisation eller en gennemført implementeringsundersøgelse.
Slip metoden med dens evidensgrænser
En nyttig undersøgelseskonklusion angiver populationen, observationsdatoer, forespørgselsalgoritme, resultatkategorier og hvad beviserne ikke kan fastslå. Det undgår påstande om universel modtageradfærd, indbakkelevering eller forhindret svindel. En gennemsigtig DNS -måling forbliver værdifuld, netop fordi dens omfang er klart.
Kataloget kræver tidsstemplede autoritative og rekursive svar med nøjagtige ejernavne og posttyper. Disse originale udskrifter forbliver åbne. Gennemgang af menneskelig specialist, kildeanvendelighed, produktionsruter, tilgængelighed og ejerfrigivelse forbliver også åbne. Dette udkast er en foreslået målemetode, ikke en udført scanning eller et resultat af meddelelsesoverholdelse.