Et fald SPF overholdelsesprocent er et signal om at undersøge, ikke en DNS diagnose. Nummeret kan repræsentere rå SPF beståelse, justeret SPF beløb, en leverandørspecifik klassifikation eller kun de meddelelser, der er synlige for visse rapporterende modtagere. Rekonstruer først dens tæller, nævner og tidsvindue. Ellers kan en vellykket infrastrukturændring forveksles med et angreb eller en rapporterende artefakt.
Definer målingen
Skriv den præcise metrik ned: for eksempel "beskeder med tilpasset SPF pas divideret med alle meddelelser i disse modtagne rapporter i løbet af dette UTC-interval." Registrer de inkluderede reportere, mængde, manglende perioder og eventuelle deduplikeringsregler. Hold rå SPF resultater adskilt fra DMARC justering. SPF kan bestå for et domæne, der ikke er relateret til forfatterdomænet, så et antal beståelser og et antal beståelser svarer til forskellige spørgsmål. RFC 9989 §3.2.4, RFC 9989 §4.4.
Sammenlign absolutte tal såvel som satser. Illustrativt eksempel: i går havde 9.900 af 10.000 observerede beskeder justeret SPF . I dag passerer de samme 9.900 legitime beskeder, men 10.000 yderligere uautoriserede beskeder dukker op. Antag, at de oprindelige 100 ikke-justerede observationer også forbliver, hvilket giver 20.000 observationer i dag. Satsen falder fra 99 % (9.900/10.000) til 49,5 % (9.900/20.000) uden en ny fejl i den kendte legitime strøm. Disse er syntetiske aritmetiske input, ikke rapportmålinger. Det er fortsat en sikkerhedsrelevant ændring, men at tilføje disse kilder til SPF ville være det forkerte svar.
Partitioner før redigering
Opdel ændringen efter kilde-IP, kuvertdomæne, Fra domæne, udbyder eller applikation, modtagerrapporter, adressefamilie og råresultat. Find det tidligst ændrede segment og sammenlign det med DNS ændringer, nye kampagner, routingændringer, failover-hændelser og tjenestemigreringer. Indberettede kildeadresser alene fastslår ikke virksomhedsejerskab.
Klassificer fail, softfail , neutral, ingen, temperror og permerror separat. Resultatforskellene betyder noget: Et DNS udfald har ikke den samme korrigerende handling som en nyligt uautoriseret adresse eller en forkert udformet post. For en fejlsti skal du fange den nøjagtige politik og indlejrede afhængigheder; SPF evalueringsgrænser er ikke en simpel optælling af synlige inkluderer strenge. RFC 7208 §4.6.4, RFC 7208 §8.
Bekræft med transaktionsbevis
Tag en repræsentativ fejlmeddelelse fra hver berørt legitim strøm. Få SMTP logfiler eller den modtagne original med godkendelsesresultater fra en betroet grænse. Kontroller den tilsluttede IP og den faktiske MAIL FRA identitet, og reproducer derefter sin politikevaluering med dateret DNS bevis. En dashboard-etiket bør pege på disse observationer i stedet for at erstatte dem. RFC 8601 §1.2, RFC 8601 §7.1.
Hvis den rå beståelsesrate er stabil, men justeringen falder, skal du kigge efter et nyt konvolutdomæne. Hvis kun én modtagerpopulation ændres, skal du sammenligne videresendelses- og forbindelsesstier. Hvis den legitime mængde falder, mens ukendt mængde vokser, skal du undersøge de ukendte kilder uden at godkende dem. Hvis rapporteringsdækningen ændrer sig, anmærk serien i stedet for at opfinde sammenlignelighed.
Gendan den tilsigtede tilstand
Vælg en løsning, der matcher årsagen: ret en politikdefekt, reparer DNS tjenesten, gendan en understøttet konvolutkonfiguration eller stop en utilsigtet rute. Bevar en gemt tidligere tilstand, ansvarlig ejer og eksplicit tilbagerulningstilstand. Gentest de berørte flows, og gennemgå det næste sammenlignelige rapporteringsvindue. Luk hændelsen med både det tekniske resultat og måledefinitionen, herunder uløste rapporteringshuller.
Skriv beslutningen på skrift
Brug et regneark til sammenligning med interval, rapportørpopulation, samlede observationer, aligned-SPF-antal, kendt legitim volumen, ukendt volumen og noter med manglende data. Hvis rå SPF forbliver forbi, mens justeret SPF falder, skal du sammenligne de faktiske konvolutdomæner, før du redigerer adressetilladelser. En ny reporter eller ændret deduplikeringsregel kan gøre to rater ikke-sammenlignelige. Disse er gennemgangskriterier, ikke beviser for et reelt afbrydelse eller angreb.