Ein E-Mail-Absenderinventar ist nützlich, wenn es erklären kann, welcher Dienst eine Domäne verwendet, warum dieser Dienst autorisiert ist und wie seine Nachrichten überprüft wurden. Eine Liste mit Anbieternamen oder Quell-IP-Adressen allein kann diese Fragen nicht beantworten.
Bauen Sie das Inventar rund um Geschäftsabläufe und deren Identitäten auf. Halten Sie beobachtete Beweise getrennt von der Genehmigung und machen Sie die Wartung zu einem Teil der Art und Weise, wie Software gekauft, geändert und außer Betrieb genommen wird.
Definieren Sie einen Datensatz, der zu einer Aktion führt
Verwenden Sie einen verantwortlichen Dienst oder Workflow als Ausgangspunkt für die Aufzeichnung. Ein Anbieter kann mehrere Kundenkonten hosten und eine Anwendung kann unterschiedliche Routen für Kampagnen, Belege und Passwort-Resets verwenden.
- Service und Workflow: Identifiziert die untersuchte Geschäftsfunktion.
- Geschäftliche und technische Eigentümer: Legt fest, wer die Nutzung genehmigen und Einstellungen ändern kann.
- Sichtbar von Identitäten: Benennt die Domänen, die Benutzer sehen.
- Umschlag- und Signaturidentitäten: Verbindet das Tatsächliche SPF Und DKIM Wege.
- Anbieterkonto und Route: Unterscheidet Ihre Konfiguration von der gemeinsam genutzten Infrastruktur.
- Beweis- und Genehmigungsstatus: Trennt Beobachtung, Untersuchung und autorisierte Verwendung.
- Überprüfungs- und Ruhestandsbedingungen: Hält die Aufzeichnung auf dem neuesten Stand.
Verwenden Sie geeignete Zugriffskontrollen für Kontodetails und Beweislinks. Das Inventar sollte auf kontrollierte Datensätze verweisen und nicht zu einem Aufbewahrungsort privater Schlüssel oder wiederverwendbarer Verwaltungsanmeldeinformationen werden.
Beginnen Sie sowohl mit Beobachtungen als auch mit Geschäftskenntnissen
Aggregierte Berichte kann Quellenmuster aufdecken, die es wert sind, untersucht zu werden. Original empfangene Nachrichten und Protokolle des sendenden Anbieters können Identitäts- und Routennachweise liefern.
Unternehmer können in einem kurzen Beobachtungsfenster periodische Dienstleistungen identifizieren, die nicht erschienen sind. Aus Beschaffungs- und Bewerbungsunterlagen können auch Dienstleistungen hervorgehen, die außerhalb des zentralen Postteams erworben wurden.
Kombinieren Sie diese Eingaben, anstatt eine davon als vollständig zu betrachten. Eine beobachtete IP kann zu einer gemeinsam genutzten Infrastruktur oder einem Vermittler gehören. Möglicherweise wurde ein gekauftes Produkt eingestellt oder für die Verwendung eines anderen Versanddienstes konfiguriert.
Halten Sie Namensnennung und Autorisierung getrennt
Geben Sie den Einträgen eindeutige Status wie „Beobachtet“, „In Untersuchung“, „Genehmigt“, „Ausnahme“ oder „Zurückgezogen“. Definieren Sie, welche Beweise erforderlich sind, um zwischen ihnen zu wechseln.
Ein erkennbarer Markenname reicht für eine Zulassung nicht aus. Bestätigen Sie das kundenspezifische Konto oder die Route, die beabsichtigte Identität und den Geschäftszweck. Ebenso ist eine unbekannte fehlerhafte Quelle nicht automatisch ein Angreifer.
Erfassen Sie die Unsicherheit explizit. Eine unterstützte Hypothese mit einem Untersuchungsinhaber ist nützlicher als ein selbstbewusst wirkendes Etikett, das später niemand erklären kann.
Überprüfen Sie den tatsächlichen Workflow
Senden Sie für jede kritische Route eine kontrollierte Nachricht über den Dienst, auf den sich Benutzer verlassen. Bewahren Sie das Original auf der Empfängerseite auf und vergleichen Sie seine vertrauenswürdigen Ergebnisse, Absenderdomäne, Umschlagidentität und relevante Signaturen.
Ein öffentlicher DKIM Schlüssel weist eine Konfigurationsabhängigkeit auf. Es stellt nicht sicher, dass die Anwendung damit signiert. Ein bestandener Mitarbeiter-Mail-Test beweist nicht, dass die Abrechnungsanwendung dieselbe Route nutzt.
Benutzen Sie die Ausrichtung Diagnose, bei der sich Rohauthentifizierung und sichtbare Identität unterscheiden. Verknüpfen Sie das überprüfte Ergebnis und den Konfigurationsdatensatz mit dem Inventareintrag.
Führen Sie beim Onboarding eine Änderung des Inventars vor DNS durch
Betrachten Sie ein synthetisches Beispiel: Ein neues Kundensupport-Tool fordert den Administrator auf, eine SPF Einbindung hinzuzufügen. Das Unternehmen nutzt diesen Anbieter bereits für ein anderes Konto.
Das bestehende Anbieterlabel genehmigt das neue Konto nicht. Bei der hypothetischen Überprüfung sollte das Team zunächst den Dienstinhaber, die unterstützten Identitäten, die Route und die erforderlichen Berechtigungen erfassen. Die Genehmigung und Nachrichtenüberprüfung sind die erforderlichen nächsten Schritte und keine für diesen Artikel durchgeführten Aktionen.
Dies vermeidet zwei häufige Fehler: die Autorisierung eines unbekannten Dienstes ohne Eigentümerschaft und die Annahme, dass ein gemeinsamer Anbietername bedeutet, dass ein vorhandenes Setup alles abdeckt.
Schließen Sie den Kreis über Änderungen und Ausmusterungen
Lösen Sie eine Überprüfung aus, wenn ein Dienst seine Domäne, seinen Unterzeichner, sein Gateway oder sein Sendemodell ändert. Notieren Sie, ob eine Ausnahme vorübergehend ist, wem sie gehört und was sie schließt.
Bestätigen Sie bei der Außerbetriebnahme, dass die rechtmäßige Nutzung beendet wurde, bevor Sie Berechtigungen entfernen oder Wähler Delegationen. Beziehen Sie periodische Arbeitsabläufe und erworbene Systeme ein. Führen Sie ein historisches Entscheidungsprotokoll, damit eine unbekannte spätere Beobachtung untersucht werden kann.
Ein nützliches Inventar übersteht personelle Veränderungen, da ein anderer Bediener den Dienst, den Eigentümer, die Identitäten, die Genehmigung und die Beweise verfolgen kann. Verwenden Sie es, um die Auswahl von Richtlinien, Entscheidungen zur Nicht-Sendedomäne und die laufende Untersuchung von Berichten zu unterstützen.
Das vorgeschlagene Inventardesign wird von informiert Verantwortlichkeit NIST CM-8-Komponente, keine obligatorische E-Mail-spezifische Vorlage. RFC 9989 Abschnitt 5.3.5 definiert die Nachrichtenebene DMARC Ergebnisse; RFC 9990 Abschnitt 3.1 beschreibt aggregierte Beobachtungen. Beides stellt keine interne Geschäftsgenehmigung dar.
Bewahren Sie die nächste Untersuchung im Protokoll auf
Wenn ein Dienst beobachtet, aber nicht zugeordnet wird, benennen Sie die Beweise, die für die Übereinstimmung mit dem Konto und dem Arbeitsablauf erforderlich sind. Wenn die Entscheidung zugeschrieben, aber nicht genehmigt wird, leiten Sie sie an den Geschäftsinhaber weiter. Wenn es genehmigt, aber nicht getestet wurde, planen Sie einen Test durch einen autorisierten Vertreter. Dabei handelt es sich um separate Staaten, nicht um ein einziges grünes Inventarabzeichen.