Ein nützlicher monatlicher Authentifizierungsbericht erläutert, was beobachtet wurde, warum es wichtig ist und wer handeln wird. Eine große Erfolgsquote ohne Nenner oder Berichtsgrenze kann irreführender sein als eine kleine Anzahl gut erklärter Ausnahmen. Beginnen Sie mit dem Betriebsumfang des Kunden, nicht mit einem Dashboard-Export.
Definieren Sie den Berichtskreis
Geben Sie den Zeitraum und die Zeitzone, die abgedeckten Domänen, die Berichtsquellen und den Erfassungsschluss an. Unterscheiden Sie zwischen dem Zeitraum, in dem Nachrichten ausgewertet wurden, und dem Zeitpunkt, zu dem ihre Berichte eingegangen sind. Bei verspäteten Eingängen kann sich eine historische Gesamtsumme ändern. Versionieren Sie daher einen Bericht, wenn Sie eine Korrektur vornehmen, anstatt die Zahlen stillschweigend zu ersetzen.
Verwenden RFC 9990 zu interpretieren Gesamtbericht Zählungen und Authentifizierungsergebnisse. Die Zählungen stellen gemeldete Beobachtungen dar, nicht einzelne Personen, zugestellte Nachrichten oder den gesamten ausgehenden Datenverkehr der Organisation. Vermeiden Sie es, überlappende oder doppelte Berichte zweimal hinzuzufügen. Behalten Sie die Meldeidentität, den Melder, die Domäne, den Zeitraum und den Payload-Fingerabdruck bei, damit ein offensichtlicher Anstieg untersucht werden kann.
Berechnen Sie eine Kennzahl, die jemand prüfen kann
Definieren Sie einen ausgerichteten Nachrichtenanteil als ausgerichtete Beobachtungen dividiert durch alle eingeschlossenen Beobachtungen, wobei die genauen Einschlussregeln angegeben sind. Berechnen Sie die Prozentsätze nicht über Quellen hinweg ohne deren Zählung. Separate genehmigte Senderausfälle, unbekannte Quellen und erwartete indirekte Auswirkungen. Bei einer unbekannten Quelle handelt es sich um eine Triage-Kategorie, nicht um einen automatischen Beweis eines Angriffs oder um die Erlaubnis, ihn zu autorisieren.
Angenommen, ein normalisierter Beobachtungsdatensatz enthält 100 Beobachtungen, deren Auswertungszeitpunkte innerhalb des angegebenen UTC-Tages liegen, von denen 80 den angegebenen Wert überschreiten Ausrichtung prüfen. Der Bruch ist 80 / 100 = 80 %. Zehn Beobachtungen vor dem Fenster und 50 genau an seinem exklusiven Ende sind ausgeschlossen. Hierbei handelt es sich um erfundene, individuell mit Zeitstempel versehene Eingaben, nicht um einen tatsächlichen Export oder ein Kundenergebnis.
Gehen Sie nicht davon aus, dass aggregierte Rohberichte Zeitstempel pro Nachricht enthalten, die das gleiche Slicing ermöglichen: Ihr Datumsbereich beschreibt das Berichtsintervall. Wenn ein Bericht eine Berichtsgrenze überschreitet, behalten Sie ihn für eine angegebene Inklusionsregel für den gesamten Bericht bei oder markieren Sie die Grenzunsicherheit, anstatt eine Zuordnung pro Nachricht zu erfinden. Dokumentieren Sie bei Duplikaten und teilweisen Überschneidungen die Handhabung und ungelöste Unklarheiten, bevor Sie einen genauen Nenner angeben. RFC 9990 In Abschnitt 3.5.4 wird darauf hingewiesen, dass teilweise überlappende Berichte nicht eindeutig nach der betroffenen Nachricht getrennt werden können.
Sorgen Sie dafür, dass die Aktion im Mittelpunkt steht
Geben Sie für jedes wichtige Ergebnis die Domäne, den Absenderinhaber, die Beweisreferenz, die Geschäftsauswirkungen, die vorgeschlagene Maßnahme, die verantwortliche Person und das angestrebte Überprüfungsdatum an. Geben Sie einen Status an, z. B. „Wird untersucht“, „Warten auf Kundengenehmigung“ oder „Verifizierter Abschluss“. Geben Sie an, was den Fortschritt blockiert. Ein DNS Vorschlag, der auf die Genehmigung wartet, sollte nicht als bereits gelieferter MSP-Fix bezeichnet werden.
Vergleichen Sie die Aktionen mit dem Register des letzten Monats. Erklären Sie, welche abgeschlossen wurden und welche Beweise sie abschließen. Tragen Sie überfällige Posten sichtbar nach, einschließlich der Person, die sie entsperren kann. Wenn die Daten unvollständig sind, machen Sie die Wiederherstellung der Sammlung zu einer eigenständigen Aktion, anstatt das Diagramm zu glätten oder davon auszugehen, dass der fehlende Zeitraum mit dem vorherigen übereinstimmt.
Verbinden Sie den Bericht mit dem Servicelebenszyklus
Vereinbaren Sie mit dem Kunden das Überprüfungsdatum, den Servicekalender, die Abhängigkeiten und die Eskalationsroute, anstatt eine Beispielfrist als Branchenanforderung darzustellen. Wenn verspätete Daten einen vorherigen Bruch ändern, geben Sie eine gekennzeichnete Revision mit ihrem neuen Grenzwert aus und erläutern Sie, ob sich eine Aktionspriorität geändert hat. Hier wird kein Lifecycle-Runbook, keine Serviceverpflichtung oder keine abgeschlossene Kundenbewertung bereitgestellt.
Lassen Sie den E-Mail-Administrator die Beweispopulation überprüfen, den Kundeneigentümer über Geschäftsprioritäten entscheiden und den Sicherheitseigentümer Materialausnahmen überprüfen. Schließen Sie die Überprüfung mit akzeptierten nächsten Maßnahmen und einem Korrekturprozess für verspätete Daten ab. RFC 9989 beschreibt Authentifizierung und Richtlinienbewertung; Ein monatliches Authentifizierungsergebnis kann immer noch nicht die Platzierung im Posteingang oder deren Abwesenheit garantieren Phishing über andere Domänen.