Ein Authentifizierungsexport ist nur dann sinnvoll, wenn der Empfänger erkennen kann, was gezählt wurde, woher es kam und welche Transformationen es verändert haben. Eine CSV-Datei mit einer Domain und einem Erfolgsprozentsatz reicht nicht aus, um eine Untersuchung zu rekonstruieren. Erstellen Sie ein kleines Beweispaket rund um den Export, anstatt die Tabelle als Originalquelle zu betrachten.
Definieren Sie die exportierte Bevölkerung
Referenzen: RFC 9990 §3.1.1.8, RFC 9989 §5.3.8.
Notieren Sie die Autorendomänen, Berichtsintervalle, teilnehmenden Reporter und enthaltenen Authentifizierungskategorien. Geben Sie an, ob der Datensatz den gesamten beobachteten Verkehr, verifizierte legitime Dienste oder eine engere Vorfallkohorte abdeckt. Verwenden Sie Nachrichtenbeobachtungen als Einheit, wenn Sie die Anzahl der aggregierten Datensätze summieren. Berichtszeilen, übermittelte Nachrichten und Empfängerzustellungen sind unterschiedliche Einheiten.
RFC 9990 definiert Berichtsmetadaten, Datensatzanzahl und Auswertungsfelder. Die teilnehmenden Empfänger werden dadurch nicht in eine vollständige Volkszählung umgewandelt. Kennzeichnen Sie einen Export nicht als reine Unternehmens-E-Mail, es sei denn, ein separater Abgleich stützt diese Behauptung tatsächlich. Bewahren Sie nicht klassifizierte Beobachtungen auf, anstatt sie stillschweigend aus dem Nenner zu entfernen.
Behalten Sie eine nachverfolgbare Quellebene bei
Referenzen: RFC 9990 §3.5.1, RFC 9990 §3.5.4.
Behalten Sie einen geschützten Verweis auf jeden Originalanhang, seinen kryptografischen Fingerabdruck, die Ankunftszeit, die Identität des Melders, die Berichtskennung und den abgedeckten Zeitraum bei. Ein Fingerabdruck hilft bei der Erkennung von Byte-Änderungen. es beweist nicht, dass die Behauptungen des Reporters wahr sind. Halten Sie die behauptete Identität des Berichts von allen unabhängig festgestellten Herkunftsnachweisen getrennt.
Geben Sie jedem exportierten Datensatz eine Quellreferenz und eine Transformationsversion. Zeichnen Sie die Parserversion, die Schemabehandlung, doppelte Entscheidungen und die Anzahl der abgelehnten Eingaben auf. Wenn zwei Anhänge dieselbe Berichtsidentität beanspruchen, aber unterschiedliche Daten enthalten, behalten Sie den Konflikt und seine Lösung bei, anstatt beiden die gleiche unbestrittene Herkunft zuzuweisen.
Halten Sie Rohfelder von der Interpretation fern
Referenzen: RFC 9990 §3.1.1.9, RFC 9990 §3.1.1.11.
Exportieren Sie Rohauthentifizierungsdomänen und -ergebnisse getrennt von den richtlinienevaluierten Ausrichtung und gemeldete Disposition. Fügen Sie Serviceeigentum, Vertrauen und Analystenklassifizierung als explizit abgeleitete Felder hinzu. Dokumentieren Sie zulässige Werte und die Semantik fehlender Werte in einem Datenwörterbuch.
Eine fehlende Klassifizierung bedeutet unbekannt, nicht unbefugt. Ein fehlendes Ergebnis gilt nicht als bestanden oder nicht bestanden, es sei denn, das unterstützte Format und die Bewertungsregel legen diese Bedeutung fest. Behalten Sie Originalwerte bei, wenn eine normalisierte Ansicht erforderlich ist, und erläutern Sie die Normalisierung, ohne die Beweise unsichtbar zu verändern.
Reproduzieren Sie eine kleine Berechnung
Referenzen: RFC 9989 §5.3.5, RFC 9990 §3.5.4.
Illustrativer Datensatz: Bericht A enthält eine Anzahl von 90 mit Ausrichtung DKIM bestanden, und Bericht B enthält eine Zählung von 10, wobei beide ausgerichteten Mechanismen fehlgeschlagen sind. Ein wiederholtes byteidentisches Eintreffen von A ist nach der erfassten Duplikatsentscheidung ausgeschlossen. Die beobachtete Erfolgsquote beträgt 90 geteilt durch 100 oder 90 Prozent, nicht 180 geteilt durch 190.
Speichern Sie die beiden enthaltenen Quellreferenzen, die ausgeschlossene Ankunftsreferenz, die Abfragerevision sowie den Zähler und Nenner. Die Entscheidung besteht darin, die zehn Beobachtungen von B zu untersuchen und ihre Dienstverantwortung festzustellen. Nichts in diesem synthetischen Beispiel beweist zehn verlorene Zustellungen oder zehn bösartige Nachrichten. Die Berechnung kann reproduziert werden, während diese Interpretationen ungelöst bleiben.
Liefern Sie eine brauchbare Übergabe
Verpacken Sie den Export mit Umfang, Feldwörterbuch, Transformationsprotokoll, Quellmanifest und bekannten Ausnahmen. Verwenden Sie Zugriffskontrollen, die für Betriebskennungen und persönliche Informationen geeignet sind. Fügen Sie keine uneingeschränkten Originalanhänge in eine weit verbreitete Tabelle ein, nur um die Herkunft einfacher zu machen.
Lassen Sie einen anderen Analysten ein Ergebnis aus den beibehaltenen Quellen rekonstruieren, bevor Sie sich auf wiederkehrende Exporte verlassen. Datumsänderungen, wenn verspätete Meldungen oder Eigentumskorrekturen das Ergebnis ändern. Behalten Sie die frühere Ansicht bei und erklären Sie den Unterschied. Schließen Sie die Übergabe mit dem empfangenden Analysten, dem zulässigen Zweck, den ungelösten Fragen und dem nächsten Überprüfungsauslöser ab.
Setzen Sie die Untersuchung fort
Benutzen Sie die Komplettlösung für aggregierte Berichte für die zugrunde liegenden Felder und die Leitfaden zur Ausrichtungsdiagnose wenn der Erfolg der Rohauthentifizierung nicht zufriedenstellend ist DMARC.
Binden Sie die Schlussfolgerung und die nächste Aktion ein
Die bereitgestellte lokale Arithmetik behält die 90 Beobachtungen von A einmal und die 10 von B einmal bei: 90/100 = 90 %. Das zweimalige Zählen von A würde 180/190 ≈ 94,7368 % ergeben, eine andere und ungültige doppelt aufgeblasene Ansicht gemäß der angegebenen Regel dieser Vorrichtung. Die Übung verwendet bereitgestellte Identitäten und doppelte Entscheidungen. Es wurde kein Export geteilt, es wurde kein tatsächlicher Anhang aufgenommen und es wurde keine Quellenauthentizität überprüft.