Ein SPF Die Richtlinie ist eine Berechtigungsliste mit Abhängigkeiten. Es verdient die gleiche Eigentümerüberprüfung wie ein Dienstkonto. Eine veraltete Verbindung oder ein breiter Netzwerkbereich kann E-Mails auch dann noch zulassen, wenn der Geschäftsdienst, der sie begründet hat, verschwunden ist. Das Prüfungsziel besteht darin, notwendige Sendepfade beizubehalten und Berechtigungen zurückzuziehen, die keinen vertretbaren Zweck mehr haben.
Übersetzen Sie die Syntax in eine Geschäftsberechtigung
Beginnen Sie mit jeder Domain, die tatsächlich verwendet wird POST VON, nicht nur die Domain der Unternehmenswebsite; Inventar HELO Richtlinienidentitäten separat, wenn diese Prüfungen Teil der Route sind. Zeichnen Sie die veröffentlichte Richtlinie auf und erweitern Sie die durch Einschließen und Umleiten erreichten Abhängigkeiten. Ein Include ist eine rekursive SPF Auswertung: Ein Pass in der eingeschlossenen Richtlinie sorgt dafür, dass der Include übereinstimmt. Das Qualifikationsmerkmal für dieses Include bestimmt das äußere Ergebnis. Es handelt sich nicht nur um einen Textimport. Bei einem gewöhnlichen positiven Include können Änderungen in der referenzierten Richtlinie eines Anbieters folglich die von Ihrer Domain autorisierten Adressen ändern. RFC 7208 §5.2, RFC 7208 §6.1.
Erfassen Sie für jede Autorisierung den Antrag, den Geschäftsinhaber, den technischen Eigentümer, den Vertrag oder das Dienstkonto, die Umschlagdomäne, den Zweck, den zuletzt überprüften Sendenachweis und die Einschränkungen für den Ruhestand. Kennzeichnen Sie breite CIDRs, Shared-Service-Bereiche und Mechanismen basierend auf allgemeinen Host- oder MX Einträge zur expliziten Überprüfung. Es geht um den tatsächlichen Berechtigungsbereich und nicht um die Regel, dass ein bestimmter Mechanismus immer falsch ist.
Unterscheiden Sie ruhend von verlassen
Ein ruhiger Monat beweist nicht, dass ein Absender veraltet ist. Jährliche Mitteilungen, Notfallwiederherstellung, Zahlungserinnerungen und Verwaltungsabläufe mit geringem Umfang fehlen möglicherweise in einem kurzen Beobachtungsfenster. Kombinieren Sie verfügbare Authentifizierungsberichte mit Anwendungskonfiguration, Dienstinventaren und Eigentümerbestätigung. Aggregierte Berichte sind nützliche Beobachtungen, keine vollständige Bestandsaufnahme aller jemals gesendeten Nachrichten.
Anschauliches Beispiel: Ein Include mit der Bezeichnung „Ereignisse“ weist keinen aktuellen Datenverkehr auf. Das Marketing identifiziert eine jährliche Erneuerungskampagne, die es weiterhin verwendet. Die Überprüfung dieser Berechtigung steht aus, bis der Kampagneninhaber einen Test oder eine Migration bestätigt. Ein zweites Include gehört zu einer geschlossenen Testversion, deren Konto deaktiviert wurde und deren Besitzer bestätigt, dass keine Nachrichten in der Warteschlange oder geplant sind. Es wird ein Kandidat für den Ruhestand.
Reduzieren Sie den Umfang, ohne einen versteckten Ausfall zu verursachen
Bereiten Sie eine Änderung vor, die genau das Alte und das vorgeschlagene enthält SPF Einträge, die abgedeckten Dienste, Testnachrichten, Überwachungsfenster und Rollback-Trigger. Überprüfen Sie, ob es sich bei dem neuen Eintrag um eine einzelne gültige SPF Richtlinie handelt und dass repräsentative Auswertungspfade innerhalb der Begrenzung der DNS-Abfrage verursachenden Laufzeit bleiben. Lösen Sie eine übergroße Berechtigungsliste nicht, indem Sie deren letztes Qualifikationsmerkmal in +all ändern, das jede Verbindungsadresse autorisiert. RFC 7208 §4.5, RFC 7208 §4.6.4, RFC 7208 §5.1.
Entfernen Sie jeweils eine unabhängig verstandene Erlaubnis, wenn dies sinnvoll ist. Überprüfen Sie vom Eigentümer genehmigte Abläufe, nachdem Caches abgelaufen sind. Beachten Sie dabei, dass eine einzelne TTL nicht beweist, dass jeder Beobachter den gleichen Status hat. Stellen Sie die gespeicherte Richtlinie nur wieder her, wenn das Rollback sicher bleibt. Wenn der alte Dienst beeinträchtigt ist, verwenden Sie einen Vorfallplan, anstatt ihn erneut zu autorisieren, um die Zustellungsstatistiken zu verbessern.
Definieren Sie das Auditergebnis
Schließen Sie einen Eintrag als bei einem Eigentümer behalten, mit Beweisen zurückgezogen oder mit einer Frist als ungelöst. Ein kleinerer Datensatz ist ein Nebenprodukt; Das eigentliche Ergebnis ist ein nachvollziehbares Erlaubnisregister. SPF Pass berechtigt zur Nutzung der überprüften Identität, nicht jeder sichtbaren Absenderadresse oder jedes Mandanten, der eine Sendeplattform teilt. Bleiben Sie ausgerichtet DKIM Und DMARC Validierung als separate Kontrollen. RFC 7208 §8.3, RFC 7208 §11.2, RFC 7208 §11.3, RFC 7208 §11.4.
Verwenden Sie einen konkreten Entscheidungsdatensatz
Notieren Sie für eine vorgeschlagene Entfernung den genauen Begriff und das Qualifikationsmerkmal, die betroffenen Verbraucher, die Entscheidung des Eigentümers, das Beweisfenster, Warteschlangen- oder Saisonabhängigkeiten, die vorgeschlagene Richtlinie und die autorisierte Wiederherstellungsbedingung. Wenn für einen jährlichen Arbeitsablauf keine Testnachweise vorliegen, sollten Sie die Einstellungsentscheidung ungelöst lassen, anstatt fehlende Berichte als Genehmigung zu behandeln. Ein positives Include kann die gemeinsame Infrastruktur eines Dienstes autorisieren; Es erzwingt keine Mandantenisolation. Dies ist ein Überprüfungsarbeitsblatt, keine abgeschlossene Berechtigungsänderung.