Ein Sturz SPF Der Compliance-Prozentsatz ist ein Signal zur Untersuchung, keine DNS Diagnose. Die Zahl kann einen rohen SPF Durchlauf, einen ausgerichteten SPF Durchgang, eine anbieterspezifische Klassifizierung oder nur die Nachrichten darstellen, die für bestimmte Berichtsempfänger sichtbar sind. Rekonstruieren Sie zunächst Zähler, Nenner und Zeitfenster. Andernfalls kann eine erfolgreiche Infrastrukturänderung mit einem Angriff oder einem Reporting-Artefakt verwechselt werden.
Definieren Sie die Messung
Notieren Sie sich die genaue Metrik: zum Beispiel „Nachrichten mit ausgerichtetem SPF Pass geteilt durch alle Nachrichten in diesen empfangenen Berichten während dieses UTC-Intervalls.“ Erfassen Sie die enthaltenen Reporter, das Volumen, fehlende Zeiträume und etwaige Deduplizierungsregeln. Halten Sie die rohen SPF Ergebnisse getrennt von DMARC Ausrichtung. SPF kann für eine Domäne gelten, die nichts mit der Autorendomäne zu tun hat, daher beantworten eine Erfolgszahl und eine Ausrichtungszahl unterschiedliche Fragen. RFC 9989 §3.2.4, RFC 9989 §4.4.
Vergleichen Sie absolute Zahlen und Raten. Anschauliches Beispiel: Gestern hatten 9.900 von 10.000 beobachteten Nachrichten SPF ausgerichtet. Heute passieren die gleichen 9.900 legitimen Nachrichten, aber es erscheinen 10.000 zusätzliche nicht autorisierte Nachrichten. Nehmen wir an, dass auch die ursprünglichen 100 blockfreien Beobachtungen bestehen bleiben, was heute 20.000 Beobachtungen ergibt. Die Rate sinkt von 99 % (9.900/10.000) auf 49,5 % (9.900/20.000), ohne dass im bekannten legitimen Stream ein neuer Fehler auftritt. Hierbei handelt es sich um synthetische arithmetische Eingaben, nicht um Berichtsmessungen. Das bleibt eine sicherheitsrelevante Änderung, aber das Hinzufügen dieser Quellen zu SPF wäre die falsche Reaktion.
Vor der Bearbeitung partitionieren
Teilen Sie die Änderung nach Quell-IP, Umschlagdomäne, Von-Domäne, Anbieter oder Anwendung, Empfänger-Reporter, Adressfamilie und Rohergebnis auf. Finden Sie das am frühesten geänderte Segment und vergleichen Sie es mit DNS Änderungen, neuen Kampagnen, Routing-Änderungen, Failover-Ereignissen und Dienstmigrationen. Die gemeldeten Quelladressen allein begründen noch nicht die Geschäftseigentümerschaft.
Klassifizieren Sie „Fehler“, softfail , „Neutral“, „Keine“, temperror Und permerror separat. Die Ergebnisunterschiede sind wichtig: Ein DNS Ausfall hat nicht die gleichen Korrekturmaßnahmen wie eine neu nicht autorisierte Adresse oder ein fehlerhafter Datensatz. Erfassen Sie für einen Fehlerpfad die genaue Richtlinie und die verschachtelten Abhängigkeiten. SPF -Auswertungsgrenzen handelt es sich nicht um eine einfache Zählung der sichtbaren Include-Strings. RFC 7208 §4.6.4, RFC 7208 §8.
Bestätigen Sie mit Transaktionsnachweisen
Nehmen Sie eine repräsentative Fehlermeldung von jedem betroffenen legitimen Stream. Erhalten Sie SMTP Protokolle oder das empfangene Original mit Authentifizierungsergebnissen von einer vertrauenswürdigen Grenze. Überprüfen Sie die Verbindungs-IP und die aktuelle POST VON Identität und reproduzieren Sie dann die Richtlinienbewertung mit datierten DNS Beweisen. Eine Dashboard-Beschriftung sollte auf diese Beobachtungen hinweisen, anstatt sie zu ersetzen. RFC 8601 §1.2, RFC 8601 §7.1.
Wenn die rohe Erfolgsrate stabil ist, aber die Ausrichtung abnimmt, suchen Sie nach einer neuen Hüllkurvendomäne. Wenn sich nur eine Empfängerpopulation ändert, vergleichen Sie Weiterleitungs- und Verbindungspfade. Wenn die legitime Lautstärke sinkt, während die unbekannte Lautstärke zunimmt, untersuchen Sie die unbekannten Quellen, ohne sie zu autorisieren. Wenn sich die Berichterstattung ändert, kommentieren Sie die Reihe, anstatt Vergleichbarkeit zu erfinden.
Stellen Sie den beabsichtigten Zustand wieder her
Wählen Sie eine Lösung, die der Ursache entspricht: Korrigieren Sie einen Richtlinienfehler, reparieren Sie DNS Dienst, stellen Sie eine unterstützte Umschlagkonfiguration wieder her oder stoppen Sie eine unbeabsichtigte Route. Behalten Sie einen gespeicherten vorherigen Status, einen verantwortlichen Eigentümer und eine explizite Rollback-Bedingung bei. Testen Sie die betroffenen Flüsse erneut und überprüfen Sie das nächste vergleichbare Berichtsfenster. Schließen Sie den Vorfall sowohl mit dem technischen Ergebnis als auch mit der Messdefinition ab, einschließlich ungelöster Berichtslücken.
Halten Sie die Entscheidung schriftlich fest
Verwenden Sie ein Vergleichsarbeitsblatt mit Intervall, Reporterpopulation, Gesamtbeobachtungen, ausgerichteter SPF-Anzahl, bekanntem legitimem Volumen, unbekanntem Volumen und Notizen zu fehlenden Daten. Wenn der rohe SPF weiterhin durchgelassen wird, während der ausgerichtete SPF fällt, vergleichen Sie die tatsächlichen Umschlagdomänen, bevor Sie die Adressberechtigungen bearbeiten. Ein neuer Reporter oder eine geänderte Deduplizierungsregel kann dazu führen, dass zwei Tarife nicht mehr vergleichbar sind. Hierbei handelt es sich um Überprüfungskriterien, nicht um Hinweise auf einen tatsächlichen Ausfall oder Angriff.