A menudo se enseña a leer los encabezados de Recibido de abajo hacia arriba como la forma de seguir la ruta de un mensaje. Ese orden puede explicar la cronología, pero no autentifica la entrada más antigua. Un remitente puede colocar campos de seguimiento inventados en un mensaje antes de que el primer receptor confiable lo maneje. Comience por encontrar el límite de recepción que pueda fundamentar.
Comprender cómo se agrega el seguimiento
Los sistemas SMTP anteponen la información de seguimiento recibida a medida que los mensajes pasan a través de ellos. Por lo tanto, la entrada más reciente suele estar más cerca de la parte superior. Un campo puede registrar el sistema receptor, el host de envío reclamado, la información de conexión, el protocolo, el identificador de cola y la hora. No todas las implementaciones incluyen el mismo detalle opcional. RFC 5321 sección 4.4.
La IP de conexión observada por un receptor confiable es una evidencia diferente de la proporcionada por el cliente. EHLO/ Nombre HELO o un nombre de host copiado en los encabezados inferiores. Preserve esas distinciones en lugar de mostrar cada nombre como un salto físico verificado. Una dirección privada o un nombre de host interno pueden describir un segmento interno legítimo sin que se pueda resolver públicamente.
Establezca primero el segmento confiable
Comience con el sistema receptor final y avance hacia atrás a través de sistemas cuyo funcionamiento y registros se conocen. Identifique el punto por donde entró el mensaje desde fuera de ese límite. Correlacione el identificador de cola, el registro de conexión y la marca de tiempo del campo confiable con los registros del servidor. Si un tercero opera una puerta de enlace, utilice evidencia autorizada de esa puerta de enlace en lugar de asumir que toda la cadena es confiable porque el último receptor la aceptó.
Los campos más antiguos debajo del límite siguen siendo reclamos a menos que se corroboren. Un más tarde válido DKIM El resultado no establece automáticamente cada salto de red anterior, y un dominio familiar en una línea de seguimiento que no es de confianza no es prueba de que el mensaje atravesó esa organización.
Reconstruir una hipotética cadena de tres entradas.
Supongamos que el campo Recibido superior identifica una retransmisión interna a las 10:05 UTC, el siguiente identifica la puerta de enlace perimetral a las 10:03 UTC y el más antiguo reclama un servidor bancario a las 09:58 UTC. Los registros autorizados corroboran los dos eventos de manejo interno y la dirección del par observada en el perímetro. Ninguna evidencia corrobora la afirmación del banco.
La ruta admitida llega hasta el par observado del perímetro y luego se detiene. El nombre familiar del banco sigue siendo el texto proporcionado. Incluso la diferencia de dos minutos entre las marcas de tiempo internas es sólo un intervalo aparente hasta que se verifican la precisión del reloj y los registros de la cola; por sí solo no asigna un retraso a un servidor.
Estas son suposiciones inventadas sobre campos y registros, no una ruta medida o un analizador ejecutado. En un incidente real, conserve qué evidencia respalda cada salto y solicite al administrador correspondiente los registros faltantes en lugar de convertir la línea más baja en prueba de origen.
Utilice el tiempo con cautela
Convierta marcas de tiempo a una zona horaria consistente conservando los originales. Los relojes pueden estar equivocados y se puede inventar una marca de tiempo en un campo que no es de confianza. Un intervalo negativo o una brecha larga es una pista para investigar, no una prueba de manipulación o la ubicación exacta de un retraso. Los registros de cola pueden distinguir el tiempo de espera de las discrepancias del reloj.
Cierra con un diagrama de ruta o una breve lista ordenada que etiquete cada salto como observado, corroborado o afirmado. Identifique el último límite confiable, cualquier momento inexplicable y qué fuente adicional lo resolvería. No convertir la propiedad intelectual de origen aparente en la identidad o certeza geográfica de una persona.
Crear un registro de ruta acotado
- Comience con el receptor final que pueda fundamentar.
- Haga coincidir cada salto confiable con los registros de cola y conexión.
- Mantenga los nombres reclamados por el remitente separados de las direcciones de pares observadas.
- Conserve los valores de zona horaria originales e investigue las diferencias de reloj antes de asignar un retraso.
- Deténgase en el límite no corroborado; identifique la fuente de registro necesaria para continuar.