Peritty lähettäjän inventaario on päätöksentekotyökalu, ei IP-osoitteiden luettelo. Ennen hankittujen verkkotunnusten standardoimista yhdistä havaittu posti sen tuottaneeseen asiakaskohtaiseen palveluun, sen yrityksen omistajaan ja sen hyväksyttyihin henkilöllisyyksiin. Tuttu palveluntarjoaja voi isännöidä sekä laillista että ei-toivottua liikennettä, joten infrastruktuurin tunnistaminen yksin ei ole hyväksyntää.
Aloita useista todisteista
Kerää valtuutetut konfiguraatiovientit, sovellusrekisterit, toimittajatilitietueet, DNS havainnot ja saatavilla olevat sähköpostitodisteet. Säilytä, mistä kukin havainto tuli ja milloin se on kerätty. Aggregaattiraportit voi paljastaa lähde-IP-osoitteet ja todennusmallit, mutta ei voi itsenäisesti määrittää organisaation liiketoimintatarkoitusta tai täydellistä lähettäjäjoukkoa. RFC 9990.
Jokaisen palvelun osalta tietueen tarkoitus, vastuullinen omistaja, palveluntarjoajatili tai vuokralainen, kriittisyys, näkyvä toimialueelta, kirjekuoriverkkotunnus, DKIM allekirjoitus henkilöllisyys, viimeinen edustaja testi ja hyväksyntätodistus. Pidä tuntemattomat kentät selkeänä. Kirjaa lähetys- ja vastaanottotarkoitus erikseen verkkotunnuksille, jotka voivat olla lepotilassa tai puolustavia.
Määritä identiteetit ennen valtuuksien lisäämistä
Vertaa havaittuja tunnisteita todelliseen toimittajan kokoonpanoon ja liiketoiminnan työnkulkuun. DMARC käyttää linjaus tekijän verkkotunnuksen ja onnistuneen autentikoidun tunnisteen välillä; yleinen läpäisytulos ilman tunnisteita voi kätkeä ongelman, joka sinun on ratkaistava. RFC 9989.
Älä lisää tuntematonta lähdettä SPF yksinkertaisesti siksi, että posti näyttää tulevan sieltä. SPF valtuuttaa isännät arvioitua identiteettiä varten, ja sen arviointi sisältää DNS hakurajoitukset. RFC 7208 , kohta 4.6.4. Uusi sisällytys voi laajentaa valtuuksia, ylittää toimintarajat tai epäonnistua kohdistuksen korjaamisessa. Luo ensin aiottu palvelu ja oikea todennettu reitti.
Pidä hyväksyntä ja testaus erillään
Hyväksytty palvelu voi silti epäonnistua siirtotestissä; todennettu viesti voi silti tulla hyväksymättömästä palvelusta. Säilytä molemmat tilat. Hyväksyntätodisteiden tulee yksilöidä vastuullinen päätös, kun taas testausaineiston tulee kuvata todellinen tapahtuma, henkilöllisyydet, tulos ja aika. Älä käytä testipassia yrityksen omistamisen korvikkeena.
Oletetaan, että perityllä laskutuspalvelulla on nimetty yrityksen omistaja ja hyväksytty tarkoitus, mutta kohdetilin allekirjoitusidentiteettiä ei ole vahvistettu. Toisessa palvelussa on kohdistettu ohitusviesti, mutta ei tunnistettua yrityksen omistajaa. Ensimmäinen tarvitsee todisteita reitistä ennen muuttoa; toinen tarvitsee nimeämisen ja hyväksynnän, ennen kuin sitä käsitellään valtuutettuna huoltopalveluna. Kumpaakaan aukkoa ei poista toisen palvelun rauhoittava tulos.
Nämä ovat hypoteettisia inventaariopäätöksiä, eivät luotuja tietueita tai suoritettuja testejä. Säilytä erilliset kentät omistajuudelle, suunnitelluille henkilöllisyyksille, hyväksynnälle ja nykyiselle testauskattavuudelle. Kun sovelluksen omistaja toimittaa puuttuvat tilitodistukset, päivitä vain sen määrittämä tila; älä muuta automaattisesti testaamatonta siirtotulosta hyväksytyksi.
Muuta vaikuttavuus siirtosuunnitelmaksi
Ryhmäpalvelut vahvistetun omistajan, riippuvuuden ja valmiuden mukaan. Määritä aiotut kohdeidentiteetit ja testit ennen tietueiden muokkaamista. Säilytä tuntemattomat reitit tutkimista varten nimetyllä omistajalla ja määräajalla sen sijaan, että hyväksyisit tai poistaisit niitä hiljaa. Säilytä vanha kokoonpano ja hyväksytty palautussuunnitelma jokaista seuraavaa siirtymää varten.
Standardoinnin jälkeen vertaa todelliset havainnot hyväksyttyyn inventaarioon ja tutki uusia identiteettejä. Pidä eläkkeellä olevat palvelut ja niiden päätökset historiassa. Hyödyllinen inventaario säilyy toiminnallisena tietueena toimittajan muutosten ja tapausvastausten ansiosta, eikä laskentataulukkoa, joka hylätään sulautumisprojektin päättyessä.
Tämä inventaario- ja tarkistustyönkulku on suositeltu toimintamalli. NIST SP 800-53 Rev. 5 CM-8 ja CM-3 tarjoavat yleisen perustan vastuullisille varastoille ja kontrolloiduille muutoksille; he eivät määrää näitä sähköpostikohtaisia kenttiä tai anna hyväksyntää. NIST ohjausluettelo.