Raportissa, joka sisältää 50 000 tuntematonta vikaa ja viisi epäonnistunutta laskua, on kaksi erilaista ongelmaa. Volyymillä on väliä, mutta se ei kerro, mitkä viestit on valtuutettu tai mikä vika eniten vaikuttaa liiketoimintaan. Tehokas lähettäjäjono yhdistää havaitut todennustodistukset vahvistetun yrityksen omistajan ja nimenomaisen vaikutustenarvioinnin kanssa.
Tässä oppaassa ehdotetaan operatiivista triagemenetelmää. Prioriteettitunnisteet ovat suosituksia, eivät määrittämiä arvoja DMARC eikä väite, että kojelauta voi päätellä tuloja tai valtuutuksia IP-osoitteen perusteella.
Pidä kolme kysymystä erillään
Viitteet: RFC 9989 §5.3.5, RFC 9989 §5.4.
Ensinnäkin, onko suoratoisto sallittu? Toiseksi, mikä todennus tai linjaus todisteet tukevat ongelmaa? Kolmanneksi, mitä seurauksia sillä on lailliseen työnkulkuun? Tallenna tuntemattomat vastaukset sen sijaan, että täytä ne oletuksilla.
Tuttu palveluntarjoajan nimi määrittää infrastruktuurikontekstin, ei tilin omistajuutta. Suuri vikojen määrä muodostaa raportoidut havainnot, ei välttämättä toimitusmenetystä. Läpäisevä DMARC tulos muodostaa tasaisen todennuspolun, ei sitä, että viesti olisi haluttu tai vaaraton.
Luo kompakti todistekortti
Viitteet: RFC 9990 §3.1.1.8, RFC 9990 §3.1.1.9, RFC 9990 §3.1.1.10, RFC 9990 §3.1.1.11.
Kirjaa jokaiselle numerolle tekijän verkkotunnus, lähderyhmä, arvioidut identiteetit, vastaanottajan kattavuus, aikaväli ja viestien määrä. Lisää ehdokassovellus, vahvistettu omistaja, tukiloki tai valvottu viesti, nykyinen käytäntö ja raportoitu sijoitus. Huomaa tietojen laatuongelmat ja tietosuojarajoitukset.
Pidä luottamus erillään kiireellisyydestä. Kriittiseen palveluun vaikuttava selittämätön muutos saattaa ansaita kiireellisen tutkimuksen jo ennen kuin sen syy on varmistunut. Kiireellisyys on syy hankkia todisteita nopeasti, ei lupa väittää, että vahvistamaton selitys on totta.
Käytä jonoa, jossa on selkeät seuraavat toiminnot
Aseta vahvistettu häiriö välttämättömään valtuutettuun sähköpostiin palautusjonon yläosaan. Seuraavaksi tutki tärkeitä reittejä koskevia uskottavia riskejä puutteellisilla todisteilla. Seuraa vahvistettua luvatonta liikennettä väärinkäyttötyössä ja pidä omistamattomat lähteet attribuutiojonossa. Nämä virrat voivat toimia rinnakkain sen sijaan, että kaikki työ pakotettaisiin yhteen virheiden lukumäärän luokitukseen.
Nimeä jokaisen kohteen seuraava toiminto ja omistaja. Esimerkkejä ovat valvotun laskunäytteen hankkiminen, sovelluksen lähetystilin vahvistaminen, a. vertailu DKIM valitsin käyttöönottotietueen kanssa tai tarkistamalla, onko raportoitu lähde jaettu infrastruktuuri. Vältä epämääräisiä kohteita, kuten DMARC pisteiden parantamista.
Vertaa kahta kuvaavaa asiaa
Synteettisessä ongelmassa A on viisi epäonnistunutta laskuviestiä, vahvistettu sovelluksen omistaja, äskettäinen reitin muutos ja asiakasraportit puuttuvista laskuista. Ongelma B sisältää 50 000 vikaa tuntemattomista lähteistä ilman todisteita siitä, että ne ovat valtuutettuja. Tutki A välittömästi toipumisen varalta, mutta säilytä B väärinkäytön analysointia ja kontrollin todentamista varten.
Älä ratkaise B:tä lisäämällä sen IP-osoitteet SPF. Älä myöskään hylkää sitä: äänenvoimakkuus voi olla merkki asiaankuuluvasta hyökkäyksestä tai raportointitaakasta. Jos A:n asiakasvalituksia ei voida sitoa raportoituun aikaväliin, säilytä tämä suhde alustavana, kunnes viesti tai hakemus tukevat sitä. Tämä esimerkki on päätösharjoitus, ei havaittu tapahtuma.
Määritä, mikä sulkee kunkin ongelmaluokan
Laillisen lähettäjän ongelma sulkeutuu, kun aiottu kokoonpano on vahvistettu, edustajaposti näyttää vaaditun tasatun passin ja yrityksen omistaja vahvistaa työnkulun palautumisen. Raporttiin perustuvassa seurannassa tulisi käyttää vertailukelpoisia ikkunoita ja tunnustaa osallistuvien vastaanottajien rajat.
Tuntemattomasta lähteestä peräisin oleva kohde sulkeutuu eri tavalla: siitä voi tulla valtuutetun lähettäjän ongelma, tuettu luvaton luokitus tai dokumentoitu ratkaisematon havainto, jossa on tarkistuskäynnistin. Kirjaa luokitustodisteet muistiin äläkä väitä, että ne viittaavat muuhun kuin se tukee.
Tarkista toistuvista jonomerkinnöistä puuttuva omistajuus, heikko käyttöönotto tai hallitsematon delegoitu DNS . Pitkän aikavälin parannus on pienempi kuilu liiketoiminnallisen tarkoituksen ja todennustodistusten välillä, ei vain vähemmän punaisia rivejä raportissa.
Sitoudu johtopäätökseen ja seuraavaan toimintaan
Synteettiselle ongelmalle A seuraava toimenpide on korreloida viisi laskun virhettä reitin muutokseen ja asiakastodisteisiin. Säilytä B:lle 50 000 havaintoa attribuutio-/väärinkäyttöanalyysissä ilman lähetyslupaa. Älä muunna suhteellisia lukuja automaattisiksi vakavuuspisteiksi tai vahvistetuiksi hyökkäysten määräksi.