Vastaanotettujen otsikoiden lukeminen alhaalta ylöspäin opetetaan usein tapana seurata viestin reittiä. Tämä järjestys voi selittää kronologian, mutta se ei vahvista vanhinta merkintää. Lähettäjä voi sijoittaa keksittyjä jäljityskenttiä viestiin ennen kuin ensimmäinen luotettava vastaanottaja käsittelee sen. Aloita etsimällä vastaanottoraja, jonka voit perustella.
Ymmärrä, kuinka jälki lisätään
SMTP järjestelmät lisäävät vastaanotetut jäljitystiedot viestien kulkiessa niiden läpi. Uusin merkintä on siis yleensä lähinnä yläosaa. Kenttä voi tallentaa vastaanottavan järjestelmän, väitetyn lähettävän isännän, yhteystiedot, protokollan, jonon tunnisteen ja ajan. Kaikki toteutukset eivät sisällä samoja valinnaisia yksityiskohtia. RFC 5321 kohta 4.4.
Luotetun vastaanottimen havaitsema yhteys IP on eri todiste kuin asiakkaan toimittama EHLO/ HELO -nimi tai isäntänimi kopioitu alempaan otsikkoon. Säilytä nämä erot sen sijaan, että näytät jokaista nimeä vahvistettuna fyysisenä hyppynä. Yksityinen osoite tai sisäinen isäntänimi voi kuvata laillista sisäistä segmenttiä ilman, että se on julkisesti ratkaistavissa.
Luo ensin luotettava segmentti
Aloita lopullisesta vastaanottavasta järjestelmästä ja siirry taaksepäin järjestelmien läpi, joiden toiminta ja lokit tunnetaan. Tunnista kohta, johon viesti tuli kyseisen rajan ulkopuolelta. Korreloi luotetun kentän jonotunniste, yhteystietue ja aikaleima palvelinlokien kanssa. Jos yhdyskäytävää ylläpitää kolmas osapuoli, käytä yhdyskäytävän valtuutettua näyttöä sen sijaan, että olettaisit, että koko ketju on luotettava, koska viimeinen vastaanottaja hyväksyi sen.
Vanhemmat kentät rajan alapuolella pysyvät vaatimuksina, ellei niitä vahvisteta. Voimassa myöhemmin DKIM tulos ei luo automaattisesti jokaista aikaisempaa verkkohypyä, eikä tuttu toimialue epäluotettavassa jäljitysrivissä ole todiste siitä, että viesti kulki kyseisen organisaation läpi.
Rekonstruoi hypoteettinen kolmiosainen ketju
Oletetaan, että ylin Vastaanotettu-kenttä tunnistaa sisäisen releen klo 10.05 UTC, seuraava identifioi kehäyhdyskäytävän klo 10.03 UTC ja vanhin ilmoittaa pankin isännästä klo 09.58 UTC. Valtuutetut lokit vahvistavat kaksi sisäistä käsittelytapahtumaa ja kehällä havaitun vertaisosoitteen. Mikään todiste ei tue pankin väitettä.
Tuettu reitti ulottuu takaisin kehän havaittuun vertaiseen ja pysähtyy sitten. Tuttu pankin nimi säilyy toimitettuna tekstinä. Jopa kahden minuutin ero sisäisten aikaleimojen välillä on vain näennäinen aika, kunnes kellon tarkkuus ja jonotietueet tarkistetaan; se ei itse määritä viivettä palvelimelle.
Nämä ovat keksittyjä kenttä- ja lokioletuksia, eivät mitattu reitti tai suoritettu jäsentäjä. Säilytä varsinaisessa tapahtumassa, mitkä todisteet tukevat kutakin hyppyä, ja pyydä asianomaiselta ylläpitäjältä puuttuvia tietueita sen sijaan, että muuttaisit alinta riviä alkuperätodistukseksi.
Käytä ajoitusta varoen
Muunna aikaleimat yhtenäiseksi aikavyöhykkeeksi säilyttäen samalla alkuperäiset. Kellot voivat olla väärässä, ja aikaleima epäluotettavaan kenttään voidaan keksiä. Negatiivinen aikaväli tai pitkä väli on johdatus tutkimiseen, ei todiste peukaloitumisesta tai viiveen tarkasta sijainnista. Jonolokit voivat erottaa odotusajan kellon eroista.
Lopeta reittikaaviolla tai lyhyellä järjestetyllä luettelolla, jossa jokainen hyppy on havaittu, vahvistettu tai väitetty. Tunnista viimeinen luotettava raja, selittämätön ajoitus ja mikä lisälähde ratkaisee sen. Älä muuta näennäistä alkuperää olevaa IP-osoitetta henkilön henkilöllisyyteen tai maantieteelliseen varmuuteen.
Luo rajattu reittitietue
- Aloita lopullisesta vastaanottimesta, jonka voit perustella.
- Yhdistä jokainen luotettu hyppy jono- ja yhteystietueisiin.
- Pidä lähettäjien vaatimat nimet erillään havaituista vertaisosoitteista.
- Säilytä alkuperäiset aikavyöhykearvot ja tutki kellojen erot ennen viiveen määrittämistä.
- Pysähdy vahvistamattomalle rajalle; tunnistaa jatkamiseen tarvittava lokilähde.