Un inventaire des expéditeurs d'e-mails est utile lorsqu'il peut expliquer quel service utilise un domaine, pourquoi ce service est autorisé et comment ses messages ont été vérifiés. Une liste de noms de fournisseurs ou d’adresses IP sources ne peut pas répondre à elle seule à ces questions.
Construisez l’inventaire autour des flux de travail métier et de leurs identités. Séparez les preuves observées de l’approbation et intégrez la maintenance à la manière dont les logiciels sont achetés, modifiés et retirés.
Définir un enregistrement qui mène à une action
Utilisez un service ou un flux de travail responsable comme point de départ de l'enregistrement. Un fournisseur peut héberger plusieurs comptes clients et une application peut utiliser différents itinéraires pour les campagnes, les reçus et la réinitialisation des mots de passe.
- Service et flux de travail : identifie la fonction métier étudiée.
- Propriétaires commerciaux et techniques : déterminent qui peut approuver l’utilisation et modifier les paramètres.
- Visible à partir des identités : nomme les domaines que les utilisateurs voient.
- Enveloppe et identités de signature : relie le réel SPF et DKIM chemins.
- Compte et itinéraire du fournisseur : distingue votre configuration de l'infrastructure partagée.
- État de preuve et d’approbation : sépare l’observation, l’enquête et l’utilisation autorisée.
- Conditions de révision et de retrait : Maintient le dossier à jour.
Utilisez des contrôles d'accès appropriés pour les détails du compte et les liens de preuves. L'inventaire doit pointer vers des enregistrements contrôlés et non devenir un référentiel de clés privées ou d'informations d'identification administratives réutilisables.
Partez à la fois d’observations et de connaissances métiers
Rapports agrégés peut révéler des modèles de sources qui méritent d'être étudiés. Les messages originaux reçus et les journaux du fournisseur d'envoi peuvent ajouter des preuves d'identité et d'itinéraire.
Les propriétaires d'entreprise peuvent identifier les services périodiques qui ne sont pas apparus dans une courte fenêtre d'observation. Les dossiers d’approvisionnement et de candidature peuvent également révéler des services achetés en dehors de l’équipe centrale de courrier.
Combinez ces entrées plutôt que d’en traiter une comme complète. Une adresse IP observée peut appartenir à une infrastructure partagée ou à un intermédiaire. Un produit acheté peut avoir été retiré ou configuré pour utiliser un autre service d'envoi.
Séparer l'attribution de l'autorisation
Donnez aux entrées des états clairs tels que observé, enquêté, approuvé, exception ou retiré. Définissez les preuves nécessaires pour passer de l’un à l’autre.
Un nom de marque reconnaissable ne suffit pas pour obtenir une approbation. Confirmez le compte ou l'itinéraire spécifique au client, destiné à l'identité et à l'objectif commercial. De même, une source de défaillance inconnue n’est pas automatiquement un attaquant.
Enregistrez explicitement l’incertitude. Une hypothèse étayée par un propriétaire d’enquête est plus utile qu’une étiquette confiante que personne ne pourra expliquer plus tard.
Vérifier le flux de travail réel
Pour chaque itinéraire critique, envoyez un message contrôlé via le service sur lequel les utilisateurs comptent. Conservez l'original du côté destinataire et comparez ses résultats fiables, du domaine, de l'identité de l'enveloppe et des signatures pertinentes.
Une clé DKIM publique démontre une dépendance de configuration. Cela n'établit pas que l'application signe avec lui. La réussite du test de messagerie des employés ne permet pas d'établir que l'application de facturation partage le même itinéraire.
Utilisez le alignement diagnostic où l’authentification brute et l’identité visible diffèrent. Liez le résultat vérifié et l’enregistrement de configuration à l’entrée d’inventaire.
Faire en sorte que l'intégration modifie l'inventaire avant DNS
Prenons un exemple synthétique : un nouvel outil de support client demande à l'administrateur d'ajouter une inclusion SPF . L'entreprise utilise déjà ce fournisseur pour un autre compte.
Le label de fournisseur existant n'approuve pas le nouveau compte. Lors de l'examen hypothétique, l'équipe doit d'abord enregistrer le propriétaire du service, les identités prises en charge, l'itinéraire et les autorisations requises. L'approbation et la vérification des messages sont les prochaines étapes requises, et non les actions effectuées pour cet article.
Cela évite deux échecs courants : autoriser un service inconnu sans propriété et supposer qu'un nom de fournisseur partagé signifie qu'une configuration existante couvre tout.
Boucler la boucle sur les changements et la retraite
Déclenchez une révision lorsqu'un service modifie son domaine, son signataire, sa passerelle ou son modèle d'envoi. Enregistrez si une exception est temporaire, à qui elle appartient et ce qui la ferme.
À la retraite, confirmez que l'utilisation légitime a pris fin avant de supprimer les autorisations ou sélecteur délégations. Incluez les flux de travail périodiques et les systèmes acquis. Conservez un historique des décisions afin qu’une observation ultérieure peu familière puisse faire l’objet d’une enquête.
Un inventaire utile survit aux changements de personnel car un autre opérateur peut suivre le service, le propriétaire, les identités, l'approbation et les preuves. Utilisez-le pour prendre en charge la sélection de politiques, les décisions de domaine de non-envoi et l'enquête continue sur les rapports.
La conception de l'inventaire proposée s'appuie sur Responsabilité des composants NIST CM-8, et non un modèle obligatoire spécifique au courrier électronique. RFC 9989 section 5.3.5 définit le niveau du message DMARC résultats; RFC 9990 section 3.1 décrit des observations globales. Ni l’un ni l’autre n’établit l’approbation commerciale interne.
Conserver la prochaine enquête jointe au dossier
Lorsqu'un service est observé mais non attribué, nommez les preuves nécessaires pour correspondre au compte et au flux de travail. Lorsqu'elle est attribuée mais non approuvée, acheminez la décision au propriétaire de l'entreprise. Lorsqu'il est approuvé mais non testé, planifiez un test par un représentant autorisé. Ce sont des États distincts, pas un seul badge d'inventaire vert.