Identifiez quel service Microsoft reçoit le message
Le « courrier hébergé par Microsoft » n’identifie pas une politique de transfert universelle. Commencez par déterminer si la destination est une organisation Microsoft 365 , un compte Outlook .com grand public ou un itinéraire qui passe par un autre service de sécurité avant d'atteindre une boîte aux lettres Microsoft. Les contrôles administratifs et les preuves disponibles dans un environnement ne doivent pas être présumés pour un autre.
Ce flux de travail utilise la documentation Microsoft 365 actuelle pour le courrier géré par l'organisation et nécessite que l'itinéraire réel soit vérifié. Il s'agit d'une proposition de plan d'enquête et de changement, et non d'un rapport indiquant que les paramètres des locataires ont été inspectés ou modifiés. Obtenez d'abord une comparaison directe et transmise, puis choisissez le plus petit changement qui corrige l'échec démontré tout en préservant les contrôles de sécurité de l'organisation.
Localisez la limite où l'authentification a changé
Draw the path from the original sender through every forwarder or gateway to the receiving service. For each boundary, record the connecting host, available expéditeur d'enveloppe, Domaine de l'auteur, DKIM signatures et transformations observées. Distinguish an inbound third-party intermediary from Exchange Online forwarding mail outward. They are different operational cases even when both occur inside the same conversation.
SPF utilise la source de connexion finale pour l'identité qui y est évaluée, de sorte que l'autorisation de la source d'origine peut ne pas décrire la connexion de transfert. RFC 7208 section 10.3 explique cette limitation. An analyst should not change the original sender's Enregistrement SPF until the affected identity and intended authorization are understood.
Comparez les signatures originales et finales en utilisant RFC 6376. A gateway's content change can invalidate a signature when it changes covered material after canonisation. Ceci est conditionnel et ne prétend pas que tous les en-têtes ajoutés ou toutes les règles de transfert détruisent DKIM . Conservez les copies brutes des messages lorsque cela est autorisé afin que l'hypothèse puisse être testée plutôt que déduite d'un diagramme de fournisseur.
Lire les résultats Microsoft sans les renommer
de Microsoft présentation de l'authentification distingue SPF , DKIM et DMARC from composite authentication, recorded as compauth. Cette dernière intègre une évaluation complémentaire. Keep each field and the final handling action in separate columns. A composite pass should not be rewritten in the incident record as an ordinary DMARC pass.
Le courant conseils fiables pour les scellants ARC décrit l'utilisation des évaluations antérieures d'intermédiaires légitimes et fournit un exemple de diagnostic avec compauth=pass et reason=130 tandis que dmarc=fail reste visible. Il prévient également que d’autres filtrages peuvent encore agir. Il s'agit d'une interprétation spécifique au fournisseur à vérifier dans les résultats fiables générés par le destinataire, et non d'une promesse que les mêmes champs apparaissent dans chaque compte.
Ne faites pas confiance à un arbitraire Authentication-Results ligne simplement parce qu’elle se trouve en haut d’un en-tête collé. Déterminez quel système de réception a généré le résultat et comment la limite de confiance est identifiée. Si seule une capture d'écran ou un extrait supprimé est disponible, enregistrez la provenance manquante et demandez un échantillon complet correctement expurgé via le processus approuvé.
Gardez les décisions SRS et ARC distinctes
de Microsoft Documentation SRS concerne les scénarios de transfert et de relais applicables et sépare explicitement le MAIL FROM réécrit du From visible. Il documente également les exceptions. Ne présumez pas que chaque message entrant dans Microsoft 365 reçoit la même réécriture ou traite un SRS behavior as the fix for an unrelated inbound gateway.
A rewritten envelope can support SPF for the rewriting domain without alignement à l'auteur original. La relation de domaine pertinente est toujours requise par RFC 9989 section 4.4. ARC à la place, il transmet des évaluations d'authentification antérieures pour qu'un destinataire puisse les prendre en compte. RFC 8617 section 7.2.1 describes local-policy use, not automatic replacement of the ordinary authentication result.
Toute proposition de faire confiance à un chasseur est une décision de sécurité. Identifier le service légitime exact, son besoin opérationnel et un approbateur responsable ; conserver les critères de configuration et de suppression antérieurs. N'ajoutez pas une confiance large simplement parce qu'un message contient un ensemble ARC syntaxiquement valide. Le courant Projet de reclassement ARC is work in progress, while RFC 8617 remains Experimental at this review date.
Changement de passerelle fictive avec un test d'acceptation limité
In this fictional example, Example Services receives mail through a content gateway before a Microsoft 365 mailbox. Un échantillon direct inventé vérifie un alignement Signature DKIM; an equivalent gateway-routed sample has a rewritten attachment and no longer verifies that signature. The scenario assumes those observations solely to explain the investigation. Aucun client ou message n'a été consulté.
Le propriétaire déterminerait d'abord si la transformation est nécessaire et si une configuration moins perturbatrice est prise en charge. Si un traitement basé sur l'ARC était proposé, l'examen nécessiterait l'identité réelle du scellant, des preuves de chaîne authentifiées et l'approbation spécifique du locataire. Les critères d'acceptation enregistreraient séparément l'authentification ordinaire, les résultats composites, le filtrage de sécurité et la disposition. Une apparition réussie dans la boîte de réception ne suffirait pas à démontrer le mécanisme prévu.
Les critères de récupération devraient inclure une confiance étonnamment large, une nouvelle classification erronée ou l'incapacité de préserver les preuves requises. Le plan de restauration doit identifier la configuration exacte approuvée, et non simplement demander à quelqu'un de désactiver le traitement de sécurité jusqu'à l'arrivée des messages.
Fermez uniquement l'itinéraire qui a été vérifié
Après une modification autorisée, comparez les nouveaux échantillons directs et indirects avec la référence dans des messages représentatifs. Conservez la version des paramètres, les horodatages et toute incertitude résiduelle du fournisseur ou du locataire. Un chemin de travail via une passerelle ne valide pas toutes les règles de transfert de l'organisation.
Le portail des preuves originales est inchangé et visible : échantillons de livraison directe et indirecte avec itinéraire, enveloppe, signatures et résultats fiables comparés. Aucune preuve opérationnelle, approbation du locataire, test en direct ou exécution de récupération n'est incluse ici. The deliverable is a reviewable procedure with source-backed distinctions, not a completed Microsoft 365 remediation.