Inventaris pengirim yang diwariskan adalah alat pengambilan keputusan, bukan daftar alamat IP. Sebelum menstandardisasi domain yang diperoleh, sambungkan email yang diamati ke layanan khusus pelanggan yang memproduksinya, pemilik bisnisnya, dan identitasnya yang disetujui. Penyedia yang dikenal dapat menampung lalu lintas yang sah dan tidak diinginkan, sehingga pengenalan infrastruktur saja bukanlah persetujuan.
Mulailah dengan berbagai sumber bukti
Kumpulkan ekspor konfigurasi resmi, register aplikasi, catatan akun vendor, observasi DNS , dan bukti email yang tersedia. Pertahankan dari mana setiap observasi berasal dan kapan observasi tersebut dikumpulkan. Laporan agregat dapat mengungkapkan IP sumber dan pola autentikasi tetapi tidak dapat secara independen menetapkan maksud bisnis organisasi atau populasi pengirim secara lengkap. RFC 9990.
Untuk setiap layanan, tujuan rekaman, pemilik yang bertanggung jawab, akun penyedia atau penyewa, kekritisan, domain terlihat Dari, domain amplop, DKIM tanda pengenal penandatanganan, ujian perwakilan terakhir dan bukti persetujuan. Jaga agar kolom yang tidak diketahui tetap eksplisit. Catat tujuan pengiriman dan penerimaan secara terpisah untuk domain yang mungkin tidak aktif atau defensif.
Atribusikan identitas sebelum menambahkan otoritas
Bandingkan pengidentifikasi yang diamati dengan konfigurasi vendor sebenarnya dan alur kerja bisnis. DMARC kegunaan penyelarasan antara domain penulis dan pengidentifikasi terotentikasi yang berhasil; hasil kelulusan umum tanpa pengidentifikasi dapat menyembunyikan masalah yang perlu Anda selesaikan. RFC 9989.
Jangan menambahkan sumber yang tidak diketahui ke dalamnya SPF hanya karena email tampaknya berasal dari sana. SPF memberi otorisasi pada host untuk identitas yang dievaluasi, dan evaluasinya mencakup batas pencarian DNS . RFC 7208 , bagian 4.6.4. Penyertaan baru dapat memperluas wewenang, melampaui batas operasional, atau gagal memperbaiki keselarasan. Tetapkan layanan yang dituju dan rute terotentikasi yang sesuai terlebih dahulu.
Pisahkan persetujuan dan pengujian
Layanan yang disetujui masih bisa gagal dalam uji migrasi; pesan yang diautentikasi masih bisa datang dari layanan yang tidak disetujui. Simpan kedua negara bagian. Bukti persetujuan harus mengidentifikasi keputusan yang dapat dipertanggungjawabkan, sedangkan bukti pengujian harus menggambarkan transaksi, identitas, hasil, dan waktu yang sebenarnya. Jangan gunakan izin tes sebagai pengganti kepemilikan bisnis.
Misalkan layanan penagihan yang diwariskan memiliki nama pemilik bisnis dan tujuan yang disetujui, namun identitas penandatanganan akun target belum diverifikasi. Layanan kedua memiliki pesan yang selaras tetapi tidak ada pemilik bisnis yang teridentifikasi. Yang pertama membutuhkan bukti rute sebelum migrasi; yang kedua memerlukan atribusi dan persetujuan sebelum diperlakukan sebagai layanan resmi. Tidak ada kesenjangan yang terselesaikan dengan hasil layanan lain yang meyakinkan.
Ini adalah keputusan inventaris hipotetis, bukan catatan yang dihasilkan atau pengujian yang dilaksanakan. Simpan bidang terpisah untuk kepemilikan, identitas yang diinginkan, persetujuan, dan cakupan tes saat ini. Ketika pemilik aplikasi memberikan bukti akun yang hilang, perbarui hanya status yang ditetapkannya; jangan secara otomatis mengubah hasil migrasi yang belum teruji menjadi lulus.
Ubah atribusi menjadi rencana migrasi
Kelompokkan layanan berdasarkan pemilik terverifikasi, ketergantungan, dan kesiapan. Tentukan identitas target yang diinginkan dan tes sebelum mengedit catatan. Pertahankan rute yang tidak diketahui untuk penyelidikan, dengan nama pemilik dan tenggat waktu, daripada diam-diam menyetujui atau menghapusnya. Pertahankan konfigurasi lama dan rencana pemulihan yang disetujui untuk setiap transisi konsekuensial.
Setelah standardisasi, rekonsiliasi observasi aktual dengan inventarisasi yang disetujui dan selidiki identitas baru. Simpan layanan pensiunan dan keputusan mereka dalam sejarah. Inventaris yang berguna tetap menjadi catatan operasional melalui perubahan vendor dan respons insiden, bukan berupa spreadsheet yang ditinggalkan ketika proyek merger berakhir.
Alur kerja inventaris dan peninjauan ini adalah model operasi yang direkomendasikan. NIST SP 800-53 Rev. 5 CM-8 dan CM-3 memberikan dasar umum untuk inventarisasi yang dapat dipertanggungjawabkan dan perubahan yang terkendali; mereka tidak menentukan kolom khusus email ini atau memberikan persetujuan. Katalog kontrol NIST.