Audit akuisisi harus menentukan siapa yang mengendalikan identitas email yang diwarisi, layanan bisnis mana yang bergantung padanya, dan apa yang akan terjadi selama integrasi. Jangan memulai dengan menyalin template DNS pengakuisisi ke setiap domain yang diakuisisi. Pertahankan alur kerja sambil mengidentifikasi otoritas yang tidak dikelola dan kesenjangan bukti.
Kontrol peta serta kepemilikan
Catat kepemilikan legal atau bisnis secara terpisah dari akses teknis. Identifikasi akun registrar, DNS , kotak surat, relay, penandatanganan dan pelaporan, dengan administrator yang bertanggung jawab dan rencana transisi. Catat akses yang belum terselesaikan tanpa berasumsi bahwa penyelesaian akuisisi mentransfer setiap izin teknis. Jauhkan kredensial dan rahasia akun sensitif dari daftar audit.
Petakan setiap layanan ke domain Dari yang terlihat, domain amplop, DKIM penandatanganan domain, penyewa sumber dan target, hubungan penyedia, dan peristiwa bisnis penting. Surat lamaran dapat melewati platform kotak surat karyawan sepenuhnya. Sertakan penagihan, pemulihan kata sandi, alat dukungan, pemberitahuan otomatis, dan kampanye musiman.
Tetapkan garis dasar otentikasi
Tangkap DNS saat ini dan konfigurasi pengirim yang disetujui, lalu bandingkan dengan observasi penerima tepercaya. DMARC tergantung pada otentikasi yang berhasil dan penyelarasan pengenal, bukan hanya penyedia yang dikenal atau SPF melewati suatu tempat di rute tersebut. RFC 9989. Publikasi kunci DKIM dan layanan penandatanganan merupakan dependensi berbeda yang harus bertahan dari setiap migrasi yang direncanakan. RFC 6376.
Gunakan pelaporan agregat untuk menemukan pola sumber yang diamati, namun jangan memperlakukannya sebagai inventaris layanan lengkap atau bukti persetujuan bisnis. RFC 9990. Rekonsiliasi temuan dengan pemilik aplikasi, catatan akun penyedia, dan sampel pesan resmi. Biarkan pengirim yang tidak dikenal tidak disetujui sampai atribusi ditetapkan.
Uji status target berdasarkan layanan
Tentukan transaksi representatif sebelum standardisasi. Catat pengidentifikasi yang diharapkan, hasil otentikasi, dan tanda terima bisnis di tujuan yang sesuai. Sertakan pengiriman normal, jalur penerusan atau gateway yang relevan, dan alur terjadwal yang penting bagi bisnis. Tetapkan kriteria pemulihan dan pertahankan ketergantungan lama hingga transisi yang disetujui diverifikasi.
Pertimbangkan audit hipotetis terhadap tiga rute yang diwariskan. Penggajian memiliki sampel resmi saat ini dengan valid yang selaras tanda tangan DKIM dan konfirmasi penerimaan bisnis. Kampanye memiliki pemilik yang diketahui namun sampel yang diuji gagal pada kedua jalur autentikasi yang selaras. Warisan tidak memiliki sampel representatif saat ini dan identitas yang belum terselesaikan. Penggajian memiliki bukti untuk cakupannya yang telah teruji; Kampanye memerlukan diagnosis teknis, sedangkan warisan memerlukan pengumpulan bukti. Satu izin untuk seluruh portofolio akan menyembunyikan berbagai tindakan selanjutnya.
Ini adalah temuan yang diasumsikan, bukan pemeriksaan autentikasi yang dijalankan, persetujuan nyata, atau penyewa yang dimigrasi. Hasil kampanye mengasumsikan semua jalur penyelarasan SPF dan DKIM yang valid telah diperiksa, bukan hanya satu tanda tangan yang gagal. Di bawah RFC 9989 bagian 4.4 dan 5.3.5 jalur autentikasi yang selaras dapat memenuhi hasil tingkat pesan. Secara terpisah, bagian 7.4 dan 8 memerlukan penerbitan domain p=reject untuk menerapkan tanda tangan DKIM yang sah dan tidak hanya mengandalkan SPF . Pesan yang disampaikan tidak cukup sebagai bukti untuk setiap kewajiban penerapan.
Laporkan keputusan yang dapat digunakan tim integrasi
Pisahkan pengendalian yang dikonfirmasi, operasi yang diamati, pengecualian yang disetujui, dan temuan yang belum terselesaikan. Sebutkan pemilik setiap temuan, dampaknya, tindakan selanjutnya, dan bukti penerimaannya. Prioritaskan layanan penting dan otoritas yang tidak dikelola tanpa menyembunyikan hal-hal yang tidak diketahui dalam tingkat kelulusan secara keseluruhan.
Jalankan kembali pemeriksaan yang relevan setelah perpindahan penyewa, perubahan DNS , perubahan kunci penandatanganan, dan penghentian penyedia. Pertahankan bukti era akuisisi sehingga insiden selanjutnya dapat membedakan konfigurasi yang diwariskan dari perubahan integrasi. Menutup tahap audit hanya dengan pernyataan yang jelas tentang ruang lingkup pengujian dan pekerjaan yang tersisa; penerimaan risiko manusia dan publikasi klaim jaminan tetap merupakan keputusan terpisah.
Alur kerja inventaris dan peninjauan ini adalah model operasi yang direkomendasikan. NIST SP 800-53 Rev. 5 CM-8 dan CM-3 memberikan dasar umum untuk inventarisasi yang dapat dipertanggungjawabkan dan perubahan yang terkendali; mereka tidak menentukan kolom khusus email ini atau memberikan persetujuan. Katalog kontrol NIST.