Tentukan entitas perbankan sebelum mengukur domainnya
Studi domain bank harus membedakan lembaga berlisensi, perusahaan induk, merek, cabang, dan penyedia layanan teknologi. Unit-unit ini dapat berbagi situs web atau mengoperasikan domain berbeda, dan hubungan mereka dapat berubah melalui merger atau rebranding. Pengamatan DNS di situs web publik suatu merek tidak secara otomatis menggambarkan seluruh isi email lembaga hukum. Oleh karena itu, pemetaan domain-entitas merupakan bagian dari bukti, bukan rincian awal yang harus dibuang.
Naskah ini mengusulkan metode tanpa mengumpulkan populasi bank atau memindai domain. Ia tidak membuat klaim mengenai keamanan, kepatuhan, solvabilitas, atau risiko pelanggan suatu institusi. Tujuannya adalah untuk menghasilkan pemetaan yang dapat direproduksi dan hasil yang dibatasi secara teknis, bukan tabel liga yang dibangun dari nama merek yang ambigu.
Gunakan otoritas yang sesuai dengan yurisdiksi yang dipilih
Untuk cakupan bank yang diasuransikan AS, Dokumentasi FDIC BankFind API membedakan data institusi dengan data lokasi atau cabang. Itu adalah struktur sumber resmi yang berguna, bukan daftar global semua bank atau jasa keuangan. Sebuah penelitian yang mencakup yurisdiksi lain harus mempertahankan otoritas terkait dan cakupannya. Jangan mencampurkan populasi regulator yang berbeda ke dalam satu denominator perbankan yang tidak memenuhi syarat.
Dokumentasi FDIC juga menyatakan bahwa alamat internet utama dilaporkan oleh institusi dan situs terkait berada di luar kendali FDIC. Penafian ini penting untuk interpretasi: situs web yang terdaftar adalah petunjuk pemetaan yang didukung sumber, bukan dukungan untuk setiap halaman atau inventaris domain pengirim yang komprehensif. Pertahankan asal lapangan dan tanggal verifikasi daripada memperlakukan bidang situs web sebagai pernyataan keamanan yang lengkap.
Bangun model hubungan alih-alih daftar nama datar
Buat pengidentifikasi terpisah untuk institusi, grup induk jika relevan, cabang atau lokasi, dan merek publik. Tautkan setiap domain sampel ke entitas dan sumber tertentu yang mendukung hubungan tersebut. Catat tanggal efektif untuk merger, penggantian nama merek, dan penghentian domain. Satu baris berlabel grup perbankan yang dikenal dapat menyembunyikan beberapa entitas berlisensi dan tanggung jawab operasional yang berbeda.
Tentukan bagaimana domain bersama diberi bobot. Menghitung setiap cabang sebagai penerapan autentikasi terpisah dapat memberikan pengaruh yang tidak proporsional pada jaringan cabang yang besar. Menghitung hanya domain induk dapat menghilangkan anak perusahaan dengan pengaturan pengiriman independen. Tidak ada pendekatan yang secara inheren merupakan jawaban yang tepat untuk setiap pertanyaan; penelitian harus memilih satuan dan menjelaskan konsekuensinya sebelum menghitung metrik apa pun.
Pisahkan situs web sampel dari wilayah pengirim
Suatu institusi dapat menggunakan domain berbeda untuk surat karyawan, pemberitahuan pelanggan, layanan kartu, survei, pemasaran, rekrutmen, dan komunikasi outsourcing. Sampel situs publik biasanya tidak mengidentifikasi semuanya. Jangan membuat subdomain yang masuk akal atau menelusuri pesan pelanggan untuk mengisi kesenjangan tersebut tanpa cakupan penelitian resmi. Pemetaan tersebut harus menyatakan apakah suatu domain merupakan situs web sampel, pengirim yang terbukti secara independen, atau kandidat yang belum terselesaikan.
RFC 7208 mengevaluasi SPF menggunakan identitas SMTP yang relevan. RFC 9989 mengevaluasi DMARC penyelarasan ke domain Dari yang terlihat dan menentukan penemuan kebijakan. Aturan-aturan ini membuat batasan ini menjadi konkret: publikasi di satu domain web tidak dapat menetapkan otentikasi pesan yang dikirim melalui domain lain atau rute yang dikontrol pemasok.
Pertahankan ketidakpastian kontrol dan atribusi
Informasi pendaftaran dapat membantu mendokumentasikan hubungan domain tetapi tidak boleh dianggap sebagai bukti pengendalian operasional saat ini. RFC 9083 mendefinisikan objek, peran, dan peristiwa RDAP; RFC 9537 menjelaskan informasi redaksi di mana diterapkan. Respons yang dilindungi privasi atau tidak lengkap harus tetap menjadi batas visibilitas, bukan tuduhan bahwa bank menyembunyikan kepemilikan.
Demikian pula, host DNS bersama atau penyedia pengirim tidak menetapkan bahwa institusi tersebut berbagi kebijakan keamanan atau akun administratif. Catat ketergantungan yang diamati secara terpisah dari kontrol yang disimpulkan. Jika kepemilikan atau atribusi pengirim tidak dapat didukung, tandai hubungan tersebut sebagai belum terselesaikan dan kecualikan berdasarkan aturan yang dinyatakan daripada menegaskan kepastian dari nama layanan yang sudah dikenal.
Rancang pengukuran DNS secara mandiri
Bekukan daftar domain yang dipetakan dan tentukan nama pemilik yang tepat, jenis catatan, konteks penyelesai, stempel waktu, percobaan ulang, dan versi parser. Bedakan pencarian nama persis dari penemuan kebijakan yang berlaku saat ini. Pertahankan jawaban mentah dan kategori kesalahan sehingga analis lain dapat mereproduksi hasilnya. Permintaan yang gagal tidak boleh digambarkan sebagai bank yang tidak memiliki otentikasi tanpa bukti dan ruang lingkup yang relevan.
Pisahkan observasi otoritatif dan rekursif saat dikumpulkan. Pertahankan banyak catatan TXT dan string sebelum pemilihan protokol. Klasifikasi harus mengidentifikasi apa yang diamati pada nama sampel, bukan keseluruhan institusi yang lulus atau gagal. Tidak ada kueri DNS , pemeriksaan SMTP , atau sampel pesan yang diterima yang dikumpulkan dalam pekerjaan ini.
Hindari kesimpulan risiko konsumen dan kepatuhan
Publikasi DNS saja tidak menunjukkan apakah informasi keuangan pelanggan terungkap, apakah terjadi penipuan, atau apakah suatu institusi mematuhi persyaratan hukum. Kesimpulan tersebut memerlukan bukti yang berbeda dan tinjauan yang berkualitas. Pengamatan kebijakan yang hilang atau tidak valid dapat membenarkan temuan teknis dalam ruang lingkup studi tanpa menjadi klaim mengenai keamanan layanan bank.
Jangan memberi peringkat pada institusi berdasarkan skor autentikasi yang sederhana kecuali ukuran, bobot, dan batasannya transparan dan dapat dibenarkan. Kebijakan yang meminta penegakan hukum tidak membuktikan bahwa semua aliran yang sah telah selaras atau bahwa semua peniruan identitas dapat dicegah. Studi ini harus menghindari kesan bahwa kondisi pengamatan yang lebih rendah secara langsung memprediksi kerugian finansial pelanggan.
Lembar kerja pemetaan domain-entitas
Buat kolom untuk yurisdiksi, sumber otoritas, tanggal sumber, pengidentifikasi institusi, jenis entitas, hubungan induk, merek, hubungan cabang, dan domain sampel. Tambahkan bukti tautan domain, tanggal efektif, keyakinan pemetaan, peran domain, rencana kueri, dan pengecualian. Pertahankan tabel hubungan ketika pemetaan satu-ke-banyak tidak dapat direpresentasikan secara tepat dalam satu baris.
Paket rilis harus mencakup pemetaan, asal sumber, input kueri yang dinormalisasi, observasi mentah, dan aturan klasifikasi. Seorang reviewer harus dapat mengikuti temuan yang dipublikasikan kembali ke institusi dan domain yang tepat tanpa menebak merek atau anak perusahaan mana yang dimaksudkan. Data pelanggan yang sensitif, detail akun, dan informasi pribadi karyawan tidak diperlukan untuk metode ini dan tidak boleh dikumpulkan untuk menghiasinya.
Diagnosis fiktif: situs grup menjadi anak perusahaan mana pun
Seorang peneliti fiktif memilih situs publik suatu kelompok perbankan dan melaporkan kebijakan yang diamati sebagai hasilnya untuk setiap anak perusahaan. Tinjauan pemetaan menemukan bahwa daftar sumber membedakan beberapa institusi, sedangkan bukti domain hanya mendukung situs web kelompok. Koreksi yang diusulkan adalah mempublikasikan observasi situs web yang lebih sempit dan menandai wilayah pengirim yang lebih luas tidak terukur.
Tim tersebut nantinya dapat memperoleh bukti domain tambahan yang sah dan memperluas cakupan berdasarkan versi kumpulan data yang telah direvisi. Ini tidak boleh mengisi kekosongan dengan nama yang dapat ditebak atau menyiratkan cacat keamanan karena pemetaannya tidak lengkap. Skenario ini fiktif dan tidak mengandung tuduhan bank, domain, pemindaian, atau kepatuhan yang sebenarnya.
Status rilis
Katalog memerlukan publikasi pemetaan entitas-domain dan perbedaan antara domain web sampel dan wilayah pengirim yang lebih luas. Pemetaan asli tetap terbuka. Tinjauan spesialis manusia, penerapan sumber, jalur produksi, aksesibilitas, dan pelepasan pemilik juga tetap terbuka. Draf ini memberikan desain penelitian khusus bank, bukan kumpulan data atau temuan mengenai institusi.