Ajukan tiga pertanyaan berbeda dari tiga petunjuk berbeda
ASN , nama DNS terbalik, dan perkiraan geolokasi IP menjelaskan berbagai aspek infrastruktur. Menggabungkan keduanya dapat membantu penyidik memilih permintaan bukti berikutnya, namun kesepakatan di antara keduanya tidak membuktikan aplikasi mana yang mengirimkan pesan atau siapa yang menyetujuinya. Mereka semua mungkin menggambarkan relai bersama yang sama namun membiarkan akun pelanggan dan pemilik bisnis sama sekali tidak diketahui.
Panduan ini meninjau otoritas jaringan publik dan dokumentasi penyedia per 8 November 2026. Tidak ada alamat, domain, atau pesan pelanggan yang ditanyakan. Kasus yang dikerjakan menggunakan label yang diciptakan dan bukan atribusi jaringan yang sebenarnya. Halaman kebijakan database RIPE tambahan telah habis waktunya dan tidak digunakan untuk mendukung artikel tersebut; dokumentasi RIPEstat yang dapat diakses menyediakan cakupan perutean yang dijelaskan di bawah.
Bedakan pendaftaran dari perutean yang diamati
Dokumentasi Whois ARIN menjelaskan catatan registrasi untuk jaringan, sistem otonom dan organisasi terkait. Registrasi dapat mengidentifikasi hubungan alokasi atau penugasan ulang. Itu tidak mengidentifikasi perangkat lunak yang menghasilkan email. Alamat kontak suatu organisasi juga belum tentu merupakan lokasi fisik sumber daya. Simpan sumber registri dan informasi perubahan terakhir daripada mengubah nama perusahaan menjadi keputusan pengirim.
Perutean yang diamati adalah lapisan lain. Info Jaringan RIPEstat mendokumentasikan yang berisi awalan dan mengumumkan data ASN yang berasal dari RIPE RIS. Halaman yang dipertahankan memberi label titik akhir versi 1.1 dan menjelaskan dump data delapan jam. Outputnya dapat berisi banyak ASN. Ini adalah cuplikan data perutean dengan batas pengumpulan, bukan audit langsung atas kepemilikan aplikasi atau jaminan bahwa satu organisasi mengendalikan setiap pesan pada waktu historis.
Baca DNS terbalik sebagai pernyataan penamaan yang didelegasikan
A catatan PTR mengaitkan alamat dengan nama domain di namespace terbalik. Panduan reverse-DNS ARIN menjelaskan zona balik IPv4 dan IPv6 yang terpisah serta manajemen delegasi. Nama tersebut mungkin berupa label relai generik penyedia atau nama host yang dikontrol pelanggan. Ini adalah klaim penamaan dari administrasi DNS yang relevan, bukan bukti bahwa host disetujui untuk mengirim domain Dari yang terlihat.
Hubungan terbalik yang dikonfirmasi ke depan dapat menunjukkan bahwa nama yang dikembalikan kembali ke alamat berdasarkan pemeriksaan yang dilakukan. Hal ini meningkatkan bukti konsistensi tetapi tidak menetapkan tujuan aplikasi atau persetujuan akun. Pertahankan ketidakhadiran DNS , kegagalan pencarian, dan nama yang tidak terduga sebagai kondisi yang berbeda. Tidak ada pencarian yang dilakukan di sini, dan baik nama host yang menarik maupun PTR yang hilang saja tidak dapat menentukan pengirim jahat.
Hindari penggunaan PTR sebagai pengganti SPF
RFC 7208 mendefinisikan SPF seputar IP penghubung dan identitas SMTP yang relevan. Dia ptr mekanismenya tidak dianjurkan; branding reverse-DNS bukanlah alasan untuk membuat kebijakan SPF seputar hal tersebut. Domain otorisasi dan identitas yang dievaluasi lebih penting daripada apakah nama host berisi nama penyedia yang dapat dikenali. Substring seperti penyedia dapat menjadi pengganti yang buruk untuk hubungan domain yang terverifikasi dan lengkap.
Demikian pula, menemukan nama di bawah domain yang familier tidak menunjukkan hal itu DKIM atau DMARC lulus. Mekanisme tersebut mempunyai bukti dan aturan identitasnya sendiri. Gunakan petunjuk infrastruktur untuk memutuskan apa yang harus diperiksa selanjutnya, bukan untuk membuat hasil otentikasi yang tidak dilaporkan oleh penerima. Setiap pemeriksaan DNS di masa mendatang harus mempertahankan pemilik sebenarnya, jenis rekaman, waktu, dan status respons secara terpisah dari interpretasinya.
Perlakukan geolokasi sebagai perkiraan dengan cakupan
Panduan akurasi MaxMind menjelaskan bahwa akurasi bervariasi dan data tingkat kota dapat mencakup radius akurasi. Ini secara eksplisit tidak menemukan orang, rumah tangga, atau alamat jalan tertentu. Lokasi hosting atau proxy dapat berbeda dengan lokasi pengguna akhir. Oleh karena itu, kota yang dilaporkan tidak boleh menjadi tuduhan bahwa karyawan atau pelanggan mengirim surat dari kota tersebut.
Catat kumpulan data, tanggal edisi atau observasi dan informasi ketidakpastian yang tersedia. Kota yang dihilangkan dapat berarti sumbernya tidak memberikan ketepatan tersebut; itu bukan bukti bahwa alamat tersebut tidak memiliki lokasi. Basis data yang berbeda bisa saja berbeda pendapat karena metode dan masukannya berbeda. Panduan ini tidak mengimpor database lokasi, memanggil layanan geolokasi, atau memberikan koordinat kepada siapa pun.
Bekerja melalui paket infrastruktur fiktif
Kotak kertas pra-draf berisi label jaringan, Jaringan Utara; nama PTR , relay.north.example; dan perkiraan regional yang luas. Semuanya diciptakan. Tidak ada nomor ASN asli, pencarian alamat sebenarnya, atau pesan representatif di belakangnya. Secara keseluruhan, petunjuk-petunjuk ini menunjukkan di mana penyelidik di masa depan mungkin mencari dokumentasi jaringan dan layanan. Mereka tidak menetapkan aplikasi surat tertentu, penyewa pelanggan, atau tujuan bisnis resmi.
Lapisan bukti berikutnya akan menghubungkan identitas pesan perwakilan dan jejak penerimaan terpercaya ke catatan layanan khusus pelanggan. RFC 9990 mendefinisikan IP sumber laporan sebagai alamat penghubung, sehingga paket infrastruktur pun dapat menggambarkan perantara, bukan sistem penulisan aslinya. Pertahankan kemungkinan itu daripada menerjemahkan “jaringan yang terkait dengan koneksi yang diamati” menjadi “aplikasi yang menulis email.”
Gunakan perbedaan pendapat untuk memandu penyelidikan terbatas
Ketidaksesuaian antara organisasi pencatatan, nama PTR , dan wilayah merupakan pertanyaan yang perlu diselidiki, bukan suatu hal yang otomatis spoofing klasifikasi. Perubahan penetapan alamat, relai yang dialihdayakan, atau waktu kumpulan data yang berbeda dapat menghasilkan label yang tampaknya tidak konsisten. Itu hanyalah penjelasan yang mungkin. Tanyakan bukti spesifik mana yang dapat membedakan keduanya, dan tandai bahwa atribusi tersebut belum terselesaikan hingga bukti tersebut tersedia.
Gerbang masuk yang sebenarnya tetap terbuka: Validasi spesifikasi utama saat ini dan simpan contoh yang sudah dikerjakan sebelum penyusunan. Karya dokumenter ini mempertahankan bagian sumber terkini dan kasus fiksi, namun tidak memenuhi persyaratan bukti asli: Menggabungkan petunjuk infrastruktur dengan pesan yang mewakili dan bukti layanan khusus pelanggan. Tidak ada pesan representatif atau catatan pelanggan yang diberikan. Pisahkan persetujuan pengirim, pengungkapan eksternal, dan tindakan DNS atau kredensial apa pun dari pembacaan dokumentasi infrastruktur.