Membaca Header yang diterima dari bawah ke atas sering kali diajarkan sebagai cara mengikuti rute pesan. Urutan tersebut dapat menjelaskan kronologi, tetapi tidak mengotentikasi entri terlama. Pengirim dapat menempatkan bidang jejak yang ditemukan dalam pesan sebelum penerima tepercaya pertama menanganinya. Mulailah dengan menemukan batasan penerimaan yang dapat Anda buktikan.
Pahami bagaimana jejak ditambahkan
Sistem SMTP menambahkan informasi jejak yang diterima saat pesan melewatinya. Oleh karena itu, entri terbaru biasanya paling dekat dengan atas. Sebuah field dapat mencatat sistem penerima, host pengirim yang diklaim, informasi koneksi, protokol, pengidentifikasi antrian dan waktu. Tidak setiap implementasi menyertakan detail opsional yang sama. RFC 5321 bagian 4.4.
IP penghubung yang diamati oleh penerima tepercaya merupakan bukti berbeda dari yang diberikan klien EHLO/ Nama HELO atau nama host disalin ke header bawah. Pertahankan perbedaan tersebut daripada menampilkan setiap nama sebagai lompatan fisik yang terverifikasi. Alamat pribadi atau nama host internal dapat menggambarkan segmen internal yang sah tanpa dapat diselesaikan secara publik.
Tetapkan segmen yang dapat dipercaya terlebih dahulu
Mulailah dengan sistem penerima akhir dan kerjakan mundur melalui sistem yang operasi dan lognya diketahui. Identifikasi titik masuknya pesan dari luar batas tersebut. Hubungkan pengidentifikasi antrean bidang tepercaya, catatan koneksi, dan stempel waktu dengan log server. Jika gateway dioperasikan oleh pihak ketiga, gunakan bukti resmi dari gateway tersebut daripada berasumsi seluruh rantai dipercaya karena penerima terakhir menerimanya.
Bidang-bidang yang lebih tua di bawah batas tetap menjadi klaim kecuali jika dikuatkan. A valid nanti DKIM result tidak secara otomatis membuat setiap lompatan jaringan sebelumnya, dan domain yang familier di garis jejak yang tidak tepercaya bukanlah bukti bahwa pesan melintasi organisasi tersebut.
Rekonstruksi rantai tiga entri hipotetis
Misalkan bidang Penerimaan teratas mengidentifikasi relai internal pada pukul 10:05 UTC, bidang berikutnya mengidentifikasi gateway perimeter pada pukul 10:03 UTC, dan bidang terlama mengklaim host bank pada pukul 09:58 UTC. Log resmi menguatkan dua peristiwa penanganan internal dan alamat rekan yang diamati di perimeter. Tidak ada bukti yang menguatkan klaim bank tersebut.
Rute yang didukung mencapai kembali ke perimeter yang diamati, lalu berhenti. Nama bank yang familiar tetap disertakan teks. Bahkan perbedaan dua menit antara stempel waktu internal hanyalah interval yang terlihat sampai akurasi jam dan catatan antrian diperiksa; itu tidak dengan sendirinya memberikan penundaan pada server.
Ini adalah asumsi lapangan dan log yang diciptakan, bukan rute yang diukur atau parser yang dijalankan. Dalam kejadian sebenarnya, pertahankan bukti mana yang mendukung setiap lompatan dan tanyakan kepada administrator terkait catatan yang hilang daripada mengubah baris terbawah menjadi bukti asal.
Gunakan waktu dengan hati-hati
Ubah stempel waktu menjadi zona waktu yang konsisten dengan tetap mempertahankan aslinya. Jam bisa saja salah, dan stempel waktu di bidang yang tidak tepercaya mungkin ditemukan. Interval negatif atau kesenjangan yang panjang merupakan petunjuk untuk diselidiki, bukan bukti gangguan atau lokasi pasti penundaan. Log antrian dapat membedakan waktu tunggu dari perbedaan jam.
Tutup dengan diagram rute atau daftar pendek yang memberi label pada setiap lompatan sebagai yang diamati, dikuatkan, atau diklaim. Identifikasi batasan terakhir yang dapat diandalkan, waktu yang tidak dapat dijelaskan, dan sumber tambahan apa yang dapat menyelesaikannya. Jangan mengubah IP asal yang terlihat menjadi identitas atau kepastian geografis seseorang.
Buat catatan rute berbatas
- Mulailah dengan penerima akhir yang dapat Anda buktikan.
- Cocokkan setiap lompatan tepercaya dengan rekaman antrean dan koneksi.
- Pisahkan nama pengirim yang diklaim dari alamat rekan yang diamati.
- Pertahankan nilai zona waktu asli dan selidiki perbedaan jam sebelum menetapkan penundaan.
- Berhenti di batas yang tidak dibuktikan kebenarannya; mengidentifikasi sumber log yang diperlukan untuk melanjutkan.