Decidi quali prove sono necessarie prima di raccoglierle
La prova dell'autenticazione non è un set di dati uniforme. UN rapporto aggregato, un rapporto sui messaggi non riusciti, un esempio di messaggio completo e un registro delle modifiche DNS possono rispondere a domande diverse esponendo informazioni diverse. Le regole di conservazione e accesso dovrebbero seguire lo scopo diagnostico e i campi effettivi, piuttosto che il nome della cartella in cui è archiviato tutto.
Questa guida propone un flusso di lavoro di governance, non un programma di conservazione legale. Utilizza il maggio 2026 DMARC specifiche di reporting e controlli NIST identificati esaminati l'8 novembre 2026. Non è stato ispezionato alcun rapporto del cliente, casella di posta o archivio di prove. Nessuna impostazione di conservazione è stata modificata, nessun campione è stato approvato, nessun file è stato condiviso o i dati sono stati eliminati.
Costruisci una mappa del campo per classe di evidenza
Per i report aggregati, registrare l'origine del report, l'intervallo di reporting, il dominio, l'IP del sistema di posta di connessione, il conteggio dei messaggi e i relativi identificatori e risultati di autenticazione. RFC 9990 descrive dati aggregati a livello di dominio anziché il contenuto del messaggio o i dettagli del singolo utente. Tuttavia, controlla lo schema effettivo e le eventuali estensioni del fornitore prima di applicare tale descrizione a un file ricevuto. Le informazioni sulle infrastrutture e sui volumi possono ancora meritare un accesso aziendale limitato. RFC 9990
Rapporti di fallimento richiedono una classificazione separata. RFC 9991 spiega che possono esporre intestazioni dei messaggi e talvolta l'intero messaggio, comprese le informazioni personali o riservate. La richiesta di report sugli errori è quindi una decisione distinta di raccolta dati, non un modo innocuo per rendere più dettagliata una dashboard aggregata. Confermare necessità, ambito e destinatari prima di abilitarli o inoltrarli. RFC 9991
Gli esempi di messaggi completi possono contenere indirizzi, righe dell'oggetto, cronologia di instradamento, allegati, identificatori di tracciamento e contenuti non correlati all'indagine. Le osservazioni DNS generalmente rispondono a una domanda di configurazione, mentre i log dell'applicazione possono collegare tale configurazione a un servizio o un utente reale. Mappare tali categorie separatamente in modo che l'accesso a un riepilogo tecnico a basso contenuto non esponga automaticamente il messaggio originale.
Associa ogni campo a uno scopo e a un proprietario
Per ogni classe di prova, scrivi la domanda a cui risponde, perché i campi richiesti sono necessari e chi è responsabile del loro utilizzo. Una richiesta di comprensione allineamento potrebbe aver bisogno di domini e risultati di autenticazione attendibili, non del corpo del messaggio. Un incidente diverso potrebbe richiedere un campione originale limitato. Nessuno dei due casi giustifica la raccolta di tutti i campi disponibili per impostazione predefinita.
Specificare la posizione di archiviazione approvata, i lettori consentiti, i diritti di esportazione e l'attivatore di conservazione. Distinguere l'investigatore che può ispezionare un campione ristretto da un proprietario del servizio che necessita solo di una conclusione. Un ticket contenente un allegato senza restrizioni può compromettere i controlli sul repository originale, quindi la mappa dei campi deve includere copie e riepiloghi derivati.
NIST SP 800-53 Rev. 5 AC-6 fornisce il principio del privilegio minimo, mentre SI-12 affronta la gestione delle informazioni durante tutto il suo ciclo di vita. Sostengono la definizione deliberata di accesso e conservazione; non prescrivono un numero universale di giorni per il materiale DMARC . Il PDF citato è l'edizione aggiornata di dicembre 2020, con la successiva versione 5.2.0 identificata nella pagina di pubblicazione. Controlli di sicurezza e privacy NIST
Redigere senza sopravvalutare ciò che dimostra il campione
Crea un campione derivato solo quando il suo pubblico e il suo scopo sono stati approvati. Conservare un record esplicito dei campi rimossi o sostituiti. I segnaposto stabili possono preservare le relazioni tra domini o indirizzi senza esporre i valori originali, ma tale trasformazione potrebbe modificare ciò che può essere verificato dal campione.
Ad esempio, la modifica di un'intestazione o di un corpo firmato può invalidare il file Firma DKIM. Un messaggio redatto può comunque illustrare una scoperta del parser, ma non può dimostrare automaticamente il risultato della verifica crittografica originale. Laddove la verifica sia importante, chiedere a un analista autorizzato di ispezionare l'originale protetto e allegare un reperto delimitato con la provenienza. RFC 6376
L'hashing di un file può aiutare a rilevare alterazioni successive; non dimostra che i dati fossero veritieri, raccolti con il permesso o distribuiti in modo sicuro. Allo stesso modo, sostituire un indirizzo con un hash non è una garanzia generale di anonimato. Considera se i campi contestuali o un piccolo insieme di possibili valori consentono a qualcuno di dedurre le informazioni originali.
Scegli la conservazione in base al valore della prova e all'obbligo
Separa input grezzi, campi analizzati, estratti di indagini e record di decisioni. Non è necessario che abbiano vite identiche. RFC 9990 lascia le scelte di archiviazione post-elaborazione al valutatore del report; non impone un periodo di conservazione fisso. Una decisione di conservazione locale dovrebbe spiegare quale valore continuo rimane dopo l’estrazione e quali obblighi organizzativi si applicano. RFC 9990
Per i record di audit e decisioni, NIST AU-11 utilizza un periodo definito dall'organizzazione coerente con i requisiti di conservazione applicabili. Fare in modo che i registri responsabili, la privacy o la funzione legale risolvano qualsiasi obbligo pertinente o conservazione. Non utilizzare questo articolo per cancellare materiale soggetto a un incidente o a una decisione di conservazione legale. Controllo della conservazione degli audit NIST
Definisci quando inizia il periodo di conservazione, chi può estenderlo, come vengono esaminate le eccezioni e come viene evidenziata l'eliminazione. Tieni conto dei backup, delle esportazioni e delle copie dei fornitori invece di richiedere la cancellazione immediata da un'azione della dashboard. Una richiesta di revisione della pianificazione non autorizza la cancellazione o l'eliminazione permanente.
Trasferimenti di controllo ed elaborazione automatizzata
Prima di condividere le prove esternamente, approvare i campi o il campione specifici, la destinazione denominata, lo scopo e l'ambito di accesso. L'autorizzazione DNS per una destinazione di reporting DMARC esterna è un meccanismo di protocollo, non un sostituto della decisione dell'organizzazione in merito all'elaborazione e alla divulgazione. Rivedi entrambi in modo indipendente. RFC 9990
Tratta i report ricevuti come input non attendibili. RFC 9990 identifica come rischi i contenuti dei report dannosi e i dati dei report contraffatti. I limiti di analisi e i controlli di provenienza dovrebbero essere valutati nell'implementazione effettiva, non assunti perché un file è XML. Un agente di analisi dovrebbe ricevere solo il sottoinsieme approvato e nessuna autorizzazione indipendente per esportarlo o modificare l'accesso al repository.
Un esercizio fittizio sulla mappa del campo potrebbe conservare le osservazioni di allineamento a livello di dominio in una visione analista mantenendo un messaggio originale necessario in un archivio di incidenti limitato separatamente. I suoi valori di conservazione rimangono indecisi finché il proprietario responsabile non li approva. L'esercizio è un esempio di progettazione, non un campione approvato o una prova del funzionamento di un processo di eliminazione.
Prove originali richieste: una mappa dei campi dati e un campione di prove minime approvato con una decisione esplicita di conservazione. Viene proposta la mappa del campo in questa bozza, l'approvazione e il campione sono assenti e il cancello per la messa in servizio rimane aperto.