Un utile rapporto mensile di autenticazione spiega cosa è stato osservato, perché è importante e chi agirà. Una percentuale di superamento elevata senza un denominatore o un limite di reporting può essere più fuorviante di un piccolo insieme di eccezioni ben spiegate. Inizia con l'ambito operativo del cliente, non con l'esportazione del dashboard.
Definire gli operatori segnalanti
Indicare il periodo e il fuso orario, i domini coperti, le fonti del rapporto e il limite di raccolta. Distinguere il periodo in cui i messaggi sono stati valutati dal momento in cui sono stati ricevuti i relativi report. Gli arrivi in ritardo possono modificare un totale storico, quindi aggiorna un rapporto quando emetti una correzione anziché sostituire silenziosamente i suoi numeri.
Utilizzo RFC 9990 interpretare rapporto aggregato conteggi e risultati dell'autenticazione. I conteggi rappresentano le osservazioni segnalate, non le persone univoche, i messaggi consegnati o il traffico in uscita completo dell'organizzazione. Evitare di aggiungere due volte report sovrapposti o duplicati. Conservare l'identità del report, il reporter, il dominio, il periodo e l'impronta digitale del payload in modo da poter indagare su un aumento apparente.
Calcola una metrica che qualcuno può controllare
Definire una frazione di messaggio allineato come osservazioni allineate divise per tutte le osservazioni incluse, con le esatte regole di inclusione indicate. Non calcolare la media delle percentuali tra le fonti senza i relativi conteggi. Separare gli errori dei mittenti approvati, le fonti sconosciute e gli effetti previsti sul flusso indiretto. Una fonte sconosciuta è una categoria di valutazione, non una prova automatica dell'attacco o l'autorizzazione ad autorizzarlo.
Supponiamo che un set di dati di osservazione normalizzato includa 100 osservazioni i cui tempi di valutazione rientrano nel giorno UTC dichiarato, di cui 80 superano il tempo dichiarato allineamento test. La frazione è 80/100 = 80%. Sono escluse 10 osservazioni prima della finestra e 50 esattamente alla sua estremità esclusiva. Si tratta di input inventati con timestamp individuale, non di un'esportazione effettiva o di un risultato del cliente.
Non dare per scontato che i report aggregati non elaborati contengano timestamp per messaggio che consentono la stessa suddivisione: il loro intervallo di date descrive l'intervallo del report. Se un report si trova a cavallo di un confine di reporting, conservalo per una regola di inclusione stabilita per l'intero report o contrassegna l'incertezza del confine anziché inventare un'allocazione per messaggio. Per i duplicati e le sovrapposizioni parziali, documentare la gestione e l'ambiguità irrisolta prima di rivendicare un denominatore esatto. RFC 9990 La sezione 3.5.4 rileva che i rapporti parzialmente sovrapposti non possono essere chiaramente separati dal messaggio interessato.
Fai in modo che l'azione registri il centro
Per ogni risultato importante, elencare il dominio, il proprietario del mittente, il riferimento alle prove, l'impatto aziendale, l'azione proposta, la persona responsabile e la data di revisione prevista. Includere uno stato come investigazione, in attesa di approvazione del cliente o verificato completato. Indica cosa blocca il progresso. Una proposta DNS in attesa di approvazione non deve essere descritta come una correzione MSP già consegnata.
Confronta le azioni con il registro del mese scorso. Spiegare quali sono stati completati e le prove che li hanno chiusi. Riporta in modo visibile gli oggetti scaduti, inclusa la persona che può sbloccarli. Laddove i dati sono incompleti, rendere il recupero della raccolta un'azione a sé stante anziché livellare il grafico o presupporre che il periodo mancante corrisponda a quello precedente.
Connetti il report al ciclo di vita del servizio
Concordare con il cliente la data di revisione, il calendario dei servizi, le dipendenze e il percorso di escalation anziché presentare una scadenza di esempio come requisito del settore. Se i dati tardivi modificano una frazione precedente, emettere una revisione etichettata con il nuovo limite e spiegare se è cambiata qualche priorità di azione. Qui non viene fornito alcun runbook del ciclo di vita, impegno di servizio o revisione completa del cliente.
Chiedi all'amministratore della posta di verificare la popolazione delle prove, al proprietario del cliente di decidere le priorità aziendali e al proprietario della sicurezza di esaminare le eccezioni materiali. Chiudi la revisione con le azioni successive accettate e un processo di correzione per i dati tardivi. RFC 9989 descrive l'autenticazione e la valutazione delle politiche; un risultato di autenticazione mensile non può ancora garantire il posizionamento della casella di posta o l'assenza di phishing attraverso altri domini.