3 つの異なる手がかりについて 3 つの異なる質問をする
ASN 、逆引き DNS 名、および IP 地理位置情報の推定は、インフラストラクチャのさまざまな側面を表します。これらを組み合わせると、調査員が次の証拠リクエストを選択するのに役立ちますが、それらの間の一致は、どのアプリケーションがメッセージを送信したか、または誰がそれを承認したかを証明するものではありません。それらはすべて同じ共有リレーを記述している可能性がありますが、顧客アカウントとビジネス所有者はまったく不明のままです。
このガイドでは、2026 年 11 月 8 日時点のパブリック ネットワーク機関およびプロバイダーのドキュメントをレビューします。アドレス、ドメイン、または顧客メッセージは照会されませんでした。成功したケースでは、実際のネットワーク属性ではなく、発明されたラベルが使用されます。補足的な RIPE データベース ポリシー ページがタイムアウトしたため、記事のサポートには使用されません。アクセス可能な RIPEstat ドキュメントには、以下で説明するルーティング スコープが記載されています。
登録と観察されたルーティングを区別する
ARIN の Whois ドキュメント ネットワーク、自律システム、関連組織の登録記録について説明します。登録により、割り当てまたは再割り当て関係を識別できます。電子メールを生成したソフトウェアは特定されません。組織の連絡先アドレスは、必ずしもリソースの物理的な場所であるとは限りません。会社名を送信者の判断に変えるのではなく、レジストリのソースと最終変更情報を保持します。
監視されたルーティングは別の層です。 RIPEstat ネットワーク情報 RIPE RIS から派生したプレフィックスとアナウンスASNデータを含む文書。保持されているページにはエンドポイント バージョン 1.1 というラベルが付けられ、8 時間のデータ ダンプについて説明されています。その出力には複数の ASN が含まれる場合があります。これは収集制限のあるルーティング データのスナップショットであり、アプリケーションの所有権のライブ監査や、ある組織が過去の時点ですべてのメッセージを管理していたことを保証するものではありません。
逆引きDNSを委任された命名ステートメントとして読み取る
A PTRレコード アドレスを逆ネームスペースのドメイン名に関連付けます。 ARIN の逆引き DNS ガイド では、個別のIPv4およびIPv6逆引きゾーンと委任管理について説明します。この名前は、プロバイダーの汎用リレー ラベルまたは顧客が制御するホスト名である場合があります。これは、関連するDNS管理からの命名要求であり、ホストが表示されている From ドメインへの送信を承認されていることを証明するものではありません。
前方確認された逆関係は、返された名前が、実行されたチェックに従ってアドレスに解決されることを示すことができます。これにより一貫性の証拠は向上しますが、アプリケーションの目的やアカウントの承認は確立されません。 DNS不在、検索の失敗、および予期しない名前を別の条件として保持します。ここでは検索は実行されず、魅力的なホスト名も欠落しているPTRも単独では悪意のある送信者を確立しません。
SPFの代わりにPTRを使用しないでください。
RFC 7208 定義する SPF 接続 IP と関連するSMTP ID を中心に説明します。その ptr メカニズムは推奨されません。逆引き DNS ブランディングは、それを中心にSPFポリシーを構築する理由にはなりません。認証ドメインと評価された ID は、ホスト名に認識可能なプロバイダー名が含まれているかどうかよりも重要です。プロバイダーのような部分文字列は、検証された完全なドメイン関係の代替としては不十分な場合があります。
同様に、よく知られたドメインで名前を見つけても、 DKIM または DMARC 合格した。これらのメカニズムには、独自の証拠とアイデンティティ ルールがあります。インフラストラクチャの手がかりを使用して、次に何を検査するかを決定します。受信者が報告しなかった認証結果をでっち上げるのではありません。今後のDNS検査では、解釈とは別に正確な所有者、レコード タイプ、時刻、応答ステータスを保持する必要があります。
地理位置情報をスコープ付きの推定値として扱う
MaxMind の精度ガイダンス 氏は、精度にはばらつきがあり、都市レベルのデータには精度の範囲が含まれる可能性があると説明しています。特定の個人、世帯、番地を明示的に特定するものではありません。ホスティングまたはプロキシの場所は、エンド ユーザーの場所と異なる場合があります。したがって、報告された都市は、従業員または顧客がその都市からメールを送信したという申し立てにはなりません。
データセット、編集日または観測日、および入手可能な不確実性情報を記録します。都市が省略されている場合は、情報源がその精度を提供していないことを意味する可能性があります。住所に場所がないという証拠にはなりません。データベースが異なれば、メソッドと入力が異なるため、一致しない可能性があります。このガイドでは、位置データベースをインポートしたり、地理位置情報サービスを呼び出したり、誰かに座標を割り当てたりすることはありません。
架空のインフラストラクチャ バンドルを使用して作業する
ドラフト前の紙ケースには、North Network というネットワーク ラベルが含まれています。 PTR名、 relay.north.example;そして広範な地域的推定。すべては発明されたものです。実際のASN番号、実際の住所検索、またはそれらの背後にある代表的なメッセージはありません。これらの手がかりを総合すると、将来の調査者がネットワークとサービスの文書をどこで探す可能性があるかを示唆しています。特定のメール アプリケーション、顧客テナント、または認可されたビジネス目的を確立するものではありません。
次の証拠層は、代表的なメッセージの ID と信頼できる受信トレースを顧客固有のサービス レコードに結び付けます。 RFC 9990 は、レポートのソース IP を接続アドレスとして定義するため、インフラストラクチャ バンドルであっても、元の構成システムではなく仲介者を記述する場合があります。 「観察された接続に関連付けられたネットワーク」を「メールを作成したアプリケーション」に変換するのではなく、その可能性を保持します。
意見の相違を利用して限定的な調査を進める
レジストリ組織、 PTR名、および地域の不一致は、自動的に解決されるものではなく、調査すべき問題です。 スプーフィング 分類。アドレスの割り当て、外部委託されたリレー、または異なるデータセット時間の変更により、明らかに一貫性のないラベルが生成される可能性があります。これらは考えられる説明にすぎません。どの具体的な証拠がそれらを区別するのかを尋ね、その証拠が入手できるまで帰属を未解決としてマークします。
正確な吸気ゲートは開いたままです。現在の主な仕様を検証し、製図前に実際に動作した例を保存します。このドキュメンタリー作品には、現在の情報源の一節と架空の事例が残されていますが、インフラストラクチャに関する手がかりと、代表的なメッセージおよび顧客固有のサービス証拠を組み合わせるという、オリジナルの証拠の要件は満たされていません。代表的なメッセージや顧客記録は提供されていません。送信者の承認、外部開示、 DNSまたは認証情報のアクションは、インフラストラクチャのドキュメントを読むこととは別にしてください。