수정 사항을 제안하기 전에 오류 급증을 정의하세요.
인증 실패 급증을 조사하는 에이전트는 먼저 무엇이 증가했는지 파악해야 합니다. 실패한 횟수 DKIM 서명, DMARC 실패율, SMTP 거부 횟수 및 공급자의 배치 지표는 다양한 이벤트를 설명합니다. 이를 혼합하면 잘못된 수정 조치를 가리키는 긴급한 경고가 생성될 수 있습니다. 무엇이든 변경하기 전에 측정항목, 모집단, 간격, 소스 및 수집 지연을 기록하세요.
이 문서에서는 시연된 EmailAuth 기능이나 사고 대응이 아닌 조사 워크플로를 제안합니다. 보고서, 고객 메시지, 실시간 DNS 기록 또는 제품 제어가 검사되지 않았습니다. 예제 계산 및 시나리오는 허구이며 지도에는 승인된 읽기 전용 액세스를 통해 수집할 증거가 설명되어 있습니다.
입력을 검증하고 한계를 유지합니다.
을 위한 집계 보고서, 보고 조직, 보고 식별자, 명시된 시간 간격, 정책 도메인 및 수집 출처를 유지합니다. 총계를 비교하기 전에 중복 데이터, 중복 간격 및 지연 도착을 확인하세요. RFC 9990 정책 변경에 대한 관찰을 혼합할 수 있는 중복 처리 및 보고서에 대해 설명합니다. 이러한 경우 새로운 전송 시스템 오류를 나타내지 않고 대시보드를 변경할 수 있습니다. RFC 9990 , 섹션 3.3 및 3.5.4.
보고서 파일과 설명 텍스트를 신뢰할 수 없는 입력으로 처리합니다. 동일한 사양에서는 집계 보고서의 형식이 잘못되었거나 잘못된 정보를 포함할 수 있다고 경고합니다. 제한된 구문 분석을 통해 처리하고 진위에 대한 불확실성을 유지합니다. 에이전트에게 정책을 약화시키거나 보낸 사람을 추가하라고 지시하는 보고서는 승인된 명령이 아니라 여전히 데이터입니다. RFC 9990 , 섹션 8.1 및 8.2.
모집단 및 분모와 같은 비교
가상의 대시보드에 한 간격에서는 100개의 관찰 중 10개의 실패가 표시되고 다른 간격에서는 1000개의 관찰 중 20개가 표시된다고 가정해 보겠습니다. 실패 횟수는 두 배로 늘었지만 비율은 10%에서 2%로 줄었습니다. 두 숫자만으로는 원인을 식별할 수 없습니다. 이 계산은 예시입니다. 이는 측정된 사건이나 제안된 보편적 경고 임계값이 아닙니다.
보고자, 전송 서비스, 소스 주소, 작성자 도메인 및 데이터가 지원하는 관련 서명 ID별로 비교를 구분합니다. 두 번째 간격에 새로운 발신자 모집단, 다른 기간 또는 이전에 중요했던 수신자의 보고서 누락이 포함되어 있는지 확인하세요. 누락된 기자는 취재가 누락된 것이지 실패가 없는 것이 아닙니다. 검토자가 결과를 재현할 수 있도록 정규화된 비율과 함께 원래 개수를 보존합니다.
메커니즘 오류와 DMARC 오류 구별
메시지에는 여러 개의 DKIM 서명이 포함될 수 있으며 하나의 실패한 서명이 반드시 DMARC 결과를 결정하지는 않습니다. 조사에서는 인증된 식별자를 식별하고 통과 경로가 작성자 도메인과 일치하는지 여부를 확인해야 합니다. 마찬가지로 전달도 영향을 미칠 수 있습니다. SPF 원래 보낸 사람이 승인되지 않은 사람이라는 것을 증명하지 않고. 모든 실패를 하나의 범주로 묶는 대신 보고서의 고유한 인증 및 정책 평가 필드를 사용하세요. RFC 9989 , 섹션 4.4 그리고 RFC 9990 , 섹션 3.1.3.
경고가 배달 응답과 관련된 경우 전체 SMTP 코드, 향상된 코드(있는 경우), 텍스트 및 거래 단계를 수집합니다. 일시적 거부는 자동으로 인증 실패가 아니며 영구 거부에는 DMARC 와 관련 없는 원인이 있을 수 있습니다. SMTP 관찰을 집계 보고서 수와 별도로 유지합니다. RFC 5321 , 섹션 4.2.1.
차별적인 증거로 경쟁적인 설명 구축
에이전트가 제안한 결과는 관찰과 가설을 구별해야 합니다. 새로운 소스 IP는 승인된 마이그레이션, 공유 공급자 변경, 전달된 경로 또는 무단 활동을 나타낼 수 있습니다. DKIM 변경에는 누락이 포함될 수 있습니다. 선택자, 서명 후 예상치 못한 도메인이나 메시지 수정을 사용하는 서명자입니다. 자동화하기 가장 쉬운 설명을 선택하는 대신 해당 사례를 구별할 수 있는 증거의 이름을 지정하세요.
가상 알림 서비스의 경우 배포 근처에서 스파이크가 시작되지만 배포 시간만으로는 인과 관계가 입증되지 않습니다. 다음으로 유용한 비교는 신뢰할 수 있는 수신자 결과와 함께 변경 전후의 서명자 신원 및 보호된 콘텐츠일 수 있습니다. 신뢰할 수 없는 발신자가 제공한 헤더는 단순히 통과했다고 해서 신뢰할 수 있는 헤더가 되지는 않습니다. RFC 8601 , 섹션 7.
지원되는 원인을 제한된 제안으로 전환
증거가 특정 수정을 뒷받침하는 경우 정확한 목표, 현재 값, 제안된 값, 영향을 받는 스트림 및 검증 계획을 준비합니다. 원인이 아직 해결되지 않은 경우 제한된 결과와 다음 승인된 증거 요청이 올바른 결과물입니다. 그래프를 개선하려면 새로 관찰된 IP를 SPF 에 자동 추가하거나 시행을 비활성화하거나 발신자 권한을 제거하지 마세요.
에이전트는 분석이 확실하다는 이유만으로 쓰기 권한을 얻어서는 안 됩니다. OWASP의 과도한 기관 지침은 필요한 역량과 과도한 자율성을 분리하고 영향력이 큰 조치에 대한 승인을 권장합니다. 구현은 작업 경로에서 해당 경계를 적용해야 합니다. 안심시키는 이야기는 접근 제어 테스트가 아닙니다. OWASP 과도한 대행사.
원래 질문에 대한 결과를 측정합니다.
독립적으로 승인된 변경 후에 제안된 검증은 관련 통제된 관찰을 반복하고 해당 보고 간격이 사용 가능해지면 이를 비교해야 합니다. 인증 효과와 실제 전달 효과를 모두 포착하세요. 모든 합법적인 전송을 중지하여 발생한 실패 횟수가 적으면 성공적인 교정이 이루어지지 않습니다. 영향을 받는 남아 있는 인구와 변경으로 인한 상충관계를 기록합니다.
유용한 사고 인계에는 입력 증거, 불확실성, 선택된 설명, 승인, 실행 결과 및 측정 결과가 포함됩니다. 도구 호출 시간이 초과되거나 결과가 불분명한 경우 반복을 제안하기 전에 해당 작업이 발생했는지 조사하십시오. 성공적인 실행을 고안하거나 이후의 그래프 변경을 의도한 작업이 발생했다는 증거로 취급하지 마십시오.
입증 증거는 여전히 공개되어 있습니다
입력, 제안된 변경, 승인, 실행 기록 및 측정된 결과가 포함된 반복 가능한 작업 데모입니다. 허구적 분석으로는 이 정확한 시운전 요구 사항이 충족되지 않습니다. 이 워크플로를 테스트된 것으로 나타내려면 제품 기능, 신뢰할 수 있는 입력, 실제 승인 시행, 실행된 수정 및 측정된 변경 후 결과가 여전히 필요합니다.