A 선택자 모니터에서는 인증 데이터가 변경되거나 사라졌음을 알 수 있습니다. 서비스가 계속 전송 중인지, 개인 키가 게시된 키와 일치하는지, 메시지가 정렬된 상태로 도착하는지 확인할 수 없습니다. DKIM. 게시된 구성과 관찰된 메시지 동작에 대해 별도의 검사를 구축합니다.
알려진 전송 경로로 시작
승인된 발신자 구성 및 담당자 수신 메시지로부터 인벤토리를 생성합니다. 각 경로에 대해 비즈니스 소유자, d 도메인, 선택자, DNS 소유자, 예상 TXT 또는 CNAME 배열, 마지막으로 관찰된 서명 시간 및 수명주기 상태. 공통 선택자를 추측하면 모든 서명자를 발견할 수 있다고 가정하지 마십시오. DKIM 완전한 DNS 열거 서비스를 정의하는 대신 각 서명에 선택기를 제공합니다.
s=invoice2 및 d=brand.example, 을 사용하는 서명의 경우 아래에서 invoice2._domainkey.brand.example 을 검사하세요. RFC 6376 §3.6.2.1. 예상 CNAME 따라 확인 데이터를 확인하세요. 변경 사항을 승인된 순환과 비교할 수 있도록 관찰 타임스탬프와 공개 키 지문을 저장합니다. 모니터링 시스템에 개인 키를 수집하지 마십시오.
모니터 결과 분리
누락된 답변, DNS 시간 초과, 취소된 키 및 변경된 키는 서로 다른 이벤트입니다. RFC 6376 §6.1.2 키 쿼리 실패와 키가 없는 것을 구별하고, 빈 p 값은 아래의 취소를 나타냅니다. RFC 6376 §3.6.1. 모든 오류를 일반적인 중단으로 전환하기보다는 응답 세부 정보를 기록하세요.
현재 키에는 여전히 구문 및 알고리즘 확인이 필요합니다. RFC 8301 §3.1 rsa-sha1 서명 및 확인을 금지합니다. RFC 8301 §3.2 RSA 크기 요구 사항 업데이트: 서명자는 최소 1024비트를 사용해야 하며 최소 2048비트를 사용해야 합니다. 제품 지원 및 현재 조직 암호화 정책이 더 엄격할 수 있습니다. 지문 변경만으로는 회전이 승인되었는지 여부를 알 수 없습니다.
실시간 증거 루프 추가
각각의 중요한 프로덕션 경로를 통해 제어된 메시지를 원시 메시지와 신뢰할 수 있는 인증 결과를 검사할 수 있는 사서함으로 보냅니다. 관찰된 d와 s, 검증 결과를 기록하고 조정 From과 함께. HTML 및 첨부 파일과 같이 다운스트림 처리가 영향을 미칠 수 있는 메시지 변형을 연습합니다.
예시 모니터: DNS 계속해서voice2를 제공하지만 새 메시지에는 DKIM-Signature. 게시 확인은 통과했지만 서명 확인은 실패했습니다. 또 다른 경우에는 서명이 존재하지만 본문 해시 게이트웨이 바닥글 변경 후 실패합니다. DNS 레코드를 정상으로 선언해도 사고가 해결되지 않습니다. 이는 측정된 서비스 사고가 아닌 종합적인 테스트 사례입니다.
합성 테스트에도 한계가 있습니다. 일일 조사는 통과된 조사 사이의 모든 메시지를 증명하지 않습니다. 이를 수신자 보고서 및 사건 증거와 결합하는 동시에 보고 범위 및 지연을 인정합니다.
실행 가능한 알림 라우팅
경로와 소유자에게 경고를 첨부합니다. 명시적으로 승인된 유지 관리 기간만 억제하고 이벤트 기록을 보존하며 교체 후 새 메일로 새 서명자를 확인합니다. 변경만으로 인한 손상을 선언하지 않고 예상치 못한 주요 변경 사항을 가능한 보안 이벤트로 에스컬레이션합니다.
오래된 인벤토리 행을 의도적으로 폐기합니다. 새로운 서명이 중단된 경우에도 지연된 메시지 확인을 위해 이전 공개 키가 남아 있을 수 있습니다. 계획된 상태와 포기된 위임을 구별합니다. 대시보드에는 관찰된 내용, 시기 및 방법이 표시되어야 DNS 상태가 실시간 서명의 증거로 위장하지 않습니다.
경고 결정 재현
4개의 합성 프로브를 사용하여 경고 레이어를 별도로 유지합니다. d=brand.example 및 s=invoice2 의 서명은 invoice2._domainkey.brand.example 에 매핑됩니다. 공개 키가 있지만 제공된 수신자 결과가 본문 해시 오류인 경우 메시지 확인 경고를 발생시킵니다. 키가 없으면 키 없음 경고를 발생시킵니다. 예상한 레코드가 있지만 메시지에 서명이 없으면 서명 누락 경고가 발생합니다. 현재 키와 제공된 통과 결과는 해당 프로브에만 대한 경고를 생성하지 않습니다.
이 네 가지 결정은 고안된 DNS 상태와 제공된 수신기 결과를 포함하는 예시적인 결정 모델입니다. 이 검토에서는 실시간 DNS 쿼리, 서명 테스트 또는 암호화 확인이 수행되지 않았습니다. 모니터를 시운전하려면 신뢰할 수 있는 수신 경계의 결과를 전달하는 날짜가 있는 공개 답변과 원시 메시지로 교체하세요. 운영상 검증된 경로를 설명하기 전에 연결된 증거를 보존하십시오.
다음 결정에 필요한 증거
본문 해시 경고의 경우 제공된 결과를 보존하고 본문 표현, c/l 설정, bh 값 및 구현 동작을 조사합니다. 불일치만으로는 게이트웨이 수정 콘텐츠를 증명할 수 없습니다. 키가 있더라도 새로운 프로브가 없는 경로를 관찰되지 않은 경로로 표시합니다. DKIM 통과만으로는 정렬 통과가 아니므로 정렬 확인 여부를 별도로 기록합니다.