인증 사고에는 보고서의 적용 간격, 보고서 도착, DNS 변경, 애플리케이션 배포 및 제어된 테스트 등 여러 시계가 포함되는 경우가 많습니다. 하나의 타임라인에 배치하는 것은 각 이벤트가 원래 의미를 유지할 경우에만 도움이 됩니다. 매일 집계 보고서 일반적으로 포함된 각 메시지가 실패한 정확한 분을 알려줄 수는 없습니다.
공통 시간 기준 설정
참고자료: RFC 9990 §3.1.1.4, RFC 9990 §3.5.4.
원래 값과 정밀도를 유지하면서 표시된 타임스탬프를 선언된 시간대로 정규화합니다. 클럭 소스와 알려진 불확실성을 기록합니다. 보고 간격을 도착 및 수집 타임스탬프와 구별합니다. 늦은 보고서 전달은 첨부 파일이 도착하는 순간 새로운 전송 폭주로 구성되어서는 안 됩니다.
가능한 경우 작성자 도메인과 검증된 서비스로 조사 범위를 지정합니다. 분류되지 않은 소스를 별도로 보관하세요. 중복 및 중복 결정과 함께 보고자 및 보고서 ID, 메시지 수, 소스 그룹 및 평가된 ID를 보존합니다. 이러한 세부 사항은 어떤 관찰 내용을 합법적으로 비교할 수 있는지 결정합니다.
기록을 다시 작성하지 않고 DNS 증거 추가
참고자료: RFC 1034 §3.6, RFC 8767 §4, RFC 9990 §3.3.
조회 시간 및 반환된 TTL을 포함하여 승인된 변경 사항, 의도된 게시 시간, 신뢰할 수 있는 관찰 및 확인자 샘플을 기록합니다. 현재 DNS 응답은 해당 조회가 현재 관찰한 내용을 설정합니다. 모든 수신자가 이전에 본 내용의 완전한 역사가 아닙니다.
DNS 캐싱 문제 RFC 1034 §3.6; 다음 조건에 해당하는 서브 스테일 동작 RFC 8767 §4 일반적인 신선도 이상으로 캐시 사용을 확장할 수 있습니다. 게시 시점에 모든 수신기가 전환되었거나 나중에 정확히 하나의 TTL이 표시되었다고 주장하지 마십시오. 이전 구성을 유지하고 로그 및 증거 제한을 변경합니다. 보고 간격이 정책 변경에 걸쳐 있는 경우 모든 관찰을 최종 정책에 할당하는 대신 혼합 또는 잠재적 혼합으로 레이블을 지정합니다.
애플리케이션 및 수신자 증거 추가
참고자료: RFC 5321 §4.2.5.
DNS 이벤트 옆에 애플리케이션 배포, 게이트웨이 변경 사항 및 서명 변경 사항을 배치합니다. 실제 경로, 수신기 및 결과를 사용하여 개별 관찰로 제어된 테스트를 유지합니다. 응용 프로그램 로그에는 홉에서의 제출 또는 수락이 표시될 수 있습니다. 반드시 최종 전달이 확정되는 것은 아닙니다.
이러한 증거 유형을 사용하여 상충되는 설명을 테스트하세요. DNS 편집 후 오류 증가는 서명된 콘텐츠를 변경하는 새 템플릿과 동시에 발생할 수도 있습니다. 상관관계를 통해 조사 범위가 좁아지지만 추가 증거 없이는 원인을 식별할 수 없습니다.
제한된 타임라인을 통해 작업
예시 사례: 보고서는 UTC 00:00부터 24:00까지를 다루고 있습니다. 정책 변경 사항은 12:00에 기록되고 12:20의 제어 테스트가 통과됩니다. DKIM. 보고서에는 통과한 관측치 80개와 실패한 관측치 20개가 포함되어 있으며 다음날 아침 5시에 도착합니다.
12시 20분에 간격 합계와 성공적인 테스트를 알 수 있습니다. 테스트가 나중에 통과되었다는 이유만으로 정오 이전에 20개의 실패를 모두 할당할 수는 없습니다. 다음 조치는 더 좁은 범위의 수신기 또는 애플리케이션 증거를 확보하거나 추가 대표 테스트를 실행하는 것입니다. 05:00 도착은 20개의 실패가 발생한 시간이 아닌 수집 이벤트입니다.
올바른 강점에 대한 인과관계 설명으로 마무리
관찰된 결론, 확증된 결론 또는 여전히 가설적인 결론에 라벨을 붙입니다. 의심되는 원인을 뒷받침하는 증거와 배제되지 않은 상충되는 설명을 나열하십시오. 정확한 연결이 불가능할 경우 차트에 정확한 파손 경계를 그리기보다는 불확실성을 유지하십시오.
소스 참조, 쿼리 개정, 포함된 간격 및 소유권 분류와 함께 타임라인을 저장하세요. 수리 후 첫 번째 완전한 비교 보고 기간과 같은 다음 검증 트리거를 기록합니다. 재사용 가능한 타임라인을 통해 다른 분석가가 결론의 사실과 한계를 모두 재구성할 수 있어야 합니다.
조사를 계속하세요
사용 집계 보고서 연습 기본 필드 및 정렬 진단 가이드 원시 인증 성공이 만족스럽지 않은 경우 DMARC.
증거 내에서 일러스트레이션을 유지하세요.
가상의 80-통과/20-실패 간격의 경우 20개의 실패 시간을 모두 알 수 없는 상태로 유지합니다. 12시 20분 테스트는 이후 관찰이고 05시 도착은 수집 이벤트입니다. 실제 DNS 조회 또는 인증 테스트가 실행되지 않았으며 타임라인에서 입증된 인과 전환을 찾지 못했습니다.