떨어지는 SPF 준수율은 DNS 진단이 아니라 조사해야 할 신호입니다. 숫자는 원시 SPF 통과, 정렬된 SPF 통과, 공급업체별 분류 또는 특정 보고 수신자에게 표시되는 메시지만을 나타낼 수 있습니다. 먼저 분자, 분모 및 시간 창을 재구성합니다. 그렇지 않으면 성공적인 인프라 변경이 공격 또는 보고 아티팩트와 혼동될 수 있습니다.
측정 정의
정확한 측정항목을 기록합니다. 예를 들어 " SPF 패스가 정렬된 메시지를 이 UTC 간격 동안 수신된 보고서의 모든 메시지로 나눈 값입니다." 포함된 보고자, 볼륨, 누락된 기간 및 중복 제거 규칙을 기록합니다. 원시 SPF 결과를 다음과 별도로 유지하세요. DMARC 조정. SPF 작성자 도메인과 관련되지 않은 도메인을 통과할 수 있으므로 통과 횟수와 정렬된 통과 횟수는 서로 다른 질문에 답합니다. RFC 9989 §3.2.4, RFC 9989 §4.4.
절대 개수와 비율을 비교하세요. 예시: 어제 관찰된 메시지 10,000개 중 9,900개가 SPF 로 정렬되었습니다. 오늘날에도 동일한 9,900개의 합법적인 메시지가 전달되지만 10,000개의 승인되지 않은 메시지가 추가로 나타납니다. 원래의 100개의 정렬되지 않은 관측값도 남아 있다고 가정하여 오늘 20,000개의 관측값을 제공합니다. 알려진 합법적인 흐름에서 새로운 오류가 발생하지 않으면 비율이 99%(9,900/10,000)에서 49.5%(9,900/20,000)로 떨어집니다. 이는 보고서 측정값이 아닌 합성 산술 입력입니다. 이는 여전히 보안 관련 변경 사항이지만 해당 소스를 SPF 에 추가하는 것은 잘못된 응답입니다.
편집하기 전에 파티션 나누기
소스 IP, 봉투 도메인, 도메인, 공급자 또는 애플리케이션, 수신자 보고자, 주소 계열 및 원시 결과별로 변경 사항을 분류합니다. 가장 먼저 변경된 세그먼트를 찾아 이를 DNS 변경, 새 캠페인, 라우팅 변경, 장애 조치 이벤트 및 서비스 마이그레이션과 비교합니다. 보고된 소스 주소만으로는 비즈니스 소유권이 설정되지 않습니다.
실패, softfail , 중립, 없음, temperror 그리고 permerror 갈라져. 결과 구별이 중요합니다. DNS 중단은 새로 승인되지 않은 주소나 잘못된 형식의 기록과 동일한 수정 조치를 취하지 않습니다. 오류 경로의 경우 정확한 정책과 중첩된 종속성을 캡처합니다. SPF 평가 제한은 표시되는 포함 문자열의 단순한 개수가 아닙니다. RFC 7208 §4.6.4, RFC 7208 §8.
거래 증거로 확인
영향을 받은 각 합법적인 스트림에서 대표적인 실패 메시지를 가져옵니다. 신뢰할 수 있는 경계에서 인증 결과가 포함된 SMTP 로그 또는 수신된 원본을 가져옵니다. 접속IP와 실제 확인 메일 보낸 사람 그런 다음 날짜가 지정된 DNS 증거를 사용하여 정책 평가를 재현합니다. 대시보드 레이블은 이러한 관찰을 대체하기보다는 이를 가리켜야 합니다. RFC 8601 §1.2, RFC 8601 §7.1.
원시 통과율은 안정적이지만 정렬이 떨어지는 경우 새 엔벨로프 도메인을 찾으십시오. 수신자 모집단이 하나만 변경되는 경우 전달 경로와 연결 경로를 비교하십시오. 알 수 없는 볼륨이 증가하는 동안 합법적인 볼륨이 감소하는 경우 승인하지 않고 익숙하지 않은 소스를 조사하십시오. 보고 범위가 변경되는 경우 비교 가능성을 고안하기보다는 계열에 주석을 답니다.
의도한 상태를 복원
정책 결함 수정, DNS 서비스 복구, 지원되는 봉투 구성 복원, 의도하지 않은 경로 중지 등 원인에 맞는 해결 방법을 선택하세요. 저장된 이전 상태, 책임 있는 소유자 및 명시적인 롤백 조건을 유지합니다. 영향을 받은 흐름을 다시 테스트하고 다음 비교 가능한 보고 기간을 검토하세요. 해결되지 않은 보고 격차를 포함하여 기술적 결과와 측정 정의를 모두 사용하여 사고를 마무리합니다.
결정을 서면으로 작성
간격, 보고자 모집단, 총 관측치, 정렬된 SPF 수, 알려진 적법한 볼륨, 익숙하지 않은 볼륨 및 누락된 데이터 메모가 포함된 비교 워크시트를 사용하세요. 정렬된 SPF 떨어지는 동안 원시 SPF 계속 통과하는 경우 주소 권한을 편집하기 전에 실제 봉투 도메인을 비교하십시오. 새로운 보고자 또는 변경된 중복 제거 규칙으로 인해 두 비율이 비교할 수 없게 될 수 있습니다. 이는 검토 기준일 뿐 실제 중단이나 공격의 증거는 아닙니다.