Een e-mailkop is een verzameling velden die op verschillende tijdstippen door verschillende systemen zijn geschreven. Sommige velden geven de eigen claims van de afzender weer; anderen rapporteren wat een ontvanger heeft waargenomen. Een nuttig onderzoek identificeert wie elk belangrijk veld zou kunnen hebben geschreven voordat wordt besloten wat het bewijst. Een geplakte header-analysator kan de herkomst niet alleen uit tekst vaststellen.
Bewaar een compleet origineel
Verkrijg het originele bericht via de ondersteunde exportmethode van het ontvangende systeem, indien geautoriseerd. Bewaar de originele bytes afzonderlijk van een geannoteerde werkkopie. Schermafbeeldingen, doorgestuurde kopieën en gekopieerde headerfragmenten kunnen dubbele velden weglaten, het vouwen van regels wijzigen of nieuwe transportgebeurtenissen toevoegen. Leg de bronmailbox, de ophaaltijd en de toegangslimieten vast zonder de berichtinhoud onnodig te verspreiden.
Behoud dubbele velden en hun volgorde. Het lezen van twee Ontvangen of Authentication-Results field bepaalt wat het geëxporteerde bericht bevat, niet wie een van beide velden heeft geschreven. Een succesvolle parsering is geen authenticatiecontrole.
Identificeer de vertrouwde ontvangstgrens
Gebruik beheerderskennis, gatewayconfiguratie en leveringslogboeken om vast te stellen welke systemen het bericht binnen het vertrouwde administratieve domein hebben afgehandeld. Zoek de authenticatieresultaten die door de systemen zijn gegenereerd of die expliciet worden vertrouwd. Een bekende authserv-id-string is onvoldoende als een externe afzender dezelfde string zou kunnen invoegen en de ontvangende grens deze niet kan verwijderen of onderscheiden. RFC 8601 secties 1.2 en 7.
Verbind vervolgens de geselecteerde resultaten met hun geëvalueerde identiteiten. SPF betreft de SMTP identiteit die bij die evaluatie is gebruikt; DKIM identificeert een ondertekeningsdomein; DMARC relateert geauthenticeerde identificatiegegevens aan het zichtbare Van-domein. Vervang deze invoer niet door Reply-To, Sender of Message-ID. Een pas is een begrensd domeinauthenticatieresultaat en geen bewijs dat het bericht onschadelijk is of dat het zakelijke verzoek legitiem is.
Lees het transportpad met een stoppunt
Ontvangen velden worden normaal gesproken voorafgegaan wanneer e-mail door SMTP systemen wordt verzonden. Lees het vertrouwde gedeelte van de nieuwste inzending tot eerdere hops, en stop dan met het behandelen van de keten als gevestigd wanneer u onbetrouwbaar geleverd materiaal tegenkomt. Correleer het verbindingsadres, de wachtrij-ID en de tijd met de logbestanden van het ontvangende systeem. Een oudere geclaimde hop kan zelfs worden verzonnen als een latere, vertrouwde hop de boodschap daadwerkelijk heeft ontvangen. RFC 5321 sectie 4.4.
Als een eerdere sprong niet kan worden bevestigd, bewaar dan de tekst ervan als een claim in plaats van de geverifieerde route er doorheen uit te breiden. De aanwezigheid van een latere vertrouwde ontvanger verifieert niet alle reeds bestaande traceerinformatie.
Formuleer een korte, op bewijs gebaseerde conclusie
Vermeld de waargenomen ontvangende bron, het vertrouwde authenticatieresultaat, relevante identiteitsverschillen en onopgeloste hiaten. Leg bijvoorbeeld uit dat het geselecteerde ontvangstresultaat een fout rapporteert voor het zichtbare auteurdomein, terwijl een niet-gerelateerd geleverd resultaat beweert dat het is gelukt. Kies niet stilletjes voor het gunstige resultaat. Wanneer de herkomst niet beschikbaar is, bestempelt u de conclusie als voorwaardelijk en vraagt u naar het originele bewijs van de ontvanger voordat u een daaruit voortvloeiende beveiligings- of zakelijke actie onderneemt.
Werk een hypothetische factuurbeoordeling uit
Stel dat een geautoriseerde originele export Van: accounts@brand.example en Reply-To: help@different.example weergeeft. Het bevat ook een ontvangersrapport van DMARC mislukking en een niet-gerelateerd geleverd rapport waarin wordt beweerd dat het is gelukt. Dit zijn verzonnen observaties, geen vastgelegd incident.
Bepaal eerst welk rapport het echte ontvangstsysteem heeft gegenereerd. Als de logbestanden en de gedocumenteerde grens de storingsrapport, behoud dat gerapporteerde resultaat en sluit de niet-gerelateerde pasclaim uit. Als de herkomst niet kan worden vastgesteld, zeg dan dat vertrouwde authenticatie onbekend is in plaats van het gewenste resultaat te kiezen. Bevestig vervolgens de ongebruikelijke antwoordbestemming via een gevestigd contact of een goedgekeurde workflow voordat u gevoelige informatie verzendt.
Het resultaat is niet een verklaring dat de afzender frauduleus is. Het is een begrensde beoordeling: bekende berichtbron, ondersteund authenticatieresultaat of expliciete onzekerheid, onverklaarde antwoordbestemming en een gerechtvaardigde volgende controle. Hier is geen parser, verifier, mailbox of betaalverzoek getest.
Schrijf een samenvatting die gereed is voor een beslissing
- Bron: identificeer het geautoriseerde oorspronkelijke export- en verzameltijdstip.
- Vertrouwen: geef het ontvangende systeem een naam en bevestig logs of gedocumenteerde grens.
- Identiteiten: record van, geëvalueerde SPF identiteit en DKIM -ondertekeningsdomein afzonderlijk.
- Reikwijdte: onderscheid gerapporteerde authenticatie van inhoudsveiligheid en zakelijke autoriteit.
- Volgende actie: los het kleinste bewijsgat op voordat u DNS wijzigt of op een gevoelig verzoek reageert.