Het lezen van ontvangen headers van onder naar boven wordt vaak geleerd als de manier om de route van een bericht te volgen. Die volgorde kan de chronologie verklaren, maar verifieert niet de oudste vermelding. Een afzender kan verzonnen traceringsvelden in een bericht plaatsen voordat de eerste vertrouwde ontvanger het afhandelt. Begin met het vinden van de ontvangstgrens die u kunt onderbouwen.
Begrijp hoe trace wordt toegevoegd
SMTP systemen laten de ontvangen traceerinformatie voorgaan wanneer berichten erdoorheen gaan. De nieuwste inzending bevindt zich daarom normaal gesproken het dichtst bij de top. Een veld kan het ontvangende systeem, de geclaimde verzendende host, verbindingsinformatie, protocol, wachtrij-ID en tijd registreren. Niet elke implementatie bevat hetzelfde optionele detail. RFC 5321 sectie 4.4.
Het verbindende IP-adres dat door een vertrouwde ontvanger wordt waargenomen, is ander bewijsmateriaal dan dat van een door de klant geleverde informatie EHLO/ HELO -naam of een hostnaam gekopieerd naar lagere headers. Behoud deze verschillen in plaats van elke naam weer te geven als een geverifieerde fysieke hop. Een privéadres of een interne hostnaam kan een legitiem intern segment beschrijven zonder publiekelijk oplosbaar te zijn.
Bepaal eerst het betrouwbare segment
Begin met het uiteindelijke ontvangende systeem en werk achteruit door systemen waarvan de werking en logbestanden bekend zijn. Identificeer het punt waar het bericht van buiten die grens binnenkwam. Correleer de wachtrij-ID, het verbindingsrecord en de tijdstempel van het vertrouwde veld met serverlogboeken. Als een gateway wordt beheerd door een derde partij, gebruik dan geautoriseerd bewijsmateriaal van die gateway in plaats van aan te nemen dat de hele keten wordt vertrouwd omdat de laatste ontvanger deze heeft geaccepteerd.
Oudere velden onder de grens blijven claims tenzij bevestigd. Een later geldig DKIM Het resultaat brengt niet automatisch elke eerdere netwerksprong tot stand, en een bekend domein in een niet-vertrouwde traceringslijn is geen bewijs dat het bericht door die organisatie is gegaan.
Reconstrueer een hypothetische keten met drie ingangen
Stel dat het bovenste veld Ontvangen een intern relais identificeert om 10:05 UTC, het volgende veld identificeert de perimetergateway om 10:03 UTC en het oudste veld claimt een bankhost om 09:58 UTC. Geautoriseerde logboeken bevestigen de twee interne afhandelingsgebeurtenissen en het peer-adres dat aan de rand is waargenomen. Er zijn geen bewijzen die de bewering van de bank ondersteunen.
De ondersteunde route reikt terug naar de waargenomen peer van de perimeter en stopt dan. De bekende banknaam blijft aangeleverde tekst. Zelfs het verschil van twee minuten tussen interne tijdstempels is slechts een schijnbaar interval totdat de kloknauwkeurigheid en wachtrijrecords zijn gecontroleerd; het wijst op zichzelf geen vertraging toe aan een server.
Dit zijn verzonnen veld- en logaannames, geen gemeten route of uitgevoerde parser. Bewaar bij een daadwerkelijk incident welk bewijsmateriaal elke sprong ondersteunt en vraag de relevante beheerder om ontbrekende gegevens in plaats van de onderste regel om te zetten in een bewijs van herkomst.
Gebruik timing voorzichtig
Converteer tijdstempels naar een consistente tijdzone terwijl de originelen behouden blijven. Klokken kunnen verkeerd zijn, en er kan een tijdstempel in een niet-vertrouwd veld worden uitgevonden. Een negatief interval of een lange pauze is een aanwijzing om te onderzoeken, geen bewijs van geknoei of de exacte locatie van een vertraging. Wachtrijlogboeken kunnen wachttijden onderscheiden van klokverschillen.
Sluit af met een routediagram of een korte geordende lijst die elke hop labelt als waargenomen, bevestigd of geclaimd. Identificeer de laatste betrouwbare grens, eventuele onverklaarde timing en welke aanvullende bron dit zou oplossen. Verander het schijnbaar oorspronkelijke IP-adres niet in de identiteit of geografische zekerheid van een persoon.
Bouw een begrensd routerecord
- Begin met de uiteindelijke ontvanger die u kunt onderbouwen.
- Match elke vertrouwde hop met wachtrij- en verbindingsrecords.
- Houd door de afzender geclaimde namen gescheiden van waargenomen peer-adressen.
- Behoud de oorspronkelijke tijdzonewaarden en onderzoek klokverschillen voordat u vertraging toewijst.
- Stop bij de niet-bevestigde grens; identificeer de logboekbron die nodig is om door te gaan.