Definer distribusjon som en observerbar DNS egenskap
En DNS distribusjonsstudie kan fastslå at en bestemt post ble observert på et bestemt eiernavn og tidspunkt. Den kan ikke i seg selv fastslå at hver melding fra organisasjonen er autentisert, at mottakere fulgte samme policy eller at en forretningsforespørsel var legitim. Studien bør definere dens målte egenskap før den samler inn data: post tilstedeværelse, syntaktisk gyldighet, gjeldende policyoppdagelse og overholdelse av operasjonelle meldinger er forskjellige utfall.
RFC 1035 definerer DNS meldings- og poststrukturer. RFC 9989 definerer DMARC oppdagelse og justering oppførsel. Disse standardene støtter en reproduserbar målemetode, ikke en påstand om at en skanning ble utført. Dette manuskriptet inneholder ingen domeneobservasjoner, adopsjonsprosenter eller utledede meldingsresultater.
Velg enhet og populasjon før du spør
Spesifiser om studien teller registrerte domener, fullt kvalifiserte navn, avsenderidentiteter eller kundeorganisasjoner. Disse enhetene er ikke utskiftbare. Én organisasjon kan drive mange domener, mens et domene kan være vert for flere uavhengige sendearbeidsflyter. En liste over nettstedsnavn er ikke automatisk en liste over domener som sender e-post. Registrer hvordan utvalget ble valgt og hva utvalget ekskluderer.
Frys inndatalisten med en versjonsidentifikator og en beholdt hash. Definer håndtering for duplikater, internasjonaliserte navn, etterfølgende prikker, aliaser og endringer i eierskap eller status. Ikke fjern vanskelige navn stille etter å ha sett resultatene deres. Hvis populasjonen er et praktisk utvalg, beskriv den på den måten i stedet for å presentere den som representativ for alle e-postdomener. Ingen populasjonsliste ble opprettet eller forespurt for dette utkastet.
Skille observasjon med nøyaktig navn fra oppdagelse
Et eksakt TXT oppslag svarer på et smalere spørsmål enn å bestemme gjeldende DMARC -policy. Under RFC 9989, kan oppdagelsesprosessen involvere en DNS Tree Walk. En metode som bare spør etter ett forventet eiernavn, bør merke tilstedeværelsen av resultatet eksakt navn, ikke fullstendig DMARC distribusjon. Behold algoritmen og standardversjonen som brukes, slik at en annen analytiker kan forstå hva et negativt resultat betyr.
SPF har sin egen identitet og postutvelgelsesregler i RFC 7208. Å se etter en policy på et nettsteddomene beviser ikke at det er det POST FRA identitet som brukes av organisasjonens meldinger. En DNS-undersøkelse kan beskrive publisering ved utvalgte navn, men den må ikke finne opp sendeidentiteter eller erstatte merkenavn for observert SMTP kontekst.
Behold autoritative og rekursive bevis separat
For hver autorisert observasjon registrerer du nøyaktig eier, type, klasse, server eller resolver, tid og responsstatus. Autoritative svar beskriver den spurte myndighetens svar; rekursive svar kan gjenspeile bufrede data og løserens egen behandling. Hvis begge er samlet, bevar begge i stedet for å velge svaret som passer til det forventede resultatet. Deres uenighet kan være analytisk viktig.
Dokumenter hvordan autoritative servere oppdages og hvordan metoden håndterer inkonsistente svar på tvers av dem. Registrer eventuelle feil i oppdagelsesbanen i stedet for å merke dem fravær av den endelige policyen. En rekursiv TTL kan reflektere gjenværende cache-levetid, så den bør ikke rapporteres som den opprinnelig konfigurerte TTL uten bevis. Studien bør bevare rå transkripsjoner sammen med normaliserte felt for å støtte senere gjennomgang.
Bevar postgrenser og feilkategorier
TXT RDATA kan inneholde flere tegnstrenger i én post. Det skiller seg fra flere TXT ressursposter hos samme eier. En måleparser bør bevare disse grensene før protokollspesifikt utvalg tas i bruk. Ikke-relaterte TXT data kan eksistere side om side med autentiseringsposter; den skal ikke blåse opp en policytelling eller slås sammen til en gyldig påstand.
Skille navnefeil, et vellykket svar uten forespurte data, serverfeil, tidsavbrudd, ugyldig syntaks og tvetydige relevante poster. Disse kategoriene bør ikke alle bli manglende distribusjon. Resultattabellen bør beholde det opprinnelige svaret og regelen som brukes til å tildele en kategori. Hvis metoden prøver på nytt, forhåndsdefiner tidsplanen for nytt forsøk og den endelige klassifiseringen slik at midlertidige feil ikke håndteres annerledes avhengig av ønsket resultat.
Hold DNSSEC bevis på sitt eget felt
RFC 4033 skiller sikre, usikre, falske og ubestemte valideringstilstander. En rekord kan være til stede uten en sikkert validert kjede. En valideringsfeil kan også forhindre en resolver i å returnere brukbare data. Hvis studien måler DNSSEC, må den dokumentere tillitsanker- og løserkontekst i stedet for å anta at noen synlige poster er autentisert.
Ikke gjør DNSSEC status til en skjult ekskludering som endrer prøvenevneren. Rapporter hvor mange navn som ble vurdert, hvilke tilstander som ble observert og hvilke som ikke kunne bestemmes, ved å bruke faktiske bevis når de ble samlet inn. Dette utkastet inneholder ingen slike tellinger. Poenget med metoden er å bevare usikkerhet, ikke å gjøre utilgjengelige data til et praktisk distribusjonsresultat.
Skill publisering fra overholdelse av meldingsnivå
En publisert SPF policy viser ikke hvilken IP-adresse som sendte inn en ekte melding. EN DKIM nøkkel viser ikke at en leverandør signerte en bestemt melding eller oppbevarte den tilsvarende private nøkkelen sikkert. En DMARC policy viser ikke at alle legitime strømmer stemmer overens. Disse spørsmålene krever operative bevis fra den faktiske ruten og en pålitelig mottaker.
RFC 8601 forklarer tillitsgrensen for Authentication-Results. Et samsvarende utvalg av mottatt melding kan støtte en observasjon på meldingsnivå med omfang, men den validerer ikke automatisk alle domener eller arbeidsflyter i en DNS studie. Behold publikasjonsberegninger og meldingsberegninger som separate mål med egne populasjoner og begrensninger. Ikke ommerk en DNS -adopsjonsprosent som samsvar eller beskyttelse oppnådd.
Et reproduserbart observasjonsarbeidsark
Lag et regneark med eksempelversjon, domeneenhet, normalisert inndata, eksakt spurt eier, posttype, spørringsmetode, observasjonstid, autoritativ transkripsjon, rekursiv transkripsjon og parserversjon. Legg til den tilordnede resultatkategorien, gjeldende policy-oppdagelsesbane, DNSSEC status der det er vurdert og en forklaring av feil. Behold en lenke til det rå beviset i stedet for bare den endelige klassifiseringen.
Analysespesifikasjonen skal angi teller og nevner for hver beregning. Tilstedeværelse blant alle forsøkte navn, gyldighet blant navn med svar og gjeldende polisedekning er forskjellige fraksjoner. Hvis flere er nyttige, rapporter dem separat. Definer ekskluderinger før analyse og bevar en eksklusjonslogg med årsaker. Ingen originale input, spørreavskrifter eller måleresultater er levert i dette manuskriptet.
Fiktiv diagnose: et distribusjonsdiagram blir et samsvarskrav
En fiktiv analytiker spør etter en liste over firmaets nettsteddomener og finner policy-utseende TXT data på noen av dem. En presentasjon merker resultatet av e-postautentiseringsoverholdelse. Den foreslåtte gjennomgangen identifiserer to hull: prøven etablerer ikke de faktiske senderidentitetene, og posttilstedeværelse etablerer ikke autentisering på meldingsnivå. Diagrammet bør gis nytt navn for å beskrive den observerte DNS egenskapen og dens prøve.
En senere autorisert studie kan legge til avsenderbeholdning og mottatt meldingsbevis, men den vil trenge en ny metrisk definisjon i stedet for å oppgradere den opprinnelige påstanden i det stille. Dette eksemplet inneholder ingen reelle domener, tellinger eller skanninger. Den illustrerer en rapporteringsfeil i en hypotetisk metode, ikke et funn om en organisasjon eller en fullført implementeringsstudie.
Slipp metoden med dens bevisgrenser
En nyttig studiekonklusjon angir populasjonen, observasjonsdatoer, spørringsalgoritme, resultatkategorier og hva bevisene ikke kan fastslå. Den unngår påstander om universell mottakeradferd, innbokslevering eller forhindret svindel. En transparent DNS -måling forblir verdifull nettopp fordi omfanget er klart.
Katalogen krever tidsstemplede autoritative og rekursive svar med eksakte eiernavn og posttyper. De originale transkripsjonene forblir åpne. Gjennomgang av menneskelig spesialist, kildeanvendbarhet, produksjonsruter, tilgjengelighet og eierfrigivelse forblir også åpne. Dette utkastet er en foreslått målemetode, ikke en utført skanning eller et resultat av meldingsoverholdelse.