An e-postoverskrift er en samling av felt skrevet av forskjellige systemer til forskjellige tider. Noen felt uttrykker avsenderens egne påstander; andre rapporterer hva en mottaker observerte. En nyttig undersøkelse identifiserer hvem som kunne ha skrevet hvert viktig felt før man bestemmer seg for hva det beviser. En innlimt topptekstanalysator kan ikke fastslå denne herkomsten fra tekst alene.
Ta vare på en komplett original
Få den opprinnelige meldingen gjennom mottakssystemets støttede eksportmetode når autorisert. Behold de originale bytene separat fra en kommentert arbeidskopi. Skjermbilder, videresendte kopier og kopierte overskriftsfragmenter kan utelate dupliserte felt, endre linjefolding eller legge til nye transporthendelser. Registrer kildepostkassen, innsamlingstid og tilgangsgrenser uten unødvendig distribusjon av meldingsinnhold.
Ta vare på dupliserte felt og rekkefølgen deres. Leser to Mottatt eller Authentication-Results felter fastslår hva den eksporterte meldingen inneholder, ikke hvem som skrev noen av feltene. En vellykket parse er ikke en autentiseringssjekk.
Identifiser den pålitelige mottaksgrensen
Bruk administratorkunnskap, gateway-konfigurasjon og leveringslogger for å fastslå hvilke systemer som behandlet meldingen innenfor det klarerte administrative domenet. Finn autentiseringsresultatene de systemene som er generert eller eksplisitt stoler på. En kjent authserv-id-streng er utilstrekkelig hvis en ekstern avsender kan sette inn den samme strengen og mottaksgrensen ikke klarte å fjerne eller skille den. RFC 8601 avsnitt 1.2 og 7.
Koble deretter de valgte resultatene til deres evaluerte identiteter. SPF gjelder SMTP identiteten som ble brukt i denne evalueringen; DKIM identifiserer et signeringsdomene; DMARC knytter autentiserte identifikatorer til det synlige Fra-domenet. Ikke bytt ut svar-til, avsender eller meldings-ID for disse inngangene. Et pass er et avgrenset domeneautentiseringsresultat, ikke et bevis på at meldingen er ufarlig eller at forretningsforespørselen er legitim.
Les transportstien med et stoppested
Mottatte felt legges vanligvis foran når post flyttes gjennom SMTP -systemer. Les den pålitelige delen fra den nyeste oppføringen mot tidligere hopp, og slutt deretter å behandle kjeden som etablert når du krysser inn i upålitelig levert materiale. Korreler tilkoblingsadressen, køidentifikatoren og tiden med mottakssystemets logger. En eldre påstått humle kan fremstilles selv når en senere pålitelig humle virkelig mottok meldingen. RFC 5321 avsnitt 4.4.
Hvis en tidligere hop ikke kan bekreftes, bevar teksten som en påstand i stedet for å utvide den bekreftede ruten gjennom den. Tilstedeværelsen av en senere klarert mottaker autentiserer ikke all forhåndseksisterende sporingsinformasjon.
Lag en kort bevisbasert konklusjon
Oppgi den observerte mottakerkilden, pålitelig autentiseringsresultat, relevante identitetsforskjeller og uløste hull. Forklar for eksempel at det valgte mottaksresultatet rapporterer feil for det synlige forfatterdomenet, mens et ikke-relatert levert resultatkrav passerer. Ikke velg det gunstige resultatet stille. Hvis opprinnelse ikke er tilgjengelig, merk konklusjonen som betinget og be om det originale mottakerbeviset før du tar en følgelig sikkerhets- eller forretningshandling.
Arbeid gjennom en hypotetisk fakturagjennomgang
Anta at en autorisert originaleksport viser From: accounts@brand.example og Reply-To: help@different.example . Den inneholder også en mottakerrapport om DMARC feil og en ikke-relatert levert rapport som krever bestått. Dette er oppfunne observasjoner, ikke en fanget hendelse.
Først fastslå hvilken rapport det virkelige mottakssystemet genererte. Hvis loggene og den dokumenterte grensen bekrefter feilrapport, behold det rapporterte resultatet og ekskluder det ikke-relaterte kravet om godkjenning. Hvis herkomst ikke kan fastslås, si at pålitelig autentisering er ukjent i stedet for å velge det foretrukne resultatet. Bekreft deretter den uvanlige svardestinasjonen gjennom en etablert kontakt eller godkjent arbeidsflyt før du sender sensitiv informasjon.
Utfallet er ikke en erklæring om at avsenderen er bedragersk. Det er en avgrenset gjennomgang: kjent meldingskilde, støttet autentiseringsresultat eller eksplisitt usikkerhet, uforklarlig svarmål og en begrunnet neste sjekk. Ingen parser, verifikator, postboks eller betalingsforespørsel ble testet her.
Skriv en beslutningsklar overskriftssammendrag
- Kilde: identifiser den autoriserte opprinnelige eksport- og innsamlingstiden.
- Tillit: navngi mottakersystemet og bekreftende logger eller dokumentert grense.
- Identiteter: post Fra, evaluert SPF identitet og DKIM -signeringsdomene separat.
- Omfang: skille rapportert autentisering fra innholdssikkerhet og forretningsmyndighet.
- Neste handling: løs det minste bevisgapet før du endrer DNS eller svarer på en sensitiv forespørsel.