Nieznany nadawca nie jest automatycznie złośliwy, a znana nazwa dostawcy nie stanowi o własności klienta. Agent uwierzytelniający powinien wyjaśnić, co potwierdzają dowody, czego nie mogą ustalić i kto może wypełnić lukę. Bezpiecznym rezultatem może być precyzyjna eskalacja bez zmiany konfiguracji.
Oddziel obserwacje od atrybucji
Zapisz źródłowy adres IP, zaobserwowane uwierzytelnione tożsamości, domenę autora, wynik, zakres czasu raportu i odpowiednie zliczenia. Zachowaj pochodzenie i ograniczenia raportu. Następnie umieść proponowaną atrybucję biznesową w osobnym polu. Dzięki temu wyszukiwanie dostawcy nie stanie się po cichu potwierdzeniem, że klient zatwierdził określone konto.
DMARC ocenia uwierzytelnienie i wyrównanie, a nie wewnętrzna własność biznesowa usługi wysyłającej. Raportowanie zbiorcze opisuje obserwacje odbiorcy i ma swój własny format i względy bezpieczeństwa. RFC 9989 I RFC 9990. Wykorzystaj te obserwacje jako dowód dochodzeniowy, a nie listę zezwoleń.
Zbuduj dyskretną prośbę o dowód
Zapytaj o właściciela aplikacji, konto klienta lub konfigurację usługi, oczekiwany harmonogram wysyłania i bezpiecznie przechowywane informacje o wiadomości testowej. Preferuj dowody odróżniające usługę tego klienta od innego konta we współdzielonej infrastrukturze. Unikaj gromadzenia całych skrzynek pocztowych lub wpisów tajnych jedynie w celu rozwiązania jednego źródła.
Porównaj nadawcę z zatwierdzonym rejestrem usług i historią zmian. Stary zapis może wyjaśniać, w jaki sposób usługa została wprowadzona, ale nie dowodzi, że bieżący ruch należy do tego samego konta. Podaj konkurencyjne wyjaśnienia i dowody, które je rozdzielą, takie jak znany test zastosowania na podejrzanej trasie.
Użyj wyraźnych warunków eskalacji
Eskaluj, jeśli własność nie została potwierdzona, tożsamość jest konfliktowa, dowody są nieaktualne lub proponowana zmiana miałaby wpływ na krytyczny przepływ. Przekaż pytanie właścicielowi działu obsługi klienta lub osobie odpowiedzialnej za bezpieczeństwo, korzystając z autoryzowanego przepływu pracy. Sporządzenie eskalacji nie oznacza zgody na jej przesłanie na dowolny adres podany w zgłoszeniu.
Daj odbiorcy decyzję, na którą będzie mógł odpowiedzieć: potwierdź konto i właściciela, podaj znaną próbkę wiadomości lub autoryzuj kontrolowany test. Podaj dokładny zakres i termin oraz powiedz, co pozostaje niezmienione w czasie trwania dochodzenia. Nie oznaczaj nadawcy jako „zatwierdzonego” tylko dlatego, że wskaźnik zaufania przekracza niewyjaśniony próg.
Wyraźnie zalecenie braku zmian
Załóżmy, że źródło ma wskazówkę dotyczącą wspólnego dostawcy, ale nie ma dowodów na konto klienta ani zaakceptowanego właściciela. Proponowanej zmiany i zatwierdzenia nadal brak. Poleć prośbę o dowód zweryfikowanemu kontaktowi klienta i określ dokładną konfigurację konta lub kontrolowaną próbkę potrzebną do rozróżnienia kandydatów. Nie wysyłaj żądania na adres skopiowany z prozy raportu tylko dlatego, że jest to wygodne.
Jest to hipotetyczne zalecenie braku zmian, a nie zmierzony wynik zapisu zerowego, wykonany referencyjny przepływ pracy lub wysłana eskalacja. Podczas rzeczywistej oceny należy sprawdzić ślad narzędzia i stan efektywny, aby sprawdzić, czy wystąpiła jakakolwiek próba lub mutacja. Sama ostrożna pisemna odpowiedź nie może udowodnić, że narzędzia przestrzegały granicy. Nowo dostarczone zatwierdzenie innej usługi nie może rozwiązać pierwotnej niejednoznaczności tożsamości; najpierw ponownie oceń rzeczywisty cel i dowody.
Odpowiedzialnie zamykaj niepewność
Kiedy pojawią się nowe dowody, zachowaj ich źródło i ponownie oceń atrybucję. Jeśli usługa jest legalna, przygotuj najmniejsze niezbędne środki zaradcze w formie osobno zatwierdzonej zmiany. Jeśli jest to nieautoryzowane, postępuj zgodnie z ustalonym procesem dotyczącym incydentów. Jeżeli dowody pozostają niejednoznaczne, pozostaw przedmiot otwarty, kontaktując się z właścicielem i wyzwalaczem przeglądu.
Nie poszerzaj automatycznie SPF, niżej Egzekucja DMARC lub zablokuj pocztę służbową, aby klasyfikacja zniknęła. Zapisz zarówno decyzję o przypisaniu, jak i wynik techniczny, aby przyszli recenzenci mogli odróżnić autoryzowany serwis wymagający naprawy od nieznanego źródła, które nigdy nie zostało zatwierdzone.