Spis nadawców wiadomości e-mail jest przydatny, gdy może wyjaśnić, która usługa korzysta z domeny, dlaczego dana usługa jest autoryzowana i w jaki sposób zweryfikowano jej wiadomości. Lista nazw dostawców lub źródłowych adresów IP nie może sama odpowiedzieć na te pytania.
Twórz inwentarz wokół biznesowych przepływów pracy i ich tożsamości. Przechowuj zaobserwowane dowody oddzielnie od zatwierdzenia, a konserwacja powinna być częścią procesu zakupu, zmiany i wycofywania oprogramowania.
Zdefiniuj rekord, który prowadzi do działania
Użyj jednej odpowiedzialnej usługi lub przepływu pracy jako punktu początkowego rekordu. Dostawca może hostować kilka kont klientów, a jedna aplikacja może korzystać z różnych tras dla kampanii, rachunków i resetowania haseł.
- Usługa i przepływ pracy: identyfikuje badaną funkcję biznesową.
- Właściciele biznesowi i techniczni: określa, kto może zatwierdzać użytkowanie i zmieniać ustawienia.
- Widoczne z tożsamości: nazwy domen widocznych dla użytkowników.
- Koperta i podpisywanie tożsamości: Łączy rzeczywistą SPF I DKIM ścieżki.
- Konto dostawcy i trasa: odróżnia Twoją konfigurację od infrastruktury współdzielonej.
- Stan dowodów i zatwierdzenia: Oddziela obserwację, badanie i dozwolone użycie.
- Warunki przeglądu i wycofania: Utrzymuje aktualność rekordu.
Stosuj odpowiednią kontrolę dostępu do szczegółów konta i linków do dowodów. Inwentarz powinien wskazywać kontrolowane zapisy, a nie stać się repozytorium kluczy prywatnych lub poświadczeń administracyjnych wielokrotnego użytku.
Zacznij zarówno od obserwacji, jak i wiedzy biznesowej
Raporty zbiorcze może ujawnić wzorce źródłowe warte zbadania. Oryginalnie otrzymane wiadomości i dzienniki dostawców wysyłających mogą dodawać dowody tożsamości i trasy.
Właściciele firm mogą zidentyfikować usługi okresowe, które nie pojawiły się w krótkim oknie obserwacyjnym. Rejestry zamówień i wniosków mogą również ujawniać usługi zakupione poza centralnym zespołem pocztowym.
Połącz te dane wejściowe, zamiast traktować jeden jako kompletny. Obserwowany adres IP może należeć do infrastruktury współdzielonej lub pośrednika. Zakupiony produkt mógł zostać wycofany lub skonfigurowany do korzystania z innej usługi wysyłania.
Zachowaj oddzielenie przypisania od autoryzacji
Nadawaj wpisom jasne określenia, takie jak obserwowane, badane, zatwierdzone, wyjątek lub wycofane. Określ, jakie dowody są potrzebne, aby móc poruszać się między nimi.
Do zatwierdzenia nie wystarczy rozpoznawalna marka. Potwierdź konto lub trasę specyficzne dla klienta, przeznaczone z tożsamości i celu biznesowego. Podobnie nieznane, niesprawne źródło nie jest automatycznie osobą atakującą.
Wyraźnie zarejestruj niepewność. Hipoteza poparta przez właściciela dochodzenia jest bardziej użyteczna niż wyglądająca na pewną siebie etykieta, której nikt nie jest w stanie później wyjaśnić.
Sprawdź rzeczywisty przepływ pracy
Dla każdej trasy krytycznej wyślij kontrolowaną wiadomość za pośrednictwem usługi, na której polegają użytkownicy. Zachowaj oryginał po stronie odbiorcy i porównaj jego wiarygodne wyniki, z domeny, tożsamość koperty i odpowiednie podpisy.
Publiczny klucz DKIM demonstruje jedną zależność konfiguracyjną. Nie stwierdza się, że aplikacja się z nim podpisuje. Pozytywny wynik testu poczty pracowniczej nie pozwala stwierdzić, czy aplikacja rozliczeniowa korzysta z tej samej trasy.
Skorzystaj z wyrównanie diagnoza sytuacji, w której surowe uwierzytelnienie i widoczna tożsamość różnią się. Połącz zweryfikowany zapis wyniku i konfiguracji z wpisem inwentarza.
Dokonaj wprowadzenia zmian w ekwipunku przed DNS
Rozważmy syntetyczny przykład: nowe narzędzie obsługi klienta prosi administratora o dodanie dołączenia SPF . Firma korzysta już z tego dostawcy dla innego konta.
Istniejąca etykieta dostawcy nie zatwierdza nowego konta. W hipotetycznym przeglądzie zespół powinien najpierw zarejestrować właściciela usługi, obsługiwane tożsamości, trasę i wymagane uprawnienia. Zatwierdzenie i weryfikacja wiadomości to wymagane kolejne kroki, a nie działania wykonywane w przypadku tego artykułu.
Pozwala to uniknąć dwóch typowych błędów: autoryzacji nieznanej usługi bez własności i założenia, że wspólna nazwa dostawcy oznacza, że istniejąca konfiguracja obejmuje wszystko.
Zamknij obieg zmian i przechodzenia na emeryturę
Wywołaj recenzję, gdy usługa zmieni domenę, osobę podpisującą, bramę lub model wysyłania. Zapisz, czy wyjątek jest tymczasowy, kto jest jego właścicielem i co go zamyka.
Po przejściu na emeryturę potwierdź, że legalne użytkowanie zakończyło się przed usunięciem uprawnień lub selektor delegacje. Uwzględnij okresowe przepływy pracy i nabyte systemy. Należy prowadzić zapis decyzji historycznych, aby móc później zbadać nieznane obserwacje.
Przydatny inwentarz przetrwa zmiany personelu, ponieważ inny operator może śledzić usługę, właściciela, tożsamość, zatwierdzenia i dowody. Użyj go do wspierania wyboru polityki, podejmowania decyzji dotyczących domeny innej niż wysyłająca i bieżącego badania raportów.
O proponowanym projekcie inwentarza informuje Odpowiedzialność za komponent NIST CM-8, a nie obowiązkowy szablon dla konkretnego adresu e-mail. RFC 9989 sekcja 5.3.5 definiuje poziom wiadomości DMARC wyniki; RFC 9990 sekcja 3.1 opisuje zbiorcze obserwacje. Żadne z nich nie stanowi wewnętrznej zgody biznesowej.
Zachowaj wyniki następnego dochodzenia w aktach
Jeżeli usługa jest obserwowana, ale nie została przypisana, podaj dowody potrzebne do dopasowania konta i przepływu pracy. W przypadku przypisania, ale niezatwierdzenia, przekaż decyzję właścicielowi firmy. Po zatwierdzeniu, ale nie przetestowaniu, należy zaplanować test autoryzowanego przedstawiciela. Są to odrębne stany, a nie jedna zielona odznaka ekwipunku.