Mapa może stworzyć DMARC raport łatwy do zeskanowania i łatwy do nadinterpretacji. Kolorowy kraj może reprezentować infrastrukturę powiązaną ze źródłowym adresem IP, a nie lokalizację osoby, która wysłała wiadomość. Podstawa raport zbiorczy dostarcza adres źródłowy; geografia to dodatkowe wyszukiwanie, którego metoda i data muszą pozostać widoczne.
Określ, co właściwie przedstawia mapa
Referencje: RFC 9990 §3.1.1.8.
Zapytaj, czy wizualizacja odwzorowuje zgłoszone źródłowe adresy IP, lokalizacje osób zgłaszających lub wywnioskowane przez analityka lokalizacje usług. To są różne populacje. RFC 9990 opisuje źródłowy adres IP w zbiorczym rekordzie. Nie zapewnia zweryfikowanego pola kraju atakującego.
Wskazówki dotyczące dokładności MaxMind wyjaśnia, że oszacowanie adresu IP nie pozwala na zlokalizowanie konkretnej osoby lub gospodarstwa domowego i może zlokalizować raczej serwer proxy niż jego użytkownika. Zapisz dostawcę wzbogacania, edycję bazy danych, czas wyszukiwania i dokładność geograficzną. Zachowaj nieznane wyniki jako nieznane. Nie przekształcaj niedostępnej lokalizacji w siedzibę dostawcy usług hostingowych. Jeśli poparta jest tylko pewnością na poziomie kraju, precyzyjna pinezka miasta stwarza mylące wrażenie.
Oddziel infrastrukturę od odpowiedzialności
Hosting współdzielony, przekaźniki i bramy mogą sprawić, że wielu niepowiązanych ze sobą użytkowników będzie korzystać z infrastruktury o tej samej oznaczeniu geograficznej. Wiadomość kierowana przez pośrednika może pojawić się z adresu tego pośrednika u odbiorcy raportu. Lokalizacja infrastruktury jest zatem wskazówką dochodzeniową, a nie dowodem własności konta, autoryzacji lub zamiarów nadawcy.
Etykieta odwrotnego DNS lub nazwa dostawcy dodaje kolejną wskazówkę, a nie certyfikat własności Twojej organizacji. Potwierdź usługę kandydującą za pomocą konfiguracji konta, dowodów zaufanej wiadomości i właściciela firmy, zanim zaklasyfikujesz jej obserwacje jako uzasadnione.
Zdefiniuj wyświetlaną metrykę
Referencje: RFC 9990 §3.1.1.8, RFC 9990 §3.1.1.4, RFC 9990 §3.5.4.
Wybierz, czy kolor reprezentuje unikalne adresy IP, obserwacje wiadomości, czy obserwacje zakończone niepowodzeniem. Oznacz to wyraźnie. Sumowanie zagregowanych liczników daje inną miarę niż zliczanie pinów na mapie. Zachowaj interwał raportowania, współpracujących odbiorców, zasady obsługi duplikatów i liczbę nieznanych lokalizacji obok wyświetlacza.
Porównując kraje, użyj tej samej rewizji wzbogacania i zakresu obserwacji. Aktualizacja bazy danych może przenosić adresy między regionami bez zmiany routingu. Nowy odbiorca raportu może zmienić pozorną mapę bez nowej kampanii. Zaznacz te zmiany przed wyciągnięciem wniosków dotyczących trendu.
Pracuj nad alertem geograficznym
Przykład syntetyczny: jeden wzbogacony region ma 900 nieudanych obserwacji ze wspólnego zakresu chmur; inny ma dziesięć niepowodzeń na zweryfikowanej trasie płacowej. Mapa najsilniej uwydatnia obszar 900 obserwacji. Nie oznacza to, że jest tam 900 napastników, ani nie sprawia, że awaria płacowa jest nieistotna.
Następne działania są różne: zatrzymaj duży nieznany strumień do analizy atrybucji i nadużyć oraz niezwłocznie przetestuj zweryfikowaną trasę płacową. Nie dodawaj udostępnionego zakresu do SPF ponieważ jego dostawca jest znajomy. Nie blokuj całego kraju wyłącznie na tej mapie bez oceny rzeczywistych zezwoleń, obsługi i konsekwencji biznesowych.
Opublikuj mapę z zastrzeżeniem i szczegółowym opisem
Przydatny podpis mówi, że lokalizacje są szacunkami dla zgłaszanej infrastruktury źródłowej, określa wersję wzbogacenia i zauważa, że nieznane są zachowywane. Podaj ścieżkę do rekordów źródłowych, tożsamości, liczników i dowodów własności usług. Ogranicz dostęp do szczegółowych informacji, gdy ujawniają one informacje operacyjne poza docelowym odbiorcą.
Zakończ każde badanie geograficzne, podając potwierdzone ustalenia, nierozstrzygnięte przypisania i właściciela, aby przejść do następnego kroku. Jeśli położenie geograficzne nie ma żadnego wpływu na tę decyzję, użyj zamiast tego kolejki na poziomie usług. Mapa powinna pomóc analitykowi w wyborze dowodów do sprawdzenia, a nie zastępować je wiarygodną historią o tym, gdzie mieszka atakujący.
Kontynuuj śledztwo
Skorzystaj z przewodnik dotyczący raportu zbiorczego dla pól bazowych i poradnik diagnostyki zbieżności gdy powodzenie surowego uwierzytelnienia nie spełnia wymagań DMARC .
Zachowaj ilustrację jako dowód
Do fikcyjnego porównania 900 z 10 mapa nie podaje żadnej liczby osób, napastników ani potwierdzonych nadużyć. Zachowaj większy, niesklasyfikowany strumień, nadając priorytet obsługiwanemu badaniu płac. Nie przeprowadzono wyszukiwania geolokalizacji IP, blokowania geograficznego ani autoryzacji nadawcy.