Kampania świąteczna, informacja podatkowa lub odnowienie członkostwa mogą zmienić zarówno liczbę poczty, jak i zestaw usług wysyłania. Porównanie tego wydarzenia ze spokojnym tygodniem może wywołać dramatyczny alert, nawet jeśli zachowanie uwierzytelniania nie ulegnie zmianie. Możliwa jest także sytuacja odwrotna: duża, legalna kampania może ukryć mniejszą krytyczną awarię pod lepszym ogólnym odsetkiem.
Stwórz linię bazową opisującą porównywaną pocztę. Jest to technika dochodzeniowa, a nie formuła punktacji zdefiniowana w protokole. RFC 9990 zapewnia interwały obserwacji, liczniki, wyniki uwierzytelniania i informacje o zasadach; kontekst biznesowy pochodzi z kalendarza i rejestrów wysyłania organizacji.
Dodaj komentarz do wydarzenia przed jego uruchomieniem
Rejestruj oczekiwaną kampanię lub proces biznesowy z domen, wysyłających aplikacji, właścicieli, okna uruchamiania i zamierzonych grup odbiorców. Uzyskaj aktualny projekt uwierzytelniania aplikacji i przetestuj go przed wydarzeniem. Nie wnioskuj autoryzacji na podstawie adresu IP występującego w poprzednim raporcie wakacyjnym.
Zwróć uwagę na migracje, nowych dostawców i zmiany w DKIM tożsamość lub ścieżka powrotna. Wydarzenie cykliczne z nową platformą pocztową nie jest technicznie identyczne z wydarzeniem ubiegłorocznym, nawet jeśli nazwa marketingowa i publiczność pozostają takie same.
Porównaj równoważne obserwacje
Referencje: RFC 9990 §3.1.1.4, RFC 9990 §3.1.1.8, RFC 9990 §3.5.4, RFC 9989 §5.3.8.
Porównaj pełne interwały raportowania z podobnym zasięgiem odbiornika. Trzymaj grupy źródłowe, domeny autorów i ścieżki uwierzytelniania oddzielnie, jeśli dane je obsługują. Zgłaszaj zarówno awarie bezwzględne, jak i odsetek awarii w odpowiednim strumieniu.
Wyklucz lub opisz niepełne interwały, zamiast traktować częściowy dzień jako nagły spadek. Zachowaj spóźnienia i decyzje dotyczące podwójnej obsługi. Nowo współpracujący odbiorca może zwiększyć widoczny ruch bez żadnych zmian w rzeczywistym wysyłaniu. Zniknięcie odbiorcy z danych może sprawić, że ogólna szybkość będzie wyglądać lepiej bez konieczności naprawy nadawcy.
Przepracuj sezonową zmianę mieszanki
Przykładowy poziom bazowy: spokojny tydzień to 1000 wiadomości od personelu i 10 niepowodzeń, co stanowi zaobserwowany odsetek wynoszący jeden procent. W tygodniu kampanii ten sam strumień personelu odnotował 20 awarii na 1000 wiadomości, podczas gdy w ramach kampanii dodano 9000 przekazywanych wiadomości. Ogólny wskaźnik wynosi obecnie 20/10 000, czyli 0,2 procent, mimo że awarie personelu wzrosły dwukrotnie.
Zadbaj o widoczność wyników dwóch strumieni i wpływu na działalność biznesową. Te syntetyczne liczby pokazują, jak zmieniający się mianownik może ukryć regresję; nie są to pomiary produkcyjne. Przypisanie do konkretnej aplikacji wymaga potwierdzenia własności i przekazu, a nie tylko wygodnego grupowania według adresu IP.
Przed zmianą progów sprawdź różnice
Referencje: RFC 9990 §3.1.1.9, RFC 9990 §3.1.1.11, RFC 9989 §5.3.5.
W przypadku zmienionego strumienia porównaj zasady obserwowane przez odbiorcę i SPF/ Tożsamości DKIM z planowaną konfiguracją nadawcy. Ustal, czy uwierzytelnienie nie powiodło się, wyrównanie nie powiodło się lub została jedynie zgłoszona zmiana dyspozycji. Przy obowiązującej, ważnej polityce i zakończonych kontrolach jeden dostosowany mechanizm przekazywania może spełnić wymagania poziomu komunikatu DMARC rządzić nawet wtedy, gdy drugi zawodzi.
Użyj rekordu uruchomienia lub migracji właściciela aplikacji, aby przetestować wyjaśnienie. Wzrost wolumenu w okresie świątecznym nie wystarczy, aby zaklasyfikować nieznany ruch jako kampanię. I odwrotnie, nie należy ukrywać nowej awarii tylko dlatego, że kalendarz przewiduje dużą liczbę awarii.
Zakończ recenzją dotyczącą konkretnego wydarzenia
Ustaw tymczasowe okno przeglądu alertów, właściciela i datę wygaśnięcia wydarzenia. Jeśli progi zostaną skorygowane, zapisz przyczynę i prowadź niezależną kontrolę pod kątem krytycznych tras lub nowych nieznanych źródeł. Przywróć normalny układ przeglądu po zdarzeniu, zamiast pozostawiać trwały martwy punkt.
Zachowaj zwięzłe podsumowanie wydarzeń: porównane okresy, zasięg odbiornika, istotne liczby, zmienione trasy, reprezentatywne testy i nierozwiązane pytania. W następnym sezonie użyj tego podsumowania jako kontekstu, a następnie ponownie zweryfikuj bieżącą konfigurację. Wartość bazowa powinna pomóc analitykowi rozpoznać znaczącą zmianę bez traktowania ruchu z zeszłego roku jako trwałej autoryzacji.
Związane zakończenie i następna akcja
Lokalna arytmetyka syntetyczna potwierdza wzrost liczby niepowodzeń personelu z 10/1000 = 1% do 20/1000 = 2%, podczas gdy łączny wskaźnik tygodniowej kampanii spada do 20/10 000 = 0,2%. Zamiast wnioskować o poprawie na podstawie wskaźnika mieszanego, należy raczej zbadać regresję personelu. Nie zmierzono ani nie zmieniono żadnej kampanii, rzeczywistej kohorty odbiorców ani progu alertu.