Jakiś SPF rejestr zależności odpowiada na praktyczne pytanie: jeśli ta wartość DNS ulegnie zmianie lub zniknie ten dostawca, której poczty firmowej to dotyczy i kto może zdecydować, co zrobić? Kopia z najwyższej półki Rekord TXT nie jest w stanie samodzielnie odpowiedzieć na to pytanie. Zależności mogą być zagnieżdżane, kontrolowane poza organizacją i osiągane tylko dla określonych danych wejściowych.
Modeluj politykę i jej konsumentów
Utwórz jeden wpis polityki dla każdej używanej domeny SMTP , z jej dokładną nazwą właściciela DNS , bieżącym rekordem, czasem przechwytywania, właścicielem strefy i procesem zmiany. Dołącz aplikacje i jednostki biznesowe korzystające z tej tożsamości. Zachowaj widoczność Z domen w oddzielnych polach, aby nikt nie pomylił ich z tożsamością wyszukiwania SPF . Domena nadrzędna Rekord SPF nie jest automatycznie dziedziczone przez dziecko. RFC 7208 §2.4, RFC 7208 §4.
Dodaj krawędź dla każdego elementu obejmującego, przekierowania i innego terminu zależnego od DNS, identyfikując cel i osobę, która go kontroluje. Dołączanie i przekierowanie nie są zamienne: dołączenie pasuje, gdy jego kontrola rekurencyjna zwróci wynik pozytywny, natomiast przekierowanie deleguje ocenę, gdy bieżąca polityka osiągnie warunki tego modyfikatora. Zachowaj kolejność terminów i kwalifikatory w migawce. RFC 7208 §5.2, RFC 7208 §6.1.
Przechowuj wystarczającą ilość dowodów, aby podjąć działania
Zalecane pola rejestru to: domena polis; usługi biznesowe; właściciel firmy; właściciel techniczny; numer konta dostawcy; cel zależności; powód pozwolenia; przedstawiciel wysyłający adresy IP; domeny kopertowe normalne i awaryjne; data migawki; wynik ocenianej ścieżki; proponowany kolejny przegląd; i stan emerytalny. Trzymaj dane uwierzytelniające i klucze prywatne poza rejestrem. Ogranicz odniesienia do kont wewnętrznych do odpowiednich recenzentów.
W przypadku makr dynamicznych zapisz zarówno wyrażenie, jak i reprezentatywne rozwinięte wartości. Spłaszczony diagram zależności bez tożsamości wejściowej, adresu IP i czasu nie jest kompletnym śladem oceny. Limit czasu powodujący zapytania DNS SPF ma zastosowanie podczas oceny, w tym kontroli rekurencyjnych, więc jedna ścieżka może napotkać problem, którego unika inna ścieżka. RFC 7208 §4.6.4, RFC 7208 §7.
Spraw, aby rejestr był przydatny w różnych zespołach
Przykład ilustrujący: zaopatrzenie i obsługa klienta zależą od _spf.service.example.net w ramach tej samej polityki organizacyjnej. Dział zaopatrzenia planuje zakończyć umowę i żąda usunięcia. Rejestr zależności udostępnia usługę pomocy technicznej przed usunięciem udostępnionego dołączenia. Decyzją jest wycofanie usługi lub izolacja, a nie niesprawdzone czyszczenie DNS .
Przypisz jednego właściciela polityki technicznej do koordynowania wspólnych zmian, zachowując jednocześnie odpowiedzialność biznesową za każdego konsumenta. Wymagaj wdrożenia w celu dodania właściciela i dowodów testowych, migracji w celu zaktualizowania zależności i wyłączenia w celu rozwiązania problemu pozostałych klientów. Jest to zalecenie operacyjne, a nie dodatkowy wymóg protokołu SPF .
Przeglądaj zmiany, zamiast gonić za wynikiem
Różnicuj migawki, aby wykryć nowe cele, usunięte uprawnienia, powiększone zakresy i zmienione ścieżki wyszukiwania. Zbadaj zmianę kontekstu: dostawca może zgodnie z prawem zmieniać infrastrukturę. Weryfikuj zmiany o dużym wpływie, korzystając z aktualnych instrukcji własnych i dowodów z otrzymanej wiadomości. Zarchiwizuj stary stan i decyzję, a następnie zaktualizuj rejestr po pomyślnej zmianie DNS .
Przydatnym testem końcowym jest ćwiczenie praktyczne: wybierz jedną zależność i zidentyfikuj każdą usługę, której to dotyczy, właściciela decyzji, trasę testową i ścieżkę wycofywania. Jeśli zespół nie może tego zrobić, w rejestrze nadal będzie luka, nawet jeśli wszystkie bieżące kontrole SPF zostaną zaliczone.
Skorzystaj z konkretnego zapisu decyzji
Na przykład w przypadku wspólnego dostawcy podaj zależność dwa wpisy dotyczące konsumentów, zaopatrzenie i wsparcie, z oddzielnymi właścicielami i warunkami przejścia na emeryturę. Jeżeli zamówienia zostaną wycofane, a wsparcie pozostanie, usunięcie wspólnego pozytywnego uwzględnienia nie jest jeszcze uzasadnione. Przed zaproponowaniem izolacji przechwyć bieżącą politykę, kwalifikator terminu, reprezentatywne dane wejściowe adresu IP/koperty i zagnieżdżone migawki docelowe. Ten przykład ilustruje decyzję, a nie ukończony audyt zapasów.