A leitura dos cabeçalhos recebidos de baixo para cima costuma ser ensinada como a maneira de seguir a rota de uma mensagem. Essa ordem pode explicar a cronologia, mas não autentica a entrada mais antiga. Um remetente pode colocar campos de rastreamento inventados em uma mensagem antes que o primeiro destinatário confiável a trate. Comece encontrando o limite de recebimento que você pode comprovar.
Entenda como o rastreamento é adicionado
Os sistemas SMTP acrescentam informações de rastreamento recebidas à medida que as mensagens passam por eles. A entrada mais recente está, portanto, normalmente mais próxima do topo. Um campo pode registrar o sistema de recebimento, host de envio reivindicado, informações de conexão, protocolo, identificador de fila e hora. Nem toda implementação inclui os mesmos detalhes opcionais. RFC 5321 seção 4.4.
O IP de conexão observado por um receptor confiável é uma evidência diferente de um fornecido pelo cliente EHLO/ Nome HELO ou um nome de host copiado em cabeçalhos inferiores. Preserve essas distinções em vez de exibir cada nome como um salto físico verificado. Um endereço privado ou um nome de host interno pode descrever um segmento interno legítimo sem ser publicamente resolvível.
Estabeleça primeiro o segmento confiável
Comece com o sistema receptor final e trabalhe retroativamente através de sistemas cuja operação e logs são conhecidos. Identifique o ponto onde a mensagem entrou de fora desse limite. Correlacione o identificador de fila do campo confiável, o registro de conexão e o carimbo de data/hora com os logs do servidor. Se um gateway for operado por terceiros, use evidências autorizadas desse gateway em vez de presumir que toda a cadeia é confiável porque o último destinatário a aceitou.
Os campos mais antigos abaixo do limite permanecem reivindicados, a menos que sejam corroborados. Um válido mais tarde DKIM O resultado não estabelece automaticamente cada salto de rede anterior, e um domínio familiar em uma linha de rastreamento não confiável não é prova de que a mensagem atravessou aquela organização.
Reconstrua uma cadeia hipotética de três entradas
Suponha que o campo Recebido superior identifique uma retransmissão interna às 10h05 UTC, o próximo identifique o gateway de perímetro às 10h03 UTC e o mais antigo reivindique um host do banco às 09h58 UTC. Os logs autorizados corroboram os dois eventos de tratamento interno e o endereço do par observado no perímetro. Nenhuma evidência corrobora a afirmação do banco.
A rota suportada volta ao ponto observado do perímetro e então para. O nome familiar do banco permanece como texto fornecido. Mesmo a diferença de dois minutos entre os carimbos de data/hora internos é apenas um intervalo aparente até que a precisão do relógio e os registros da fila sejam verificados; ele por si só não atribui um atraso a um servidor.
Estas são suposições de campo e log inventadas, não uma rota medida ou analisador executado. Num incidente real, preserve quais as provas que suportam cada salto e pergunte ao administrador relevante os registos em falta, em vez de transformar a linha mais baixa em prova de origem.
Use o tempo com cautela
Converta carimbos de data/hora em um fuso horário consistente, mantendo os originais. Os relógios podem estar errados e um carimbo de data/hora em um campo não confiável pode ser inventado. Um intervalo negativo ou um intervalo longo é uma pista a ser investigada, e não uma prova de adulteração ou a localização exata de um atraso. Os logs de fila podem distinguir o tempo de espera das discrepâncias de relógio.
Encerre com um diagrama de rota ou uma pequena lista ordenada que rotule cada salto como observado, corroborado ou reivindicado. Identifique o último limite confiável, qualquer momento inexplicável e qual fonte adicional resolveria o problema. Não transforme o IP de origem aparente na identidade ou certeza geográfica de uma pessoa.
Crie um registro de rota limitado
- Comece com o receptor final que você pode comprovar.
- Combine cada salto confiável com registros de fila e conexão.
- Mantenha os nomes reivindicados pelo remetente separados dos endereços dos pares observados.
- Retenha os valores originais do fuso horário e investigue as diferenças do relógio antes de atribuir o atraso.
- Pare no limite não corroborado; identifique a origem do log necessária para continuar.