En ärvd avsändarinventering är ett beslutsverktyg, inte en lista över IP-adresser. Innan du standardiserar förvärvade domäner, koppla observerad post till den kundspecifika tjänst som producerade den, dess företagare och dess godkända identiteter. En bekant leverantör kan vara värd för både legitim och oönskad trafik, så enbart infrastrukturigenkänning är inte godkännande.
Börja med flera beviskällor
Samla in auktoriserade konfigurationsexporter, applikationsregister, leverantörskontoposter, DNS observationer och tillgängliga e-postbevis. Bevara varifrån varje observation kom och när den samlades in. Sammanlagda rapporter kan avslöja käll-IP:er och autentiseringsmönster men kan inte självständigt fastställa organisationens affärsavsikt eller fullständiga avsändarpopulation. RFC 9990.
För varje tjänst, postsyfte, ansvarig ägare, leverantörskonto eller hyresgäst, kritikalitet, synlig Från domän, kuvertdomän, DKIM undertecknande identitet, sista representativa test och godkännandebevis. Håll okända fält explicita. Spela in sändning och mottagning separat för domäner som kan vara vilande eller defensiva.
Attribut identiteter innan du lägger till auktoritet
Jämför de observerade identifierarna med den faktiska leverantörskonfigurationen och affärsflödet. DMARC använder inriktning mellan författarens domän och en framgångsrik autentiserad identifierare; ett generiskt passresultat utan identifierarna kan dölja problemet du behöver lösa. RFC 9989.
Lägg inte till en okänd källa till SPF helt enkelt för att post verkar ha sitt ursprung där. SPF auktoriserar värdar för den utvärderade identiteten, och dess utvärdering inkluderar DNS sökningsgränser. RFC 7208 , avsnitt 4.6.4. En ny inkludering kan utöka behörigheten, överskrida operativa gränser eller misslyckas med att fixa anpassningen. Upprätta den avsedda tjänsten och lämplig autentiserad rutt först.
Håll godkännande och testning åtskilda
En godkänd tjänst kan fortfarande misslyckas med ett migreringstest. ett autentiserat meddelande kan fortfarande komma från en ej godkänd tjänst. Lagra båda staterna. Godkännandebevis bör identifiera det ansvariga beslutet, medan testbevis bör beskriva den faktiska transaktionen, identiteter, resultat och tid. Använd inte ett testpass som ersättning för företagsägande.
Anta att en ärvd faktureringstjänst har en namngiven företagsägare och ett godkänt syfte, men målkontots signeringsidentitet har inte verifierats. En andra tjänst har ett anpassat meddelande men ingen identifierad företagsägare. Den första behöver vägbevis före migrering; den andra behöver tillskrivning och godkännande innan den behandlas som en auktoriserad tjänst. Ingendera luckan löses av den andra tjänstens betryggande resultat.
Dessa är hypotetiska inventeringsbeslut, inte genererade poster eller utförda tester. Håll separata fält för ägande, avsedda identiteter, godkännande och aktuell testtäckning. När applikationsägaren tillhandahåller de saknade kontobevisen, uppdatera endast tillståndet som den upprättar; ändra inte automatiskt ett opestat migreringsresultat till godkänt.
Förvandla tillskrivning till en migreringsplan
Gruppera tjänster efter verifierad ägare, beroende och beredskap. Definiera de avsedda målidentiteterna och testerna innan du redigerar poster. Bevara okända rutter för undersökning, med en namngiven ägare och deadline, snarare än att tyst godkänna eller ta bort dem. Behåll den gamla konfigurationen och en godkänd återhämtningsplan för varje följdövergång.
Efter standardisering, stämma av faktiska observationer mot den godkända inventeringen och undersök nya identiteter. Behåll pensionerade tjänster och deras beslut i historien. En användbar inventering förblir en driftpost genom leverantörsändringar och incidentrespons, snarare än ett kalkylblad som överges när fusionsprojektet avslutas.
Detta arbetsflöde för inventering och granskning är en rekommenderad driftsmodell. NIST SP 800-53 Rev. 5 CM-8 och CM-3 ger en allmän grund för ansvarsskyldiga inventeringar och kontrollerade förändringar; de föreskriver inte dessa e-postspecifika fält eller ger godkännande. NIST kontrollkatalog.