En karta kan göra en DMARC rapport lätt att skanna och lätt att övertolka. Ett färgat land kan representera infrastruktur associerad med en käll-IP, inte platsen för den person som skickade ett meddelande. Det underliggande samlad rapport tillhandahåller en källadress; geografi är en extra uppslagning vars metod och datum måste förbli synliga.
Identifiera vad kartan faktiskt ritar
Referenser: RFC 9990 §3.1.1.8.
Fråga om visualiseringen kartlägger rapporterade käll-IP:er, reporterplatser eller en analytikers härledda tjänsteplatser. Det är olika populationer. RFC 9990 beskriver käll-IP:en i den samlade posten. Det tillhandahåller inte ett verifierat fält för angriparens land.
MaxMinds noggrannhetsvägledning förklarar att en IP-uppskattning inte kan lokalisera en specifik individ eller hushåll och kan hitta en proxy snarare än dess användare. Registrera anrikningsleverantören, databasupplagan, uppslagstid och geografisk precision. Behåll okända resultat som okända. Konvertera inte en otillgänglig plats till huvudkontoret för en värdleverantör. Om endast förtroende på landsnivå stöds, skapar en exakt stadsnål ett missvisande intryck.
Separera infrastruktur från ansvar
Delad hosting, reläer och gateways kan placera många icke-relaterade användare bakom infrastruktur som får samma geografiska etikett. Ett meddelande som dirigerats via en mellanhand kan visas från den förmedlarens adress hos den rapporterande mottagaren. Infrastrukturens placering är därför en undersökningsledtråd, inte bevis på kontoägande, auktorisation eller avsändarens avsikt.
En omvänd DNS-etikett eller leverantörsnamn lägger till ytterligare en ledtråd, inte ett ägarcertifikat för din organisation. Bekräfta en kandidattjänst med kontokonfiguration, betrodda meddelandebevis och en företagsägare innan du klassificerar dess observationer som legitima.
Definiera det visade måttet
Referenser: RFC 9990 §3.1.1.8, RFC 9990 §3.1.1.4, RFC 9990 §3.5.4.
Välj om färg representerar unika IP-adresser, meddelandeobservationer eller misslyckade observationer. Märk det explicit. Att summera sammanlagda räkningar ger ett annat mått än att räkna kartnålar. Bevara rapportintervallet, bidragande mottagare, regler för dubbletthantering och antalet okända platser bredvid displayen.
Om du jämför länder, använd samma anrikningsrevision och observationsomfång. En databasuppdatering kan flytta adresser mellan regioner utan en ruttändring. En ny rapporteringsmottagare kan ändra den skenbara kartan utan en ny kampanj. Markera dessa förändringar innan du drar en trendslutsats.
Arbeta igenom en geografisk varning
Syntetiskt exempel: en berikad region har 900 misslyckade observationer från ett delat molnområde; en annan har tio fel på en verifierad löneväg. Kartan framhäver 900-observationsregionen starkast. Det etablerar inte 900 angripare där, och det gör inte heller lönefelet oviktigt.
Nästa åtgärder skiljer sig: behåll den stora okända strömmen för tillskrivnings- och missbruksanalys, och testa den verifierade lönevägen omgående. Lägg inte till det delade intervallet SPF eftersom dess leverantör är bekant. Blockera inte ett helt land enbart från denna karta utan att utvärdera faktiska tillstånd, hantering och affärskonsekvenser.
Publicera kartan med en varning och drill-down
En användbar bildtext säger att platser är uppskattningar för rapporterad källinfrastruktur, specificerar anrikningsversionen och noterar att okända bevaras. Ange en sökväg till källposter, identiteter, antal och bevis för tjänsteägande. Begränsa detaljerad åtkomst när den avslöjar operativ information utanför den avsedda publiken.
Avsluta varje geografisk undersökning med ett underbyggt fynd, olöst tillskrivning och en ägare för nästa steg. Om geografi inte bidrar med något till beslutet, använd istället en kö på servicenivå. En karta ska hjälpa en analytiker att välja bevis att inspektera, inte ersätta det beviset med en säker berättelse om var en angripare bor.
Fortsätt undersökningen
Använd genomgång av sammanlagd rapport för de underliggande fälten och guide för inriktningsdiagnos när den råa autentiseringsframgången inte uppfyller DMARC .
Håll illustrationen inom dess bevis
För den fiktiva 900-mot-10-jämförelsen ger kartan inget antal personer, angripare eller bekräftade övergrepp. Bevara den större oklassificerade strömmen samtidigt som du prioriterar den understödda löneutredningen. Ingen IP-geolokalisering, geografisk blockering eller avsändarbehörighet utfördes.