En hög totalt sett DMARC genomgångsfrekvens kan samexistera med en trasig affärskritisk tjänst. Den större strömmen dominerar aritmetiken, medan den mindre strömmen kan ha lösenordsåterställningar, fakturor eller brådskande varningar. Granska kända legitima tjänster separat innan du använder rubrikkursen för att godkänna en ändring.
Definiera vad som passerar
Referenser: RFC 9989 §5.3.5, RFC 9990 §3.1.1.9, RFC 9990 §3.1.1.8, RFC 9989 §5.4.
Använd de DMARC-utvärderade justerade resultaten snarare än råa SPF eller DKIM framgång ensam. Med en tillämplig giltig policy och genomförda kontroller räcker det att godkänna en justerad mekanism för ett DMARC -pass på meddelandenivå; att kräva båda skapar ett annat mått. Dispositionen är separat: ett meddelande kan hanteras under ett mottagarundantag utan att bli ett autentiseringspass.
Vikt rader efter deras budskap räknas. En enda frisk rad som representerar tusentals observationer och en felaktig rad som representerar tio är inte lika stora populationer. Märk priset som att det gäller insamlade observationer, inte alla meddelanden som skickas.
Dela upp det godkända sändningsinventariet
Kartlägg observerade identiteter till tjänster med hjälp av leverantörskonfiguration, kända rutter och auktoriserade meddelandeprover. En käll-IP i sig kan delas eller representera en speditör. Bevara oklassificerad trafik istället för att tilldela äganderätt från en gissning.
För varje kritisk tjänst, registrera observerad volym, anpassade antal godkända och misslyckade, mottagartäckning och senaste testresultat. Håll okänd och misstänkt obehörig trafik åtskild från den verifierade legitima kohorten. Klassificeringsändringar bör dateras så att en förbättrad frekvens inte tyst kan bli resultatet av att utesluta obekväm data.
Undersök den lilla bäcken
Illustrativt fall: en marknadsföringstjänst har 99 900 passerande observationer och en tjänst för lösenordsåterställning har 100 misslyckade observationer. Den kombinerade genomgångsfrekvensen är 99,9 procent, medan den observerade genomgångsfrekvensen för återställning av lösenord är noll. Den aggregerade hastigheten är matematiskt korrekt men operationellt ofullständig.
Detta bevisar inte att varje lösenordsåterställning avvisades eller att alla meddelanden från den tjänsten nådde rapporterande mottagare. Det motiverar en omedelbar undersökning på ruttnivå. Inspektera aktuella råmeddelanden, anpassade identiteter, leverantörsinställningar och relevanta gateways istället för att fira den totala procentandelen.
Sätt beslutsgrindar runt påverkan
Använd rubrikkursen för sammanhang, kräv sedan bevis för kritiska tjänster innan du skärper policyn. En tjänst med låg volym utan observationer behöver ett test eller en dokumenterad lucka, inte ett antaget godkänt. Prioritera åtgärdande efter affärspåverkan, legitimitetsförtroende och aktuella felbevis.
Avsluta serviceproblemet med nya end-to-end-tester och efterföljande rapportobservationer när de är tillgängliga. Behåll både totalmåttet och servicevyn i driftsrapporten. En användbar sammanfattning gör det viktiga undantaget synligt istället för att låta hälsosam volym dölja det.
Gör undantag synliga i driftöversynen
Lista varje kritisk tjänst med dess ägare, förväntade identitet, observerade fel och aktuellt undersökningstillstånd. Visa antalet även när avrundning skulle få det övergripande diagrammet att se perfekt ut. Inkludera det senaste framgångsrika kontrollerade testet och alla rutter som det inte körde. En ägare bör uttryckligen acceptera en kvarvarande lucka snarare än att tillåta en oklassificerad tjänst att försvinna från granskning. Kontrollera efter ändringar av avsändare eller mall, eftersom ett tidigare passerande prov inte fastställer att en nyligen ändrad rutt fortfarande skyltar och riktar in korrekt.
Fortsätt undersökningen
Använd genomgång av sammanlagd rapport att tolka de underliggande fälten och guide för inriktningsdiagnos när ett obearbetat autentiseringspass inte uppfyller DMARC .
Håll beslutet begränsat
Den lokala beräkningen ger 99 900 / 100 000 = 99,9 % totalt godkänt och 0 / 100 = 0 % för den hypotetiska lösenordsåterställningskohorten. Det omedelbara beslutet är att undersöka den kritiska vägen, inte dra slutsatsen att alla 100 meddelanden avvisas. Dessa är uppfunna undervisningsräkningar, inte kundtelemetri.