En e-posthuvud är en samling fält skrivna av olika system vid olika tidpunkter. Vissa fält uttrycker avsändarens egna påståenden; andra rapporterar vad en mottagare observerat. En användbar undersökning identifierar vem som kunde ha skrivit varje viktigt fält innan man bestämmer vad det bevisar. En inklistrad huvudanalysator kan inte fastställa den härkomsten enbart från text.
Bevara ett komplett original
Få det ursprungliga meddelandet via det mottagande systemets exportmetod som stöds när det är auktoriserat. Behåll originalbyten separat från en kommenterad arbetskopia. Skärmdumpar, vidarebefordrade kopior och kopierade rubrikfragment kan utelämna dubbletter av fält, ändra radvikning eller lägga till nya transporthändelser. Spela in källbrevlådan, insamlingstid och åtkomstgränser utan att onödigt distribuera meddelandeinnehåll.
Bevara dubbletter av fält och deras ordning. Läser två Mottagna eller Authentication-Results fält fastställer vad det exporterade meddelandet innehåller, inte vem som skrev något av fälten. En lyckad analys är inte en autentiseringskontroll.
Identifiera den betrodda mottagningsgränsen
Använd administratörskunskap, gatewaykonfiguration och leveransloggar för att fastställa vilka system som hanterade meddelandet inom den betrodda administrativa domänen. Leta reda på autentiseringsresultaten som de system genererade eller uttryckligen litar på. En bekant authserv-id-sträng är otillräcklig om en extern avsändare kunde infoga samma sträng och mottagningsgränsen inte kunde ta bort eller särskilja den. RFC 8601 avsnitt 1.2 och 7.
Koppla sedan de valda resultaten till deras utvärderade identiteter. SPF Parlamentet berör den SMTP identitet som användes i denna utvärdering. DKIM identifierar en signeringsdomän; DMARC kopplar autentiserade identifierare till den synliga From-domänen. Ersätt inte Reply-To, Sender eller Message-ID för dessa inmatningar. Ett pass är ett avgränsat domänautentiseringsresultat, inte ett bevis på att meddelandet är ofarligt eller att dess affärsbegäran är legitim.
Läs transportleden med en hållplats
Mottagna fält läggs normalt före när e-post rör sig genom SMTP system. Läs den betrodda delen från den senaste posten mot tidigare hopp, sluta sedan behandla kedjan som fastställd när du går in i opålitligt levererat material. Korrelera anslutningsadress, köidentifierare och tid med det mottagande systemets loggar. En äldre påstådd hop kan tillverkas även när en senare betrodd hop verkligen fått meddelandet. RFC 5321 avsnitt 4.4.
Om ett tidigare hopp inte kan bekräftas, bevara dess text som ett påstående snarare än att förlänga den verifierade rutten genom den. Närvaron av en senare betrodd mottagare autentiserar inte all redan existerande spårningsinformation.
Ta fram en kort evidensledd slutsats
Ange den observerade mottagande källan, betrodda autentiseringsresultat, relevanta identitetsskillnader och olösta luckor. Förklara till exempel att det valda mottagningsresultatet rapporterar ett misslyckande för den synliga författaredomänen, medan ett icke-relaterat tillhandahållet resultatanspråk godkänns. Välj inte det gynnsamma resultatet tyst. Om härkomst inte är tillgänglig, märk slutsatsen som villkorad och be om det ursprungliga mottagarens bevis innan du vidtar en följdsäkerhets- eller affärsåtgärd.
Arbeta igenom en hypotetisk fakturagranskning
Anta att en auktoriserad originalexport visar From: accounts@brand.example och Reply-To: help@different.example . Den innehåller också en mottagarrapport om DMARC fel och en icke-relaterad tillhandahållen rapport som gör anspråk på godkänt. Dessa är påhittade observationer, inte en fångad incident.
Fastställ först vilken rapport det verkliga mottagande systemet genererade. Om dess loggar och dokumenterade gränser bekräftar felrapport, behålla det rapporterade resultatet och exkludera det orelaterade passerkravet. Om härkomst inte kan fastställas, säg att betrodd autentisering är okänd snarare än att välja det föredragna resultatet. Bekräfta sedan den ovanliga svarsdestinationen genom en etablerad kontakt eller ett godkänt arbetsflöde innan du skickar känslig information.
Resultatet är inte en förklaring om att avsändaren är bedräglig. Det är en begränsad granskning: känd meddelandekälla, autentiseringsresultat som stöds eller explicit osäkerhet, oförklarad svarsdestination och en motiverad nästa kontroll. Ingen parser, verifierare, brevlåda eller betalningsbegäran testades här.
Skriv en beslutsklar rubriksammanfattning
- Källa: identifiera den auktoriserade ursprungliga export- och insamlingstiden.
- Trust: namnge det mottagande systemet och bekräftande loggar eller dokumenterad gräns.
- Identiteter: post Från, utvärderad SPF identitet och DKIM -signeringsdomän separat.
- Omfattning: särskilj rapporterad autentisering från innehållssäkerhet och affärsmyndighet.
- Nästa åtgärd: lös den minsta bevisluckan innan du ändrar DNS eller svarar på en känslig begäran.