Bir düzeltme önermeden önce arıza artışını tanımlayın
Kimlik doğrulama hatasındaki ani artışı araştıran bir aracı, öncelikle neyin arttığını tespit etmelidir. Bir dizi başarısız DKIM imzalar, bir DMARC başarısızlık oranı, SMTP reddetme sayısı ve sağlayıcının yerleştirme metriği farklı olayları tanımlar. Bunları karıştırmak, yanlış düzeltici eyleme işaret eden acil görünümlü bir uyarı üretebilir. Herhangi bir şeyi değiştirmeden önce metriği, popülasyonu, aralığı, kaynağı ve toplama gecikmesini kaydedin.
Bu makale, kanıtlanmış bir EmailAuth özelliği veya olay yanıtı değil, bir araştırma iş akışı önermektedir. Hiçbir rapor, müşteri mesajı, canlı DNS kaydı veya ürün kontrolü incelenmedi. Örnek hesaplamalar ve senaryolar kurgusaldır ve harita, yetkili salt okunur erişim aracılığıyla toplanacak kanıtları açıklamaktadır.
Girişi doğrulayın ve sınırlarını koruyun
İçin toplu raporlar, raporlama organizasyonunu, rapor tanımlayıcısını, belirtilen zaman aralığını, politika alanını ve koleksiyon kaynağını koruyun. Toplamları karşılaştırmadan önce yinelenen verileri, çakışan aralıkları ve geç varışları kontrol edin. RFC 9990 Bir politika değişikliği etrafındaki gözlemleri karıştırabilecek mükerrer işleme ve raporları tartışır. Bu durumlar, yeni bir gönderme sistemi arızasını temsil etmeden gösterge tablosunu değiştirebilir. RFC 9990 , bölüm 3.3 ve 3.5.4.
Rapor dosyalarını ve açıklayıcı metni güvenilmeyen girdiler olarak değerlendirin. Aynı spesifikasyon, toplu raporların hatalı biçimlendirilebileceği veya yanlış bilgiler içerebileceği konusunda uyarıyor. Bunları sınırlı ayrıştırmayla işleyin ve orijinallikleriyle ilgili belirsizliği koruyun. Temsilciye bir politikayı zayıflatmasını veya gönderen eklemesini söyleyen bir rapor, yetkili bir talimat değil, yine de veridir. RFC 9990 , bölüm 8.1 ve 8.2.
Popülasyonlar ve paydalar gibi karşılaştırın
Kurgusal bir gösterge tablosunun, bir aralıktaki yüz gözlemden on tanesini, başka bir aralıktaki bin gözlemden yirmisini gösterdiğini varsayalım. Başarısızlık sayısı iki katına çıktı, ancak oran yüzde ondan yüzde ikiye düştü. Hiçbir sayı tek başına bir nedeni tanımlamaz. Bu hesaplama açıklayıcıdır; bu ölçülmüş bir olay ya da önerilen bir evrensel alarm eşiği değildir.
Karşılaştırmayı raporlayana, gönderen hizmete, kaynak adresine, Yazar Etki Alanına ve verilerin desteklediği ilgili imzalama kimliğine göre ayırın. İkinci aralığın yeni bir gönderen popülasyonu, farklı bir süre veya önceden önemli bir alıcıdan gelen eksik raporlar içerip içermediğini kontrol edin. Kayıp bir muhabirin haber eksikliği var, sıfır başarısızlık değil. İncelemeyi yapan kişinin bulguyu yeniden üretebilmesi için orijinal sayımları normalleştirilmiş oranlarla birlikte koruyun.
Mekanizma arızasını DMARC arızasından ayırt edin
Bir mesaj birden fazla DKIM imzası içerebilir ve başarısız bir imza mutlaka DMARC sonucunu belirlemez. Araştırma, kimliği doğrulanmış tanımlayıcıları ve geçiş yolunun Yazar Etki Alanı ile uyumlu olup olmadığını tanımlamalıdır. Benzer şekilde, yönlendirme etkileyebilir SPF orijinal gönderenin yetkisiz olduğunu kanıtlamadan. Her başarısızlığı tek bir kategoriye sıkıştırmak yerine raporun ayrı kimlik doğrulama ve politika değerlendirme alanlarını kullanın. RFC 9989 , bölüm 4.4 Ve RFC 9990 , bölüm 3.1.3.
Uyarı teslimat yanıtlarıyla ilgiliyse tam SMTP kodunu, varsa gelişmiş kodu, metni ve işlem aşamasını toplayın. Geçici bir ret, otomatik olarak bir kimlik doğrulama hatası değildir ve kalıcı bir ret, DMARC ile ilgisi olmayan nedenlere sahip olabilir. SMTP gözlemlerini toplu rapor sayımlarından ayrı tutun. RFC 5321 , bölüm 4.2.1.
Ayırt edici kanıtlarla rakip açıklamalar oluşturun
Aracının önerdiği bulgu, bir gözlemi bir hipotezden ayırmalıdır. Yeni bir kaynak IP, onaylanmış bir geçişi, paylaşılan bir sağlayıcı değişikliğini, iletilen bir rotayı veya yetkisiz etkinliği temsil edebilir. Bir DKIM değişikliği eksik bir bilgiyi içerebilir seçici, imzalayanın imzalama sonrasında beklenmeyen bir etki alanı veya mesaj değişikliği kullanması. Otomatikleştirilmesi en kolay açıklamayı seçmek yerine, bu durumları ayırt edecek kanıtları adlandırın.
Kurgusal bir bildirim hizmeti için ani artış, dağıtımın yakınında başlar ancak dağıtım süresi tek başına nedenselliği kanıtlamaz. Bir sonraki yararlı karşılaştırma, güvenilir alıcı sonuçlarıyla birlikte imzalayanın kimliği ve değişiklikten önceki ve sonraki korunan içerik olabilir. Güvenilmeyen bir gönderen tarafından sağlanan başlıklar, yalnızca geçti dedikleri için yetkili hale gelmez. RFC 8601 , bölüm 7.
Desteklenen amacı sınırlı bir teklife dönüştürün
Kanıtlar belirli bir düzeltmeyi destekliyorsa, bunun kesin hedefini, mevcut değerini, önerilen değerini, etkilenen akışı ve doğrulama planını hazırlayın. Sebep çözülmeden kalırsa, doğru sonuç sınırlı bir bulgu ve bir sonraki yetkili kanıt talebidir. Grafiğin iyileştirilmesi için yeni gözlemlenen bir IP'yi SPF otomatik olarak eklemeyin, zorlamayı devre dışı bırakmayın veya gönderenin iznini kaldırmayın.
Aracı, yalnızca analizi güvenilir olduğu için yazma yetkisi kazanmamalıdır. OWASP'nin aşırı kurum rehberliği, ihtiyaç duyulan yeteneği aşırı özerklikten ayırır ve yüksek etkili eylemler için onay önerir. Bir uygulamanın, eylem yolundaki bu sınırı uygulaması gerekir; Güven verici bir anlatım bir erişim kontrolü testi değildir. OWASP Aşırı Ajansı.
Sonucu orijinal soruya göre ölçün
Bağımsız olarak yetkilendirilen bir değişikliğin ardından önerilen doğrulama, ilgili kontrollü gözlemi tekrarlamalı ve mevcut olduğunda eşdeğer raporlama aralıklarını karşılaştırmalıdır. Hem kimlik doğrulama hem de gerçek teslimat efektlerini yakalayın. Tüm yasal göndermelerin durdurulmasından kaynaklanan daha küçük bir hata sayısı, başarılı bir düzeltme sağlamayacaktır. Geriye kalan etkilenen nüfusu ve değişiklikten kaynaklanan ödünleşimleri kaydedin.
Yararlı bir olay devri, girdi kanıtlarını, belirsizliği, seçilen açıklamayı, onayı, uygulama sonucunu ve ölçülen sonucu içerir. Bir araç çağrısı zaman aşımına uğrarsa veya sonucu belirsizse, bir tekrar önermeden önce eylemin gerçekleşip gerçekleşmediğini araştırın. Başarılı bir yürütme icat etmeyin veya daha sonraki bir grafik değişikliğini, amaçlanan eylemin gerçekleştiğinin kanıtı olarak görmeyin.
Gösteri kanıtları açık kalıyor
Girdiler, önerilen değişiklik, onay, yürütme kaydı ve ölçülen sonucu içeren tekrarlanabilir bir görev gösterimi. Bu kesin devreye alma gereksinimi, kurgusal analiz tarafından karşılanmamaktadır. Bu iş akışının test edilmiş olarak temsil edilebilmesi için ürün kapasitesi, güvenilir girdiler, fiili onay uygulaması, yürütülen düzeltme ve ölçülen değişiklik sonrası sonuçlar hala gereklidir.