Bir kimlik doğrulama olayı genellikle birkaç saat içerir: bir raporun kapsanan aralığı, raporun gelişi, bir DNS değişikliği, bir uygulama dağıtımı ve kontrollü bir test. Bunları tek bir zaman çizelgesine koymak, yalnızca her olayın orijinal anlamını koruması durumunda faydalıdır. Günlük toplu rapor genellikle dahil edilen her mesajın başarısız olduğu tam dakikayı size söyleyemez.
Ortak bir zaman temeli oluşturun
Referanslar: RFC 9990 §3.1.1.4, RFC 9990 §3.5.4.
Orijinal değerleri ve hassasiyeti korurken görüntülenen zaman damgalarını belirtilen bir saat dilimine göre normalleştirin. Saat kaynaklarını ve bilinen belirsizliği kaydedin. Rapor aralığını varış ve besleme zaman damgalarından ayırın. Geç rapor teslimi, ekin geldiği anda yeni bir gönderim patlaması olarak planlanmamalıdır.
Araştırmanın kapsamını mümkünse bir yazarın etki alanına ve doğrulanmış hizmete kadar genişletin. Sınıflandırılmamış kaynakları ayrı tutun. Muhabir ve rapor kimliğini, mesaj sayılarını, kaynak gruplarını ve değerlendirilen kimliklerin yanı sıra yinelenen ve örtüşen kararları koruyun. Bu ayrıntılar hangi gözlemlerin yasal olarak karşılaştırılabileceğini belirler.
Geçmişi yeniden yazmadan DNS kanıtı ekleyin
Referanslar: RFC 1034 §3.6, RFC 8767 §4, RFC 9990 §3.3.
Onaylanan değişikliği, amaçlanan yayın süresini, yetkili gözlemleri ve tüm çözümleyici örneklerini, arama süresi ve iade edilen TTL dahil olmak üzere kaydedin. Geçerli bir DNS yanıtı, söz konusu aramanın şu anda ne gözlemlediğini belirler; her alıcının daha önce gördüğü şeyin tam bir geçmişi değildir.
DNS önbelleğe alma önemlidir RFC 1034 §3.6; altında nitelikli servis-bayat davranışını RFC 8767 §4 önbellek kullanımını normal tazeliğin ötesine taşıyabilir. Tüm alıcıların yayın anında değiştirildiğini veya daha sonra tam olarak bir TTL'nin görüntülendiğini iddia etmeyin. Önceki yapılandırmayı, değişiklik kaydını ve kanıt sınırlarını koruyun. Bir rapor aralığının bir politika değişikliğini kapsadığı durumlarda, her gözlemi nihai politikaya atamak yerine, bunu karışık veya potansiyel olarak karışık olarak etiketleyin.
Uygulama ve alıcı kanıtlarını ekleyin
Referanslar: RFC 5321 §4.2.5.
Uygulama dağıtımlarını, ağ geçidi değişikliklerini ve imzalama değişikliklerini DNS olaylarının yanına yerleştirin. Kontrollü testleri, gerçek rotası, alıcısı ve sonuçlarıyla birlikte bireysel gözlemler olarak saklayın. Bir başvuru günlüğü, bir aşamada gönderimi veya kabulü gösterebilir; mutlaka nihai teslimatı oluşturmaz.
Rakip açıklamaları test etmek için bu kanıt türlerini kullanın. DNS düzenlemesinden sonraki hata artışı, imzalı içeriği değiştiren yeni bir şablonla da çakışabilir. Korelasyon soruşturmayı daraltır ancak daha fazla kanıt olmadan nedeni belirlemez.
Sınırlı bir zaman çizelgesi üzerinde çalışın
Örnek olay: Bir rapor 00:00 ile 24:00 UTC arasındaki saatleri kapsar. Bir politika değişikliği 12:00'de kaydedilir ve 12:20'deki kontrollü test uyumlu hale getirilir DKIM. Rapor 80 başarılı ve 20 başarısız gözlem içeriyor ve ertesi sabah saat 05:00'te ulaşıyor.
Aralık toplamlarını ve başarılı testi 12:20'de belirtebilirsiniz. Sırf test daha sonra geçtiği için 20 başarısızlığın tamamını öğleden önceye atayamazsınız. Bir sonraki eylem, daha dar alıcı veya uygulama kanıtı elde etmek veya ek temsili testler yapmaktır. Saat 05:00'e varış, 20 başarısızlığın zamanı değil, bir toplama olayıdır.
Doğru kuvvete ilişkin nedensel bir ifadeyle kapatın
Sonuçları gözlemlenen, doğrulanan veya hala varsayımsal olarak etiketleyin. Şüphelenilen nedeni destekleyen kanıtları ve göz ardı edilmeyen rakip açıklamaları belirtin. Kesin bağlantı mümkün değilse, grafikte kesin bir hasar sınırı çizmek yerine belirsizliği koruyun.
Kaynak referansları, sorgu revizyonu, dahil edilen aralıklar ve sahiplik sınıflandırmaları ile zaman çizelgesini kaydedin. Bir onarımdan sonraki ilk karşılaştırılabilir raporlama dönemi gibi bir sonraki doğrulama tetikleyicisini kaydedin. Yeniden kullanılabilir bir zaman çizelgesi, başka bir analistin, sonucun hem gerçeklerini hem de sınırlarını yeniden yapılandırmasına olanak sağlamalıdır.
Soruşturmaya devam et
Şunu kullanın: toplu rapor izlenecek yol temel alanlar ve hizalama teşhis kılavuzu ham kimlik doğrulama başarısı tatmin edici olmadığında DMARC.
Çizimi delilleri dahilinde tutun
Kurgusal 80 başarılı/20 başarısız aralığı için, 20 arıza süresinin tamamını bilinmeyen tutun. 12:20 testi daha sonraki bir gözlemdir ve 05:00'teki varış bir toplama etkinliğidir. Hiçbir gerçek DNS araması veya kimlik doğrulama testi yürütülmedi ve zaman çizelgesi kanıtlanmış bir nedensel kesintiyi tespit etmiyor.