Bir harita şunları yapabilir: DMARC raporun taranması kolay ve aşırı yorumlanması kolaydır. Renkli ülke, mesaj gönderen kişinin konumunu değil, kaynak IP ile ilişkili altyapıyı temsil edebilir. Temelde yatan toplu rapor bir kaynak adresi sağlar; coğrafya, yöntemi ve tarihinin görünür kalması gereken ek bir aramadır.
Haritanın gerçekte neyi çizdiğini belirleyin
Referanslar: RFC 9990 §3.1.1.8.
Görselleştirmenin raporlanan kaynak IP'lerini, raportör konumlarını mı yoksa analistin çıkarım yaptığı hizmet konumlarını mı eşleştirdiğini sorun. Bunlar farklı popülasyonlardır. RFC 9990 toplu kayıttaki kaynak IP'yi açıklar. Doğrulanmış bir saldırgan-ülke alanı sağlamaz.
MaxMind'ın doğruluk kılavuzu IP tahmininin belirli bir kişiyi veya haneyi tespit edemeyeceğini ve kullanıcısı yerine bir proxy'yi tespit edebileceğini açıklıyor. Zenginleştirme sağlayıcısını, veritabanı sürümünü, arama süresini ve coğrafi doğruluğu kaydedin. Bilinmeyen sonuçları bilinmeyen olarak tutun. Kullanılamayan bir konumu bir barındırma sağlayıcısının genel merkezine dönüştürmeyin. Yalnızca ülke düzeyinde güven destekleniyorsa, kesin bir şehir işareti yanıltıcı bir izlenim yaratır.
Altyapıyı sorumluluktan ayırın
Paylaşılan barındırma, aktarmalar ve ağ geçitleri, ilgisiz birçok kullanıcıyı aynı coğrafi etiketi alan altyapının arkasına koyabilir. Bir aracı aracılığıyla yönlendirilen bir mesaj, o aracının raporlama alıcısındaki adresinden görünebilir. Bu nedenle altyapı konumu bir soruşturma ipucudur; hesap sahipliğinin, yetkilendirmenin veya gönderenin amacının kanıtı değildir.
Ters DNS etiketi veya sağlayıcı adı, kuruluşunuzun sahiplik sertifikası yerine başka bir ipucu ekler. Bir aday hizmeti, gözlemlerini meşru olarak sınıflandırmadan önce hesap yapılandırmasıyla, güvenilir mesaj kanıtlarıyla ve bir işletme sahibiyle doğrulayın.
Görüntülenen metriği tanımlayın
Referanslar: RFC 9990 §3.1.1.8, RFC 9990 §3.1.1.4, RFC 9990 §3.5.4.
Rengin benzersiz IP'leri, mesaj gözlemlerini veya başarısız gözlemleri temsil edip etmediğini seçin. Açıkça etiketleyin. Toplam sayıların toplanması, harita pinlerinin sayılmasından farklı bir ölçüm üretir. Rapor aralığını, katkıda bulunan alıcıları, çift işleme kurallarını ve bilinmeyen konum sayısını ekranın yanında koruyun.
Ülkeleri karşılaştırıyorsanız aynı zenginleştirme revizyonunu ve gözlem kapsamını kullanın. Bir veritabanı güncellemesi, adresleri yönlendirme değişikliği olmadan bölgeler arasında taşıyabilir. Yeni bir raporlama alıcısı, görünen haritayı yeni bir kampanya olmadan değiştirebilir. Bir trend sonucu çıkarmadan önce bu değişiklikleri işaretleyin.
Coğrafi uyarıyla çalışın
Sentetik örnek: zenginleştirilmiş bir bölgede, paylaşılan bir bulut aralığından 900 başarısız gözlem vardır; bir diğerinin doğrulanmış bir bordro rotasında on başarısızlığı var. Harita en güçlü şekilde 900 gözlem bölgesini vurgulamaktadır. Bu, orada 900 saldırganın bulunduğunu göstermez ve maaş bordrosunun başarısızlığını önemsiz kılmaz.
Sonraki eylemler farklıdır: ilişkilendirme ve kötüye kullanım analizi için bilinmeyen büyük akışı koruyun ve doğrulanan bordro rotasını derhal test edin. Paylaşılan aralığı şuraya ekleme: SPF çünkü sağlayıcısı tanıdık. Gerçek yetkilendirme, işlem ve iş sonuçlarını değerlendirmeden bir ülkenin tamamını yalnızca bu haritadan engellemeyin.
Haritayı bir uyarı ve ayrıntılı incelemeyle yayınlayın
Yararlı bir başlıkta, konumların rapor edilen kaynak altyapısı için tahminler olduğu belirtiliyor, zenginleştirme sürümü belirtiliyor ve bilinmeyenlerin tutulduğu belirtiliyor. Kaynak kayıtlarına, kimliklere, sayımlara ve hizmet sahipliği kanıtlarına giden bir yol sağlayın. Operasyonel bilgileri hedef kitlenin ötesinde ortaya çıkardığında detaya inme erişimini kısıtlayın.
Her coğrafi araştırmayı desteklenen bir bulguyla, çözülmemiş bir atıfla ve bir sonraki adım için bir sahiple tamamlayın. Coğrafyanın karara hiçbir katkısı yoksa bunun yerine hizmet düzeyinde bir kuyruk kullanın. Bir harita, analistin inceleyeceği kanıtları seçmesine yardımcı olmalı, bu kanıtları saldırganın nerede yaşadığına dair güvenilir bir hikayeyle değiştirmemelidir.
Soruşturmaya devam et
Şunu kullanın: toplu rapor izlenecek yol temel alanlar ve hizalama teşhis kılavuzu ham kimlik doğrulama başarısı DMARC karşılamadığında.
Çizimi delilleri dahilinde tutun
Kurgusal 900'e karşı 10 karşılaştırması için haritada kişi, saldırgan veya onaylanmış taciz sayısı yer almıyor. Desteklenen bordro araştırmasına öncelik verirken daha büyük sınıflandırılmamış akışı koruyun. Hiçbir IP coğrafi konum araması, coğrafi engelleme veya gönderen yetkilendirmesi gerçekleştirilmedi.