在收集证据之前决定需要什么证据
身份验证证据不是一个统一的数据集。一个 汇总报告、失败消息报告、完整消息示例和DNS更改日志可以回答不同的问题，同时公开不同的信息。保留和访问规则应遵循诊断目的和实际字段，而不是存储所有内容的文件夹的名称。
本指南提出了治理工作流程，而不是法律保留时间表。它使用 2026 年 5 月 DMARC 报告规范和确定的NIST控制措施于 2026 年 11 月 8 日进行了审查。未检查任何客户报告、邮箱或证据存储库。未更改保留设置、批准样品、共享文件或删除数据。
按证据类别构建字段地图
对于聚合报告，记录报告来源、报告间隔、域、连接邮件系统 IP、消息计数以及相关身份验证标识符和结果。 RFC 9990 描述域级聚合数据，而不是消息内容或个人用户详细信息。尽管如此，在将该描述应用于接收的文件之前，请检查实际架构和任何供应商扩展。基础设施和容量信息仍然需要受到限制的业务访问。 RFC 9990
故障报告 需要单独分类。 RFC 9991 解释说他们可以揭露 消息头 有时是整个消息，包括个人或机密信息。因此，请求故障报告是一个独特的数据收集决策，而不是使聚合仪表板更加详细的无害方式。在启用或转发之前确认必要性、范围和收件人。 RFC 9991
完整的邮件样本可以包含地址、主题行、路由历史记录、附件、跟踪标识符以及与调查无关的内容。 DNS观察通常会回答配置问题，而应用程序日志可能会将该配置连接到真实的服务或用户。单独映射这些类别，以便访问低内容的技术摘要不会自动暴露原始消息。
将每个字段与目的和所有者联系起来
对于每个证据类别，写下它回答的问题、为什么请求的字段是必要的以及谁对其使用负责。请求理解 结盟 可能需要域和可信身份验证结果，而不是消息正文。不同的事件可能需要有限的原始样本。这两种情况都没有理由默认收集每个可用字段。
指定批准的存储位置、允许的读取器、导出权和保留触发器。区分可以检查受限样本的调查员和只需要结论的服务所有者。包含不受限制的附件的票证可能会破坏原始存储库的控制，因此字段映射必须包含副本和派生摘要。
NIST SP 800-53 Rev. 5 AC-6 提供了最小权限原则，而 SI-12 则解决了整个生命周期的信息管理问题。他们支持有意识地定义访问和保留；他们没有规定DMARC材料的通用天数。引用的 PDF 是 2020 年 12 月更新版本，发布页面上标识了更高版本 5.2.0。 NIST安全和隐私控制
编辑时不要夸大样本所证明的内容
仅当其受众和目的得到批准时才创建衍生样本。保留已删除或替换字段的明确记录。稳定的占位符可以保留域或地址之间的关系，而不暴露原始值，但这种转换可能会改变可以从样本中验证的内容。
例如，更改已签名的标头或正文可能会使 DKIM签名。经过编辑的消息仍然可以说明解析器的发现，但它不能自动证明原始的密码验证结果。如果验证很重要，请授权分析师检查受保护的原件并附上带有出处的有限发现。 RFC 6376
对文件进行哈希处理可以帮助检测以后的更改；它不能证明数据是真实的、经许可收集的或可以安全分发的。同样，用哈希值替换地址也不能保证匿名性。考虑上下文字段或一小组可能值是否允许某人推断原始信息。
按证据价值和义务选择保留
分离原始输入、解析字段、调查摘录和决策记录。它们不需要具有相同的生命周期。 RFC 9990将后处理存储选择留给报告评估者；它没有规定固定的保留期限。本地保留决策应解释提取后仍保留哪些持续价值以及适用哪些组织义务。 RFC 9990
对于审计和决策记录， NIST AU-11 使用与适用的保留要求一致的组织定义的期限。让负责任的记录、隐私或法律职能解决任何相关义务或保存保留。请勿使用本文来删除受事件或法律保留决定影响的材料。 NIST审计保留控制
定义保留时钟何时开始、谁可以延长保留时钟、如何审查例外情况以及如何证明删除。考虑备份、导出和供应商副本，而不是声称从一项仪表板操作中立即删除。请求查看时间表并不意味着授权删除或永久清除。
控制传输和自动化处理
在外部共享证据之前，批准特定字段或样本、指定目的地、用途和访问范围。外部DMARC报告目标的DNS授权是一种协议机制，不能替代组织有关处理和披露的决策。独立审查两者。 RFC 9990
将收到的报告视为不受信任的输入。 RFC 9990将恶意报告内容和伪造报告数据识别为风险。解析限制和出处检查应该在实际实现中进行评估，而不是因为文件是 XML 就假设。分析代理应该只接收批准的子集，并且没有导出它或更改存储库访问权限的独立权限。
虚构的现场地图练习可以在分析师视图中保留域级对齐观察结果，同时将必要的原始消息保留在单独限制的事件存储中。在负责人批准之前，其保留价值尚未确定。该练习是一个设计示例，而不是经批准的示例或删除过程有效的证明。
所需的原始证据：数据字段地图和经批准的最小证据样本，并具有明确的保留决定。本次征求意见稿中的现场图是提出的，审批和样品都没有，调试大门仍然敞开。