欺诈响应团队需要简短说明消息声称的身份、接收系统实际验证的内容以及哪些业务操作仍然不安全。仅长标头转储并不能回答这些问题。保留技术原件，然后充满信心和未知地创建面向决策的摘要。
将四个身份分开
记录可见的作者地址、回复、信封身份和 DKIM 签署域（如果存在）。将显示文本所代表的明显个人或组织添加为单独的声明。看起来合法的显示名称可以与不同的域共存。 DMARC 检查 域对齐，而不是指定的高管是否批准了该消息。 RFC 9989.
请勿用源 IP 替换负责人或客户。共享服务、转发和网关使路由变得复杂。将基础设施所有权视为需要与服务记录和授权调查相关联的线索，而不是现成的指控。
标记每个证据层
原始导出是捕获的工件。接收器结果是来自特定身份验证服务的声明。业务验证是通过组织授权的工作流程进行单独确认。归因是一个可能仍未解决的调查结论。将这些层放在不同的字段中，这样欺诈分析师就不会将一个字段误认为另一个字段。
RFC 8601描述了信任边界 Authentication-Results。从不受信任的来源复制的字段不能仅通过包含在事件包中而变得具有权威性。 RFC 8601。保留有问题的字段作为存在内容的证据，但将它们标记为不可信并要求接收者提供证实的记录。
建立交接记录
包括案例标识符、集合所有者、接收者观察到的可用时间、原始哈希、共享副本哈希、观察到的身份、业务请求、已知影响和立即采取的下一步行动。说明是否已请求、发起或确认发送付款；不要从电子邮件的措辞中推断损失。将不必要的个人或财务细节排除在广泛共享的摘要之外。
对于财务请求，已知联系人支票属于付款所有者。 FBI 建议通过已知渠道独立验证帐户和付款更改。 联邦调查局指导。认证结果应告知该响应，而无需成为财务授权。
审查完整的假设切换
案例 DEMO-FRAUD-01 是一个书面示例，而不是捕获的事件。指定显示名称示例帐户并可见 From billing@brand-payments.test 。回复， 信封发件人 不提供DKIM签名域。复制的标头声称通过了brand.test，但其可信接收者来源未知；身份验证和演员归属仍未解决。
原始文件、集合时间戳、原始哈希、编辑副本哈希和转换日志在此示例中均不可用。不要捏造任何这些价值观。在实际情况中，授权收集者保留原始文件并准确记录特定于收件人的派生文件的更改，然后计算每个文件的实际摘要。摘要识别字节，而不是人类发送者。
假设业务请求是付款变更。资金是否已发起或发送尚不清楚，并且已知联系人验证尚未完成。拟议的财务所有者保留验证保留；提议的邮件所有者获得可信的收件人证据；事件负责人批准任何特定共享。这些是不可接受的教学角色分配，而不是执行的回调、编辑或报告。
通过明确的决策请求结束交接：保留付款、调查帐户、验证供应商指令或等待指定的证据。这可以防止技术团队无意中决定采取财务行动，并防止欺诈团队假设每个未解答的技术问题都会阻止立即遏制。