[ 地区要求 ]

使用权威域列表研究政府域身份验证

使用官方域列表作为有界框架,然后将注册表成员身份与邮件使用和策略合规性区分开来。

由EmailAuth研究团队提供 · 4 分钟阅读

[ 要点 ]

  • 使用官方域列表作为有界框架,然后将注册表成员身份与邮件使用和策略合规性区分开来。
  • 注册管理机构成员资格、 DNS观察和政府合规性是单独的声明。
在此页面上

政府领域的研究在需要通过率图表之前需要确定的人群。注册域名可以用于网站、已停用的程序或非发送目的。它出现在官方列表中只是出处,而不是每条机构消息都使用该域或成功验证的证据。

选择并冻结官方框架

CISA的 dotgov-data 存储库将包含联邦注册的 current-federal.csv 与涵盖更广泛的 .gov 区域的 current-full.csv 区分开来。它的自述文件称,列表包括处于就绪和保留状态的二级域,而不是每个主机名;它还警告注册域名不需要提供在线服务。在研究标题和纳入规则中使用这些限制。联邦并不自动与行政部门相同。

对于真实的集合,请保留实际的文件字节、源 URL、检索时间和内容哈希,以及任何可用的版本标识符。不要仅仅记录指向正在变化的主分支文件的链接。保留原始字段和文档规范化、重复处理和排除。本文未提供人口快照或政府DNS测量。

在检查结果之前修复选择

在收集结果之前选择普查或声明抽样规则、样本大小和随机种子或确定性排序。精心挑选的一对熟悉的名字是一个说明性案例研究,而不是代表性样本。之后查找他们的注册成员身份是选择后的佐证,而不是他们是从列表中抽样的证据。

分别记录代理、组件和域。一个机构拥有的三个域是三个域观察,但不是三个独立机构。有理由地保留不活动、未解决和排除的行,而不是悄悄删除它们。不要用更方便的成功域替换失败的观察。

保留查询证据而不是布尔标记

对于每个选定的行,记录确切的查询所有者和类型、解析程序、UTC 请求时间、响应或传输错误、 DNS状态、答案所有者/类型/数据、相关标志和 TTL。保留带有解析器版本及其规范化规则的原始响应。仅成功的 HTTP 请求并不能建立成功的DNS应答。 Google 记录的 JSON API 区分 Status、Answer 和其他响应字段; DNS状态和传输状态属于不同的列。

对于TXT答案,保留字符串边界并正确重建逻辑记录内容。不要误会 CNAME 目标的数据直接回答,无需记录链条。精确的_dmarc查询并不是完整的实现 RFC 9989 政策发现。如果这是研究范围,请将其标记为精确所有者观察,而不是每个子域的有效策略。

检查虚构的三行分类账

这些保留名称和结果是为方法说明而规定的,而不是CISA列表成员或网络观察。所有行都使用TXT类型;故意不提供解析器身份和集合时间戳,因为没有运行查询。

  • agency-a.example :提议的机构 A,组件 Alpha,所有者_dmarc.agency-a.example 。假设 NOERROR 且有一个TXT候选v=DMARC1; p=reject。对文字拒绝候选者进行分类,等待完整语法和发现验证;请勿推断合规性、发送方覆盖范围或接收方拒绝。
  • programme-a.example :提议的机构 A,组件 Alpha,所有者_dmarc.programme-a.example 。假设 NOERROR 没有相关答案。在对NODATA进行分类之前检查CNAME /referral/authority 上下文;不要假设没有有效的政策。
  • agency-b.example :提议的机构 B,组件 Beta,所有者_dmarc.agency-b.example 。假设请求超时且没有DNS响应。记录未知和缺失的证据;请勿将其转换为缺失或无效的策略。

该分类账具有三个域行和两个拟议的机构标签,但不提供真正的分母或采用百分比。一个字面上被拒绝的候选人并不是经过衡量的政府采用率。真实的报告必须分别显示选定的、尝试的、可解释的和未解决的计数,解释分母并保留错误。

将可观察的政策与运营结果分开

RFC 9989描述了策略语法、发现和接收器处理。已发布的首选项不会强制每个接收者进行处理,也不会显示合法路由是否一致。 RFC 9990 描述了单独的消息派生的聚合证据及其自己的报告范围。 DNS快照和合计百分比都无法证明每个公民都收到了通知。

政府命令需要单独的权威适用性研究。不要将注册表成员资格、拒绝标签或成功的解析器转换为合法合规徽章。如果所请求的结论需要发送者清单或接收者证据,请说明差距,而不是用假设的成功来填补它。

定义可重复的发布包

在发布实际的实证结果之前,保留冻结框架、预收集计划、排除、原始响应、标准化行、解析器版本、错误日志、收集窗口和声明到行映射。新的集合测量新的时间窗口;它不会追溯验证不可用的历史运行。另一位审查员应该能够追踪每个报告的数字以提供证据。

本文是一种方法论和书面示例,而不是收集的政府结果的报告。没有对其假设的账本执行任何DNS更改、实时查询或电子邮件发送。原手稿的历史主张在此不用作当前证据。

[ 外卖 ]

注册管理机构成员资格、 DNS观察和政府合规性是单独的声明。

[ 按角色 ]

这对您意味着什么

选择您的角色以执行后续实际步骤。

IT/邮件管理员

可重复地连接源

注册表行和查询行需要稳定的密钥。

后续步骤

  1. 保留 CSV 快照。
  2. 保持部门和下属组织领域的不同。
  3. 按域而不是显示标签验证列表成员身份。

CISO / SecOps

保持任务独立

列出成员资格和拒绝标签不建立合规性。

后续步骤

  1. 独立检查适用的义务。
  2. 在更广泛的索赔之前先审查出处和覆盖范围。
  3. 保持不活跃和项目领域覆盖范围明确。

创始人/非技术人员

使用正确的政府范围

声明的抽样框架和测量的覆盖范围必须先于政府范围内的索赔。

后续步骤

  1. 冻结官方名单及其范围。
  2. 收集前说明计划的选择规则。
  3. 披露不完整的覆盖范围和未知的结果。

[ 常见问题解答 ]

常见问题

可以使用哪个官方框架?

CISA的 dotgov-data 存储库描述了联邦二级 .gov 注册的 current-federal.csv。冻结并保留实际文件以进行真正的研究。

政府人口普查是在这里进行的吗?

不。本文提供研究设计和虚构的决策分类账,而不是实时的政府DNS观察。

选择规则应何时确定?

在读取结果数据之前。保留完整的框架和排除,并将选择后佐证与抽样区分开来。

列出的域是否可以使用邮件?

不会。注册会员资格并不建立发送服务或机构使用的每个主机名。

候选p=reject字符串证明了什么?

仅假定响应中规定的文字字段;语法、策略发现、发送者覆盖范围和接收者行为需要单独的证据。

一个部门可以有多个域行吗?

是的。计算分母时,将部门、组件和域关系分开。

如何处理失败的查询?

保留未知的结果及其实际错误,而不是无策略的结果。空答案也需要查询链上下文。

这是否建立了合规性?

不需要。授权、适用性和控制充分性需要单独的权威审查。

[ 来源 ]

来源

  1. RFC 9989

    部分 §4.7 · §4.10.1 · §5.3 · §5.4

  2. RFC 9990

    部分 §3.1 · §4 · §7 · §8 · §9

  3. 谷歌公共DNS JSON API

    部分 支持的参数 · JSON 格式的DNS响应:状态、应答、TTL 和DNSSEC标志

  4. CISA官方 .gov 域数据存储库

    部分 自述文件:文件、更新节奏、就绪和暂停状态、二级域范围

[ 词汇表 ]

词汇表

取样架
从中选择观察结果的声明列表;它不一定是目标人群。
准确的所有者观察
对指定DNS名称和类型的响应,而不推断更广泛的发件人范围。
未知的观察
尝试的测量没有产生足够的可解释证据。
观察窗
记录的收集操作的 UTC 开始和结束。

企业出处

为什么顶级金融机构和政府 退役了他们的电子邮件安全仪表板。

传统的电子邮件身份验证平台会向您出售仪表板并要求您的工程师来完成这项工作。在高风险环境中,手动监督意味着延迟执行、配置漂移和不受监控的影子域。

EmailAuth是代理电子邮件来源平台。 我们的代理人强制执行 p=reject,保持第三方发件人一致并将您的域名移至完整状态 RFC 9989 合规性、新的DMARC标准,以及人机交互审核能力。

政府 大型企业 一级金融机构

SaaS · 专用租赁 · 气隙本地部署 · BYOK 加密

知识库