一张地图可以制作一个 DMARC 报告易于浏览，也易于过度解读。彩色国家/地区可能代表与源 IP 相关的基础设施，而不是发送消息的人的位置。底层的 汇总报告 提供源地址；地理是一项附加查找，其方法和日期必须保持可见。
确定地图实际绘制的内容
参考： RFC 9990 §3.1.1.8.
询问可视化是否映射了报告的源 IP、报告者位置或分析师推断的服务位置。这些是不同的人群。 RFC 9990 描述聚合记录中的源IP。它不提供经过验证的攻击者国家/地区字段。
MaxMind 的准确性指导 解释说，IP 估算无法定位特定个人或家庭，并且可能定位代理而不是其用户。记录丰富提供商、数据库版本、查找时间和地理精度。将未知结果保留为未知。请勿将不可用的位置转变为托管提供商的总部。如果仅支持国家/地区级别的信心，则精确的城市图钉会产生误导性印象。
将基础设施与责任分开
共享托管、中继和网关可以将许多不相关的用户置于接收相同地理标签的基础设施后面。通过中介路由的消息可以从该中介的地址出现在报告接收者处。因此，基础设施位置是调查线索，而不是帐户所有权、授权或发送者意图的证明。
反向 DNS 标签或提供商名称添加了另一条线索，而不是您组织的所有权证书。在将其观察结果分类为合法之前，通过帐户配置、可信消息证据和企业所有者确认候选服务。
定义显示的指标
参考： RFC 9990 §3.1.1.8, RFC 9990 §3.1.1.4, RFC 9990 §3.5.4.
选择颜色是否代表唯一 IP、消息观察或失败观察。明确标记它。对聚合计数进行求和会产生与对地图引脚进行计数不同的度量。在显示屏旁边保留报告间隔、贡献接收者、重复处理规则和未知位置计数。
如果比较国家，请使用相同的浓缩修正和观察范围。数据库更新可以在区域之间移动地址，而无需更改路由。新的报告接收者可以更改表观地图，而无需进行新的活动。在得出趋势结论之前标记这些变化。
通过地理警报进行工作
综合示例：一个富集区域有来自共享云范围的 900 个失败观测值；另一个在经过验证的工资单路线上有十次失败。该地图最强烈地突出显示了 900 个观测区域。这并不意味着那里有 900 名攻击者，也不意味着工资单失败就不重要了。
接下来的行动有所不同：保留大量未知流用于归因和滥用分析，并立即测试经过验证的工资单路径。不要将共享范围添加到 SPF 因为它的提供者很熟悉。在未评估实际授权、处理和业务后果的情况下，请勿仅阻止整个国家/地区访问此地图。
发布带有警告和深入分析的地图
有用的标题说明位置是对报告的源基础设施的估计，指定了丰富版本并指出保留了未知数。提供源记录、身份、计数和服务所有权证据的路径。当深入访问显示超出目标受众范围的操作信息时，限制深入访问。
通过有支持的发现、未解决的归因和下一步的所有者来完成每个地理调查。如果地理位置对决策没有任何影响，请改用服务级别队列。地图应该帮助分析人员选择要检查的证据，而不是用有关攻击者居住地点的可信故事来取代该证据。
继续调查
使用 汇总报告演练 对于基础字段和 对准诊断指南 当原始身份验证成功不满足DMARC时。
将插图保留在证据范围内
对于虚构的 900 人与 10 人的比较，该地图没有提供人数、攻击者或已证实的虐待行为的数量。保留更大的非机密流，同时优先考虑支持的工资调查。未执行 IP 地理位置查找、地理块或发件人授权。