將意外答案與中毒發現分開
DNS快取中毒將不正確的資料放入快取中，隨後向客戶端提供答案。對於電子郵件身份驗證，這可能會扭曲接收者檢索到的策略或金鑰材料。這是對可疑解析器差異的可能解釋，而不是透過兩個不同的螢幕截圖建立的診斷。首先確定觀測值是否涉及相同的所有者名稱、記錄類型、網路視圖和時間間隔。
一項有用的調查詢問有問題的答案進入解決路徑的位置。未經授權的權威編輯、中毒的遞歸快取、合法的過時條目和本地解析器覆蓋是不同的情況。它們都可能產生與操作員期望不同的答案。在建議修復之前，列出假設和區分假設所需的證據。
解釋安全邊界而不重現攻擊
DNS解析器需要拒絕與未解決的問題不符的回應，並套用有關接收到的資料可信賴的規則。 RFC 5452第 9 節 指定防禦性匹配要求和不可預測的查詢標識符和來源連接埠。這些措施使得偽造的回應更難以接受；它們不能取代維護受支援的解析器軟體並檢查其實際配置。
DNSSEC 新增資料來源身份驗證和完整性，其中驗證解析器可以建立所需的信任鏈。安全狀態將經過驗證的資料與未簽署或未經驗證的情況區分開來。 RFC 4033第 3 節和第 5 節 解釋了這些界限。工具中可見的簽章記錄本身並不能證明郵件接收者對其進行了驗證。
到解析器的加密傳輸會在自己的身份驗證假設下保護該連線。它並不能確定解析器傳回的所有資料都是權威的或經過正確驗證的。將傳輸安全性、 DNSSEC驗證和管理控製作為單獨的證據字段，而不是將它們壓縮到單一安全 DNS 徽章中。
保留稍後可以解釋的比較
對於每個觀察，保留查詢的完全限定名稱、類型、解析器或權威端點、時間戳記和網路優勢點。保留回應狀態、相關標誌、答案記錄、TTL、權威資料和任何擴展診斷資訊。記錄驗證是被請求、在本機執行還是僅由上游解析器報告。不要從無法解釋的圖示推斷驗證。
當組織授權這些觀察結果時，將已知基準與目前授權和多個相關遞歸路徑進行比較。不同的公共解析器可以提供有用的比較點，但沒有一個可以取代接收者實際使用的路徑。在將原始結果規範化為表格之前保留原始結果，以便以後的審閱者可以檢查省略的細節。
接收方的身份驗證結果回答了一個不同的問題：它在處理時對該訊息得出了什麼結論。目前查找無法自動重建過去的快取。關聯訊息時間、查詢的身份和可用的解析器遙測。如果沒有遙測，請將因果解釋標記為未解決，而不是聲稱特定的DNS答案導致特定的通過或失敗。
在升級之前測試普通解釋
合法更改後，快取的肯定答案和否定答案可能會有所不同。 RFC 2308第 5 節 描述了用自己的一生保留否定的答案。新發表的一篇 選擇器 因此，當解析器仍然返回較早的缺席時，可能會在權威機構處可見。此觀察結果與快取相容且不會造成中毒。
解決失敗也可以緩存在 RFC 9520第 3 節。 SERVFAIL並不等於遺失的身份驗證記錄，立即重複可能會重現保留的故障，而不是啟動新的成功解決方案。另外，允許的服務陳舊行為 RFC 8767 僅僅意味著過期並不能普遍保證舊資料不會出現。
檢查授權的水平分割安排、不一致的權威伺服器、最近的授權變更和本地網路策略。這些解釋並不是駁回可疑數據的理由。它們提供了相互競爭的假設，事件所有者可以用證據來確認或排除這些假設。
兩個不同答案的虛構範例
在這個虛構的比較中，郵件擁有者期望在june._domainkey.example.com處有一個新的選擇器。授權機構被記錄為在 14:10 提供新密鑰，而解析器 A 在 14:12 返回較早的否定答案，解析器 B 在 14:13 返回密鑰。這些時間和結果是發明出來的，不是查詢筆錄。
提議的第一個決定是檢查早期的否定回應及其快取上下文。如果解析器 A 隨後以與該上下文一致的方式傳回預期金鑰，則可以在不中毒的情況下解釋該情況。如果它傳回一個從未出現在授權歷史記錄中的不相關金鑰，證據就會變得更加可疑，但團隊仍然需要在確定原因之前調查解析器和權威路徑。
任何比較都不應將發明的範例提升為事件結果。在真實案例中，可疑值和稱其為未經授權的依據都需要保留證據和負責任的所有者。
根據受影響層選擇恢復
如果事件擁有者確認遞歸服務受到損害，請使用組織核准的程序還原可信任操作，並驗證受影響用戶端的解析器路徑。如果權威內容發生更改，請修復並保護該管理路徑。單獨的快取刷新並不能防止重新插入或逆轉受損的權限，刷新筆記型電腦也不能清除遠端郵件提供者的快取。
恢復後，將新觀察結果與核准的基線進行比較，並檢查代表性訊息結果。記錄有關早期決策和下游快取的剩餘不確定性。本手稿的原始證據要求仍然開放：沒有收集帶有時間戳的解析器與 TTL、回應類型和權限的比較，也沒有進行中毒測試或即時修復。