[ 地區要求 ]

使用權威域列表研究政府域身份驗證

使用官方網域清單作為有界框架,然後將註冊表成員資格與郵件使用和策略合規性區分開來。

由EmailAuth研究團隊提供 · 4 分鐘閱讀

[ 重點 ]

  • 使用官方網域清單作為有界框架,然後將註冊表成員資格與郵件使用和策略合規性區分開來。
  • 註冊管理機構成員資格、 DNS觀察和政府合規性是單獨的聲明。
在此頁面上

政府領域的研究在需要通過率圖表之前需要確定的人口。註冊網域名稱可以用於網站、已停用的程式或非發送目的。它出現在官方清單中只是出處,而不是每個機構訊息都使用該網域或成功驗證的證據。

選擇並凍結官方框架

CISA的 dotgov-data 儲存庫將包含聯邦註冊的 current-federal.csv 與涵蓋更廣泛的 .gov 區域的 current-full.csv 區分開來。它的自述文件稱,清單包括處於就緒和保留狀態的二級域,而不是每個主機名稱;它還警告註冊域名不需要提供線上服務。在研究標題和納入規則中使用這些限制。聯邦並不自動與行政部門相同。

對於真實的集合,請保留實際的文件位元組、來源 URL、檢索時間和內容哈希,以及任何可用的版本標識符。不要僅僅記錄指向正在變化的主分支文件的連結。保留原始欄位和文件規範化、重複處理和排除。本文未提供人口快照或政府DNS測量。

在檢查結果之前修復選擇

在收集結果之前選擇普查或聲明抽樣規則、樣本大小和隨機種子或確定性排序。精心挑選的一對熟悉的名字是一個說明性案例研究,而不是代表性樣本。之後查找他們的註冊成員資格是選擇後的佐證,而不是他們是從清單中抽樣的證據。

分別記錄代理、元件和域。一個機構擁有的三個領域是三個域觀察,但不是三個獨立機構。有理由地保留不活動、未解決和排除的行,而不是悄悄刪除它們。不要用更方便的成功域替換失敗的觀察。

保留查詢證據而不是布林標記

對於每個選定的行,記錄確切的查詢擁有者和類型、解析程序、UTC 請求時間、回應或傳輸錯誤、 DNS狀態、答案所有者/類型/資料、相關標誌和 TTL。保留帶有解析器版本及其規範化規則的原始回應。僅成功的 HTTP 請求並不能建立成功的DNS應答。 Google 記錄的 JSON API 區分 Status、Answer 和其他回應欄位; DNS狀態和傳輸狀態屬於不同的欄位。

對於TXT答案,保留字串邊界並正確重建邏輯記錄內容。不要誤會 CNAME 目標的數據直接回答,無需記錄鏈條。精確的_dmarc查詢並不是完整的實現 RFC 9989 政策發現。如果這是研究範圍,請將其標記為精確所有者觀察,而不是每個子領域的有效策略。

檢查虛構的三行分類帳

這些保留名稱和結果是為方法說明而規定的,而不是CISA清單成員或網路觀察。所有行都使用TXT類型;故意不提供解析器身分和集合時間戳,因為沒有執行查詢。

  • agency-a.example :提議的機構 A,組件 Alpha,所有者_dmarc.agency-a.example 。假設 NOERROR 且有一個TXT候選v=DMARC1; p=reject。對文字拒絕候選者進行分類,等待完整語法和發現驗證;請勿推斷合規性、發送方覆蓋範圍或接收方拒絕。
  • programme-a.example :提議的機構 A,組件 Alpha,所有者_dmarc.programme-a.example 。假設 NOERROR 沒有相關答案。在對NODATA進行分類之前檢查CNAME /referral/authority 上下文;不要假設沒有有效的政策。
  • agency-b.example :提議的機構 B,組件 Beta,所有者_dmarc.agency-b.example 。假設請求逾時且沒有DNS回應。記錄未知和缺失的證據;請勿將其轉換為缺失或無效的策略。

此分類帳有三個域行和兩個建議的機構標籤,但不提供真正的分母或採用百分比。一個字面上被拒絕的候選人並不是經過衡量的政府採用率。真實的報告必須分別顯示選定的、嘗試的、可解釋的和未解決的計數,解釋分母並保留錯誤。

將可觀察的政策與營運成果分開

RFC 9989描述了策略語法、發現和接收器處理。已發布的首選項不會強制每個接收者處理,也不會顯示合法路由是否一致。 RFC 9990 描述了單獨的訊息派生的聚合證據及其自己的報告範圍。 DNS快照和總和百分比都無法證明每個公民都收到了通知。

政府命令需要單獨的權威適用性研究。不要將註冊表成員資格、拒絕標籤或成功的解析器轉換為合法合規徽章。如果所請求的結論需要發送者清單或接收者證據,請說明差距,而不是用假設的成功來填補它。

定義可重複的發布包

在發布實際的實證結果之前,保留凍結框架、預收集計劃、排除、原始回應、標準化行、解析器版本、錯誤日誌、收集視窗和聲明到行映射。新的集合測量新的時間視窗;它不會追溯驗證不可用的歷史運行。另一位審查員應該能夠追蹤每個報告的數字以提供證據。

本文是一種方法論和書面範例,而不是收集的政府結果的報告。沒有對其假設的帳本執行任何DNS更改、即時查詢或電子郵件發送。原手稿的歷史主張在此不用作當前證據。

[ 外帶 ]

註冊管理機構成員資格、 DNS觀察和政府合規性是單獨的聲明。

[ 按角色 ]

這對您意味著什麼

選擇您的角色以執行後續實際步驟。

IT/郵件管理員

可重複地連接來源

註冊表行和查詢行需要穩定的密鑰。

後續步驟

  1. 保留 CSV 快照。
  2. 保持部門和下屬組織領域的不同。
  3. 按網域而不是顯示標籤驗證清單成員身分。

CISO / SecOps

保持任務獨立

列出成員資格和拒絕標籤不建立合規性。

後續步驟

  1. 獨立檢查適用的義務。
  2. 在更廣泛的索賠之前先審查出處和覆蓋範圍。
  3. 保持不活躍和專案領域覆蓋範圍明確。

創辦人/非技術人員

使用正確的政府範圍

聲明的抽樣框架和測量的覆蓋範圍必須先於政府範圍內的索賠。

後續步驟

  1. 凍結官方名單及其範圍。
  2. 收集前說明計劃的選擇規則。
  3. 揭露不完整的覆蓋範圍和未知的結果。

[ 常見問題解答 ]

常見問題

可以使用哪個官方框架?

CISA的 dotgov-data 儲存庫描述了聯邦二級 .gov 註冊的 current-federal.csv。凍結並保留實際文件以進行真正的研究。

政府人口普查是在這裡進行的嗎?

不。本文提供研究設計和虛構的決策分類賬,而不是即時的政府DNS觀察。

選擇規則應何時確定?

在讀取結果資料之前。保留完整的框架和排除,並將選擇後佐證與抽樣區分開來。

列出的網域是否可以使用郵件?

不會。註冊會員資格並未建立發送服務或機構使用的每個主機名稱。

候選p=reject字串證明了什麼?

僅假定回應中規定的文字欄位;語法、策略發現、發送者覆蓋範圍和接收者行為需要單獨的證據。

一個部門可以有多個域行嗎?

是的。計算分母時,將部門、組件和域關係分開。

如何處理失敗的查詢?

保留未知的結果及其實際錯誤,而不是無策略的結果。空答案也需要查詢鏈上下文。

這是否建立了合規性?

不需要。授權、適用性和控制充分性需要單獨的權威審查。

[ 來源 ]

來源

  1. RFC 9989

    部分 §4.7 · §4.10.1 · §5.3 · §5.4

  2. RFC 9990

    部分 §3.1 · §4 · §7 · §8 · §9

  3. 谷歌公共DNS JSON API

    部分 支援的參數 · JSON 格式的DNS回應:狀態、回應、TTL 和DNSSEC標誌

  4. CISA官方 .gov 域資料儲存庫

    部分 自述文件:文件、更新節奏、就緒和暫停狀態、二級域範圍

[ 詞彙表 ]

詞彙表

取樣架
從中選擇觀察結果的聲明清單;它不一定是目標群體。
準確的所有者觀察
對指定DNS名稱和類型的回應,而不推斷更廣泛的寄件者範圍。
未知的觀察
嘗試的測量沒有產生足夠的可解釋證據。
觀察窗
記錄的收集作業的 UTC 開始和結束。

企業出處

為什麼頂級金融機構和政府 退役了他們的電子郵件安全儀表板。

傳統的電子郵件驗證平台會向您出售儀表板並要求您的工程師來完成這項工作。在高風險環境中,手動監督意味著延遲執行、配置漂移和不受監控的影子域。

EmailAuth是代理電子郵件來源平台。 我們的代理人強制執行 p=reject,保持第三方寄件者一致並將您的網域移至完整狀態 RFC 9989 合規性、新的DMARC標準,以及人機互動審核能力。

政府 大型企業 一級金融機構

SaaS · 專用租賃 · 氣隙本地部署 · BYOK 加密

知識庫