[ 報告與調查 ]

低容量域:仔細解釋稀疏報告

當觀察到的郵件很少時,使用計數、覆蓋率和代表性測試來避免錯誤的信心或不必要的警報。

由EmailAuth研究團隊提供 · 3 分鐘閱讀

[ 重點 ]

  • 權衡可比較的觀察結果,而不是平均每日百分比。
  • 沒有觀察到故障並不能證明普遍可靠性。
  • 測試實際不頻繁的應用並記錄剩餘的差距。
在此頁面上

二分之一失敗的訊息產生 50% 的失敗率。這個數字在數學上是正確的,但並不能說明域的整體可靠性。小容量域需要一種報告方法,使基礎計數保持可見,並將缺乏觀察結果與已證明的身份驗證結果分開。

總結報告 描述參與接收者在規定的時間間隔內觀察到的訊息。它們並不是對您的企業嘗試發送的每條訊息的完整普查。 RFC 9990 §3.1 定義匯總報告內容和 RFC 9989 §5.3.8 描述報告參與限制;以下的調查方法是圍繞這些限制提出的操作建議。

從網域的實際工作開始

詢問該網域是否發送員工郵件、臨時發票、年度通知或什麼也不發送。記錄其預期用途、所有者和預期使用期限。每年發送一次續訂提醒的休眠品牌與一般品牌不同 停放域名 永遠不應該發出郵件。

安靜的儀表板無法解決這種差異。在變更政策或聲明網域未使用之前,請檢查應用程式清單和業務擁有者。即使沒有最近的樣品,也將計劃的未來發送者保留在庫存中。

將計數放在每個百分比旁邊

參考: RFC 9990 §3.1.1.8, RFC 9989 §5.3.8.

計算觀察到的數量時,使用聚合記錄的訊息計數,而不是 XML 檔案或行的數量。在通過和失敗計數旁邊顯示報告間隔和參與接收者組織。解釋是否已處理重複報告、遲到和不完整期間的情況。

說明性案例:星期一包含兩則觀察到的訊息,其中一則失敗。週二包含 100 個,全部通過。觀察到的綜合故障率為 1/102,約為 0.98%。 50% 和 0 的平均值將產生 25%,並且歪曲了訊息加權結果。這兩種計算都沒有確定未報告的接收者的結果。這些數字是合成的,而不是測量的EmailAuth結果。

在不創造確定性的情況下擴展觀察範圍

較長的視窗可以捕捉不常見的合法工作流程。選擇它來包含相關的業務事件,例如月末計費,而不是使用任意天數作為證據。在該視窗內標記策略或發送更改,以便不同的配置不會默默地混合。

更長的時間仍然無法揭示報告覆蓋範圍之外的流量。如果沒有參與的接收者觀察到預期的應用程序,則誠實的結論是該報告集未測試該應用程式。不要將零報告故障描述為經統計證明所有郵件的故障率為零。

使用受控測試來查找缺失的路線

參考: RFC 9989 §5.3.5, RFC 9989 §4.4.1, RFC 9989 §4.4.2.

透過實際應用將無害的測試傳送到授權的外部郵箱。記錄可見的From域、信封身分、 DKIM 簽名網域名稱、可信任接收者結果和時間。憑藉適用的有效策略和已完成的檢查,訊息層級傳遞需要經過對齊的傳遞 SPF 或DKIM路徑下 DMARC;不相關的獨立SPF通過 回程路徑 並沒有確定這個結果。

分別測試不同的路線。來自員工郵箱的手動訊息不會測試發票服務。保留收到的訊息證據並將其與匯總觀察結果區分開來。受控測試確定該接收器上的測試發生了什麼,而不是通用交付。

透過覆蓋範圍聲明做出決定

寫一個簡短的結論,指出觀察到的內容、故意測試的內容、尚未觀察到的內容以及誰擁有下一個驗證。優先考慮關鍵發票路徑上的單一故障,而不是其百分比的視覺大小。相反,調查未知流量時無需假設每個陌生地址都是需要添加SPF授權寄件者。

如果網域不應傳送,請確認所有權決定並透過正常變更程序維護適當的非傳送網域設定。如果不頻繁發送,請保留下一個事件的測試計劃。在這兩種情況下,有用的報告都會解釋證據邊界,而不是將稀疏資料轉變為可信的綠色或紅色狀態。

保持決策的界限

本地計算得出 1 / 102 × 100 ≈ 0.9804% 組合觀察到的故障,而 50% 和 0% 的不合理未加權平均值為 25%。該比率僅描述了這些提供的計數。單獨測試實際業務路線並保留任何未觀察到的收件人作為限制。

[ 外帶 ]

權衡可比較的觀察結果,而不是平均每日百分比。沒有觀察到故障並不能證明普遍可靠性。測試實際不頻繁的應用並記錄剩餘的差距。

[ 按角色 ]

這對您意味著什麼

選擇您的角色以執行後續實際步驟。

IT/郵件管理員

記錄分母

稀疏記錄需要仔細聚合和明確的覆蓋範圍限制。

後續步驟

  1. 使用訊息計數而不是行數。
  2. 單獨更改的配置。
  3. 保留受控訊息證據。

CISO / SecOps

避免無支援的保證

沒有報告並不能證明網域不會被濫用。

後續步驟

  1. 檢查非發送假設。
  2. 記錄未觀察到的路線。
  3. 在政策改變之前需要證據。

創辦人/非技術人員

查看重要的罕見訊息

儘管儀表板幾乎是空的,但年度或每月的工作流程可能很重要。

後續步驟

  1. 辨識不常見的商業郵件。
  2. 安排賽前路線測試。
  3. 除了百分比之外,還要進行計數。

[ 常見問題解答 ]

常見問題

零報告郵件是否表示該網域未被使用?

否。確認業務清單和報告範圍;不常寄件者或不報告的目的地可能不存在。

RFC 9989 §5.3.8

我應該根據兩個訊息隱藏 50% 的失敗率嗎?

透過兩次失敗的計數和明確的小樣本解釋來保持其可見性。

每日費率應如何合併?

將可比較的訊息計數和失敗次數相加,然後除以。不要在未按分母加權的情況下計算每日百分比的平均值。

觀察應該持續多久?

足夠長以包含預期的業務工作流程,並標記配置變更。沒有固定窗口可以證明完全覆蓋。

測試可以取代總體監控嗎?

它添加了特定於路線的證據,但並未確定所有收件人或未來郵件的結果。

我應該在年度通知域上測試什麼?

在現場活動之前使用具有無害內容的實際通知應用程式和身分。

不熟悉的 IP 是否應該加入SPF ?

僅在驗證授權和預期的身份驗證設計之後。不熟悉的交通可能會被濫用。

是什麼造就了一個站得住腳的小批量結論?

說明觀察到的計數和接收者、測試的路線、未觀察到的工作流程和下一個驗證所有者。

[ 來源 ]

來源

  1. RFC 9989

    部分 §4.4.1 · §4.4.2 · §5.3.5 · §5.3.8

  2. RFC 9990

    部分 §3.1 · §3.1.1.8

[ 詞彙表 ]

詞彙表

證據稀疏
一組觀察到的結果,其局限性必須保持可見;該標籤不做任何統計可信度聲明。
報告範圍
參與的收件者和時期由收集的報告表示,而不是寄件者嘗試的所有郵件。

RFC 9989 §5.3.8 RFC 9990 §3.1

企業出處

為什麼頂級金融機構和政府 退役了他們的電子郵件安全儀表板。

傳統的電子郵件驗證平台會向您出售儀表板並要求您的工程師來完成這項工作。在高風險環境中,手動監督意味著延遲執行、配置漂移和不受監控的影子域。

EmailAuth是代理電子郵件來源平台。 我們的代理人強制執行 p=reject,保持第三方寄件者一致並將您的網域移至完整狀態 RFC 9989 合規性、新的DMARC標準,以及人機互動審核能力。

政府 大型企業 一級金融機構

SaaS · 專用租賃 · 氣隙本地部署 · BYOK 加密

知識庫