เชิงเทคนิค · คำตอบพร้อมแหล่งอ้างอิง
วิธีอ่านรายงานรวม DMARC (Aggregate Reports)
หากต้องการอ่านรายงานรวม DMARC คุณต้องแตกไฟล์ XML ที่เซิร์ฟเวอร์เมลปลายทางส่งมา และแยกวิเคราะห์แท็กของแต่ละระเบียนเพื่อระบุว่า IP ใดส่งอีเมลในนามของคุณ และผ่าน alignment ของ SPF และ DKIM หรือไม่ เนื่องจากรายงานเหล่านี้อยู่ในรูปแบบ XML ดิบ นักพัฒนาส่วนใหญ่จึงใช้ตัวแยกวิเคราะห์หรือเครื่องมืออย่างเครื่องมือฟรีของ SendHQ (https://sendhq.cc/tools) เพื่อแสดงข้อมูลเป็นภาพ
ทำความเข้าใจโครงสร้าง XML
รายงานรวม DMARC ใช้สคีมา XML รายงานมีส่วน record สำหรับ IP ต้นทางแต่ละรายการ ในแต่ละ record คุณจะพบ IP ต้นทาง จำนวนข้อความที่ส่งจาก IP นั้น และชุดการประเมินนโยบาย ส่วนการประเมินนโยบายระบุรายละเอียดว่าข้อความผ่านหรือไม่ผ่านการตรวจสอบ SPF และ DKIM และผลเหล่านั้น align กับโดเมนใน header from หรือไม่
วิเคราะห์ SPF และ DKIM Alignment
ผล pass ในรายงานหมายความว่าการตรวจสอบการยืนยันตัวตนสำเร็จ แต่สิ่งที่สำคัญต่อ DMARC คือ alignment SPF alignment เกิดขึ้นเมื่อโดเมนใน Return-Path ตรงกับโดเมนในเฮดเดอร์ From ส่วน DKIM alignment เกิดขึ้นเมื่อแท็ก d= ในลายเซ็น DKIM ตรงกับโดเมนในเฮดเดอร์ From หากทั้งสองไม่ผ่าน ข้อความจะไม่ผ่าน DMARC ไม่ว่าผลการตรวจสอบแต่ละอย่างจะเป็นอย่างไร
ระบุผู้ส่งที่ไม่ได้รับอนุญาต
สแกนรายงานเพื่อหา IP ที่คุณไม่รู้จัก หาก IP ใดมีปริมาณอีเมลสูงพร้อมความล้มเหลวของ SPF และ DKIM มีแนวโน้มว่าเป็นผู้ส่งที่ไม่ได้รับอนุญาตหรือบริการบุคคลที่สามที่ตั้งค่าผิด ให้เปรียบเทียบ IP เหล่านี้กับรายการโครงสร้างพื้นฐานและผู้ให้บริการที่คุณรู้จัก เพื่อตัดสินว่าต้องอัปเดตเรคคอร์ด SPF หรือมอบคีย์ DKIM ให้พาร์ตเนอร์ที่ถูกต้องหรือไม่
การตีความ Disposition
แท็ก disposition บอกว่าเซิร์ฟเวอร์ปลายทางทำอะไรกับอีเมลตามนโยบาย DMARC ปัจจุบันของคุณ หากนโยบายเป็น p=none disposition มักเป็น none หมายความว่าอีเมลถูกส่งถึงแม้ไม่ผ่าน หากเป็น p=quarantine อีเมลอาจถูกส่งเข้าสแปม หากเป็น p=reject อีเมลถูกบล็อกทั้งหมด ใช้เมตริกเหล่านี้เพื่อเปลี่ยนจาก none ไปเป็น reject อย่างปลอดภัย
คำถามที่ทีมมักถาม
ทำไมรายงาน DMARC จึงส่งเป็นไฟล์ XML ที่บีบอัด
XML ให้ข้อมูลที่มีโครงสร้างซึ่งเครื่องประมวลผลได้ และการบีบอัดลดแบนด์วิดท์ที่ต้องใช้ในการส่งข้อมูลรวมปริมาณมากทุกวัน
รายงานเหล่านี้สร้างบ่อยแค่ไหน
เซิร์ฟเวอร์เมลปลายทางส่วนใหญ่ส่งรายงานรวมทุก 24 ชั่วโมง แม้ช่วงเวลาจะต่างกันไปตามผู้ให้บริการ
รายงานรวมกับรายงาน forensic ต่างกันอย่างไร
รายงานรวมให้สถิติระดับสูงของสตรีมอีเมล ส่วนรายงาน forensic ให้ตัวอย่างโดยละเอียดของข้อความเฉพาะที่ไม่ผ่าน