Сначала определите, что именно вы получили
Здесь речь об агрегированных отчетах DMARC: структурированных сведениях принимающей стороны о наблюдаемой почте за интервал. Это не копия каждого сообщения, не журнал вашего почтового сервера и не полный перечень всех попыток подделки. Формат агрегированной отчетности описывает RFC 9990, а правила DMARC описывает RFC 9989.
Сохраните исходный файл, организацию-отправителя отчета, report_id, начало и конец окна, домен политики и время получения. Для сравнения используйте единую временную зону, сохраняя исходные значения. Письмо с отчетом может прийти позже событий, поэтому дата получения не заменяет интервал наблюдения.
Отчеты относятся к инфраструктуре и деловым связям компании. Передавайте их только согласованным специалистам и храните с ограничением доступа. Не загружайте полный набор на случайный анализатор, если не проверены его условия обработки данных. Подозрительное вложение не становится безопасным только из-за слова DMARC в теме.
Не складывайте повторы и несовместимые окна
Перед подсчетами проверьте повторную доставку одинакового отчета. Идентификатор нужно рассматривать вместе с отправителем отчета и его окном: одинаковая строка имени файла не является надежной глобальной идентичностью. Сохраняйте происхождение каждой загрузки и явно помечайте повтор.
Частично пересекающиеся интервалы требуют осторожности. Нельзя просто вычесть половину количества писем, если окно перекрывается наполовину: распределение сообщений внутри интервала неизвестно. Для сравнения выбирайте совместимые окна либо оставляйте пересечение как ограничение, не выдавая скорректированную цифру за измеренный факт.
Количество в строке относится к сгруппированным наблюдениям этого отчета. Оно не показывает число уникальных людей, потерянных клиентов или отдельных преступников. Сравнение долей имеет смысл только с явно указанным знаменателем и неизменным охватом; общий рост отчетов может отражать новых репортеров, а не ухудшение защиты.
Разделяйте проверку механизма и согласование домена
Исходный SPF pass означает успешную проверку своей доменной идентичности, а DKIM pass относится к конкретной подписи. Для DMARC нужен успешный механизм, согласованный с видимым From. Поэтому набор исходных результатов нельзя читать как готовый вывод об аутентификации бренда.
Сверяйте опубликованную в отчете политику и результаты ее применения. Disposition описывает наблюдаемую обработку в контексте отчета, но не является подтверждением папки входящих. Получатель может учитывать другие сигналы. Если вопрос касается пропавшего счета, нужен отдельный разбор конкретного сообщения и маршрута.
Не переносите успех одной подписи на другую и не требуйте обязательного одновременного прохождения SPF и DKIM для DMARC. Достаточен успешный согласованный SPF или DKIM. При расхождении сохраните домены и результаты, затем сопоставьте их с новыми контрольными сообщениями соответствующего отправителя.
Превратите строку отчета в проверяемую задачу
Сначала связывайте источник с реальной системой и ее владельцем. IP, название сети или большой объем не доказывают полномочия отправителя. Провайдер может обслуживать множество компаний; пересылка меняет наблюдаемый маршрут. Автоматическое добавление неизвестного IP в SPF превращает неразобранное наблюдение в разрешение.
Ниже приведена рабочая матрица разбора, а не статистика атак. Для каждой строки сохраняют отчет и окно, проверяемое предположение, ответственную сторону и результат следующего теста. Статус неизвестно допустим, пока нет достаточного подтверждения; он лучше необоснованного объявления источника безопасным.
| Ситуация | Проверить | Следующее действие |
|---|---|---|
| Известная CRM не проходит согласование | Рабочий From, подпись, MAIL FROM и настройки CRM | Контрольное письмо и исправление с владельцем |
| Неизвестный источник с большим объемом | Связь с бизнесом и сведения о маршруте | Исследовать без автоматического разрешения |
| Исходный DKIM pass, но DMARC fail | Домен d= и его согласование с From | Проверить правильную подпись конкретного потока |
| Редкий законный сервис отсутствует | Попал ли запуск в окно и охват репортера | Отдельный разрешенный контрольный запуск |
| После изменения выросли ошибки | Совпадают ли окна, источники и состав репортеров | Локализовать поток и оценить план возврата |
Учитывайте отсутствие данных и пределы наблюдения
Отчеты поступают не от всех получателей. Отсутствие ошибок в выбранном наборе не подтверждает защиту всех отправителей, особенно редких уведомлений. Отдельно перечислите ожидаемые, но не наблюдавшиеся потоки, недоступные интервалы и неизвестное качество данных. Неполный набор нельзя называть полным аудитом домена.
Для еженедельного сравнения фиксируйте одинаковые правила: состав отчетов, окна, обработку повторов, статус источников и версии собственных преобразований. При смене инструмента проверьте, не изменились ли группировка и знаменатель. Удобная диаграмма полезна только вместе с объяснимыми исходными данными.
Не храните отчеты бесконечно по умолчанию. Владелец определяет нужный срок, права доступа и способ удаления согласно рабочим требованиям компании. Сам отчет не устанавливает юридические обязанности во всех странах и не заменяет отдельную оценку инцидента.
Каким должен быть итог разбора
Передайте реестр известных потоков, подтвержденные сбои согласования, неизвестные источники и ограничения данных. Каждая задача должна иметь владельца, технический следующий шаг и критерий закрытия. Решение об ужесточении DMARC принимают по готовности законных отправителей, а не по одному проценту зеленых строк.
CyberFixCrew является израильской компанией, работающей с русскоязычными бизнесами по всему миру. Практические знания израильской команды применяются к связке сайта, DNS, ящиков и сторонних систем. Формат проверки и доступы согласуются заранее; разбор отчетов не обещает полную видимость всех писем или прекращение каждого вида мошенничества.
- Собрать и нормализовать отчеты без повторного подсчета.
- Сопоставить источники с реестром рабочих систем.
- Проверить спорные результаты по контрольным сообщениям.
- Согласовать исправления, приемку и дальнейшее наблюдение.
