E-posta incelemesi

01Kapsam

Başlık analizi: Received zinciri sırası, zaman damgaları ve dilimleri, Message-ID, Return-Path, X-Originating-IP
Kimlik doğrulama sonuçları: SPF, DKIM imza doğrulaması, DMARC hizalaması, ARC
Posta kutusu depoları ve dışa aktarımlar: PST/OST, MBOX, EML, sağlayıcı dışa aktarımları ve öğe üst verileri
Ekler: hash, dosya imzaları, gömülü üst veri, bağlantılar ve yönlendirme zincirleri
İş e-postası ele geçirme örüntüleri: benzer alan adları, reply-to değişiklikleri, gelen kutusu kuralları, yazışma dizisi ele geçirme

Kaynak	Ne verir	Not
Alıcıda saklandığı hâliyle özgün ileti (tam başlıklı EML/MSG)	Tam Received zinciri, kimlik doğrulama sonuçları, Message-ID, MIME yapısı	İletilmiş ya da yazdırılmış kopya özgün başlıkları kaybeder; öğeyi posta kutusu deposundan alın.
Alıcı posta sunucusu günlükleri (MTA, geçit, filtre)	Bağlanan IP, HELO, TLS, kuyruk kimlikleri, teslim zamanı, filtre kararları	Sunucu günlükleri sunucunun yazdığı Received başlıklarını doğrular; ikisi uyuşmalıdır.
Posta kutusu denetim ve oturum açma günlükleri	Kim okudu, taşıdı, sildi ya da kural oluşturdu; hangi IP ve istemciden	Koruma için bulut alanına bakın; günlüklerin süresi dolar.
Varsa gönderen tarafı kayıtları (gönderilmiş öğeler, SMTP günlükleri, DNS'teki DKIM anahtarları)	İletinin iddia edilen gönderenin deposunda var olup olmadığı; o andaki anahtar geçerliliği	DNS kayıtları değişir; inceleme yapıldığında zaman damgasıyla yakalayın.

Kopyanın kopyasını değil, özgün öğeyi alın
İletiyi posta kutusu deposundan tam başlıklarla dışa aktarın; hash değerini alın; depoyu, klasörü, öğe kimliğini ve dışa aktarma yöntemini not edin.
Received zincirini aşağıdan yukarıya okuyun
En alttaki Received başlığı ilk sıçramadır. Her sıçramanın zamanı o sunucunun dilimindedir; hepsini UTC'ye çevirin ve zamanların arttığını kontrol edin. Sırasız ya da eksik sıçramalar bulgudur.
Kimlik doğrulamayı yalnızca okumayın, doğrulayın
DKIM imzasını inceleme anındaki DNS'teki açık anahtara karşı yeniden doğrulayın; SPF'yi alıcı sunucunun kendi Received başlığındaki bağlanan IP'ye göre değerlendirin; görünen From alan adının DMARC hizalamasını kontrol edin.
Gönderenin deposuyla karşılaştırın
İddia edilen gönderen erişilebilirse öğeyi Gönderilmiş Öğeler'de ve SMTP günlüklerinde arayın; yalnızca alıcıda var olan bir ileti farklı bir açıklama gerektirir.
Ekleri ve bağlantıları izleyin
Eklerin hash değerini alın, imzayla tanımlayın, gömülü üst verilerini okuyun. Kısaltılmış bağlantıları kontrollü bir ortamda çözün; zinciri ve son hedefi zamanlarıyla kaydedin.

Bu alanın arkasındaki kütüphane kayıtları:

From başlığını gönderen yazabilir; ağırlık taşıyan alanlar Return-Path, bağlanan IP ve DKIM alan adıdır.
Alıcının kendi sunucusundan önce eklenen Received başlıklarına ancak o sunucuya güvenildiği kadar güvenilir; gönderen önceki sıçramaları sahte üretebilir.
Date başlığını gönderen istemci ayarlar; yanlış ya da kasıtlı olabilir; sunucu zamanlarını kullanın.
Geçerli bir DKIM imzası, imzalayan alan adının iletiyi işlediğini kanıtlar; From'da adı geçen kişinin onu yazdığını değil.
E-postaların ekran görüntüleri e-posta kanıtı değildir.

İleti öğesinin kaynağı (depo, klasör, öğe kimliği), dışa aktarma yöntemi ve hash değeri.
Her satırı yazan sunucuyla birlikte Received zincirinin UTC'de sıçrama sıçrama tablosu.
Yakalanmış ve tarihlenmiş DNS kayıtlarıyla, yeniden doğrulanmış SPF, DKIM ve DMARC sonuçları.
Başlıkların köken hakkında neyi kanıtladığının ve neyi kanıtlamadığının açık ifadesi.

Tam başlıklı özgün öğe mi incelendi, yoksa iletilmiş bir kopya mı?
DKIM ve SPF yeniden doğrulandı mı, yoksa yalnızca Authentication-Results başlığından mı okundu?
Alıcı sunucunun günlükleri Received başlıklarıyla uyuşuyor mu?
Rapor, görünen From adı ile gerçek gönderen alan adı hakkında ne söylüyor?