ZEKASTRA

VP-03 · Eğitmen notları

E-posta başlıkları ve ileti izi dışa aktarımı: incelenen bir ödeme değişikliği

Paketi bir grupla yürütmek için gereken her şey: 90 dakikalık bir plan, her sorunun cevabı ile nerede bulunduğu ve olağan hata, cevapların kurduğu kronoloji, puanlama ve kapanışta vurgulanacak noktalar.

Bu sayfa cevapları içerir. Katılımcılar önce paket sayfasından çalışmalıdır.

01Oturum planı

DakikaBölümNe yapılır
0–10Brifing ve kurallarSenaryoyu yüksek sesle okuyun. Cevapların çoğunu belirleyen dört kuralı söyleyin: önce doğrulama, kopyalar üzerinde çalışma, Received satırlarını alttan okuma, her zamanı UTC'ye çevirme.
10–30Bütünlük ve ham ileti (Q1, Q5–Q7, Q9)Önce hash kontrolü, sonra başlık alanları. Received satırlarını sayın ve her birini sunucusu ve zamanıyla yazın.
30–55Yol ve kaydedilmiş sonuçlar (Q2, Q8, Q10)message-disputed.eml ile message-previous.eml'i karşılaştırın: hangi atlamalar tedarikçiye ait, hangi sonuçlar geçiyor ve bir yanıt nereye gider.
55–80Dışa aktarım: zamanlar, anahtarlar ve kapsam (Q3, Q4, Q11–Q13)Web görünümü ve başlık zamanlarını UTC'ye çevirin, kayıtları Message-ID ile eşleştirin, sonra dışa aktarımın neleri kapsadığını belirtin.
80–90DeğerlendirmeDeğerlendirme sorularını yürütün. Her katılımcıdan bu iletiyle ilgili, imzalamayacağı bir cümle isteyin.

Malzemeler: her katılımcının bilgisayarında paket dosyaları, paket sayfasından yazdırılmış bir çalışma kağıdı ve bir inceleme günlüğü formu. Paket sayfası →

02Cevap anahtarı

  1. S011 puan

    message-disputed.eml dosyasının bir kopyası üzerinde SHA-256 değerini hesaplayın, manifest.txt ile karşılaştırın ve ilk sekiz onaltılık karakteri girin.

    Cevap45b02031

    Ön ek, message-disputed.eml için manifest satırıyla eşleşir. Bütünlük, dosya okunmadan önce kontrol edilir; böylece sonraki her bulgu, incelenen baytlara bağlanabilir.

    Nerede
    manifest.txt, message-disputed.eml satırı; sha256sum ya da başka bir SHA-256 aracıyla yeniden hesaplayın.
    Olağan hata
    Bir posta istemcisinin yeniden kaydettiği, dolayısıyla baytları özgününden farklı bir kopyanın hash'ini almak.

    Hash hesaplayıcıF-04 İnceleme günlüğüSOP-02 Delil kabul ve kayıt

  2. S022 puan

    message-disputed.eml dosyasının Received satırlarını alttan yukarı okuyun. Yol hakkında hangi ifade doğrudur?

    CevapB — En alttaki satır, mail-out.lookalike-mail.example'a ulaşan 198.51.100.17 adresli bir istemciyi kaydeder. Hiçbir satır tedarikçinin kendi sunucusundan geçmez.

    Her sunucu kendi Received satırını yazar. RFC 5322 bölüm 3.6, iz alanlarının iletinin başına eklenen bloklarda tutulduğunu söyler; bu nedenle en alttaki satır, dosyanın kaydettiği ilk atlamadır. Dosyada DKIM-Signature başlığı yoktur.

    Nerede
    message-disputed.eml: üç Received satırı, DKIM-Signature yokluğu ve Authentication-Results satırı.
    Olağan hata
    Üstten okuyup, Heron'ın kendi posta kutusu sunucusunun yazdığı en yeni satırı kaynak saymak.

  3. S032 puan

    cloud-export.csv dosyasında, ağ geçidinin iletiyi aldığını gösteren rec-000318 kaydının UTC zamanı nedir? YYYY-MM-DD HH:MM:SS biçiminde girin.

    Cevap2026-03-16 06:20:03

    event_time_utc sütunu UTC'dir. Aynı ileti için ağ geçidinin Received satırı 09:20:03 +0300 yazar; bu aynı andır.

    Nerede
    cloud-export.csv, rec-000318 satırı; export-metadata.txt, sütun kuralı.
    Olağan hata
    Web görünümündeki yerel saati ya da bir başlıktaki +0300 değerini çevirmeden UTC saymak.

  4. S042 puan

    Dışa aktarımın web görünümü, delivered_to_mailbox kaydı rec-000319'u 09:20:07 olarak gösteriyor. Bu kaydın UTC zamanı nedir? YYYY-MM-DD HH:MM:SS biçiminde girin.

    Cevap2026-03-16 06:20:07

    Web görünümü yerel saati, UTC+3'ü kullanır; bu nedenle 09:20:07, 06:20:07 UTC'dir. event_time_utc sütunu UTC değerini doğrudan taşır.

    Nerede
    cloud-export.csv, rec-000319 satırı; export-metadata.txt, web görünümü satırı.
    Olağan hata
    Web görünümü değerini UTC saymak; bu, teslimi üç saat geç gösterir.

  5. S051 puan

    message-disputed.eml dosyasının Date başlığı ile rec-000319 delivered_to_mailbox kaydı arasında kaç saniye geçti? Tam sayı girin.

    Cevap9

    Date başlığı, 09:19:58 +0300, 06:19:58 UTC'dir. rec-000319 kaydı 06:20:07 UTC'dir. Fark dokuz saniyedir. Çıkarmadan önce iki değer de UTC'ye çevrilmelidir.

    Nerede
    message-disputed.eml, Date satırı; cloud-export.csv, rec-000319 satırı.
    Olağan hata
    Başlığın yerel değerini kaydın UTC değerinden çıkarmak; bu, yaklaşık üç saatlik bir fark verir.

  6. S061 puan

    message-disputed.eml için alıcı sunucunun SPF denetiminin smtp.mailfrom alanında belirttiği alan adı hangisidir?

    Cevaplookalike-mail.example

    Authentication-Results satırı, smtp.mailfrom=lookalike-mail.example için spf=pass kaydeder. SPF denetimi bu alan adını kullanmıştır. From başlığındaki alan adı değildir ve sonuç yalnızca bu alan adı hakkındadır.

    Nerede
    message-disputed.eml, Authentication-Results satırı.
    Olağan hata
    From alan adıyla yanıtlamak. SPF ve From ayrı ayrı denetlenir ve farklı alan adları gösterebilir.

  7. S071 puan

    message-disputed.eml dosyasının From başlığı hangi adresi gösterir?

    Cevapaccounts@cedar-steel.example

    From başlığı tedarikçinin adını ve adresini gösterir. Görünen ad gönderen tarafından yazılır; iletiyi kimin gönderdiğinin kanıtı değildir. Başlık bir iddiadır. Dosyaların sınayabildiği şey yol ve kaydedilmiş sonuçlardır.

    Nerede
    message-disputed.eml, From satırı.
    Olağan hata
    From adresi yerine görünen adı ya da Reply-To adresini kullanmak.

  8. S082 puan

    message-disputed.eml dosyasının Authentication-Results satırı DMARC için ne kaydeder ve bu kayıt neyi kanıtlamaz?

    CevapB — mx.heron-yapi.example'ın kaydettiği, header.from=cedar-steel.example için dmarc=fail. Bu, alıcı sunucunun kaydettiği sonuçtur ve tek başına iletiyi kimin yazdığını göstermez.

    RFC 8601, Authentication-Results alanını, adı geçen kimlik doğrulama hizmetinin yaptığı denetimlerin kaydı olarak tanımlar. İlk belirteç olan mx.heron-yapi.example bu hizmeti adlandırır. Kaydedilen SPF geçişi, From alan adı olmayan lookalike-mail.example içindir ve DKIM imzası kaydedilmemiştir; bu nedenle kaydedilen DMARC sonucu fail'dir. Satır, alan adının politika kaydını içermez; bu, bu paketin yapmadığı ayrı bir denetimdir.

    Nerede
    message-disputed.eml, Authentication-Results satırı; geçen bir sonuç için message-previous.eml.
    Olağan hata
    Authentication-Results satırını gönderenin kimliğine dair bir beyan gibi okumak.

  9. S091 puan

    message-disputed.eml kaç Received satırı içerir? Tam sayı girin.

    Cevap3

    Üç Received satırı vardır; yoldaki her sunucu birer tane yazmıştır. En alttakini mail-out.lookalike-mail.example, ortadakini Heron'ın ağ geçidi, en üsttekini Heron'ın posta kutusu sunucusu yazmıştır. Return-Path satırı bir iz alanıdır ama Received satırı değildir.

    Nerede
    message-disputed.eml, Received: ile başlayan satırlar.
    Olağan hata
    Bir iz alanı olup Received satırı olmayan Return-Path satırını saymak ya da yalnızca Heron'a değinen satırları saymak.

  10. S102 puan

    Muhasebe görevlisi Yanıtla düğmesine basarsa, iletinin başlıkları yanıtı nereye yönlendirir?

    CevapB — accounts@cedar-steel-finance.example, Reply-To adresi.

    Reply-To başlığı, yanıtların gitmesi gereken adresi belirtir. Burada From adresinden farklı bir alan adını gösterir. From'dan farklı bir yanıt yolu, isteği şirketin zaten kullandığı bir kanaldan doğrulamak için bir nedendir; niyet hakkında bir bulgu değildir.

    Nerede
    message-disputed.eml, Reply-To ve From satırları.
    Olağan hata
    Yanıtın her zaman From adresine gideceğini varsaymak.

  11. S112 puan

    Dışa aktarımın bir kaydını bu e-postayla eşleştirmek için en güçlü anahtar hangi alandır?

    CevapB — internet_message_id, Message-ID başlığıyla eşleştirilir; çünkü RFC 5322 bölüm 3.6.4, Message-ID alanının tek ve benzersiz bir tanımlayıcı taşıdığını söyler.

    Konu satırları ve görünen adlar iletiler arasında tekrar eder. RFC 5322 bölüm 3.6.4, Message-ID alanının tek ve benzersiz bir tanımlayıcı taşıdığını tanımlar; dışa aktarım bu değeri internet_message_id olarak saklar. Dışa aktarımın iki satırı tartışmalı iletinin Message-ID değerini taşır.

    Nerede
    message-disputed.eml, Message-ID satırı; cloud-export.csv, internet_message_id sütunu.
    Olağan hata
    Konu ya da görünen adla eşleştirmek; bunları pek çok ileti paylaşabilir.

  12. S121 puan

    Dışa aktarım, görevlinin posta kutusundan yapılan iç iletme olan rec-000344 için hangi istemci adresini kaydeder?

    Cevap192.0.2.61

    İletme, client_ip değeri 192.0.2.61 ile kaydedilmiştir; bu, görevlinin rec-000301'deki önceki giden iletisinin adresiyle aynıdır. Bu sentetik pakette ikisi de görevlinin iç istemcisini temsil eder; adresler RFC 5737 belgelendirme aralığı 192.0.2.0/24'ten alınmıştır. İletme, kendi tanımlayıcısına sahip yeni bir iletidir; tartışmalı ileti değildir.

    Nerede
    cloud-export.csv, rec-000344 satırı, client_ip sütunu; export-metadata.txt, sütun kuralları.
    Olağan hata
    İletmenin Message-ID değerini tartışmalı iletinin tanımlayıcısı saymak.

  13. S132 puan

    Dışa aktarım, 2026-03-12 00:00 ile 2026-03-17 00:00 UTC arasındaki (bitiş hariç) sorgu penceresi için eksiksiz mi? Doğru ifadeyi seçin.

    CevapA — Evet, bu sorgu için: altı satır döndü, 500 satır sınırının altında ve sonraki sayfa listelenmemiş. Dışa aktarım bu posta kutunun dışındakileri, pencerenin dışındakileri ya da ileti içeriğini göstermez.

    Üst veri, döndürülen satırı (6), satır sınırını (500) ve sonraki sayfayı (yok) belirtir. Pencere altı satırın tümünü kapsar. Kapsam satırı dışa aktarımın neyi içermediğini söyler; dışa aktarımı doğru okumanın parçasıdır. Dışa aktarım 16 Mart 12:05:33 UTC'de, pencere bitmeden başladı; bu yüzden o andan sonraki olayları içeremez. 'Eksiksiz', dışa aktarım çalıştığında hizmetin tuttuğu kayıtlar için eksiksiz demektir.

    Nerede
    export-metadata.txt: döndürülen satır, satır sınırı, sonraki sayfa ve kapsam satırları.
    Olağan hata
    Dışa aktarımı posta kutunun tam geçmişi ya da başka hiçbir şey olmadığının kanıtı saymak.

03Kurulan kronoloji

Doğru cevapların kurduğu haliyle 14 Mart 2026 Cumartesi. Yerel saat UTC+3'tür.

UTCYerelOlayKaynak
08:03:5511:03:55rec-000287: tedarikçinin önceki faturası mail.cedar-steel.example (203.0.113.10) üzerinden alınır. Normal bir yol için referans budur.cloud-export.csv
06:20:0309:20:03rec-000318: ağ geçidi tartışmalı iletiyi 203.0.113.80 adresinden alır.cloud-export.csv
06:20:0709:20:07rec-000319: ileti, Date başlığının UTC değerinden dokuz saniye sonra görevlinin posta kutusuna teslim edilir.cloud-export.csv
06:52:3009:52:30rec-000344: görevlinin posta kutusundan, 192.0.2.61 adresinden yapılan iç iletme. Dışa aktarım hangi iletiyi taşıdığını göstermez.cloud-export.csv

04Puanlama

1–11. sorular birer puan, 12. soru üç puan değerindedir: toplam 20 puan. Bulgu paragrafı puanla değerlendirilmez; aşağıdaki dört ölçüte göre işaretleyin ve değerlendirmede tartışın.

PuanSonraki adım
18–20Sağlam. Gerçek bir başlık kümesinin gözetimli incelemesine geçin ya da yapmadıysanız VP-02'ye geçin.
11–17Kaçırılan her soruyu açıklaması ve bağlantılı kayıtlarıyla gözden geçirin, sonra Q2, Q5 ve Q10'u dosyalardan yeniden türetin.
0–10Önce posta başlığı ve zaman esası modüllerini çalışın, sonra paketi baştan tekrarlayın.

Bulgu paragrafı: ölçütler

  • ☐ Rapor, her Received satırını sunucusu ve UTC zamanıyla, alttan yukarı listeler.
  • ☐ Her zaman kendi esasını taşır: UTC ya da farkıyla yerel saat.
  • ☐ Rapor, başlıkların neyi kaydettiğini belirtir ve iletiyi kimin gönderdiğini adlandırmaz.
  • ☐ Her iddia dosyasını ve satırını adlandırır; rapor, dışa aktarımın neyi kapsamadığını belirtir.

05Değerlendirme

  1. From başlığını gönderen yazar. Bu bir iddiadır; iletiyi kimin yazdığının kanıtı değildir.
  2. Web görünümü yerel saati gösterebilir. Herhangi bir zamanı kullanmadan önce sütun adını ve dışa aktarımın üst verisini okuyun.
  3. Bir Message-ID, bir kaydı bir iletiyle bağlar. Konu satırları ve görünen adlar iletiler arasında tekrar eder.
  4. Bir dışa aktarım, sorgusunun penceresi ve sayfası içinde döndürdüğünü kanıtlar. Başka hiçbir şey olmadığını kanıtlamaz.

06Örnek bulgu

Tartışmalı ileti (message-disputed.eml) üç Received satırı içerir. En alttaki satır, mail-out.lookalike-mail.example'a ulaşan 198.51.100.17 adresli bir istemciyi kaydeder; hiçbir atlama tedarikçinin kendi sunucusu mail.cedar-steel.example'dan geçmez. From ve Reply-To alan adları farklıdır. Kaydedilen SPF geçişi lookalike-mail.example içindir ve cedar-steel.example için kaydedilen DMARC sonucu fail'dir. Dışa aktarım, ağ geçidinin iletiyi 2026-03-16 06:20:03 UTC'de aldığını ve posta kutusuna 06:20:07 UTC'de teslim edildiğini gösterir; bu, Date başlığının UTC'ye çevrilmiş değerinden dokuz saniye sonradır. Dışa aktarım sorgusu için eksiksizdir (altı satır, sonraki sayfa yok) ve iletiyle internet_message_id üzerinden bağlanır. Paket, iletiyi kimin neden gönderdiğini söylemez; başlıkların ve dışa aktarımın neyi gösterdiğini ve neyi gösteremeyeceğini (örneğin gönderen hesabın kimin denetiminde olduğunu) kaydeder.

Rapor anatomisi ve güven ölçeği →