e-mail auditing

E-mail auditing to proces przeglądu i weryfikacji treści oraz metadanych wiadomości pod kątem zgodności z regulacjami.

Zakres audytu wiadomości e-mail

E-mail auditing, czyli audyt poczty elektronicznej, polega na uporządkowanym przeglądzie wiadomości, ich nagłówków, załączników, znaczników czasu oraz informacji o przebiegu dostarczenia. Celem jest ustalenie, czy wiadomość została utworzona, przekazana i zapisana zgodnie z przyjętymi regułami technicznymi. Analiza może obejmować pojedynczy e-mail, określony przedział czasu albo większy zbiór wiadomości wybrany według nadawcy, odbiorcy, tematu, domeny lub identyfikatora komunikatu.

Podstawowym materiałem audytowym jest pełna wiadomość w formacie MIME, a nie tylko jej treść widoczna w programie pocztowym. Obejmuje ona nagłówki oraz ciało wiadomości. W nagłówkach znajdują się między innymi pola From, To, Date, Subject i Message-ID. Szczególne znaczenie ma łańcuch pól Received, który opisuje kolejne serwery uczestniczące w przekazywaniu wiadomości. Kolejność tych wpisów analizuje się od najnowszego do najstarszego, ponieważ każdy serwer pocztowy dopisuje własny wpis na początku nagłówka.

Nagłówki, znaczniki czasu i identyfikacja ścieżki dostarczenia

Audyt nagłówków pozwala porównać deklarowanego nadawcę z techniczną ścieżką przesyłania. Pole From określa adres prezentowany odbiorcy, ale samo w sobie nie potwierdza, że wiadomość rzeczywiście została wysłana przez wskazaną domenę. Do analizy należy zestawić je z polem Return-Path, domeną używaną podczas uwierzytelniania oraz wpisami Received. Różnica między adresem widocznym dla użytkownika a adresem używanym do obsługi zwrotów nie musi oznaczać błędu, ale powinna zostać wyjaśniona w kontekście konfiguracji nadawcy.

Znaczniki czasu wymagają uwzględnienia stref czasowych. Pole Date jest generowane przez system wysyłający i może być niezgodne z czasem zapisanym w nagłówkach Received. Wpis Received zwykle zawiera czas przyjęcia wiadomości przez konkretny serwer, dlatego porównanie kilku wartości pomaga wykryć nieprawidłową kolejność zdarzeń, opóźnienie transmisji albo błędnie ustawiony zegar urządzenia. Do korelacji zdarzeń wykorzystuje się również Message-ID, identyfikatory dostawcy poczty, identyfikatory kolejki oraz logi serwera przekazującego wiadomość.

Podczas sprawdzania treści analizuje się strukturę MIME, deklarowany typ danych i kodowanie znaków. Wiadomość może zawierać części text/plain oraz text/html, a załączniki są opisywane między innymi przez pola Content-Type, Content-Disposition i Content-Transfer-Encoding. Samo rozszerzenie pliku nie jest wiarygodnym potwierdzeniem jego formatu. Audyt powinien porównywać nazwę, deklarowany typ MIME, rozmiar oraz rzeczywistą strukturę pliku, ponieważ te elementy mogą się wzajemnie różnić.

SPF, DKIM i DMARC w weryfikacji nadawcy

Jednym z technicznych obszarów audytu jest weryfikacja mechanizmów uwierzytelniania poczty. SPF, opisany w RFC 7208, pozwala domenie opublikować w DNS regułę określającą, jakie serwery mogą wysyłać wiadomości w jej imieniu. Wynik SPF odnosi się do adresu IP serwera oraz domeny używanej w ścieżce zwrotnej. Nie potwierdza automatycznie zgodności adresu prezentowanego w polu From, dlatego nie powinien być analizowany w oderwaniu od pozostałych mechanizmów.

DKIM, opisany w RFC 6376, dodaje do wiadomości podpis kryptograficzny w nagłówku DKIM-Signature. Podpis wskazuje między innymi domenę podpisującą, selektor klucza oraz listę podpisanych nagłówków. Odbiorca pobiera klucz publiczny z rekordu TXT w DNS i sprawdza, czy podpis odpowiada treści wiadomości oraz wybranym nagłówkom. Zmiana podpisanych danych po podpisaniu, w tym części treści albo nagłówka, może spowodować niepowodzenie weryfikacji. Wynik niepowodzenia trzeba jednak rozpatrzyć razem z informacją o przekierowaniu, modyfikacji wiadomości przez pośredni system lub błędnej konfiguracji selektora.

DMARC, opisany w RFC 7489, wykorzystuje wyniki SPF i DKIM oraz sprawdza ich zgodność z domeną widoczną w polu From. Wynik kontroli jest zwykle zapisany w nagłówku Authentication-Results, którego format opisuje RFC 8601. Audyt powinien odnotować osobno rezultat SPF, rezultat DKIM, zgodność domen oraz zastosowaną politykę DMARC. Wartość pass w jednym mechanizmie nie oznacza, że cała wiadomość jest autentyczna, a wartość fail nie wyjaśnia jeszcze przyczyny bez sprawdzenia DNS, ścieżki dostarczenia i logów.

Wyniki audytu i bezpieczna diagnostyka poczty

Raport z audytu powinien rozdzielać obserwację od interpretacji. Przykładowa obserwacja może brzmieć: wiadomość zawiera trzy wpisy Received, a najstarszy wpis wskazuje adres IP, którego nie ma w deklaracji SPF. Dopiero osobnym wnioskiem jest stwierdzenie, że wystąpiła niezgodność konfiguracji albo że wiadomość wymaga dodatkowej weryfikacji. Taki sposób opisu ogranicza ryzyko uznania pojedynczego nietypowego nagłówka za dowód fałszerstwa.

W praktyce należy zachować oryginalną wiadomość bez zmian, obliczyć jej sumę kontrolną i zapisać czas pozyskania materiału. Kopia otwarta i ponownie zapisana przez program pocztowy może utracić część nagłówków albo zmienić sposób kodowania treści. Do dalszych porównań przydatne są logi klienta pocztowego, serwera SMTP, serwera odbiorczego oraz systemu filtrującego. Analiza powinna uwzględniać możliwość wielokrotnego dostarczenia tej samej wiadomości, ponownego przetworzenia jej przez filtr lub zmian wprowadzonych przez bramę pocztową.

Jeżeli audyt wykazuje problem z odbieraniem lub wysyłaniem poczty na laptopie albo komputerze PC, diagnostyka może obejmować ustawienia konta, synchronizację, lokalne archiwum wiadomości, certyfikaty TLS, reguły programu pocztowego i dostępność połączenia sieciowego. Nie należy usuwać wiadomości, zmieniać nagłówków ani wyłączać filtrów przed zabezpieczeniem materiału do analizy. W przypadku niejasnego wyniku właściwe jest powtórzenie testu na pełnej wiadomości oraz porównanie jej z logami po stronie nadawcy i odbiorcy.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów i komputerów PC, w tym diagnostykę lokalnej konfiguracji programu pocztowego, sieci i systemu operacyjnego.