EP 11 / EPISODE BRIEF
なりすましメールのヘッダー
保存済みヘッダーと添付ハッシュを照合する
Northstar Labに保存されたmail-header.txtを読み、表示上のFromだけで判断せずReturn-Path、Received、SPF、DKIM、Message-IDを関連付けます。添付は開かず、既知ハッシュとの一致だけを確認します。
このエピソードで学ぶこと
ヘッダーは配送や認証に関する記録です。Fromは表示上の差出人、Return-Pathは配送時の返信先に関する欄です。grep -Eで必要な見出しを抽出します。
SPFとDKIMの結果は認証の手掛かりです。ヘッダーだけで添付の内容までは判断できません。
ミッション
- 保存済みヘッダーを読むヘッダー全体から観測対象と受信時刻を把握する
- FromとReturn-Pathを比較する表示上のFromと配送時のReturn-Pathを別々に記録する
- 経路と認証結果を読むReceivedの時刻・IPとSPF/DKIMの結果を関連付ける
- Message-IDを固定するMessage-IDとFrom・Return-Pathを同じレコードとして記録する
- 添付ハッシュを照合する添付を開かず、既知ハッシュリストとの一致結果を確認する