E-posta başlığı analizi, bir iletinin gövdesinin altında saklı duran teknik satırları okuyarak o e-postanın gerçekte nereden geldiğini ve hangi yoldan geçtiğini belirlemektir. Kullanıcının gördüğü gönderen adı kolayca sahte yazılabilir, ama iletinin sunucular arasında dolaşırken biriktirdiği başlık satırları çok daha zor manipüle edilir. Bir olay incelemesinde bu satırlar, görünen ile gerçek olan arasındaki farkı ortaya koyar.

E-posta başlığı, gönderenin ne yazdığını değil, iletinin gerçekte hangi sunuculardan hangi sırayla geçtiğini anlatan sessiz tanıktır.

Received Zinciri Yolu Anlatır

Başlıkların en değerli kısmı Received satırlarıdır. İletiyi teslim alan her sunucu başa yeni bir Received satırı ekler; böylece en alttaki satır asıl kaynağa, en üstteki ise son teslim noktasına karşılık gelir. Bu zinciri aşağıdan yukarıya okumak, iletinin gerçek çıkış IP adresini ve izlediği rotayı ortaya çıkarır. Zincirdeki bir kopukluk, mantıksız bir zaman sıçraması ya da beklenmedik bir sunucu, iletinin araya sokulduğuna ya da uydurulduğuna işaret eder.

Kimlik Doğrulama Satırları

Modern başlıklar, gönderenin gerçekliğini sınayan üç mekanizmanın sonucunu taşır. SPF, iletiyi gönderen IP’nin o alan adı için yetkili olup olmadığını denetler; DKIM, iletinin yolda değişmediğini kriptografik bir imzayla kanıtlar; DMARC ise bu ikisinin sonucunu birleştirip görünen gönderen adıyla tutarlı olup olmadığına karar verir. Başlıktaki Authentication-Results satırı bu üç sınavın çıktısını özetler ve hepsinin birden başarısız olması, güçlü bir sahtecilik işaretidir. Bu tür sahtelik, çoğu zaman bir Kimlik avı kampanyasının teknik altyapısıdır.

Sahteciliği Yakalamak

Başlık analizinin asıl amacı, görünen gönderenin gerçek gönderen olup olmadığını doğrulamaktır. Görünen adres tanıdık bir kurumu gösterirken Received zincirinin alakasız bir sunucudan başlaması ya da kimlik doğrulama satırlarının hepsinin çökmesi, klasik bir E-posta sahteciliği işaretidir. Yanıt adresinin görünen adresten farklı olması da, kurbanın yanıtını saldırgana yönlendiren ince bir hile olabilir; bu ayrıntı özellikle hedefli dolandırıcılıkta öne çıkar.

Bu analiz, kurumsal düzeyde en çok mali dolandırıcılık soruşturmalarında değer taşır. Bir ödeme talimatının sahte olup olmadığını anlamak, çoğu zaman ilgili iletinin başlıklarını çözmekten geçer ve bu tür saldırılar İş e-postası ele geçirme vakalarının merkezinde yer alır. Başlıklardaki tutarsızlıkları erken yakalamak, para transferi tamamlanmadan olayı durdurabilir.

• Received zincirini aşağıdan yukarıya okuyup gerçek kaynak IP’yi bul
• Authentication-Results satırında SPF, DKIM ve DMARC sonuçlarını denetle
• Görünen gönderen ile Reply-To adresini karşılaştır
• Zaman damgalarında mantıksız sıçrama ve kopukluk ara

Doğru okunan bir başlık, sahte bir iletinin maskesini birkaç dakikada düşürebilir ve bir olayın gerçek başlangıç noktasını gösterir. Privia Security şüpheli iletileri başlık düzeyinde çözümleyerek saldırının kaynağını ve yayılımını ortaya koyar; kapsamlı bir e-posta ihlali incelemesi gerektiğinde adli analiz ekibimiz iletileri uçtan uca değerlendirir.