# DKIMリプレイ調査 — Enterprise Email Protection＋TAP

SecOpsNomad | 2026年10月19日 | 独自の作業チェックリスト
記事：/ja/blog/dkim-replay-dmarc-limits/

対象はEnterprise Email ProtectionとTAPです。TRAP・CLEARは前提にしません。
画面名、項目、保存期間は異なるため、自社テナントのHelpで確認してください。
この手順は顧客テナントで実行したものではありません。
記入後の票と証拠は、アクセスを制限したインシデント保管先で扱います。

## 調査範囲

- 調査ID・責任者：
- 承認された調査範囲：
- タイムゾーン・開始・終了：
- 報告した受信者・受信時刻：
- Message-ID（取得できる場合）：

## 1．Email Protection — Smart Search・メッセージ詳細

- [ ] 受信者と明示した時間範囲で検索し、対応していればMessage-IDを使う。
- [ ] 方向、時刻、受信者、再試行・経由経路を確認する。
- [ ] ログID、接続元IP、エンベロープ送信者、表示From、経路、処理を記録する。
- [ ] 適用ポリシー・ルールを記録し、受理・配送・隔離・拒否を区別する。
- [ ] 権限のある担当者が原本.emlを保全し、なければメールボックスの証拠収集手順で取得する。
- [ ] 信頼できるAuthentication-Resultsと、存在するd=・s=・h=・l=・t=・x=を記録する。
- [ ] 署名対象外の表示・MIME項目と、当時のDNS公開鍵に関する証拠を記録する。
- [ ] 原本の保管先と完全性確認用のハッシュを記録し、公開チケットに機微情報を添付しない。
- [ ] 該当がなければ、保存期間・権限・タイムゾーン・経路の不足を記録する。

## 2．関連メールの範囲

- [ ] Fromドメイン、送信元、受信者、時間範囲を限定する。
- [ ] 原本で裏付けられる場合だけ、署名・フィンガープリントを比較する。
- [ ] 正規の転送、メーリングリスト、再試行、実際の自社送信を区別する。
- [ ] bh=がコンソールの検索項目にあるとは想定しない。
- [ ] DMARC成功を理由に、送信者の許可や検査の省略を行わない。

## 3．TAP — Threat Insight Dashboard

- [ ] 受信者と時刻を照合し、利用できるメッセージ・脅威識別子を使う。
- [ ] 該当する脅威ID、分類、判定、検知の時系列を記録する。
- [ ] URLは、取得できるクリック時刻・処理と関連する脅威を記録し、宛先を自分で開かない。
- [ ] 添付は、ファイル名、取得できるハッシュ、解析判定を記録し、ファイルを開かない。
- [ ] TAPの情報をEmail Protectionの配送記録に結び付ける。
- [ ] 該当がなければ「利用可能な画面と時間範囲では該当するTAP脅威なし」と記録する。
- [ ] 該当なしは安全の証明とせず、クリックも侵害の証明とはしない。

## 4．署名元・封じ込め・変更確認

- 実際の署名システム・事業者・責任者：
- 承認された変更・チケット・期限・戻し方：
- [ ] 実際の署名元で、署名範囲、対応するオーバーサイニング、l=・x=、鍵の管理を確認する。
- [ ] テンプレート・入力・宛先の制御と濫用制限を確認する。
- [ ] 証拠に基づく限定的なポリシー・隔離変更だけを適用する。
- [ ] 配送済みメールの対処はメールボックス管理者と調整し、TAPを回収機能と想定しない。
- [ ] 認証情報の入力が疑われる場合は、認証インシデント対応へ引き継ぐ。
- [ ] 変更後、権限のある担当者が管理下の試験宛先へ無害なメールを送る。
- [ ] 新しい原本、配送、DKIM署名範囲、整合性、必要な転送経路を検証する。
- [ ] 再発確認を予定し、変更前後の証拠を保全する。

## 結果

- 確認できた事実：
- 転送などの別の説明：
- 未確認事項・不足する証拠：
- 封じ込め責任者・見直し時刻：
- 再試験の結果・残存リスク：

実際のリプレイ、攻撃用素材、資格情報、テナント識別子、観測したIOCは含みません。