确定域名揭示了什么，以及证据在哪里终结。调查注册信息、DNS、电子邮件基础设施和变更历史，同时避免将技术关联与身份混淆。
域名调查始于受保护的目标及其上下文：原始消息、可疑冒充、交易或事件。公共DNS和注册查询会添加技术观察结果。它们本身不能独立识别嫌疑人或证明欺诈。
审查地址记录、名称服务器、别名、邮件交换器和注册事件。记录每次观察的来源和UTC时间。区分注册商、DNS提供商、网络持有者和网站运营方；这些角色通常属于不同的实体。
共享托管、匿名注册数据和最近的域名创建并非决定性指标。将其与事件证据、授权的历史来源和其他独立验证的证据进行比较。在提供调查结果的同时，报告不确定性和其他解释。
解释电子邮件认证策略，但不要将DNS记录与邮件真实性证明混淆。
阅读资源了解注册事件、被匿名化的身份信息以及公共域名记录的局限性。
阅读资源A、AAAA、MX、TXT、CNAME、NS和SOA记录，及其法证意义和局限性。
阅读资源检查错别字抢注、品牌冒充和新注册域名，而不要妄下结论。
阅读资源比较历史观察结果，但不要将不完整的覆盖范围视为完整的事件时间线。
阅读资源区分网络基础设施与运营可疑网站的个人或组织。
阅读资源在调查BEC时，区分仿冒域名、仿冒发件人和被入侵邮箱。
阅读资源WHOIS/RDAP 创建日期如何帮助调查人员确定欺诈发生时间、关联域名并发现新注册的冒充网站。
阅读资源为财务和合规团队提供的实用例行程序：在支付、入职或信任新联系人之前，检查域名的注册时间。
阅读资源为什么许多诈骗和钓鱼域名都很新，如何衡量域名年龄，以及如何避免误报。
阅读资源如何解读注册人、注册商和联系人数据， redaction（编辑）的含义，以及如何合法地请求非公开数据。
阅读资源如何追踪网站或电子邮件背后的 IP 地址，查找网络持有人并了解 IP 证据的局限性。
阅读资源区分注册商、DNS提供商和网络托管商，以便滥用报告和法律请求能送达正确的组织。
阅读资源使用MX记录和邮件提供商数据来了解欺诈性域名如何接收和发送电子邮件。
阅读资源域名调查如何获取电子邮件发送的 IP 地址并对照 SPF 记录进行检查。
阅读资源一个端到端的域名取证工作流程，涵盖注册、DNS、托管、电子邮件、证书和证据密封。
阅读资源