تصميم الاستجابة قبل جمع المرشحين
لا تكون مراقبة المجال المشابه مفيدة إلا عندما تؤدي النتيجة إلى قرار متناسب قائم على الأدلة. يعتبر النطاق الذي يشبه العلامة التجارية مرشحًا للمراجعة، وليس دليلاً على إساءة الاستخدام. يجب أن تحدد عملية المراقبة ما تلاحظه، وكيف تميز المطابقة المعجمية عن الأدلة التشغيلية، ومن يملك التحقيق وأي الاستجابات تحتاج إلى موافقة. وبخلاف ذلك، قد تستهلك قائمة انتظار التنبيهات الكبيرة الانتباه دون تحسين قدرة المؤسسة على التعامل مع الانتحال الحقيقي.
RFC 9989يوضح القسم 2.2 ذلك DMARC لا يتناول أسماء النطاقات المتشابهة بصريًا أو إساءة استخدام اسم العرض. قد يقوم مجال مختلف بمصادقة البريد الخاص به بشكل صحيح. وبالتالي فإن المراقبة تكمل مصادقة المجال بدلاً من استبدالها. تقترح هذه المقالة سير العمل؛ فهو لا يسجل النطاقات، أو يستعلم عن قائمة مراقبة حقيقية، أو يرسل رسائل اختبار، أو يزور مواقع مشبوهة، أو يتصل بالمسجلين أو المشغلين المزعومين.
تحديد نطاق يمكن الدفاع عنه
ابدأ بالنطاقات التي تم التحقق منها للمؤسسة، وأسماء العلامات التجارية العامة وعلاقات العمل التي تهم هدف المراقبة. سجل من وافق على هذا النطاق ولماذا تم تضمين كل عنصر. تجنب جمع الأسماء الشخصية أو بيانات العلاقات الحساسة لمجرد أن الأداة تسمح بذلك. حدد مصادر المراقبة المتاحة والمصرح بها، وحدود تغطيتها وإيقاع المراجعة المتوقع. ويعد تنبيه مقدم الخدمة دليلاً من ذلك المصدر في ذلك الوقت، وليس دليلاً على الرؤية الكاملة عبر الإنترنت.
قواعد جيل المرشحين منفصلة عن قواعد التصعيد. قد تقارن قواعد المرشح بين التهجئة أو تشابه الأحرف؛ يتطلب التصعيد سياقًا إضافيًا مثل رسالة خادعة تم الإبلاغ عنها أو ادعاء تجاري مضلل تم ملاحظته. سن التسجيل شهادة أو سجل MX يمكن أن يكون سياقًا ذا صلة، لكن لا شيء وحده يُظهر نوايا خبيثة. وبالمثل، فإن عدم وجود سجل MX لا يعد ضمانًا كاملاً بأن النطاق لا يمكنه المشاركة في الخداع. لا تقم بتحويل مؤشر مناسب إلى حكم عالمي.
التعامل مع الارتباك كإشارة فنية
معيار يونيكود الفني 39 يصف آليات الكشف عن المعرفات المربكة ويحذر من أن المقارنات يمكن أن تكون شاملة بشكل مفرط. إن الهيكل العظمي أو نتيجة المقارنة ذات الصلة هي علاقة فنية بين السلاسل، وليست نتيجة قانونية أو دليل على الملكية المشتركة أو دليل على تعرض المستلم للخداع. قم بتسجيل الأداة وإصدار بيانات Unicode وطريقة المقارنة حتى يتمكن المراجعون المستقبليون من فهم سبب ظهور المرشح.
احتفظ بالسلسلة الأصلية التي تمت ملاحظتها وتمثيلها الموجه نحو DNS منفصلين عن عنصر المقارنة. الهيكل العظمي المربك ليس عنوانًا للزيارة أو النشر في DNS . إذا قامت إحدى الأدوات بتسوية الأسماء أو عرضها بشكل مختلف، فاحتفظ بهذا التحويل كبيانات تعريفية. يجب أن تأخذ المراجعة البشرية في الاعتبار الجمهور المستهدف والسياق دون افتراض أن الأسماء الدولية مشبوهة بطبيعتها. تستخدم المنظمات الشرعية العديد من النصوص البرمجية؛ يجب أن تتجنب عملية المراقبة التعامل مع اختيار اللغة كدليل على سوء السلوك.
قم ببناء سلم الفرز بدلاً من الاتهام التلقائي
استخدم الحالات مثل مرشح، تمت مراجعته بدون وجود دليل إساءة حالي، هناك حاجة إلى تحقيق إضافي، تم التحقق من أدلة انتحال الشخصية وتم حلها بنتائج موثقة. وتحديد الأدلة المطلوبة للتنقل بينهما. يمكن إغلاق التنبيه كأولوية منخفضة دون الإعلان عن أن المجال آمن بشكل دائم. يمكن أن يظل الحادث الذي تم التحقق منه مفتوحًا أثناء إنشاء ملكية الاستجابة. هذه عبارة عن تسميات سير عمل داخلية مقترحة، وليست تصنيفات متوافقة مع معايير الصناعة أو إمكانات البائع.
بالنسبة لكل مرشح، سجل التشابه الملحوظ والمصدر والوقت والانتماء المزعوم إن وجد وعملية الأعمال المتأثرة وأدلة الرسائل المتاحة والأسئلة التي لم يتم حلها. لا تقم بفحص الحسابات أو تسجيل الموارد أو تسليم رسائل لاختبار ما إذا كان إساءة الاستخدام ممكنًا. إذا كان التحليل الأعمق ضروريًا، فقم بتوجيهه إلى عملية أمنية معتمدة. أي شكوى خارجية أو طلب إزالة أو اتصال يحتاج إلى الموافقة ذات الصلة والأدلة الداعمة؛ لا ينبغي للمطابقة المعجمية الآلية وحدها أن تولد ادعاءً.
ربط تقارير الرسائل بالهويات الموثوقة
عندما تتوفر رسالة تم الإبلاغ عنها من خلال قناة معتمدة، قم بمقارنة نطاق "من" الفعلي واسم العرض والإجراء المطلوب مع هوية الأعمال المتوقعة. احتفظ بنتيجة مصادقة المستلم ذات الصلة مع مصدرها. RFC 8601 يشرح لماذا Authentication-Results التأكيد يحتاج إلى حدود موثوقة. لا تعامل خط المرور المنسوخ كدليل كافٍ على أن المجال غير المألوف تمت مصادقته على جهاز الاستقبال الخاص بالمستلم.
من الممكن أن تظل رسالة المجال المختلف التي تمت مصادقتها بشكل صحيح خادعة، في حين أن الرسالة الشرعية الواردة من شريك تجاري جديد يمكن أن تكون غير مألوفة دون أن تكون ضارة. تعتمد الاستجابة على الانتماء والطلب المحدد. يمكن أن يؤدي التحقق المستقل من خلال جهة اتصال تجارية ثابتة إلى حل هذا السؤال بشكل مباشر أكثر من جمع متغيرات إملائية إضافية. ال استشارة IC3 BEC، بتاريخ 2020، يدعم مراقبة التحقق العامة هذه، وليس مطالبة بشأن خدمة المراقبة الحالية.
ورقة عمل عملية الاستجابة
قم بإنشاء ورقة عمل تحتوي على معرف المرشح والتهجئة الأصلية وتمثيل DNS الطبيعي حيث تم التحقق من صحته وطريقة المقارنة ومصدر المراقبة والطابع الزمني ومالك النطاق والحالة الحالية. أضف دليلاً على الاستخدام الفعلي والمستخدمين المتأثرين أو سير العمل ومبرر الثقة والاستجابة المقترحة والترخيص المطلوب وتاريخ المتابعة. احتفظ بحقل منفصل لما لا يستطيع المصدر إثباته. وهذا يمنع مظهر الدقة من نتيجة الأداة من إخفاء نتيجة غير مؤكدة.
تحديد الأدلة الختامية لكل إجابة. يجب أن يحدد التحذير الداخلي جمهوره وأساسه دون تكرار المحتوى الحساس. يجب أن يكون للكتلة مالك معتمد وخطة مراجعة للإيجابيات الكاذبة. ينبغي دعم التقرير الخارجي والموافقة عليه بشكل واقعي. هذه هي اعتبارات تصميم العملية فقط؛ لم يتم إنشاء أي حظر أو تحذير أو تقرير هنا. قم بمراجعة عبء العمل والحالات عالية التأثير التي لم يتم حلها بالإضافة إلى أعداد التنبيهات الأولية عند تقييم ما إذا كانت العملية مفيدة أم لا.
التشخيص الخيالي: مرشح ذو درجات عالية
تقوم أداة خيالية لمراقبة العلامة التجارية بوضع علامة على مجال يشبه اسم المورد. درجة التشابه عالية، لكن التنبيه لا يحتوي على رسالة أو محتوى موقع ويب أو ادعاء بالانتماء. يقوم المحلل بتسجيله كمرشح بدلاً من تصنيف مشغله بأنه ضار. لاحقًا، يقوم مستخدم الأعمال بتوفير تقرير رسالة معتمد يستخدم المجال المرشح ويطلب تغييرًا غير عادي لسجل المورد. يغير دليل الرسالة أولوية التحقيق، وليس النتيجة المعجمية.
سيقوم الفريق بمقارنة نتائج المتلقي الموثوق به والتحقق من التغيير المطلوب مع المورد باستخدام طريق اتصال موجود. إذا رفض المورد الطلب، فيمكن للحالة توثيق تلك الحقيقة التي تم التحقق منها وطلب الموافقة على الرد المناسب. لا يقوم الفريق الافتراضي بتسجيل النطاق أو اختبار تسجيل الدخول أو إرسال ملف التصيد رسالة لإثبات نقطة. وهذا عبارة عن عملية عملية مخترعة، وليس مجالًا مراقبًا أو شكوى حقيقية أو إجراء تنفيذي مكتمل.
اجعل العملية خاضعة للمساءلة ومبنية على الأدلة
قم بمراجعة الإيجابيات الكاذبة والمرشحين الذين لم يتم حلهم بعد وتأخير الاستجابة وتأثير الأعمال على الحالات المؤكدة. لا تدعي أن ارتفاع عدد التنبيهات يعني زيادة الهجمات دون التحقق من تغطية المصدر وتغييرات القواعد. لا تدعي أن قائمة الانتظار الهادئة تثبت عدم وجود انتحال. احتفظ بمعلومات الإصدار الكافية لتوضيح سبب حصول نفس النطاق على نقاط مختلفة بعد تحديث أداة أو بيانات Unicode.
لا يزال سيناريو إساءة الاستخدام المنقح المطلوب مع أدلة الهوية وحدود المراقبة والتحقق المستقل من الأعمال مفقودًا. ولا يمكن للتمرين الخيالي أن يلبي هذا المطلب. تظل جميع بوابات التحرير مفتوحة، ولا يتم تمثيل أي ملاحظات مراقبة أصلية على أنها عمل مكتمل. قبل النشر، احصل على أدلة معتمدة، واطلب من أحد المتخصصين مراجعة معايير الاستجابة، والتحقق من قابلية تطبيق المصدر وطرق الإنتاج، واستكمال عمليات التحقق من إمكانية الوصول والإفراج الآمن عن المالك. الهدف هو عملية اتخاذ قرار عملي، وليس وعدًا باكتشاف كل شيء أو القضاء عليه المجال المشابه.