A انتحال الشكوى هي مقدمة وليست نتيجة فنية كاملة. ربما رأى المُبلغ اسم عرض مضللًا، أو عنوانًا مشابهًا، أو رسالة مُعاد توجيهها، أو حسابًا شرعيًا مُخترقًا. قم بالرد من خلال الحفاظ على ما لاحظوه، وتحديد الأدلة المفقودة وحماية أي إجراء تجاري متأثر. لا تقم بتغيير سياسة المجال لمجرد أن لقطة الشاشة تحتوي على اسم الشركة.
اجمع أصغر مجموعة أدلة مفيدة
اطلب الرسالة الأصلية باستخدام قناة آمنة معتمدة عندما يكون ذلك ممكنًا، بالإضافة إلى وقت الاستلام التقريبي وصندوق البريد المتأثر ووصف الإجراء المطلوب. الحفاظ على الأصل قبل التنقيح. سجل من قام بتزويدها ومتى تم الحصول عليها وما إذا كانت جاءت مباشرة من المتلقي أو من خلال وسيط. قد يحذف النص المُعاد توجيهه الرؤوس التي تعتبر ضرورية للتحقيق.
احتفظ بالأدلة الأصلية تحت مراقبة الوصول المناسبة. قم بإنشاء نسخة مشاركة منفصلة تزيل تفاصيل المستلم غير الضرورية أو المحتوى الشخصي أو المرفقات غير ذات الصلة مع الاحتفاظ بحقول الهوية ذات الصلة. قم بتجزئة الملفين وتوثيق عمليات التنقيح حتى يتمكن المراجع من فهم سبب اختلاف وحدات البايت الخاصة بهما. ربط التجزئة سجل إلى البايتات؛ ولا تثبت أن المحتوى أصلي أو أنه تم تحديد هوية المرسل بشكل صحيح.
تحديد أدلة المصادقة الموثوقة
ابحث عن النظام الذي قام بتقييم الرسالة عند الاستلام. ان Authentication-Results يكون الحقل ذا معنى فقط ضمن حدود الثقة المحددة له، كما يوضح RFC 8601 . نتائج المصادقة. لا ينبغي ترقية الرأس الذي تم إنشاؤه أو غير الموثوق به إلى ملاحظة جهاز الاستقبال لمجرد أنه يستخدم تنسيقًا صالحًا.
قارن من، المغلف و DKIM الهويات دون الخلط بين توقيع المرور وموافقة العمل. DMARC يعالج مصادقة المجال المحاذية بدلاً من جميع أشكال الانتحال. RFC 9989. إذا كانت الرسالة الأصلية أو السجلات الموثوقة غير متوفرة، فاحتفظ بالنتيجة دون حل وقم بوصف الأدلة الإضافية التي قد تغيرها.
قم ببناء سجل حوادث افتراضي
بالنسبة لتدريس الحالة DEMO-COMPLAINT-01، افترض أن مقدم الشكوى أبلغ عن طلب تغيير الدفع مع ظهور مرئي من billing@brand-pay.test . لا يتم توفير وحدات بايت الرسالة الفعلية والطوابع الزمنية للمستلم ونتائج المصادقة الموثوقة وتفاصيل العميل. قم بتسجيل التجزئة الأصلية باعتبارها غير متوفرة، وليس كملخص مخترع. يظل التصنيف مؤقتًا حتى يتم الحصول على الأدلة ذات الصلة.
قم بتعيين الإجراءات التالية المقترحة بشكل منفصل: تحصل عمليات البريد على التصدير الأصلي المعتمد وسياق الاستلام الموثوق به؛ يتحقق التمويل من الطلب من خلال قناة معروفة؛ يسمح قائد الحادث بأي مشاركة أو احتواء ضروري. هذه أدوار توضيحية وليست أشخاصاً حقيقيين قبلوا التكليفات.
للحصول على نسخة مشاركة حقيقية لاحقة، قم بتسجيل المرجع الأصلي، وكل حقل منقح، والغرض، والمستلم، والموافقة، وتجزئة الملف الناتج. احتفظ بالأصل غير قابل للتغيير. يمكن للتجزئة التي تم تغييرها تحديد البايتات التي تم تغييرها، ولكن لا يمكنها تحديد مؤلف الرسالة أو سلسلة الحضانة التي لم يتم تسجيلها مطلقًا. لم يتم تنفيذ أي ملف أصلي أو عينة منقحة أو حساب تجزئة أو إجراء حادث خارجي لهذا المثال المكتوب.
الرد بنتيجة محدودة
يشير الإقرار المفيد إلى ما تم استلامه وما لا يزال مجهولاً ومن يقوم بالتحقيق. تجنب اتهام المورد أو الوعد بإصلاح المشكلة قبل أن تدعم أدلة الهوية والطريق هذا الاستنتاج. إذا كانت الأموال أو أوراق الاعتماد معرضة للخطر، فاتبع عملية الحادث الخاصة بالمنظمة على الفور بينما يستمر جمع الأدلة. يوصي مكتب التحقيقات الفيدرالي (FBI) بالتحقق المستقل من طلبات الدفع وتغييرات الحساب. توجيهات مكتب التحقيقات الفيدرالي.
امنح كل عنصر مفقود مالكًا والإجراء التالي. يمكن لفريق البريد استرداد سجلات المستلمين، ويمكن لفريق العمل التحقق من الطلب ويمكن للقائد الأمني تنسيق الاحتواء. حافظ على المشاركة الخارجية ضمن النطاق المعتمد، خاصة عندما تحتوي النسخة الأصلية على معلومات حساسة.
أغلق فقط الاستنتاجات المدعومة بالأدلة. قد يتم تصنيف طلب مشابه مؤكد بينما يظل إسناد الموفر دون حل. قد يؤدي مسار الإرسال الشرعي الذي تم إصلاحه إلى إغلاق عيب المصادقة دون حل الضرر التجاري. احتفظ بهذه الفروق في حزمة الحوادث النهائية حتى لا يخطئ المراجع التالي في أن النتيجة الجزئية هي حل كامل.
احتفظ بالنتائج ضمن الأدلة
الأمثلة هي أدوات مساعدة على اتخاذ القرار الدفاعي، وليست ادعاءات تمت ملاحظتها ضد أشخاص حقيقيين أو مقدمي الخدمة الحاليين. الاحتفاظ بأدلة المصادقة والتحقق من الأعمال والإسناد بشكل منفصل. تصف مصادر البروتوكول الحالية التحقق من صحة النطاق وحدود النتائج الموثوقة؛ ولا يقدمون أدلة الحساب المفقود أو يسمحون بنشر الاتهام.