تعامل مع سلطة الدفع كمسألة منفصلة
يمكن مصادقة البريد الإلكتروني للمورد بشكل صحيح ولا يزال يحتوي على طلب تغيير الدفع غير المصرح به. قد يستخدم صندوق البريد أو التطبيق المخترق البنية الأساسية الشرعية للإرسال الخاصة بالمورد، بينما قد يستخدم المنتحل نطاقًا مختلفًا باسم عرض مألوف. والسؤال التجاري المباشر هو ما إذا كان التغيير المطلوب مسموحًا به، وليس ما إذا كانت الرسالة تحتوي على كلمة المرور. فصل القرار المالي عن التحقيق الفني حتى لا يحل أي منهما محل الآخر.
RFC 9989 حدود DMARC لعلاقات مصادقة المجال ويستبعد صراحةً تحليل المحتوى ومصادقة الكيانات الأخرى غير المجالات. ولا يمكنها الموافقة على تغيير الحساب البنكي أو تحديد نوايا موظف المورد. تعتبر نتيجة النجاح دليلاً مفيدًا حول استخدام النطاق، ولكنها ليست تعليمات دفع يجب على المنظمة اتباعها. تقترح هذه المخطوطة عملية دفاعية؛ لم يتم إجراء أي دفع أو تحديث الحساب أو اتصال خارجي.
الاحتفاظ بالطلب دون تنفيذه
قم بتعليق التغيير المطلوب من خلال عملية الشراء أو التمويل الحالية. قم بتسجيل ما تطلب الرسالة تغييره، وسجل الموردين الذي تؤثر عليه، ومتى من المفترض أن يسري التغيير ومن استلمه. تجنب نسخ التفاصيل المالية الكاملة في تذكرة الحادث التي يمكن الوصول إليها على نطاق واسع. يمكن للسجل المقيد المعتمد أن يحافظ على الأصل بينما يصف ملخص العمل التغيير باستخدام معرف مرجعي والحد الأدنى من السياق الضروري.
احتفظ بالرسالة الأصلية ومصدرها. يمكن أن تساعد النسخة المعاد توجيهها أو لقطة الشاشة في إظهار كيفية ظهور الطلب، ولكنها غير قابلة للتبديل مع الرسالة الأصلية أو سجلات المستلم. سجل وقت التجميع والمنطقة الزمنية. إذا قام شخص ما بالتصرف بالفعل، فقم بالتصعيد من خلال إجراءات الحوادث المالية المعمول بها في المنظمة بدلاً من افتراض أنه يمكن عكس التغيير بصمت. لا تسمح هذه المقالة بالتحويلات أو الاسترجاعات أو الاتصالات مع البنك.
تحديد الهوية التي تم استخدامها
قارن المجال "من" الفعلي بمجال المورد في سجل المورد الموثوق به. احتفظ باسم العرض وعنوان الرد وهوية المغلف و DKIM مجال التوقيع منفصل. يمكن لرسالة ذات مجال مختلف المصادقة على المجال الخاص بها مع تضليل القارئ بشأن الانتماء. لا يزال من الممكن إنشاء رسالة مجال المورد الدقيقة ذات المصادقة المتوافقة من خلال حساب أو خدمة تم إساءة استخدامها. لا تقم باختيار فرضية التسوية فقط لأن الطلب غير عادي.
استخدم أدلة المتلقي الموثوق بها عند تفسير المصادقة. RFC 8601 يشرح لماذا Authentication-Results تتطلب الحقول حدود الثقة. قد لا يؤدي السطر المقدم من المرسل أو لقطة الشاشة أو مقتطف الرأس المعاد توجيهه إلى إنشاء تقييم المستلم ذي الصلة. سجل أي جهاز استقبال أنتج النتيجة والمسار المحاذي الذي تمت ملاحظته. عندما تكون الأدلة غير كاملة، قل ذلك بدلاً من فرض نتيجة النجاح أو الفشل في قرار التمويل.
التحقق من خلال طريق مستقل محدد
ال IC3 سحابة البريد الإلكتروني BEC الاستشارية، الذي تم نشره في 6 أبريل 2020، يوصي بالتحقق المستقل من طلبات الأعمال المشبوهة. استخدم مسار الاتصال بالمورد الذي تم إنشاؤه قبل الطلب المشكوك فيه، مثل سجل البائع الحالي الذي تم التحقق منه في المؤسسة. رقم الهاتف الجديد أو عنوان البريد الإلكتروني البديل أو رابط التحقق المقدم فقط في تلك الرسالة لا يعد مصدرًا مستقلاً. يدعم الاستشارة المذكورة هذا المبدأ العام، وليس مطالبة بالحادث الحالي.
اطلب من مدقق الأعمال المعتمد تأكيد التغيير المحدد المقترح من خلال العملية المعمول بها. إن التأكد من تعرف الشخص على اسم المرسل أضعف من تأكيد أن التغيير نفسه قد تم طلبه والموافقة عليه. عندما تتطلب السياسة موافقين منفصلين، حافظ على هذا الفصل. لا تدع الإلحاح في الرسالة يحل محل متطلبات موافقة المنظمة. يمكن للمحلل الفني تقديم أدلة الهوية ولكن لا ينبغي أن يصبح هو الموافق المالي بصمت.
تنسيق التحقيق الفني بعناية
إذا كانت الأدلة تشير إلى إساءة استخدام حساب المورد، فتواصل من خلال جهة اتصال معتمدة وتم التحقق منها وشارك فقط الأدلة المنقحة ذات الصلة بعد الحصول على إذن. يمتلك المستجيب المعتمد لدى المورد التحقيق في أنظمته. لا ينبغي للمنظمة المتلقية أن تؤكد أنها أثبتت استحواذ المورد لمجرد التحقق من صحة الرسالة ورفض المورد طلب الدفع. قد يتطلب التكامل أو المرسل المفوض أو أي آلية أخرى التحقيق.
إرشادات الحساب المخترق من Microsoft يسرد قواعد علبة الوارد المشبوهة، وإعادة توجيه الرسائل والمفقودة من بين المؤشرات المحتملة، ويصف استجابة الحساب لـ Microsoft 365 . إنه مرجع للمستجيب المعتمد للمورد في تلك البيئة، وليس إذنًا لفحص حسابات مؤسسة أخرى. لا يعد الوصول إلى الحساب أو إلغاء الجلسة أو حذف القاعدة أو جمع بيانات الاعتماد جزءًا من عمل هذه المخطوطة.
ورقة عمل دليل تغيير الدفع
أنشئ ورقة عمل تحتوي على أربعة أقسام مرتبطة. يسجل قسم الطلب مرجع المورد ونوع التغيير والتاريخ المطلوب وصاحب العمل. يسجل قسم الهوية المجالات الفعلية وملاحظات المصادقة الموثوقة ومصدر الأدلة. يسجل قسم التحقق مسار الاتصال الذي تم إنشاؤه بشكل مستقل، والمتحقق المعتمد، والسؤال الدقيق والإجابة. يسجل قسم القرار الموافقة أو الرفض، والموافقين المطلوبين، ومسار التنفيذ المسموح به وأي تحقيق لم يتم حله.
احتفظ بمعرفات الحساب المالي بعيدًا عن النسخ ذات الأغراض العامة. استخدم عناصر نائبة متسقة عندما تكون المقارنة مهمة، وقم بتخزين النسخة الأصلية الكاملة فقط في موقع مقيد معتمد. أضف عمودًا يميز بين الحقائق المرصودة والفرضيات. "ملاحظة DKIM المتوافقة مع مجال المورد لدى جهاز الاستقبال الخاص بنا" هي حقيقة فقط إذا كان الدليل يدعمها؛ تتطلب عبارة "وافق موظف المورد على التغيير" تأكيدًا تجاريًا منفصلاً. لا ينبغي أبدًا أن تقوم ورقة العمل بترقية الأولى إلى الأخيرة تلقائيًا.
التشخيص الخيالي: موضوع مورد مألوف
يتلقى فريق المرافق الخيالي طلبًا في محادثة مع الموردين يطلب فيها تغيير تفاصيل الدفع المستقبلية. تستخدم الرسالة المجال الحقيقي للمورد وتمرر DMARC افتراضيًا إلى جهاز الاستقبال. يفترض المستلم أن مؤشر الترابط الحالي ونتيجة المصادقة تجعل التغيير آمنًا. بدلاً من ذلك، يقوم مراجع ثانٍ بإيقاف التحديث مؤقتًا والتحقق من سجل المورد المعتمد لمعرفة مسار التحقق المحدد.
في التمرين، يرفض جهة اتصال المورد التصريح بالتغيير. ويدعم هذا الرد رفض الطلب بموجب عملية الأعمال، ولكن تظل الآلية دون حل حتى يتم توفير الأدلة الفنية المعتمدة. سيحتفظ التحقيق بالرسالة ويشارك الحد الأدنى من الملخص المعتمد بدلاً من إعادة توجيه تفاصيل الدفع الكاملة على نطاق واسع. هذا سيناريو خيالي، وليس إنكارًا حقيقيًا أو اكتشاف تسوية أو دعوة للتحقق أو منع الخسارة. وهو يوضح سبب إجابة التحقق من الأعمال ومصادقة المجال على أسئلة مختلفة.
إغلاق المسارين المالي والفني بشكل منفصل
تسجيل التصرف في التغيير المطلوب حتى لو استمر التحقيق الفني. وعلى العكس من ذلك، لا تعلن عن حل مشكلة الأعمال لمجرد تأمين الحساب: فقد يكون شخص ما قد قام بالفعل بتعديل سجل المورد أو تصرف بناءً على الطلب. التوفيق بين سجل الأعمال الفعلي والقرار المعتمد والوثيقة التي تحققت من النتيجة. أي إجراء من هذا القبيل يتطلب السلطة العادية للمنظمة؛ لم يتم تنفيذ أي شيء هنا.
يتطلب الكتالوج سيناريو إساءة الاستخدام المنقح مع أدلة الهوية وحدود المراقبة والتحقق المستقل من الأعمال. هذا الدليل الأصلي لا يزال مفتوحا. ورقة العمل المقترحة والتمرين الخيالي لا يفي بها. كما تظل المراجعة البشرية المتخصصة، وقابلية تطبيق المصدر، وطرق الإنتاج، وإمكانية الوصول، وإصدار المالك مفتوحة أيضًا. تحتاج النسخة القابلة للنشر إلى حزمة أدلة معتمدة توضح عملية التحقق دون الكشف عن المعرفات المالية أو تقديم ادعاءات غير مدعومة حول المورد.