Ein gültiges Ergebnis kann einen missbrauchten legitimen Pfad beschreiben
Kontoübernahme Und DMARC verschiedene Probleme bewerten. DMARC hilft einem Empfänger zu beurteilen, ob die sichtbare Von-Domäne mit einer erfolgreichen zugrunde liegenden Authentifizierung übereinstimmt. Bei der Kontoübernahme geht es darum, wer ein Konto oder einen verbundenen Dienst betreiben kann und ob seine Handlungen autorisiert sind. Wenn ein Angreifer Zugriff auf ein Konto erhält, das normalerweise über eine genehmigte Infrastruktur sendet, können die resultierenden Nachrichten dieselben Domänenprüfungen bestehen wie legitime E-Mails. Ein positives Ergebnis ist mit Betrug vereinbar, da der Domänenmechanismus kein menschlicher Absichtsdetektor ist.
RFC 9989 schließt die Authentifizierung anderer Entitäten als Domänen und die Inhaltsanalyse ausdrücklich aus. Das macht das Ergebnis nicht unbrauchbar. Es hilft herauszufinden, welcher Domänenpfad verwendet wurde, und kann eine Untersuchung eingrenzen. Der Fehler besteht darin, diese Beobachtung in eine Aussage umzuwandeln, dass der Kontoinhaber die Nachricht genehmigt hat, dass die angeforderte Aktion sicher ist oder dass das Postfach nicht kompromittiert wurde.
Verfolgen Sie zunächst den legitimen Sendepfad
Dokumentieren Sie die normale Beziehung zwischen Konto, Übermittlungsdienst, DKIM Domäne signieren, Umschlagabsender und sichtbar von der Domäne. Das Ziel besteht darin, zu verstehen, wie eine autorisierte Nachricht authentifiziert wird, und nicht darin, diese Kontrollen zu schwächen. Bei einer Kontoübernahme kann dieser vorhandene Pfad ausgenutzt werden, ohne dass DNS Einträge geändert werden. In anderen Fällen handelt es sich möglicherweise eher um eine Integration, eine delegierte Anwendung oder das Senden von Anmeldeinformationen als um den interaktiven Zugriff auf ein Postfach. Behandeln Sie diese als Hypothesen, bis Konto- und Anwendungsbeweise sie unterscheiden.
RFC 6376 beschreibt das Signaturmodell von DKIM auf Domänenebene. Eine gültige Signatur kann dabei helfen, die mit einer Signaturdomäne verbundene Verantwortung für den abgedeckten Nachrichteninhalt festzustellen. Es handelt sich nicht um eine Bestätigung der Identität des Autors oder der geschäftlichen Wahrheit dieses Inhalts. Setzen Sie eine kryptografisch intakte Nachricht nicht mit einer legitimen Zahlungsaufforderung gleich. Das System hat möglicherweise genau das unterzeichnet, was ein nicht autorisierter Bediener übermittelt hat.
Bestätigen Sie, dass es sich bei Pass um eine vertrauenswürdige Beobachtung handelt
Erhalten Sie Authentifizierungsergebnisse aus den vertrauenswürdigen Datensätzen des jeweiligen Empfängers. RFC 8601 erklärt das Vertrauensgrenzenproblem für Authentication-Results Felder. Einem Screenshot oder einer beliebigen Kopfzeile fehlt möglicherweise die nötige Herkunft, um sich darauf zu verlassen. Notieren Sie den Empfänger, die Nachrichtenzeit, die Erfassungsmethode usw Ausrichtung Weg. Wenn die Beweise unvollständig sind, verwenden Sie „gemeldeter Erfolg, noch nicht verifiziert“, anstatt die Nachricht als durch Annahme authentifiziert zu behandeln.
Ein Ergebnis auf Domänenebene identifiziert die kompromittierte Komponente auch nicht. Abgestimmtes DKIM kann von einer Lieferantenplattform erstellt werden, während ein Postfachkonto davon nicht betroffen ist. SPF kann eine genehmigte Infrastruktur widerspiegeln, die von mehreren Arbeitsabläufen gemeinsam genutzt wird. Behalten Sie diese Möglichkeiten bei der Weiterleitung der Untersuchung bei. Die empfangende Organisation sollte nicht behaupten, sie habe die Kontoübernahme eines Lieferanten allein anhand einer Nachricht nachgewiesen, die DMARC besteht und eine ungewöhnliche Anfrage enthält.
Trennen Sie Kontoindikatoren von Schlussfolgerungen
Anleitung von Microsoft zum Umgang mit kompromittierten E-Mail-Konten listet Symptome auf, darunter verdächtige Posteingangsregeln, unerwartete Weiterleitungen und fehlende oder gelöschte E-Mails. Außerdem werden die Untersuchung und Wiederherstellung von Microsoft 365 -Konten beschrieben. Diese Indikatoren rechtfertigen eine autorisierte Untersuchung; Eine Regel- oder Standortänderung ist ohne Kontext nicht automatisch bösartig. Überprüfen Sie den Zeitpunkt, die Akteure, die betroffenen Ressourcen und die beabsichtigte geschäftliche Nutzung.
Ein defensiver Beweisplan kann Anmeldedatensätze, Postfachüberwachungsaktivitäten, Datensätze gesendeter Nachrichten, Weiterleitungseinstellungen, Änderungen am Authentifizierungsgerät und den Verlauf der Anwendungseinwilligung umfassen. Die spezifischen verfügbaren Datensätze hängen von der Umgebung und den Berechtigungen ab. Dieser Artikel hat auf keinen davon zugegriffen. Bitten Sie einen Benutzer nicht, Zugriffstoken einzufügen oder vertrauliche Protokolle in einen öffentlichen Fall zu vervollständigen. Beschränken Sie die Sammlung auf das, was für die Untersuchung erforderlich ist, und bewahren Sie Rohbeweise in einer genehmigten, eingeschränkten Aufbewahrung auf.
Die Eindämmung erfordert eine Genehmigung und einen breiteren Geltungsbereich
Die dokumentierte Reaktion von Microsoft beginnt mit der Sicherung des betroffenen Kontos und umfasst den Widerruf des Zugriffs, die Überprüfung registrierter Authentifizierungsgeräte, genehmigter Anwendungen, Administratorrollen und E-Mail-Weiterleitungen. Diese Aktionen können legitime Arbeit unterbrechen und Sicherheitseinstellungen ändern. Ein autorisierter Responder sollte sie im Rahmen des Vorfallprozesses der Organisation auswählen und ausführen. Dieses Manuskript führt diese Änderungen weder durch noch genehmigt sie sie vorab und stellt keine einheitliche Reihenfolge für jeden Anbieter dar.
Es sollte nicht davon ausgegangen werden, dass Passwortänderungen allein jeden Zugriffspfad auflösen. Der zitierte Microsoft-Leitfaden geht speziell auf andere Mechanismen ein, darunter Sitzungen und App-Passwörter. Ebenso beweist das Entfernen einer Posteingangsregel nicht, dass der Kontozugriff eingeschränkt ist. Behalten Sie die Beziehung zwischen jedem beobachteten Persistenzmechanismus und seiner autorisierten Behebung bei. Überprüfen Sie das tatsächliche Ergebnis anhand der vom Anbieter unterstützten Beweise, anstatt den Erfolg aus einem Klick auf eine Schaltfläche oder aus der nächsten authentifizierten Nachricht abzuleiten.
Ein Arbeitsblatt zur Konto- und Nachrichtenakzeptanz
Verwenden Sie zwei verknüpfte Arbeitsblätter. Das Nachrichtenblatt zeichnet die analysierte Absenderdomäne, die authentifizierten Domänen, das Ausrichtungsergebnis, die Herkunft des Empfängers, die angeforderte Aktion und die unabhängige Geschäftsüberprüfung auf. Im Kontoblatt werden der vermutete Zugriffspfad, unterstützende Prüfungsnachweise, die autorisierte Eindämmungsentscheidung, der Ausführungseigentümer, Ergebnisnachweise und ungelöste Gefährdungen erfasst. Verknüpfen Sie sie nur dort, wo Bezeichner und Zeitangaben die Zuordnung unterstützen. Eine gemeinsame Domain allein ist keine zuverlässige Eins-zu-Eins-Kontoverknüpfung.
Definieren Sie Abschlusskriterien, bevor Sie die Wiederherstellung erklären. Die Geschäftsanfrage muss durch einen unabhängigen vertrauenswürdigen Prozess gelöst werden; Kontozugriff und -persistenz müssen bewertet werden; Unberechtigte Weiterleitung oder unbefugter Anwendungszugriff müssen gegebenenfalls behoben werden. und der Umfang der betroffenen Nachrichten oder Daten muss dokumentiert werden. Hierbei handelt es sich um vorgeschlagene Akzeptanzkriterien und nicht um den Nachweis einer abgeschlossenen Untersuchung. Die kontinuierliche Überwachung sollte in einem angemessenen Verhältnis zum Prozess der Organisation stehen und das Versprechen einer perfekten Erkennung vermeiden.
Fiktive Diagnose: der bekannte Thread
Ein fiktives Einkaufsteam erhält in einem vertrauten Lieferantengespräch eine Nachricht mit der Bitte um eine Änderung eines bestehenden Prozesses. Die Nachricht verwendet die reale Domäne des Anbieters und übergibt eine abgestimmte Authentifizierung an den Empfänger. Das Team interpretiert dieses Ergebnis zunächst als Beweis dafür, dass der Vertreter des Lieferanten der Änderung zugestimmt hat. Ein zweiter Prüfer bemerkt, dass die Anfrage vom vereinbarten Geschäftsablauf abweicht, und pausiert sie zur unabhängigen Bestätigung.
Der autorisierte Ansprechpartner des Anbieters würde dann die Konto- und Anwendungsaktivität untersuchen. Eine hypothetische verdächtige Weiterleitungsregel könnte relevant sein, würde aber ohne unterstützende Aufzeichnungen nicht die gesamte Kausalkette belegen. Das empfangende Team sollte die Nachricht aufbewahren und es vermeiden, unbegründete Behauptungen über den Kompromiss des Lieferanten aufzustellen. Hierbei handelt es sich um eine fiktive Übung ohne tatsächlichen Kontozugriff, Regelerkennung, Wiederherstellungsvorgang oder Lieferantenkontakt. Sein Zweck besteht darin, zu zeigen, warum gültige Authentifizierung und unabhängige Unternehmensüberprüfung weiterhin komplementär sind.
Geben Sie das Restrisiko genau an
Behalten DMARC -Durchsetzung ist immer noch nützlich gegen unbefugte Domainnutzung. Eine Abschwächung macht die Diagnose einer Kontoübernahme nicht einfacher und kann dazu führen, dass eine separate Abwehr entfällt. Umgekehrt kann die Veröffentlichung einer strengeren DMARC -Richtlinie weder eine gestohlene Sitzung widerrufen noch die Gewährung einer böswilligen Anwendung entfernen. Leiten Sie jede Kontrolländerung an das System weiter, das das Problem verursacht, und verlangen Sie den Nachweis, dass die autorisierte Änderung ihr beabsichtigtes Ergebnis erzielt hat.
Das erforderliche redigierte Missbrauchsszenario mit Identitätsnachweis, Kontrollgrenze und unabhängiger Geschäftsüberprüfung fehlt noch. Die fiktive Erzählung kann dieser Anforderung nicht genügen. Alle sechs Freigabetore bleiben offen, einschließlich Originalbeweise, Überprüfung durch menschliche Spezialisten, Anwendbarkeit der Quelle, Produktionswege, Zugänglichkeit und Genehmigung des Eigentümers. Dieser Entwurf sollte als vertretbares Untersuchungsmodell gelesen werden und nicht als Schlussfolgerung über ein reales Konto oder ein Rekord einer erfolgreichen Eindämmung.