Die Authentifizierung kann für die falsche Organisation erfolgreich sein
Ein Angreifer muss nicht die genaue Domäne einer vertrauenswürdigen Organisation imitieren, um eine betrügerische Nachricht zu senden. Sie können eine andere Domain betreiben, deren E-Mail-Adresse korrekt konfigurieren und damit irreführende Behauptungen aufstellen. Ein Empfänger kann erfolgreich beobachten SPF, DKIM Und DMARC für diese Domain, solange die Nachricht noch einen Betrugsversuch vornimmt. Das Authentifizierungsergebnis beschreibt die Domänennutzung; es beweist nicht, dass die Domain der Organisation gehört, die der Leser im Sinn hat, oder dass die angeforderte Aktion legitim ist.
RFC 9989 schränkt die Ziele von DMARC ausdrücklich ein. Inhaltsanalyse und Authentifizierung anderer Entitäten als Domänen fallen nicht in den Anwendungsbereich, ebenso wie Angriffe mit Anzeigenamen. Diese Grenze erklärt authentifiziert Phishing ohne darauf hinzuweisen, dass die Authentifizierung technisch fehlgeschlagen ist. Die entsprechende Antwort kombiniert Domänenidentität, Nachrichtenkontext und unabhängige Geschäftsüberprüfung. Dieser Artikel ist eine defensive Anleitung und enthält keine Phishing-Vorlage, Zustellungsanweisungen oder Live-Domain-Tests.
Unterscheiden Sie zwischen Authentifizierung und Zugehörigkeit
Notieren Sie die Domäne in der tatsächlichen Absenderadresse und die Domäne, die der Empfänger erwartet hat. Wenn sie sich unterscheiden, reduzieren Sie sie nicht, da Ihnen der Anzeigename, das Logo oder der Betreff bekannt vorkommt. Ein Domaininhaber kann im Allgemeinen eine Authentifizierung für seine eigenen E-Mails veranlassen, aber das sagt nichts über seine Beziehung zu einem anderen Unternehmen aus. Selbst eine echte Website und eine funktionierende Antwortadresse stellen diesen Zusammenhang nicht her. Die Frage ist Zugehörigkeit und Autorität, nicht nur technische Konsistenz.
RFC 5322, Abschnitt 3.4, trennt den Anzeigenamen von der Adresse. Ein bekanntes Label kann in einem E-Mail-Client über einer nicht verwandten Domäne stehen. Die Bezeichnung kann je nach Kontext harmlos, mehrdeutig oder irreführend sein; Erklären Sie Ihre Absicht nicht allein durch das Etikett. Vergleichen Sie die Adresse mit einem vertrauenswürdigen Organisationsdatensatz und überprüfen Sie die spezifische Geschäftsaktion über einen etablierten Kanal außerhalb der fragwürdigen Nachricht.
Untersuchen Sie die Bedeutung eines bestandenen Ergebnisses
Ein eigenständiger SPF Pass kann das betreffen Umschlagabsender Domäne, während DKIM eine signierende Domäne identifiziert. DMARC fügt eine hinzu Ausrichtung Beziehung zur sichtbaren Von-Domäne. Identifizieren Sie, welcher Pfad das gemeldete Ergebnis unterstützt. Wenn alle diese Identitäten zur unbekannten Domäne gehören, kann das Ergebnis intern konsistent sein, ohne dass die in der Nachricht genannte bekannte Marke oder Person bestätigt wird. Das ist eine wichtige Erkenntnis und kein Widerspruch, den es zu erklären gilt.
Verwenden Sie vertrauenswürdige Empfängernachweise, anstatt eine vom Absender bereitgestellte Behauptung zu akzeptieren. RFC 8601 beschreibt warum Authentication-Results Verbraucher brauchen eine Vertrauensgrenze. Ein Screenshot, der das Wort pass enthält, verrät möglicherweise nicht, wer die Nachricht ausgewertet hat oder welche Domain übergeben wurde. Notieren Sie Quelle, Zeit und relevante Identitätsfelder. Wenn die Beweise nicht ausreichen, bewahren Sie die Unsicherheit auf, anstatt zu behaupten, dass die Nachricht entweder erfolgreich war oder definitiv nicht bestanden wurde.
Bewerten Sie die angeforderte Aktion separat
Identifizieren Sie, was der Absender vom Empfänger erwartet. Das Risiko kann ein geändertes Zahlungsziel, die Offenlegung vertraulicher Informationen, die Installation von Software, eine Anmeldung an einem unbekannten Ort oder eine Änderung eines etablierten Arbeitsablaufs sein. Die Domänenauthentifizierung genehmigt keine dieser Aktionen. Eine technisch gültige Nachricht kann dennoch eine falsche Prämisse, eine nicht autorisierte Anfrage oder ein Ziel enthalten, das nichts mit dem beanspruchten Geschäft zu tun hat.
Überprüfen Sie einen verdächtigen Link nicht, indem Sie sich anmelden oder Informationen eingeben. Nutzen Sie den etablierten Analyse- und Berichtsprozess der Organisation mit qualifiziertem Personal und geeigneten Werkzeugen, wenn eine tiefergehende Inspektion erforderlich ist. Dieser Entwurf behauptet nicht, dass eine visuelle Inspektion einer URL die Sicherheit beweisen kann, noch dass jede unbekannte Domain bösartig ist. Sowohl ein legitimer neuer Anbieter als auch eine Domain im Besitz des Angreifers sind möglicherweise unbekannt. Die Geschäftsüberprüfung ist das, was die Beziehung auflöst.
Nutzen Sie Receiver-Verteidigungen, ohne sie zu übertreiben
Übersicht über die E-Mail-Authentifizierung von Microsoft beschreibt die zusammengesetzte Authentifizierung als Teil einer umfassenderen Bewertung und nicht als einfachen Ersatz für SPF , DKIM und DMARC . Dies unterstützt einen mehrschichtigen Ansatz: Empfängersysteme können Identitätssignale mit anderen Informationen kombinieren, wenn sie entscheiden, wie mit Post umgegangen wird. Es garantiert nicht die Erkennung jeder authentifizierten Phishing-Nachricht und definiert nicht das aktuelle Filterverhalten eines anderen Anbieters.
Ein Empfänger kann Nachrichten gemäß seinen eigenen Kontrollen und Richtlinien annehmen, unter Quarantäne stellen, als Junk-Mail versenden oder ablehnen. Schließen Sie nicht auf Sicherheit aus der Platzierung im Posteingang oder auf Böswilligkeit aus einem einzelnen Filterergebnis. Ebenso eine Öffentlichkeit Blockliste Das Ergebnis ist kein allgemeingültiges Reputationsurteil. Nutzen Sie Anbieterdiagnosen als Beweismittel mit bekanntem Umfang und Zeitaufwand. Behalten Sie die Unterscheidung zwischen der Klassifizierung einer Maschine und der Befugnis des Geschäftsinhabers bei, die angeforderte Aktion zu genehmigen.
Ein Arbeitsblatt für Zugehörigkeit und Aktion
Erstellen Sie ein Arbeitsblatt mit der beanspruchten Organisation, der erwarteten vertrauenswürdigen Domäne, der tatsächlichen Absenderdomäne, dem Anzeigenamen, der authentifizierten Domäne oder den authentifizierten Domänen, dem Ergebnis des vertrauenswürdigen Empfängers und der angeforderten Aktion. Fügen Sie die Beweisquelle für die erwartete Domäne hinzu, nicht nur für die beobachtete Domäne. Erfassen Sie, ob das Unternehmen eine etablierte Beziehung zum Absender hat und ob die jeweilige Aktion zu dieser Beziehung passt. Behalten Sie eine ungelöste Option bei, anstatt jeden unbekannten Absender in eine Angreiferkategorie zu zwingen.
In der zweiten Hälfte des Arbeitsblatts werden der unabhängige Prüfer, der zuvor bekannte Kontaktweg, die gestellte Frage, die Antwort und der Entscheidungsinhaber erfasst. Vermeiden Sie die Verwendung einer Telefonnummer oder alternativen Adresse, die erst durch die verdächtige Nachricht bekannt gegeben wird. Entfernen Sie unnötige persönliche Informationen in der freigegebenen Kopie und bewahren Sie gleichzeitig die Domain-Gleichheit und -Unterschiede. Ein Arbeitsblatt, das jede Adresse durch denselben Platzhalter ersetzt, kann nicht nachweisen, warum bei der Authentifizierung keine Zugehörigkeit festgestellt werden konnte.
Fiktive Diagnose: eine korrekt authentifizierte neue Domain
Stellen Sie sich vor, ein fiktives Einsatzteam erhält eine Anfrage, die angeblich von einem bekannten Ausrüstungslieferanten stammt. Der Absender verwendet eine andere Domäne, die nicht im Datensatz des genehmigten Lieferanten des Teams enthalten ist. Beweise für vertrauenswürdige Empfänger zeigen hypothetisch, dass ein abgestimmtes DKIM und ein DMARC Pass für diese andere Domäne vorhanden sind. Der Empfänger sieht einen bekannten Anzeigenamen und geht davon aus, dass das Authentifizierungsergebnis die Identität des Lieferanten bestätigt. Dies ist nicht der Fall: Die Beobachtung betrifft den anderen Bereich.
Die vorgeschlagene Reaktion besteht darin, die angeforderte Änderung anzuhalten und sie über einen zuvor festgelegten Kontakt mit dem Lieferanten zu überprüfen. Wenn der Lieferant die Anfrage ablehnt, kann die Organisation die Beweise durch ihren genehmigten Vorfallprozess weiterleiten, ohne die unbekannte Domäne einer Zulassungsliste hinzuzufügen. Wenn der Lieferant eine legitime Domänenänderung bestätigt, sollte diese Bestätigung in den normalen Lieferantenwartungsworkflow einfließen und nicht stillschweigend die Vertrauenswürdigkeit auf der Grundlage einer E-Mail ändern. An diesem fiktiven Beispiel war kein echter Anbieter, keine Domänenregistrierung, keine Nachrichtenübermittlung oder kein Verifizierungsanruf beteiligt.
Behalten Sie nützliche Kontrollen bei und verlangen Sie Originalbeweise
Der IC3 BEC-Beratung, veröffentlicht im Jahr 2020, unterstützt die unabhängige Überprüfung ungewöhnlicher Geschäftsanfragen und Kontoschutzmaßnahmen. Es wird für diese Verteidigungsprinzipien zitiert, nicht für eine aktuelle Angriffsstatistik oder eine Behauptung über eine namentlich genannte Organisation. Authentifizierung, Empfängerschutz und Geschäftsprozesskontrollen sollten sich gegenseitig verstärken. Entfernen Sie die Authentifizierung nicht, weil sie die Absicht nicht bestimmen kann, und gewähren Sie kein Vertrauen, nur weil sie erfolgreich ist.
Der Katalog erfordert ein redigiertes Missbrauchsszenario mit Identitätsnachweis, Kontrollgrenze und unabhängiger Geschäftsüberprüfung. Dieser ursprüngliche Beweis bleibt offen; Das fiktive Szenario ist kein Ersatz. Es wurde kein verdächtiger Endpunkt besucht, keine Anmeldeinformationen gesammelt und kein Dritter kontaktiert. Die Prüfung durch menschliche Spezialisten, die Anwendbarkeit aktueller Quellen, Produktionswege, visuelle Zugänglichkeit und die Freigabe durch den Eigentümer bleiben ebenfalls offen. Eine veröffentlichbare Version benötigt autorisierte Beweise, die den genauen Unterschied zwischen der Authentifizierung einer Domain und dem Vertrauen in die Organisation oder Aktion, die sie angeblich repräsentiert, belegen.