Identifizieren Sie, was die Nachricht behauptet
Eine Nachricht kann ein Unternehmen auf verschiedene Weise imitieren. Es kann die genaue Domäne des Unternehmens in die sichtbare Absenderadresse einfügen, den Anzeigenamen einer bekannten Person mit einer nicht verwandten Adresse verwenden oder von einer anderen Domäne senden, die so gewählt wurde, dass sie dem Unternehmen ähnelt. Dies sind keine austauschbaren Mechanismen. Sie erfordern unterschiedliche Beweise und legen unterschiedliche Kontrollgrenzen offen. Nennen Sie alle drei Fälle a DMARC Ein Fehler fördert die falsche Reparatur und kann einen Vorfall verbergen, der einer geschäftlichen Überprüfung statt einer DNS -Bearbeitung bedarf.
RFC 9989 erstreckt sich auf DMARC RFC5322 .Von Domäne und ausgerichtete Authentifizierung. Ausdrücklich ausgeschlossen sind Anzeigenamenangriffe, Inhaltsanalysen und die Authentifizierung anderer Entitäten als Domänen. Ein Empfänger kann immer noch zusätzliche Schutzmaßnahmen anwenden, diese Schutzmaßnahmen sollten jedoch nicht DMARC selbst zugeschrieben werden. Dieser Artikel bietet eine Klassifizierungsmethode für die defensive Triage ohne echte Nachrichtenprüfung oder Behauptung über einen benannten Absender.
Die domänengenaue Nutzung erfordert einen genauen Vergleich
Beginnen Sie mit der tatsächlichen Domäne in der analysierten Absenderadresse, nicht mit dem von der E-Mail-Anwendung angezeigten Anzeigetext. Vergleichen Sie es mit der für die Anfrage relevanten Geschäftsdomäne. Bewahren Sie die genaue Schreibweise und die Beweisquelle in einem eingeschränkten Ermittlungsprotokoll auf. Wenn die Domänen identisch sind, lautet die nächste Frage, ob die Beweise für vertrauenswürdige Empfänger eine abgestimmte Authentifizierung, einen Fehler, das Fehlen einer Richtlinie oder ein unbestimmtes Ergebnis anzeigen. Das genaue Erscheinungsbild der Domäne allein sagt Ihnen nicht, was passiert ist.
Ein nicht autorisierter Absender, der die exakte Domäne verwendet, schlägt möglicherweise fehl Ausrichtung, aber ein kompromittiertes autorisiertes Konto oder ein kompromittierter autorisierter Dienst kann ausgerichtete E-Mails produzieren. Derselbe sichtbare Bereich kann daher bei sehr unterschiedlichen Vorfällen auftreten. Ein bestandener DMARC Vorgang beweist nicht, dass die Nachricht von einer Person genehmigt wurde, und ein Fehlschlag allein beweist nicht, dass eine böswillige Absicht vorliegt. Weiterleitungen, Konfigurationsfehler und unvollständige Nachweise können die Interpretation erschweren. Geben Sie den beobachteten Sachverhalt im engeren Sinne an, bevor Sie eine Ursache zuweisen.
Anzeigenamen sind eine separate Identitätsoberfläche
RFC 5322, Abschnitt 3.4, unterscheidet den optionalen Anzeigenamen eines Postfachs von seiner Adresse. Ein Anzeigename kann für einen Leser eine Person oder Rolle identifizieren, ohne dass es sich dabei um die von DMARC ausgewertete Domäne handelt. Beispielsweise kann in einer fiktiven Nachricht „Accounts Team“ angezeigt werden, während ihre Adresse zu einer nicht verwandten Beispieldomäne gehört. Das bekannte Etikett ist kein Beweis für die Inhaberschaft der Organisation.
Bei einem kleinen Bildschirm oder einer reduzierten Ansicht sind möglicherweise nicht alle Identitätsfelder auf den ersten Blick sichtbar. Die Abwehrmaßnahme besteht darin, die vollständige Adresse über die vertrauenswürdige Schnittstelle der empfangenden Anwendung zu überprüfen und dann die Geschäftsanfrage unabhängig auszuwerten. Erfinden Sie keine universelle UI-Regel und versprechen Sie nicht, dass jeder Kunde eine Nichtübereinstimmung hervorhebt. Die Unterscheidung zwischen Label und Adresse im Standard ist stabil; Darstellung und Schutzhinweise hängen vom Auftraggeber und Empfänger ab.
Lookalike-Domänen können sich erfolgreich authentifizieren
Eine andere Domäne kann aufgrund der Rechtschreibung, Zeichensetzung oder Zeichenauswahl optisch einer vertrauenswürdigen Domäne ähneln. Wenn der Betreiber seine Sendeeinstellungen rechtmäßig kontrolliert, können E-Mails von dieser Domäne weitergeleitet werden SPF, DKIM und DMARC für diese Domain. Die Authentifizierung ist nicht unbedingt fehlerhaft. Die Erkennung der beabsichtigten Organisation durch den Empfänger ist fehlgeschlagen oder wurde auf einer anderen Ebene manipuliert.
Vergleichen Sie die tatsächliche Domäne mit einem vertrauenswürdigen Geschäftsdatensatz, der außerhalb der fraglichen Nachricht erhalten wurde. Besuchen Sie eine bereitgestellte Website nicht und antworten Sie nicht auf die fragliche Adresse, nur um den Besitz festzustellen. Ein bekanntes Markenwort, eingebettet in einen längeren Namen, reicht nicht aus. Behalten Sie die Interpretation internationalisierter Namen sorgfältig bei und holen Sie eine qualifizierte Analyse ein, wenn die angezeigten und zugrunde liegenden Formen unterschiedlich sind. Dieser Entwurf stellt keinen vollständigen Unicode- oder Public-Suffix-Klassifizierungsalgorithmus bereit.
Verwenden Sie vertrauenswürdige Authentifizierungsnachweise
Ein Authentication-Results Das Feld ist nur innerhalb der Vertrauensgrenze des Empfängers nützlich. RFC 8601 erklärt, warum Verbraucher vertrauenswürdige Authentifizierungszusicherungen von willkürlichen Feldern in einer Nachricht unterscheiden müssen. Das Kopieren einer Zeile mit der Aufschrift „pass out“ aus einer weitergeleiteten Nachricht oder einem Screenshot beweist nicht, dass der betreffende Empfänger sie erstellt hat. Notieren Sie, welcher Empfänger die Nachricht ausgewertet hat und wie der Ermittler zu dem Ergebnis gelangt ist.
Lassen Sie die Von-Domäne sichtbar. Umschlagabsender Domäne, DKIM Signaturdomäne und Antwortidentität sind eindeutig. Für ihre Unterschiede kann es legitime Erklärungen geben und sie sollten nicht automatisch zu einer Betrugsfeststellung führen. Identifizieren Sie für DMARC den ausgerichteten Authentifizierungspfad, anstatt jeden SPF oder DKIM Durchlauf als ausreichend zu betrachten. Prüfen Sie bei der geschäftlichen Anfrage die angeforderte Handlung und die Befugnisse der Person, die sie angeblich ausführt.
Ein Arbeitsblatt zum Identitätsvergleich
Bereiten Sie eine Zeile vor, die die vertrauenswürdige Geschäftsdomäne, die sichtbare Anzeigebezeichnung, die geparste Absenderadresse, die Antwortadresse (sofern vorhanden), die authentifizierten Domänen, das Empfängerergebnis, die Beweisherkunft und die vorgeschlagene Klassifizierung enthält. Fügen Sie Spalten für das hinzu, was unbekannt bleibt und welcher unabhängige Kanal die Anfrage überprüfen kann. Minimieren Sie persönliche Identifikatoren in jeder gemeinsam genutzten Version und bewahren Sie gleichzeitig, ob zwei Domänen identisch oder unterschiedlich waren. Durch das Ändern aller Werte in einen Platzhalter wird die Beziehung zerstört, die das Arbeitsblatt anzeigen soll.
Verwenden Sie drei vorläufige Kategorien: Verwendung der exakten Domäne, Nachahmung des Anzeigenamens und Ähnlichkeit mit einer anderen Domäne. Erlauben Sie Kombinationen und eine ungelöste Kategorie. Eine Nachricht kann sowohl einen irreführenden Anzeigenamen als auch einen enthalten Lookalike-Domäne. Das Arbeitsblatt sollte auch eine Kompromittierung autorisierter Konten als Hypothese zulassen, wenn ausgerichtete E-Mails scheinbar von der tatsächlichen Organisation stammen. Bei der Klassifizierung handelt es sich um eine Möglichkeit, die Untersuchung voranzutreiben, nicht um eine endgültige Bestimmung der Absicht oder Verantwortung.
Fiktiver Vergleich mit drei Botschaften
Stellen Sie sich vor, ein fiktives Finanzteam erhält drei ungewöhnliche Anfragen im Zusammenhang mit dem Northbridge-Beispiel. Der erste hat die genaue Domäne von Northbridge, aber vertrauenswürdige Empfängernachweise deuten darauf hin, dass kein ausgerichteter Pass vorhanden ist. Der zweite verwendet den Anzeigenamen des Finanzdirektors mit einer unabhängigen Adresse, die sich für seine eigene Domäne authentifiziert. Der dritte verwendet eine ähnlich aussehende, aber andere Domäne und authentifiziert sich auch für diese Domäne. Dabei handelt es sich um erfundene Beobachtungen, nicht um während dieser Arbeit gesammelte Botschaften.
Der erste Fall führt zu einer Authentifizierungs- und Sendepfaduntersuchung. Der zweite Schritt führt zur Überprüfung des Anzeigenamens und der Unternehmensbehörde. Der dritte Punkt führt zum Domänenvergleich und zur Handhabung von Identitätsdiebstahl. Keiner rechtfertigt eine Zahlung nur, weil ein bekannter Name erscheint, und keiner sollte durch Hinzufügen des nicht verwandten Absenders zu Northbridge „repariert“ werden SPF Eintrag. Wenn eine vierte Nachricht den Abgleich mit der tatsächlichen Domäne, dem Konto oder dem Dienst von Northbridge besteht, bleibt dies möglich und erfordert eigene Beweise.
Überprüfen Sie die Anfrage über die Nachricht hinaus
Der IC3-Cloud-E-Mail-BEC-Beratung, veröffentlicht im Jahr 2020, empfiehlt bei verdächtigen Geschäftsanfragen die Verifizierung über bekannte Kontaktmethoden. Sein Alter ist eindeutig: Es dient der allgemeinen Kontrolle, nicht einer Aussage über einen aktuellen Vorfall oder die aktuelle Schnittstelle eines bestimmten Empfängers. Nutzen Sie eine Nummer oder einen Workflow, die bereits unabhängig erfasst wurden, und überprüfen Sie die konkret angeforderte Änderung, anstatt nur zu fragen, ob jemand eine E-Mail gesendet hat.
Das geforderte redigierte Missbrauchsszenario mit Identitätsnachweis, Kontrollgrenze und unabhängiger Geschäftsüberprüfung bleibt unerfüllt. Der fiktive Vergleich dieses Manuskripts befriedigt ihn nicht. Es wurde kein Konto abgefragt, keine verdächtige Domain besucht und keine Partei kontaktiert. Bewahren Sie vor der Veröffentlichung autorisierte echte Beweise auf, lassen Sie die Klassifizierung von einem qualifizierten Prüfer validieren, bestätigen Sie die Anwendbarkeit der Quelle und die Produktionswege, führen Sie eine Überprüfung der Barrierefreiheit durch und holen Sie die Genehmigung des Eigentümers ein. Das Ergebnis sollte eine vertretbare Erklärung darüber sein, welche Identität behauptet wurde und was die Kontrollen tatsächlich festgestellt haben.