Suunnittele vastaus ennen ehdokkaiden keräämistä
Lookalike-domain monitorointi on hyödyllistä vain silloin, kun löydös voi johtaa oikeasuhteiseen, näyttöön perustuvaan päätökseen. Brändiä muistuttava verkkotunnus on ehdokas tarkistettavaksi, ei todiste väärinkäytöstä. Valvontaprosessin tulee määritellä, mitä se havaitsee, miten se erottaa sanaston vastaavuuden operatiivisesta todisteesta, kuka omistaa tutkimuksen ja mitkä vastaukset tarvitsevat hyväksynnän. Muussa tapauksessa suuri hälytysjono voi kuluttaa huomiota parantamatta organisaation kykyä käsitellä todellista toisena henkilönä esiintymistä.
RFC 9989, osio 2.2, selittää sen DMARC ei käsittele visuaalisesti samankaltaisia verkkotunnuksia tai näyttönimien väärinkäyttöä. Eri verkkotunnus voi todentaa oman sähköpostinsa oikein. Seuranta siis täydentää verkkotunnuksen todennusta eikä korvaa sitä. Tässä artikkelissa ehdotetaan työnkulkua; se ei rekisteröi verkkotunnuksia, tee kyselyitä todelliselta tarkkailulistalta, lähetä testiviestejä, vieraile epäilyttävillä sivustoilla tai ota yhteyttä rekisteröijiin tai väitettyihin operaattoreihin.
Määrittele puolustettava laajuus
Aloita organisaation vahvistetuista verkkotunnuksista, julkisista tuotenimistä ja liikesuhteista, joilla on merkitystä seurantatavoitteen kannalta. Kirjaa ylös, kuka hyväksyi kyseisen laajuuden ja miksi kukin kohde on sisällytetty. Vältä henkilönimien tai arkaluontoisten parisuhdetietojen keräämistä yksinkertaisesti siksi, että työkalu sallii sen. Määritä, mitkä havaintolähteet ovat saatavilla ja valtuutettuja, niiden kattavuusrajat ja odotettu tarkastelutaajuus. Palveluntarjoajan hälytys on todiste kyseisestä lähteestä tuolloin, ei todiste täydellisestä näkyvyydestä Internetissä.
Erottele ehdokassukupolven säännöt eskalointisäännöistä. Ehdokassäännöt saattavat verrata oikeinkirjoitusta tai merkkien samankaltaisuutta; eskaloituminen edellyttää lisäkontekstia, kuten raportoitua harhaanjohtavaa viestiä tai havaittua harhaanjohtavaa yritysväittämää. Ilmoittautumisikä, todistus tai an MX tietue voi olla merkityksellinen konteksti, mutta mikään ei yksinään osoita pahantahtoisuutta. Vastaavasti MX tietueen puuttuminen ei takaa täydellistä varmuutta siitä, että verkkotunnus ei voi osallistua huijaamiseen. Älä muunna kätevää indikaattoria yleismaailmalliseksi tuomioksi.
Käsittele sekavuutta teknisenä signaalina
Unicoden tekninen standardi 39 kuvailee mekanismeja sekoittuvien tunnisteiden havaitsemiseksi ja varoittaa, että vertailut voivat olla liian kattavat. Luuranko tai siihen liittyvä vertailutulos on merkkijonojen välinen tekninen suhde, ei oikeudellinen havainto, todiste yhteisestä omistuksesta tai todiste siitä, että vastaanottajaa on petetty. Tallenna työkalu, Unicode-tietoversio ja vertailumenetelmä, jotta tulevat arvioijat ymmärtävät, miksi ehdokas ilmestyi.
Pidä alkuperäinen havaittu merkkijono ja sen DNS-suuntautunut esitys erillään vertailuartefaktista. Hämmentävä luuranko ei ole osoite, jossa vierailla tai julkaistava DNS ssä. Jos työkalu normalisoi tai näyttää nimet eri tavalla, säilytä kyseinen muunnos metatietona. Ihmisten tarkastelun tulisi ottaa huomioon kohdeyleisö ja konteksti olettamatta, että kansainvälistyneet nimet ovat luonnostaan epäilyttäviä. Lailliset organisaatiot käyttävät monia skriptejä; seurantaprosessissa on vältettävä pitämästä kielenvalintaa todisteena väärinkäytöksestä.
Rakenna triaasiportaat automaattisen syytöksen sijaan
Käytä tiloja, kuten ehdokas, tarkistettu ilman nykyistä väärinkäytön näyttöä, lisätutkimuksia tarvitaan, todisteita toisena henkilönä esiintymisestä ja ratkaistu dokumentoidulla tuloksella. Määrittele, mitä todisteita niiden välillä tarvitaan. Hälytys voidaan sulkea alhaisella prioriteetilla ilman, että verkkotunnusta julistetaan pysyvästi turvalliseksi. Vahvistettu tapaus voi pysyä avoimena, kun vastauksen omistajuus on määritetty. Nämä ovat ehdotettuja sisäisiä työnkulun tunnisteita, eivät alan standardiluokituksia tai toimittajan ominaisuuksia.
Kirjaa kunkin ehdokkaan kohdalla havaittu samankaltaisuus, lähde ja aika, väitetty sidos, jos sellainen on, vaikuttanut liiketoimintaprosessiin, käytettävissä olevat viestitodisteet ja ratkaisemattomat kysymykset. Älä tutki tilejä, rekisteröi resursseja tai lähetä viestejä testataksesi, onko väärinkäyttö mahdollista. Jos syvällisempi analyysi on tarpeen, ohjaa se valtuutettuun suojausprosessiin. Kaikki ulkoiset valitukset, poistopyynnöt tai viestintä edellyttävät asianmukaista hyväksyntää ja todisteita; Pelkästään automatisoitu leksikaalinen vastaavuus ei saa aiheuttaa väitettä.
Yhdistä viestiraportit luotettuihin henkilöllisyyksiin
Kun raportoitu viesti on saatavilla valtuutetun kanavan kautta, vertaa sen todellista Lähettäjä-verkkotunnusta, näyttönimeä ja pyydettyä toimintoa odotettuun yritysidentiteettiin. Säilytä vastaanottajan todennustulos ja alkuperä. RFC 8601 selittää miksi an Authentication-Results väite tarvitsee luotettavan rajan. Älä pidä kopioitua passiriviä riittävänä todisteena siitä, että tuntematon verkkotunnus on todennettu vastaanottajan vastaanottimessa.
Oikein todennettu eri verkkotunnuksen viesti voi silti olla harhaanjohtava, kun taas laillinen viesti uudelta liikekumppanilta voi olla tuntematon ilman haitallista. Vastaus riippuu kuulumisesta ja tietystä pyynnöstä. Riippumaton vahvistus vakiintuneen liikekontaktin kautta voi ratkaista tämän kysymyksen suoremmin kuin keräämällä muita oikeinkirjoitusvaihtoehtoja. The IC3 BEC neuvoa-antava, päivätty 2020, tukee tätä yleistä varmennushallintaa, ei väitettä nykyisestä valvontapalvelusta.
Vastausprosessin laskentataulukko
Luo laskentataulukko, jossa on ehdokastunniste, alkuperäinen oikeinkirjoitus, normalisoitu DNS esitys, jos se on validoitu, vertailumenetelmä, havaintolähde, aikaleima, laajuuden omistaja ja nykyinen tila. Lisää todisteet todellisesta käytöstä, vaikuttavista käyttäjistä tai työnkulusta, luotettavuuden perusteet, ehdotettu vastaus, vaadittu lupa ja seurantapäivämäärä. Pidä erillinen kenttä sille, mitä lähde ei voi määrittää. Tämä estää työkalupisteen tarkkuuden peittämästä epävarmaa johtopäätöstä.
Määrittele jokaiselle vastaukselle sulkemisen todiste. Sisäisen varoituksen tulee yksilöidä yleisönsä ja perusteensa toistamatta arkaluonteista sisältöä. Lohkolla tulee olla valtuutettu omistaja ja tarkistussuunnitelma väärien positiivisten tulosten varalta. Ulkopuolinen raportti tulee tukea ja hyväksyä. Nämä ovat vain prosessisuunnittelunäkökohtia; estoa, varoitusta tai raporttia ei ole luotu tähän. Tarkista työmäärä ja ratkaisemattomat suuret tapaukset sekä raakahälytysten määrä arvioidessasi, onko prosessi hyödyllinen.
Kuvitteellinen diagnoosi: hyvät pisteet saanut ehdokas
Kuvitteellinen tuotemerkin seurantatyökalu merkitsee verkkotunnuksen, joka muistuttaa toimittajan nimeä. Samankaltaisuuspisteet ovat korkeat, mutta hälytys ei sisällä viestiä, verkkosivuston sisältöä tai väitettä kuulumisesta. Analyytikko kirjaa sen ehdokkaaksi sen sijaan, että leimaa sen operaattoria haitalliseksi. Myöhemmin yrityskäyttäjä toimittaa valtuutetun viestiraportin, joka käyttää ehdokastoimialuetta ja pyytää epätavallista toimittajatietueen muutosta. Viestinäyttö muuttaa tutkimuksen prioriteettia, ei leksikaalista pistemäärää.
Ryhmä vertailee luotettujen vastaanottajien tuloksia ja varmistaa pyydetyn muutoksen toimittajan kanssa käyttämällä olemassa olevaa yhteydenottoreittiä. Jos toimittaja hylkää pyynnön, tapaus voi dokumentoida tämän todetun tosiasian ja hakea hyväksyntää asianmukaiselle vastaukselle. Hypoteettinen tiimi ei rekisteröi verkkotunnusta, testaa kirjautumista tai lähetä a phishing viesti todistaakseen asian. Tämä on keksitty prosessiharjoitus, ei tarkkailualue, todellinen valitus tai suoritettu täytäntöönpanotoimi.
Pidä prosessi vastuullisena ja todisteena
Tarkista väärät positiiviset tulokset, vanhentuneet ratkaisemattomat ehdokkaat, vastausviiveet ja vahvistettujen tapausten vaikutus liiketoimintaan. Älä väitä, että hälytysten määrän lisääntyminen tarkoittaa hyökkäysten lisääntymistä tarkistamatta lähteen kattavuutta ja sääntömuutoksia. Älä väitä, että hiljainen jono todistaa toisena henkilönä esiintymisen puuttumisen. Säilytä riittävästi versiotietoja selittääksesi, miksi sama verkkotunnus saattaa saada erilaisen pistemäärän työkalun tai Unicode-tietojen päivityksen jälkeen.
Vaadittu, muokattu väärinkäytösskenaario, jossa on henkilöllisyystodistuksia, valvontaraja ja riippumaton liiketoiminnan vahvistus, puuttuu. Kuvitteellinen harjoitus ei voi täyttää tätä vaatimusta. Kaikki vapautusportit pysyvät auki, eikä alkuperäisiä tarkkailuhavaintoja esitetä valmiiksi työksi. Hanki valtuutettu todiste ennen julkaisemista, pyydä asiantuntijaa tarkistamaan vastauskriteerit, tarkista lähteen soveltuvuus ja tuotantoreitit, suorita saavutettavuustarkistukset ja varmista omistajan vapauttaminen. Tavoitteena on käytännön päätösprosessi, ei lupaus löytää tai poistaa jokainen samankaltainen verkkotunnus.