हमलावर के स्वामित्व वाले डोमेन से प्रमाणित फ़िशिंग

ग़लत संगठन के लिए प्रमाणीकरण सफल हो सकता है

किसी हमलावर को भ्रामक संदेश भेजने के लिए किसी विश्वसनीय संगठन के सटीक डोमेन का प्रतिरूपण करने की आवश्यकता नहीं है। वे एक अलग डोमेन संचालित कर सकते हैं, उसके ईमेल को सही ढंग से कॉन्फ़िगर कर सकते हैं और भ्रामक दावे करने के लिए इसका उपयोग कर सकते हैं। एक रिसीवर सफल देख सकता है SPF, DKIM और DMARC उस डोमेन के लिए जबकि संदेश अभी भी धोखाधड़ी का प्रयास करता है। प्रमाणीकरण परिणाम डोमेन उपयोग का वर्णन करता है; यह स्थापित नहीं करता है कि डोमेन उस संगठन का है जो पाठक के मन में है या अनुरोधित कार्रवाई वैध है।

RFC 9989 DMARC के लक्ष्यों को स्पष्ट रूप से सीमित करता है। डोमेन के अलावा अन्य संस्थाओं की सामग्री विश्लेषण और प्रमाणीकरण इसके दायरे से बाहर हैं, जैसे कि डिस्प्ले-नाम हमले। यह सीमा प्रमाणित बताती है फ़िशिंग बिना यह बताए कि प्रमाणीकरण तकनीकी रूप से विफल हो गया है। उपयुक्त प्रतिक्रिया डोमेन पहचान, संदेश संदर्भ और स्वतंत्र व्यापार सत्यापन को जोड़ती है। यह लेख रक्षात्मक मार्गदर्शन है और इसमें कोई फ़िशिंग टेम्पलेट, डिलीवरी निर्देश या लाइव डोमेन परीक्षण शामिल नहीं है।

प्रमाणीकरण को संबद्धता से अलग करें

वास्तविक प्रेषक पते में डोमेन और प्राप्तकर्ता द्वारा अपेक्षित डोमेन लिखें। यदि वे भिन्न हैं, तो उन्हें संक्षिप्त न करें क्योंकि प्रदर्शन नाम, लोगो या विषय परिचित लगता है। एक डोमेन स्वामी आम तौर पर अपने स्वयं के मेल के लिए प्रमाणीकरण की व्यवस्था कर सकता है, लेकिन यह किसी अन्य व्यवसाय से उनके संबंध के बारे में कुछ नहीं कहता है। यहां तक ​​कि एक वास्तविक वेबसाइट और एक कामकाजी उत्तर पता भी उस संबंध को स्थापित नहीं करते हैं। सवाल संबद्धता और अधिकार का है, न कि केवल तकनीकी स्थिरता का।

RFC 5322, अनुभाग 3.4, प्रदर्शन नाम को पते से अलग करता है। एक परिचित लेबल किसी मेल क्लाइंट में किसी असंबद्ध डोमेन के ऊपर स्थित हो सकता है। संदर्भ के आधार पर लेबल सौम्य, अस्पष्ट या भ्रामक हो सकता है; केवल लेबल से आशय घोषित न करें। किसी विश्वसनीय संगठनात्मक रिकॉर्ड के साथ पते की तुलना करें और संदिग्ध संदेश के बाहर एक स्थापित चैनल के माध्यम से विशिष्ट व्यावसायिक कार्रवाई को सत्यापित करें।

उत्तीर्ण परिणाम के अर्थ का निरीक्षण करें

एक स्टैंडअलोन SPF पास चिंता का विषय हो सकता है लिफाफा भेजने वाला डोमेन, जबकि DKIM एक हस्ताक्षरित डोमेन की पहचान करता है। DMARC एक जोड़ता है संरेखण दृश्यमान डोमेन से संबंध. पहचानें कि कौन सा पथ रिपोर्ट किए गए परिणाम का समर्थन करता है। यदि वे सभी पहचान अपरिचित डोमेन से संबंधित हैं, तो परिणाम संदेश में नामित परिचित ब्रांड या व्यक्ति को मान्य किए बिना आंतरिक रूप से सुसंगत हो सकता है। यह एक महत्वपूर्ण खोज है, कोई विरोधाभास नहीं है जिसे दूर किया जा सके।

प्रेषक द्वारा दिए गए दावे को स्वीकार करने के बजाय विश्वसनीय प्राप्तकर्ता साक्ष्य का उपयोग करें। RFC 8601 वर्णन करता है क्यों Authentication-Results उपभोक्ताओं को एक विश्वास सीमा की आवश्यकता है। पास शब्द वाले स्क्रीनशॉट से यह पता नहीं चल सकता कि संदेश का मूल्यांकन किसने किया या कौन सा डोमेन पास हुआ। स्रोत, समय और प्रासंगिक पहचान फ़ील्ड रिकॉर्ड करें। जहां साक्ष्य अपर्याप्त है, वहां यह कहने के बजाय अनिश्चितता बनाए रखें कि संदेश या तो पारित हो गया या निश्चित रूप से विफल हो गया।

अनुरोधित कार्रवाई का अलग से मूल्यांकन करें

पहचानें कि प्रेषक प्राप्तकर्ता से क्या चाहता है। जोखिम परिवर्तित भुगतान गंतव्य, गोपनीय जानकारी का खुलासा, सॉफ़्टवेयर की स्थापना, किसी अपरिचित स्थान पर साइन-इन या स्थापित वर्कफ़्लो में परिवर्तन हो सकता है। डोमेन प्रमाणीकरण उनमें से किसी भी कार्रवाई को मंजूरी नहीं देता है। तकनीकी रूप से मान्य संदेश में अभी भी गलत आधार, अनधिकृत अनुरोध या दावा किए गए व्यवसाय से असंबंधित गंतव्य शामिल हो सकता है।

साइन इन करके या जानकारी दर्ज करके किसी संदिग्ध लिंक का निरीक्षण न करें। जब गहन निरीक्षण आवश्यक हो तो योग्य कर्मियों और उचित टूलींग के साथ संगठन की स्थापित विश्लेषण और रिपोर्टिंग प्रक्रिया का उपयोग करें। यह मसौदा यह दावा नहीं करता है कि किसी URL का दृश्य निरीक्षण सुरक्षा साबित कर सकता है, न ही यह कि प्रत्येक अपरिचित डोमेन दुर्भावनापूर्ण है। एक वैध नया विक्रेता और एक हमलावर के स्वामित्व वाला डोमेन दोनों अपरिचित हो सकते हैं; व्यवसाय सत्यापन ही रिश्ते को सुलझाता है।

रिसीवर सुरक्षा को बढ़ा-चढ़ाकर बताए बिना उपयोग करें

माइक्रोसॉफ्ट का ईमेल-प्रमाणीकरण अवलोकन SPF , DKIM और DMARC के सरल प्रतिस्थापन के बजाय व्यापक मूल्यांकन के हिस्से के रूप में समग्र प्रमाणीकरण का वर्णन करता है। यह एक स्तरित दृष्टिकोण का समर्थन करता है: मेल को संभालने का तरीका तय करते समय रिसीवर सिस्टम अन्य जानकारी के साथ पहचान संकेतों को जोड़ सकता है। यह प्रत्येक प्रमाणित फ़िशिंग संदेश का पता लगाने या किसी अन्य प्रदाता के वर्तमान फ़िल्टरिंग व्यवहार को परिभाषित करने की गारंटी नहीं देता है।

एक प्राप्तकर्ता अपने नियंत्रण और नीति के अनुसार संदेशों को स्वीकार, संगरोध, रद्दी या अस्वीकार कर सकता है। इनबॉक्स प्लेसमेंट से सुरक्षा या एकल फ़िल्टरिंग परिणाम से दुर्भावना का अनुमान न लगाएं। इसी प्रकार, एक जनता ब्लॉकलिस्ट परिणाम सार्वभौमिक प्रतिष्ठा वाला निर्णय नहीं है। ज्ञात दायरे और समय के साथ साक्ष्य के रूप में प्रदाता निदान का उपयोग करें। अनुरोधित कार्रवाई को मंजूरी देने के लिए मशीन के वर्गीकरण और व्यवसाय स्वामी के अधिकार के बीच अंतर को सुरक्षित रखें।

एक संबद्धता-और-क्रिया वर्कशीट

दावा किए गए संगठन, अपेक्षित विश्वसनीय डोमेन, वास्तविक प्रेषक डोमेन, प्रदर्शन नाम, प्रमाणित डोमेन या डोमेन, विश्वसनीय रिसीवर परिणाम और अनुरोधित कार्रवाई के साथ एक वर्कशीट बनाएं। अपेक्षित डोमेन के लिए साक्ष्य स्रोत जोड़ें, न कि केवल देखे गए डोमेन के लिए। रिकॉर्ड करें कि क्या व्यवसाय का प्रेषक के साथ कोई स्थापित संबंध है और क्या विशेष कार्रवाई उस रिश्ते में फिट बैठती है। प्रत्येक अपरिचित प्रेषक को हमलावर श्रेणी में डालने के बजाय एक अनसुलझा विकल्प रखें।

वर्कशीट का दूसरा भाग स्वतंत्र सत्यापनकर्ता, पहले से ज्ञात संपर्क मार्ग, पूछे गए प्रश्न, प्रतिक्रिया और निर्णय स्वामी को रिकॉर्ड करता है। केवल संदिग्ध संदेश द्वारा बताए गए टेलीफोन नंबर या वैकल्पिक पते का उपयोग करने से बचें। डोमेन समानता और अंतर को संरक्षित करते हुए साझा प्रतिलिपि में अनावश्यक व्यक्तिगत जानकारी को संशोधित करें। एक वर्कशीट जो प्रत्येक पते को एक ही प्लेसहोल्डर से बदल देती है, यह प्रदर्शित नहीं कर सकती कि प्रमाणीकरण संबद्धता स्थापित करने में विफल क्यों हुआ।

काल्पनिक निदान: एक सही ढंग से प्रमाणित नया डोमेन

कल्पना कीजिए कि एक काल्पनिक ऑपरेशन टीम को एक अनुरोध प्राप्त होता है जो एक परिचित उपकरण आपूर्तिकर्ता से आने का दावा करता है। प्रेषक एक अलग डोमेन का उपयोग करता है जो टीम के अनुमोदित आपूर्तिकर्ता रिकॉर्ड में नहीं है। विश्वसनीय रिसीवर साक्ष्य काल्पनिक रूप से उस भिन्न डोमेन के लिए संरेखित DKIM और DMARC पास दिखाता है। प्राप्तकर्ता एक परिचित प्रदर्शन नाम देखता है और मानता है कि प्रमाणीकरण परिणाम आपूर्तिकर्ता की पहचान की पुष्टि करता है। ऐसा नहीं है: अवलोकन विभिन्न डोमेन से संबंधित है।

प्रस्तावित प्रतिक्रिया अनुरोधित परिवर्तन को रोकना और पहले से स्थापित संपर्क के माध्यम से आपूर्तिकर्ता के साथ इसे सत्यापित करना है। यदि आपूर्तिकर्ता अनुरोध को अस्वीकार कर देता है, तो संगठन अपरिचित डोमेन को अनुमति सूची में जोड़े बिना अपनी अनुमोदित घटना प्रक्रिया के माध्यम से साक्ष्य को रूट कर सकता है। यदि आपूर्तिकर्ता वैध डोमेन परिवर्तन की पुष्टि करता है, तो उस पुष्टि को एक ईमेल के आधार पर चुपचाप विश्वास बदलने के बजाय सामान्य आपूर्तिकर्ता-रखरखाव वर्कफ़्लो में दर्ज किया जाना चाहिए। इस काल्पनिक उदाहरण में कोई वास्तविक आपूर्तिकर्ता, डोमेन पंजीकरण, संदेश वितरण या सत्यापन कॉल शामिल नहीं था।

उपयोगी नियंत्रण सुरक्षित रखें और मूल साक्ष्य की आवश्यकता है

The IC3 BEC सलाह2020 में प्रकाशित, असामान्य व्यावसायिक अनुरोधों और खाता सुरक्षा के स्वतंत्र सत्यापन का समर्थन करता है। इसका हवाला उन रक्षात्मक सिद्धांतों के लिए दिया गया है, न कि किसी मौजूदा हमले के आंकड़े या किसी नामित संगठन के बारे में दावे के लिए। प्रमाणीकरण, रिसीवर सुरक्षा और व्यवसाय-प्रक्रिया नियंत्रण को एक-दूसरे को सुदृढ़ करना चाहिए। प्रमाणीकरण को न हटाएं क्योंकि यह इरादे का निर्धारण नहीं कर सकता है, और केवल इसलिए भरोसा न दें क्योंकि यह पारित हो जाता है।

कैटलॉग को पहचान प्रमाण, नियंत्रण सीमा और स्वतंत्र व्यापार सत्यापन के साथ संशोधित दुरुपयोग परिदृश्य की आवश्यकता होती है। वह मूल साक्ष्य खुला रहता है; काल्पनिक परिदृश्य कोई विकल्प नहीं है. किसी भी संदिग्ध समापन बिंदु का दौरा नहीं किया गया, कोई क्रेडेंशियल एकत्र नहीं किया गया और किसी तीसरे पक्ष से संपर्क नहीं किया गया। मानव विशेषज्ञ समीक्षा, वर्तमान स्रोत प्रयोज्यता, उत्पादन मार्ग, दृश्य पहुंच और मालिक की रिहाई भी खुली रहती है। एक प्रकाशन योग्य संस्करण के लिए अधिकृत साक्ष्य की आवश्यकता होती है जो किसी डोमेन को प्रमाणित करने और उस संगठन या कार्रवाई पर भरोसा करने के बीच सटीक अंतर प्रदर्शित करता है जिसका वह प्रतिनिधित्व करने का दावा करता है।