एक धोखाधड़ी-प्रतिक्रिया टीम को एक संक्षिप्त विवरण की आवश्यकता होती है कि संदेश किसके होने का दावा किया गया है, प्राप्तकर्ता प्रणाली ने वास्तव में क्या सत्यापित किया है और कौन सी व्यावसायिक कार्रवाई असुरक्षित है। केवल एक लंबा हेडर डंप उन प्रश्नों का उत्तर नहीं देता है। तकनीकी मूल को सुरक्षित रखें, फिर आत्मविश्वास और अज्ञात के साथ निर्णय-उन्मुख सारांश बनाएं।
चार पहचान अलग रखें
दृश्यमान लेखक का पता, उत्तर-प्रति, लिफाफा पहचान आदि रिकॉर्ड करें DKIM जहां मौजूद हो वहां डोमेन पर हस्ताक्षर करना। प्रदर्शन पाठ द्वारा दर्शाए गए स्पष्ट व्यक्ति या संगठन को एक अलग दावे के रूप में जोड़ें। एक वैध दिखने वाला प्रदर्शन नाम एक अलग डोमेन के साथ सह-अस्तित्व में हो सकता है। DMARC जाँच डोमेन संरेखण, न कि नामित कार्यकारी ने संदेश को मंजूरी दे दी है या नहीं। RFC 9989.
जिम्मेदार व्यक्ति या ग्राहक के स्थान पर स्रोत आईपी न रखें। साझा सेवाएँ, अग्रेषण और गेटवे मार्ग को जटिल बनाते हैं। बुनियादी ढांचे के स्वामित्व को सेवा रिकॉर्ड और अधिकृत जांच के साथ सहसंबंध की आवश्यकता वाले नेतृत्व के रूप में मानें, न कि तैयार किए गए आरोप के रूप में।
प्रत्येक साक्ष्य परत को लेबल करें
मूल निर्यात कैप्चर की गई कलाकृति है। रिसीवर परिणाम एक विशिष्ट प्रमाणीकरण सेवा के कथन हैं। व्यवसाय सत्यापन संगठन के अधिकृत वर्कफ़्लो के माध्यम से एक अलग पुष्टि है। एट्रिब्यूशन एक खोजी निष्कर्ष है जो अनसुलझा रह सकता है। उन परतों को अलग-अलग क्षेत्रों में रखें ताकि धोखाधड़ी विश्लेषक एक को दूसरे के रूप में समझने की गलती न करें।
RFC 8601 इसके लिए ट्रस्ट सीमा का वर्णन करता है Authentication-Results. किसी अविश्वसनीय स्रोत से कॉपी किया गया फ़ील्ड केवल घटना पैकेज में शामिल होने से आधिकारिक नहीं बन सकता। RFC 8601. जो मौजूद था उसके साक्ष्य के रूप में संदिग्ध फ़ील्ड को सुरक्षित रखें, लेकिन उन्हें अविश्वसनीय लेबल करें और प्राप्तकर्ता के पुष्टिकरण रिकॉर्ड का अनुरोध करें।
हैंडऑफ़ रिकॉर्ड बनाएं
एक केस पहचानकर्ता, संग्रह स्वामी, उपलब्ध होने पर रिसीवर-अवलोकित समय, मूल हैश, शेयरिंग-कॉपी हैश, देखी गई पहचान, व्यावसायिक अनुरोध, ज्ञात प्रभाव और तत्काल अगली कार्रवाई शामिल करें। बताएं कि क्या भुगतान का अनुरोध किया गया था, शुरू किया गया था या पुष्टि की गई थी; किसी ईमेल के शब्दों से हानि का अनुमान न लगाएं. व्यापक रूप से साझा किए गए सारांश से अनावश्यक व्यक्तिगत या वित्तीय विवरण दूर रखें।
वित्तीय अनुरोधों के लिए, एक ज्ञात-संपर्क चेक भुगतान स्वामी के पास होता है। एफबीआई एक ज्ञात चैनल के माध्यम से खाते और भुगतान परिवर्तनों को स्वतंत्र रूप से सत्यापित करने की अनुशंसा करती है। एफबीआई मार्गदर्शन. प्रमाणीकरण निष्कर्षों को वित्तीय प्राधिकरण बने बिना उस प्रतिक्रिया को सूचित करना चाहिए।
संपूर्ण काल्पनिक हैंडऑफ़ की समीक्षा करें
केस डेमो-फ्रॉड-01 एक लिखित उदाहरण है, कोई कैप्चर की गई घटना नहीं। प्रदर्शन नाम उदाहरण खाते निर्धारित करें और billing@brand-payments.test से दृश्यमान करें। को उत्तर, लिफाफा भेजने वाला और DKIM हस्ताक्षरित डोमेन की आपूर्ति नहीं की जाती है। कॉपी किया गया हेडर ब्रांड.टेस्ट के लिए पास होने का दावा करता है, लेकिन इसका विश्वसनीय रिसीवर मूल अज्ञात है; प्रमाणीकरण और अभिनेता एट्रिब्यूशन अनसुलझे हैं।
इस उदाहरण में मूल फ़ाइल, संग्रह टाइमस्टैम्प, मूल हैश, रिडक्टेड-कॉपी हैश और ट्रांसफ़ॉर्मेशन लॉग सभी अनुपलब्ध हैं। इनमें से कोई भी मूल्य गढ़ें नहीं। वास्तविक मामले में अधिकृत संग्राहक मूल को बरकरार रखता है और प्राप्तकर्ता-विशिष्ट व्युत्पन्न परिवर्तनों को सटीक रूप से रिकॉर्ड करता है, फिर प्रत्येक फ़ाइल के वास्तविक डाइजेस्ट की गणना करता है। डाइजेस्ट बाइट्स की पहचान करता है, मानव प्रेषक की नहीं।
मान लें कि व्यावसायिक अनुरोध एक भुगतान परिवर्तन है। पैसा शुरू किया गया था या भेजा गया था यह अज्ञात है, और ज्ञात-संपर्क सत्यापन पूरा नहीं हुआ है। प्रस्तावित वित्त स्वामी सत्यापन रोक को सुरक्षित रखता है; प्रस्तावित मेल स्वामी विश्वसनीय रिसीवर साक्ष्य प्राप्त करता है; घटना का नेतृत्व किसी भी विशिष्ट साझाकरण को मंजूरी देता है। ये शिक्षण के लिए अस्वीकार्य भूमिका असाइनमेंट हैं, निष्पादित कॉलबैक, रिडक्शन या रिपोर्ट नहीं हैं।
एक स्पष्ट निर्णय अनुरोध के साथ हैंडऑफ़ को बंद करें: भुगतान रोक को सुरक्षित रखें, किसी खाते की जांच करें, आपूर्तिकर्ता के निर्देश को सत्यापित करें या नामित साक्ष्य की प्रतीक्षा करें। यह तकनीकी टीम को अनजाने में वित्तीय कार्रवाई का निर्णय लेने से रोकता है और धोखाधड़ी टीम को यह मानने से रोकता है कि प्रत्येक अनुत्तरित तकनीकी प्रश्न तत्काल रोकथाम को रोकता है।