DNS , मेल और व्यावसायिक टीमों में डोमेन-प्रतिरूपण घटना का परीक्षण करें

किसी को पता चलने से पहले कि कौन सा नियंत्रण विफल हुआ, एक प्रतिरूपण घटना अक्सर टीमों को पार कर जाती है। DNS बरकरार हो सकता है, मेल प्रमाणीकरण पास हो सकता है समान दिखने वाला डोमेन और व्यावसायिक अनुरोध अभी भी धोखाधड़ीपूर्ण हो सकता है। एक घटना का नेतृत्व सौंपें, परिणामी कार्रवाई को तुरंत सुरक्षित रखें और संबंधित टीमों को समानांतर में जांच करने दें। किसी संदिग्ध भुगतान को रोकने से पहले DNS उत्तर की प्रतीक्षा करना सबसे महत्वपूर्ण जोखिम को अनुपचारित छोड़ सकता है।

तथ्यों और अनिश्चितता के साथ खुला

एक केस रिकॉर्ड बनाएं जिसमें रिपोर्ट समय, प्रभावित वर्कफ़्लो, मूल संदेश संदर्भ, सटीक दृश्यमान पहचान और ज्ञात व्यावसायिक जोखिम शामिल हों। प्रत्येक अवलोकन को उसके स्रोत और विश्वास के आधार पर चिह्नित करें। किसी आरोप को किसी पुष्ट घटना से और प्रतिक्रिया अनुशंसा को पहले से की गई कार्रवाई से अलग करें। NIST का वर्तमान घटना-प्रतिक्रिया मार्गदर्शन व्यापक साइबर सुरक्षा जोखिम प्रबंधन के अंतर्गत प्रतिक्रिया देता है; नीचे दिया गया वर्कफ़्लो एक स्थानीय परिचालन कार्यान्वयन है, अनिवार्य NIST टेम्पलेट नहीं। एसपी 800-61 संशोधन 3.

एक नामित घटना का नेतृत्व और साक्ष्य के लिए एक सुरक्षित स्थान निर्धारित करें। एक्सेस-नियंत्रित मूल को न्यूनतम साझाकरण प्रतियों से अलग रखें। पहचानें कि रोकथाम, प्रदाता रिपोर्ट और व्यावसायिक निर्णयों को कौन अधिकृत कर सकता है। यह एक तकनीकी विश्लेषक को मेल अलर्ट को हल करने का प्रयास करते समय अनजाने में वित्तीय या प्रतिष्ठित प्रतिबद्धता बनाने से रोकता है।

प्रत्येक टीम को एक अलग प्रश्न दें

DNS संगठन के वास्तविक डोमेन और प्रासंगिक प्रतिनिधिमंडलों के लिए स्वामित्व और हाल के परिवर्तनों को स्थापित करना चाहिए। इसे किसी समान दिखने वाले डोमेन का नियंत्रण नहीं लेना चाहिए क्योंकि ब्रांड नाम इसके अंदर दिखाई देता है। मेल संचालन को प्राप्त पहचान, विश्वसनीय प्रमाणीकरण परिणाम, मार्ग और किसी भी परिवर्तन को स्थापित करना चाहिए। प्रमाणीकरण दावे के लिए एक ज्ञात विश्वास सीमा की आवश्यकता होती है। RFC 8601.

व्यवसाय स्वामी को पहले से स्थापित संपर्कों का उपयोग करके यह निर्धारित करना चाहिए कि अनुरोधित कार्रवाई अधिकृत है या नहीं। एफबीआई विशेष रूप से भुगतान अनुरोधों के स्वतंत्र सत्यापन और भुगतान प्रक्रियाओं में बदलाव की सिफारिश करती है। एफबीआई मार्गदर्शन. सुरक्षा को उन निष्कर्षों को संयोजित करना चाहिए, जोखिम का आकलन करना चाहिए और प्रत्येक मामले को डीएनएस-स्पूफिंग स्पष्टीकरण में मजबूर किए बिना अधिकृत प्रतिक्रिया का समन्वय करना चाहिए।

सिंथेटिक समानांतर ट्राइएज का पालन करें

लिखित परिदृश्य एक समान दिखने वाले डोमेन से भुगतान अनुरोध मानता है। इसकी DNS टीम को आविष्कृत इन्वेंट्री में कोई अनधिकृत परिवर्तन नहीं मिला। मेल परिचालन अलग-अलग समान दिखने वाली पहचान की पहचान करता है, इसलिए संगठन की स्वयं-डोमेन नीति इसे सीधे नियंत्रित नहीं कर सकती है। व्यवसाय टीम के ज्ञात आपूर्तिकर्ता संपर्क ने अनुरोध को अस्वीकार कर दिया। सुरक्षा मामले को सुरक्षित रखती है और एट्रिब्यूशन और प्रदाता प्रतिक्रिया को खुला छोड़ देती है।

परिणामी महत्वपूर्ण पथ अब एक व्यावसायिक पकड़ है, जिसमें समानांतर में तकनीकी साक्ष्य संग्रह भी शामिल है। प्रस्तावित खाता बही मामले को खुला रखता है और एक पूर्ण टीम कार्य को समाधान के बराबर करने के बजाय समापन द्वारों को सूचीबद्ध करता है। सभी पुष्टियाँ और निष्कर्ष काल्पनिक हैं, निष्पादित समन्वय मॉडल नहीं। किसी वास्तविक DNS , मेलबॉक्स, आपूर्तिकर्ता या घटना-प्रबंधन प्रणाली तक पहुंच नहीं बनाई गई थी, और कोई बाहरी संचार या रोकथाम कार्रवाई निष्पादित नहीं की गई थी।

असहमति मिटाए बिना निष्कर्षों में शामिल हों

एक सामान्य केस पहचानकर्ता और समय क्षेत्र का उपयोग करें, लेकिन प्रत्येक टीम के मूल साक्ष्य संदर्भों को बनाए रखें। यदि DNS अपरिवर्तित कहता है जबकि संदेश पासिंग हस्ताक्षर दिखाता है, तो वे अवलोकन किसी अधिकृत सेवा या किसी भिन्न डोमेन के साथ संगत हो सकते हैं। किसी भी टीम को गलत घोषित करने से पहले दायरे और समय की तुलना करें। DMARCका डोमेन-आधारित दायरा यह समझाने में मदद करता है कि क्यों एक अपरिवर्तित नीति उस डोमेन के बाहर प्रतिरूपण के साथ सह-अस्तित्व में रह सकती है। RFC 9989.

प्रदाता जांच, खाता समीक्षा या गुम लॉग की पुनर्प्राप्ति सहित प्रत्येक अनसुलझे मुद्दे के लिए अगली जवाबदेह कार्रवाई रिकॉर्ड करें। डुप्लिकेट टिकटों से बचें जो एक ही घटना को असंबद्ध इतिहास में विभाजित करते हैं। जहां संभव हो तत्काल परिवर्तन को उलटने योग्य रखें और प्रत्येक पूर्ण कार्रवाई के लिए प्राधिकरण और सत्यापन का दस्तावेजीकरण करें।

जब व्यावसायिक जोखिम का मूल्यांकन किया गया हो, मेल पहचान की स्थिति को वर्गीकृत किया गया हो, DNS निष्कर्षों को दर्ज किया गया हो और शेष प्रतिक्रिया दायित्वों के स्वामी हों तो बंद करें। समापन के लिए हमलावर के बारे में निश्चितता का आविष्कार करने की आवश्यकता नहीं है। इसके लिए एक रक्षात्मक विवरण की आवश्यकता है कि क्या हुआ, क्या संरक्षित किया गया, क्या बदल गया और अनुवर्ती कार्रवाई के लिए क्या अनसुलझा रह गया।

हैंडऑफ़ को स्पष्ट करें

उदाहरणात्मक मामले DEMO-TRIAGE-01 के लिए, प्रस्तावित DNS स्वामी परिवर्तन-इतिहास साक्ष्य प्रदान करता है; मेल परिचालन विश्वसनीय पहचान प्रमाण प्रदान करता है; वित्त स्वतंत्र व्यावसायिक निर्णय प्रदान करता है; सुरक्षा के पास अनसुलझे जोखिम और प्रदाता-प्रतिक्रिया अनुवर्ती का स्वामित्व है। एक पूर्ण DNS जाँच केवल उस प्रश्न को बंद करती है। यदि खाता लॉग गायब रहते हैं, तो जवाबदेह अनुवर्ती स्वामी का नाम बताएं और किसी भी स्कोप्ड क्लोजर को रिकॉर्ड करते समय उस अनिश्चितता को सुरक्षित रखें। किसी ने भी इन उदाहरणात्मक कार्यभारों को स्वीकार नहीं किया है।

निष्कर्षों को साक्ष्य के भीतर रखें

उदाहरण रक्षात्मक निर्णय सहायता हैं, वास्तविक लोगों या वर्तमान प्रदाताओं के खिलाफ देखे गए आरोप नहीं। प्रमाणीकरण साक्ष्य, व्यवसाय सत्यापन और एट्रिब्यूशन को अलग से रखें। वर्तमान प्रोटोकॉल स्रोत डोमेन सत्यापन और विश्वसनीय परिणाम सीमाओं का वर्णन करते हैं; वे गुम हुए खाते के साक्ष्य उपलब्ध नहीं कराते हैं या किसी आरोप के प्रकाशन को अधिकृत नहीं करते हैं।