A spoofing Keluhan hanyalah sebuah petunjuk, bukan temuan teknis yang lengkap. Pelapor mungkin melihat nama tampilan yang menyesatkan, alamat yang mirip, pesan yang diteruskan, atau akun sah yang disusupi. Tanggapi hal ini dengan melestarikan apa yang mereka amati, mengidentifikasi bukti yang hilang, dan melindungi tindakan bisnis yang terkena dampak. Jangan mengubah kebijakan domain hanya karena tangkapan layar berisi nama perusahaan.
Kumpulkan kumpulan bukti terkecil yang berguna
Mintalah pesan asli menggunakan saluran aman yang disetujui jika memungkinkan, beserta perkiraan waktu penerimaan, kotak surat yang terpengaruh, dan deskripsi tindakan yang diminta. Simpan yang asli sebelum redaksi. Catat siapa yang memasoknya, kapan diperolehnya dan apakah datangnya langsung dari penerima atau melalui perantara. Badan yang diteruskan dapat menghilangkan header yang penting untuk penyelidikan.
Simpan bukti asli di bawah kendali akses yang sesuai. Buat salinan berbagi terpisah yang menghapus detail penerima yang tidak perlu, konten pribadi, atau lampiran yang tidak terkait sambil tetap mempertahankan bidang identitas yang relevan. Hash kedua file dan dokumentasikan redaksinya sehingga pengulas dapat memahami mengapa byte-bytenya berbeda. Hash mengikat sebuah rekor ke byte; mereka tidak membuktikan bahwa konten tersebut asli atau pengirimnya diidentifikasi dengan benar.
Identifikasi bukti autentikasi tepercaya
Temukan sistem yang mengevaluasi pesan saat diterima. Sebuah Authentication-Results bidang hanya bermakna dalam batas kepercayaan yang ditetapkan, seperti yang dijelaskan RFC 8601 . Hasil Otentikasi. Header yang dihasilkan atau tidak dipercaya tidak boleh dipromosikan menjadi observasi penerima hanya karena menggunakan format yang valid.
Bandingkan Dari, amplop dan DKIM identitas tanpa menggabungkan tanda tangan yang lewat dengan persetujuan bisnis. DMARC menangani autentikasi domain yang selaras, bukan segala bentuk peniruan identitas. RFC 9989. Jika pesan asli atau log tepercaya tidak tersedia, jangan biarkan hasilnya terselesaikan dan jelaskan bukti tambahan apa yang akan mengubahnya.
Buatlah buku besar insiden hipotetis
Untuk kasus pengajaran DEMO-COMPLAINT-01, asumsikan pelapor melaporkan permintaan perubahan pembayaran dengan terlihat Dari billing@brand-pay.test . Byte pesan aktual, stempel waktu penerima, hasil autentikasi tepercaya, dan detail pelanggan tidak diberikan. Catat hash asli sebagai tidak tersedia, bukan sebagai intisari yang diciptakan. Klasifikasi masih bersifat sementara sampai bukti yang relevan diperoleh.
Tetapkan usulan tindakan selanjutnya secara terpisah: operasi surat memperoleh ekspor asli yang disetujui dan konteks penerimaan tepercaya; keuangan memverifikasi permintaan melalui saluran yang diketahui; pemimpin insiden mengizinkan pembagian atau penahanan apa pun yang diperlukan. Ini adalah peran ilustratif, bukan orang sungguhan yang menerima tugas.
Untuk salinan berbagi nyata nanti, catat referensi asli, setiap bidang yang disunting, tujuan, penerima, persetujuan, dan hash file yang dihasilkan. Jaga agar yang asli tidak berubah. Hash yang diubah dapat mengidentifikasi byte yang diubah, tetapi tidak dapat menentukan siapa yang menulis pesan atau lacak balak yang tidak pernah dicatat. Tidak ada file asli, spesimen yang disunting, komputasi hash, atau tindakan insiden eksternal yang dilakukan untuk contoh tertulis ini.
Tanggapi dengan temuan terbatas
Pengakuan yang berguna menyatakan apa yang telah diterima, apa yang masih belum diketahui, dan siapa yang menyelidikinya. Hindari menuduh pemasok atau berjanji bahwa masalah telah diperbaiki sebelum bukti identitas dan rute mendukung kesimpulan tersebut. Jika uang atau kredensial mungkin terancam, segera ikuti proses insiden organisasi sementara pengumpulan bukti terus berlanjut. FBI merekomendasikan verifikasi independen atas permintaan pembayaran dan perubahan akun. bimbingan FBI.
Berikan setiap item yang hilang pemiliknya dan tindakan selanjutnya. Tim email dapat mengambil log penerima, tim bisnis dapat memverifikasi permintaan, dan pimpinan keamanan dapat mengoordinasikan penahanan. Pertahankan pembagian eksternal dalam cakupan yang disetujui, terutama bila dokumen asli berisi informasi sensitif.
Tutup hanya kesimpulan yang didukung oleh bukti. Permintaan serupa yang dikonfirmasi dapat diklasifikasikan sementara atribusi penyedia masih belum terselesaikan. Rute pengiriman sah yang diperbaiki dapat menutup cacat autentikasi tanpa menyelesaikan kerugian bisnis. Pertahankan perbedaan tersebut dalam paket insiden akhir sehingga peninjau berikutnya tidak salah mengartikan temuan parsial sebagai penyelesaian yang lengkap.
Simpan temuan dalam bukti
Contohnya adalah alat bantu pengambilan keputusan yang bersifat defensif, bukan tuduhan yang diamati terhadap orang sungguhan atau penyedia layanan saat ini. Simpan bukti autentikasi, verifikasi bisnis, dan atribusi secara terpisah. Sumber protokol saat ini menjelaskan validasi domain dan batasan hasil tepercaya; mereka tidak memberikan bukti akun yang hilang atau mengizinkan publikasi tuduhan.