Un nome simile è una pista, non un caso di abuso completo. Il rapporto dovrebbe mostrare cosa è successo, da dove provengono le prove pertinenti e cosa può indagare il fornitore ricevente. Conserva l'originale prima di creare una comoda copia da condividere. Separare la somiglianza, la condotta osservata e la responsabilità dedotta.
Cattura l'identità esatta
Registra l'ortografia completa del dominio, l'indirizzo del mittente visibile, il messaggio di risposta, l'identità della busta ove disponibile e qualsiasi URL pertinente senza attivarlo. Uno screenshot può mostrare l'imitazione vista da un destinatario, ma non la preserva tutta intestazioni dei messaggi. Esporta il messaggio non elaborato tramite un processo autorizzato e conserva i suoi byte originali. Mantieni l'ora ricevuta con il fuso orario e distinguila dal campo Data fornito dal mittente.
DMARC riguarda il rapporto tra domini autenticati e dominio autore. Non rende un dominio visivamente simile parte della politica del tuo dominio. Un sosia può autenticarsi. RFC 9989. Dichiarare tale distinzione nel rapporto in modo che un passaggio non cancelli l'imitazione osservata.
Stabilire la provenienza prima dell'attribuzione
UN Authentication-Results Il campo ha significato solo all'interno di un accordo di trust noto. Un utente malintenzionato può inserire un campo dall'aspetto convincente. Chiedi al team che riceve la posta i suoi risultati attendibili e correlali con il record del messaggio; non trattare ogni intestazione copiata come prova del destinatario. RFC 8601.
Mantieni il proprietario del caso, il metodo di raccolta, l'ora di raccolta, l'hash del file originale e la posizione di accesso. L'hashing aiuta a identificare gli stessi byte in un secondo momento; non dimostra chi li ha inviati né che il contenuto sia veritiero. Conserva gli IP di origine come indizi di instradamento, non come attribuzione personale conclusiva. Le infrastrutture condivise e i passaggi intermedi richiedono ulteriore conferma.
Costruisci un pacchetto di condivisione minimo
Preparare un riepilogo dell'incidente indicando l'esatto comportamento osservato, l'identità interessata, i tempi delle prove, l'impatto noto e l'indagine richiesta. Allega una copia redatta solo dopo aver deciso di quali campi ha bisogno il destinatario previsto. Conserva un registro di trasformazione collegandolo all'originale. Non rimuovere l'URL o il dominio necessari per comprendere l'accusa senza fornirlo tramite un canale sicuro appropriato.
Le linee guida dell'ICANN per i registrar distinguono le prove utilizzabili da una semplice accusa e forniscono esempi come l'URL di abuso e la prova dell'abuso phishing rappresentazione. Il suo quadro contrattuale riguarda i registrar e i registri gTLD, non tutte le controversie sui domini di hosting o di codice paese. Avviso dell'ICANN.
Seguire un registro delle prove scritte delimitato
Supponiamo che il caso DEMO-ABUSE-01 descriva il visibile From billing@brand-payments.test e un'asserzione di intestazione non attendibile denominata brand.test. Conserva entrambi i valori, ma registra l'autenticazione del destinatario attendibile come non disponibile. L'identità riportata e l'asserzione copiata differiscono; nessuno dei due dimostra chi ha gestito il mittente. Qui non vengono forniti byte del messaggio originale, ora di raccolta o hash calcolati.
Il registro della riscossione proposto contiene: proprietario del caso, raccoglitore autorizzato, metodo di riscossione, ora e fuso orario osservati dal destinatario, posizione del file originale e hash originale. Il registro di condivisione contiene separatamente: destinatario previsto, scopo approvato, campi oscurati, posizione del derivato e hash del derivato. Per questo esempio tutti i file effettivi e i campi di approvazione rimangono non forniti. Non colmare le lacune con valori apparentemente plausibili.
L'azione successiva consiste nell'ottenere un'esportazione del destinatario attendibile e documentare il comportamento abusivo osservato prima di una decisione di condivisione specifica del destinatario. Non è stato generato alcun file sintetico, calcolato l'hash, cercato il dominio, contattato il fornitore o richiesta la rimozione per questa revisione dell'insegnamento. Il registro illustra la disciplina delle prove, non una denuncia di abuso completata.
Prima di un vero e proprio invio verificare autonomamente la destinazione, ottenere l'autorizzazione alla condivisione dei dati rilevanti e registrare la ricevuta dell'invio. Mantieni la protezione urgente dell'account o dei pagamenti separata dalla revisione del fornitore. Un rapporto completo facilita le indagini; non promette la rimozione.
Mantieni i risultati all'interno delle prove
Gli esempi sono aiuti decisionali difensivi, non accuse osservate contro persone reali o fornitori attuali. Conservare separatamente le prove di autenticazione, la verifica aziendale e l'attribuzione. Le attuali fonti del protocollo descrivono la convalida del dominio e i limiti dei risultati attendibili; non forniscono la prova mancante né autorizzano la pubblicazione di un'accusa.