A spoofing il reclamo è una pista, non un risultato tecnico completo. L'autore della segnalazione potrebbe aver visto un nome visualizzato fuorviante, un indirizzo simile, un messaggio inoltrato o un account legittimo compromesso. Rispondere preservando ciò che hanno osservato, identificando le prove mancanti e proteggendo qualsiasi azione aziendale interessata. Non modificare la politica del dominio semplicemente perché uno screenshot contiene il nome dell'azienda.
Raccogli il più piccolo insieme di prove utili
Richiedi il messaggio originale utilizzando un canale sicuro approvato quando possibile, insieme all'orario approssimativo di ricezione, alla casella di posta interessata e alla descrizione dell'azione richiesta. Conservare l'originale prima della redazione. Registrare chi lo ha fornito, quando è stato acquisito e se è arrivato direttamente dal destinatario o tramite un intermediario. Un organismo inoltrato può omettere intestazioni essenziali per l'indagine.
Conservare le prove originali sotto adeguato controllo degli accessi. Crea una copia di condivisione separata che rimuova i dettagli non necessari del destinatario, i contenuti personali o gli allegati non correlati mantenendo i campi di identità pertinenti. Esegui l'hashing di entrambi i file e documenta le revisioni in modo che un revisore possa capire perché i loro byte differiscono. Gli hash si legano un record in byte; non dimostrano che il contenuto sia autentico o che il mittente sia stato identificato correttamente.
Identificare le prove di autenticazione attendibili
Trova il sistema che ha valutato il messaggio alla ricezione. UN Authentication-Results Il campo ha significato solo entro i limiti di fiducia stabiliti, come spiega RFC 8601 . Risultati dell'autenticazione. Un'intestazione generata o non attendibile non dovrebbe essere promossa in un'osservazione del ricevitore semplicemente perché utilizza un formato valido.
Confronta Da, busta e DKIM identità senza confondere una firma passeggera con l’approvazione aziendale. DMARC affronta l'autenticazione del dominio allineata anziché tutte le forme di rappresentazione. RFC 9989. Se il messaggio originale o i registri attendibili non sono disponibili, mantieni il risultato irrisolto e descrivi quali prove aggiuntive potrebbero cambiarlo.
Costruisci un ipotetico registro degli incidenti
Per il caso didattico DEMO-COMPLAINT-01, supponiamo che un reclamante segnali una richiesta di modifica del pagamento con visibile From billing@brand-pay.test . Non vengono forniti i byte effettivi del messaggio, i timestamp del destinatario, i risultati dell'autenticazione attendibile e i dettagli del cliente. Registra l'hash originale come non disponibile, non come un digest inventato. La classificazione rimane provvisoria fino all'ottenimento delle prove pertinenti.
Assegnare separatamente le azioni successive proposte: le operazioni di posta ottengono l'esportazione originale approvata e il contesto di ricezione attendibile; la finanza verifica la richiesta attraverso un canale conosciuto; la guida dell'incidente autorizza qualsiasi condivisione o contenimento necessario. Questi sono ruoli illustrativi, non persone reali che hanno accettato incarichi.
Per una copia di condivisione reale successiva, registra il riferimento originale, ogni campo oscurato, lo scopo, il destinatario, l'approvazione e l'hash del file risultante. Mantieni immutabile l'originale. Un hash modificato può identificare i byte modificati, ma non può stabilire chi è l'autore del messaggio o una catena di custodia che non è mai stata registrata. Per questo esempio scritto non è stato eseguito alcun file originale, campione redatto, calcolo hash o azione incidente esterna.
Rispondi con un risultato limitato
Un utile riscontro indica cosa è stato ricevuto, cosa resta sconosciuto e chi sta indagando. Evitare di accusare un fornitore o promettere che il problema venga risolto prima che le prove dell'identità e del percorso supportino tale conclusione. Se il denaro o le credenziali potrebbero essere a rischio, seguire tempestivamente il processo di incidente dell'organizzazione mentre la raccolta delle prove continua. L'FBI raccomanda una verifica indipendente delle richieste di pagamento e delle modifiche all'account. Guida dell'FBI.
Assegna a ciascun elemento mancante un proprietario e un'azione successiva. Il team della posta può recuperare i registri del destinatario, il team aziendale può verificare la richiesta e il responsabile della sicurezza può coordinare il contenimento. Mantieni la condivisione esterna nell'ambito approvato, soprattutto quando l'originale contiene informazioni sensibili.
Chiudere solo le conclusioni supportate da prove. Una richiesta di somiglianza confermata può essere classificata mentre l'attribuzione del fornitore rimane irrisolta. Un percorso di invio legittimo riparato può risolvere il difetto di autenticazione senza risolvere il danno aziendale. Conservare tali distinzioni nel pacchetto finale degli incidenti in modo che il revisore successivo non confonda un risultato parziale con una risoluzione completa.
Mantieni i risultati all'interno delle prove
Gli esempi sono aiuti decisionali difensivi, non accuse osservate contro persone reali o fornitori attuali. Conservare separatamente le prove di autenticazione, la verifica aziendale e l'attribuzione. Le attuali fonti del protocollo descrivono la convalida del dominio e i limiti dei risultati attendibili; non forniscono la prova mancante né autorizzano la pubblicazione di un'accusa.