후보를 수집하기 전에 응답을 디자인하십시오.
유사 도메인 모니터링은 결과가 비례적인 증거 기반 결정으로 이어질 수 있는 경우에만 유용합니다. 브랜드와 유사한 도메인은 남용 증거가 아닌 검토 대상입니다. 모니터링 프로세스는 관찰한 내용, 어휘 일치를 운영 증거와 구별하는 방법, 조사 책임자 및 승인이 필요한 응답을 정의해야 합니다. 그렇지 않으면 실제 가장을 처리하는 조직의 능력을 향상시키지 못한 채 대규모 경고 큐가 주의를 끌 수 있습니다.
RFC 9989, 섹션 2.2에서는 다음과 같이 설명합니다. DMARC 시각적으로 유사한 도메인 이름이나 표시 이름 남용을 해결하지 않습니다. 다른 도메인은 자신의 메일을 올바르게 인증할 수 있습니다. 따라서 모니터링은 도메인 인증을 대체하는 것이 아니라 보완합니다. 이 문서에서는 워크플로를 제안합니다. 도메인을 등록하거나, 실제 감시 목록을 쿼리하거나, 테스트 메시지를 보내거나, 의심스러운 사이트를 방문하거나, 등록 기관 또는 의심되는 운영자에게 연락하지 않습니다.
방어 가능한 범위 정의
모니터링 목표에 중요한 조직의 검증된 도메인, 공개 브랜드 이름 및 비즈니스 관계부터 시작하세요. 해당 범위를 승인한 사람과 각 항목이 포함된 이유를 기록합니다. 단순히 도구에서 허용한다는 이유만으로 개인 이름이나 민감한 관계 데이터를 수집하지 마세요. 사용 가능하고 승인된 관찰 소스, 해당 범위 제한 및 예상 검토 주기를 지정합니다. 공급자의 경고는 당시 해당 소스에서 나온 증거일 뿐 인터넷 전반에 걸쳐 완전한 가시성이 있다는 증거는 아닙니다.
에스컬레이션 규칙과 후보 생성 규칙을 분리합니다. 후보 규칙은 철자 또는 문자 유사성을 비교할 수 있습니다. 에스컬레이션에는 보고된 사기성 메시지 또는 관찰된 오해의 소지가 있는 비즈니스 주장과 같은 추가 컨텍스트가 필요합니다. 등록 연령, 자격증 또는 MX 레코드 관련 상황이 될 수 있지만 그 어떤 것만으로는 악의적인 의도를 보여주지 않습니다. 마찬가지로, MX 레코드가 없다고 해서 도메인이 속임수에 참여할 수 없다는 완전한 보장은 아닙니다. 편리한 지표를 보편적인 평결로 변환하지 마십시오.
혼란을 기술적 신호로 취급
유니코드 기술 표준 39 혼동하기 쉬운 식별자를 탐지하는 메커니즘을 설명하고 비교가 지나치게 포괄적일 수 있음을 경고합니다. 스켈레톤 또는 관련 비교 결과는 법적 발견, 공동 소유권 증명 또는 수신자가 속았다는 증거가 아닌 문자열 간의 기술적 관계입니다. 향후 검토자가 후보자가 나타난 이유를 이해할 수 있도록 도구, 유니코드 데이터 버전 및 비교 방법을 기록하십시오.
원래 관찰된 문자열과 해당 DNS 지향 표현을 비교 아티팩트와 별도로 유지하세요. 혼란스러운 뼈대는 DNS 에 방문하거나 게시할 주소가 아닙니다. 도구가 이름을 다르게 정규화하거나 표시하는 경우 해당 변환을 메타데이터로 유지하세요. 인적 검토에서는 국제화된 이름이 본질적으로 의심스럽다고 가정하지 않고 대상 독자와 맥락을 고려해야 합니다. 합법적인 조직에서는 많은 스크립트를 사용합니다. 모니터링 과정에서는 언어 선택을 위법 행위의 증거로 간주하지 않아야 합니다.
자동 고발보다는 분류 사다리를 구축하라
후보, 현재 남용 증거 없이 검토됨, 추가 조사 필요, 명의 도용 증거 확인 및 문서화된 결과로 해결됨과 같은 상태를 사용합니다. 그들 사이를 이동하는 데 필요한 증거를 정의하십시오. 도메인을 영구적으로 안전하다고 선언하지 않고도 낮은 우선순위로 경고를 종료할 수 있습니다. 응답 소유권이 설정되는 동안 확인된 인시던트는 진행 상태로 유지될 수 있습니다. 이는 업계 표준 분류나 공급업체 기능이 아닌 제안된 내부 작업 흐름 레이블입니다.
각 후보자에 대해 관찰된 유사성, 출처 및 시간, 주장된 소속(있는 경우), 영향을 받은 비즈니스 프로세스, 사용 가능한 메시지 증거 및 해결되지 않은 질문을 기록합니다. 남용 가능성 여부를 테스트하기 위해 계정을 조사하거나 리소스를 등록하거나 메시지를 전달하지 마세요. 심층적인 분석이 필요한 경우 승인된 보안 프로세스로 전달하세요. 모든 외부 불만사항, 게시 중단 요청 또는 의사소통에는 관련 승인 및 뒷받침 증거가 필요합니다. 자동화된 어휘 일치만으로는 주장을 생성해서는 안 됩니다.
메시지 보고서를 신뢰할 수 있는 ID에 연결
보고된 메시지를 승인된 채널을 통해 사용할 수 있는 경우 실제 보낸 사람 도메인, 표시 이름 및 요청된 작업을 예상 비즈니스 ID와 비교하세요. 해당 수신자의 인증 결과를 출처와 함께 보존합니다. RFC 8601 이유를 설명하다 Authentication-Results 어설션에는 신뢰할 수 있는 경계가 필요합니다. 복사된 패스 라인을 수신자의 수신자에서 익숙하지 않은 도메인이 인증되었다는 충분한 증거로 취급하지 마십시오.
올바르게 인증된 다른 도메인 메시지는 여전히 기만적일 수 있는 반면, 새로운 비즈니스 파트너가 보낸 합법적인 메시지는 악의적이지 않으면서 익숙하지 않을 수 있습니다. 응답은 소속 및 특정 요청에 따라 다릅니다. 확립된 비즈니스 담당자를 통한 독립적인 검증을 통해 추가 철자 변형을 수집하는 것보다 더 직접적으로 해당 질문을 해결할 수 있습니다. 그만큼 IC3 BEC 권고2020년 날짜의 는 현재 모니터링 서비스에 대한 주장이 아닌 이 일반적인 검증 제어를 지원합니다.
대응 프로세스 워크시트
후보 식별자, 원래 철자법, 검증된 정규화된 DNS 표현, 비교 방법, 관찰 소스, 타임스탬프, 범위 소유자 및 현재 상태가 포함된 워크시트를 만듭니다. 실제 사용, 영향을 받은 사용자 또는 작업 흐름, 신뢰 근거, 제안된 대응, 필요한 승인 및 후속 날짜에 대한 증거를 추가합니다. 소스가 설정할 수 없는 항목에 대해서는 별도의 필드를 유지하세요. 이는 도구 점수의 정밀도로 인해 불확실한 결론이 가려지는 것을 방지합니다.
각 응답에 대한 종결 증거를 정의합니다. 내부 경고는 민감한 내용을 반복하지 않고 대상과 근거를 식별해야 합니다. 블록에는 승인된 소유자가 있어야 하며 오탐에 대한 검토 계획이 있어야 합니다. 외부 보고서는 사실적으로 뒷받침되고 승인되어야 합니다. 이는 프로세스 설계 고려사항일 뿐입니다. 여기에는 차단, 경고 또는 보고서가 생성되지 않았습니다. 프로세스가 유용한지 평가할 때 워크로드와 해결되지 않은 고영향 케이스, 원시 경고 수를 검토하세요.
허구진단: 고득점 후보
가상의 브랜드 모니터링 도구는 공급업체 이름과 유사한 도메인에 플래그를 지정합니다. 유사성 점수는 높지만 경고에는 메시지, 웹 사이트 콘텐츠 또는 제휴 주장이 포함되어 있지 않습니다. 분석가는 운영자에게 악성 라벨을 붙이는 대신 이를 후보로 기록합니다. 나중에 비즈니스 사용자가 후보 도메인을 사용하고 비정상적인 공급업체 기록 변경을 요청하는 승인된 메시지 보고서를 제공합니다. 메시지 증거는 어휘 점수가 아닌 조사 우선순위를 변경합니다.
팀은 신뢰할 수 있는 수신자 결과를 비교하고 기존 연락 경로를 사용하여 공급자와 요청된 변경 사항을 확인했습니다. 공급업체가 요청을 거부하는 경우 사례는 확인된 사실을 문서화하고 적절한 대응에 대한 승인을 구할 수 있습니다. 가상의 팀은 도메인을 등록하거나 로그인을 테스트하거나 이메일을 보내지 않습니다. 피싱 요점을 증명하기 위한 메시지입니다. 이는 관찰된 도메인, 실제 불만 사항 또는 완료된 집행 조치가 아닌 고안된 프로세스 실행입니다.
프로세스를 책임감 있게 유지하고 증거 중심으로 진행하세요.
오탐지, 해결되지 않은 오래된 후보, 응답 지연 및 확인된 사례가 비즈니스에 미치는 영향을 검토합니다. 경고 수가 증가한다고 해서 소스 적용 범위와 규칙 변경 사항을 확인하지 않고 공격이 증가했다는 의미라고 주장하지 마십시오. 조용한 대기열이 가장이 없음을 증명한다고 주장하지 마십시오. 도구 또는 유니코드 데이터 업데이트 후에 동일한 도메인이 다른 점수를 받을 수 있는 이유를 설명할 수 있는 충분한 버전 정보를 보관하십시오.
신원 증거, 제어 경계 및 독립적인 비즈니스 검증을 포함하여 필수 수정된 남용 시나리오가 누락되었습니다. 가상의 연습은 그 요구 사항을 충족할 수 없습니다. 모든 릴리스 게이트는 열려 있으며 원본 모니터링 관찰은 완료된 작업으로 표시되지 않습니다. 출판하기 전에 승인된 증거를 확보하고, 전문가에게 응답 기준을 검토하도록 하고, 소스 적용 가능성 및 생산 경로를 확인하고, 접근성 검사를 완료하고, 소유자를 안전하게 석방하세요. 목표는 모든 것을 발견하거나 제거하겠다는 약속이 아니라 실질적인 결정 과정입니다. 유사 도메인.