Zaprojektuj odpowiedź przed zebraniem kandydatów
Monitorowanie domeny podobnej jest przydatne tylko wtedy, gdy ustalenie może prowadzić do proporcjonalnej decyzji opartej na dowodach. Domena przypominająca markę jest kandydatem do sprawdzenia, a nie dowodem nadużycia. Proces monitorowania powinien określać, co obserwuje, w jaki sposób odróżnia dopasowanie leksykalne od dowodów operacyjnych, kto jest właścicielem dochodzenia i które odpowiedzi wymagają zatwierdzenia. W przeciwnym razie duża kolejka alertów może zająć uwagę, nie poprawiając zdolności organizacji do radzenia sobie z prawdziwym podszywaniem się pod inne osoby.
RFC 9989, sekcja 2.2 wyjaśnia tę kwestię DMARC nie dotyczy wizualnie podobnych nazw domen ani nadużyć związanych z nazwami wyświetlanymi. Inna domena może poprawnie uwierzytelnić swoją pocztę. Monitorowanie zatem uzupełnia uwierzytelnianie domeny, a nie je zastępuje. W tym artykule zaproponowano przepływ pracy; nie rejestruje domen, nie wysyła zapytań do prawdziwej listy obserwowanych, nie wysyła wiadomości testowych, nie odwiedza podejrzanych witryn ani nie kontaktuje się z rejestratorami lub rzekomymi operatorami.
Zdefiniuj możliwy do obrony zakres
Zacznij od zweryfikowanych domen organizacji, publicznych marek i relacji biznesowych, które mają znaczenie dla celu monitorowania. Zapisz, kto zatwierdził ten zakres i dlaczego uwzględniono każdą pozycję. Unikaj gromadzenia danych osobowych lub wrażliwych danych dotyczących relacji tylko dlatego, że narzędzie na to pozwala. Określ, które źródła obserwacji są dostępne i autoryzowane, ich limity zasięgu i oczekiwaną częstotliwość przeglądu. Ostrzeżenie dostawcy stanowi dowód pochodzący z tego źródła w danym momencie, a nie dowód pełnej widoczności w Internecie.
Oddziel reguły generowania kandydatów od reguł eskalacji. Reguły kandydatów mogą porównywać pisownię lub podobieństwo znaków; eskalacja wymaga dodatkowego kontekstu, takiego jak zgłoszona zwodnicza wiadomość lub zaobserwowane wprowadzające w błąd twierdzenie biznesowe. Wiek rejestracyjny, zaświadczenie lub Rekord MX może mieć odpowiedni kontekst, ale żaden sam w sobie nie wskazuje na złe zamiary. Podobnie brak rekordu MX nie gwarantuje całkowitej pewności, że domena nie może uczestniczyć w oszustwie. Nie zamieniaj wygodnego wskaźnika na uniwersalny werdykt.
Traktuj dezorientację jako sygnał techniczny
Standard techniczny Unicode 39 opisuje mechanizmy wykrywania mylnych identyfikatorów i ostrzega, że porównania mogą być zbyt inkluzywne. Szkieletowy lub powiązany wynik porównania to techniczny związek między ciągami znaków, a nie ustalenie prawne, dowód wspólnej własności lub dowód, że odbiorca został oszukany. Zapisz narzędzie, wersję danych Unicode i metodę porównania, aby przyszli recenzenci mogli zrozumieć, dlaczego pojawił się kandydat.
Trzymaj oryginalny obserwowany ciąg i jego reprezentację zorientowaną na DNS oddzielnie od artefaktu porównania. Szkielet, który można pomylić, nie jest adresem, który należy odwiedzić lub opublikować w DNS . Jeśli narzędzie normalizuje lub wyświetla nazwy w inny sposób, zachowaj tę transformację jako metadane. Weryfikacja manualna powinna uwzględniać docelowych odbiorców i kontekst, nie zakładając, że nazwy umiędzynarodowione są z natury podejrzane. Legalne organizacje używają wielu skryptów; w procesie monitorowania należy unikać traktowania wyboru języka jako dowodu niewłaściwego postępowania.
Zbuduj drabinę segregacyjną, a nie automatyczne oskarżenie
Używaj statusów takich jak kandydat, sprawdzony pod kątem braku aktualnych dowodów na nadużycie, potrzebne dodatkowe dochodzenie, zweryfikowane dowody na podszywanie się i rozwiązany z udokumentowanym wynikiem. Określ, jakie dowody są wymagane, aby przemieszczać się między nimi. Alert można zamknąć z niskim priorytetem bez deklarowania domeny jako trwale bezpiecznej. Zweryfikowany incydent może pozostać otwarty do czasu ustalenia własności odpowiedzi. Są to proponowane wewnętrzne etykiety przepływu pracy, a nie standardowe klasyfikacje branżowe lub możliwości dostawców.
Dla każdego kandydata zapisz zaobserwowane podobieństwo, źródło i czas, deklarowaną przynależność, jeśli istnieje, proces biznesowy, na który miał wpływ, dostępne dowody przesłania i nierozwiązane pytania. Nie sonduj kont, nie rejestruj zasobów ani nie dostarczaj wiadomości w celu sprawdzenia, czy możliwe jest nadużycie. Jeśli konieczna jest głębsza analiza, skieruj ją do autoryzowanego procesu bezpieczeństwa. Jakakolwiek zewnętrzna skarga, żądanie usunięcia lub komunikacja wymagają odpowiedniej zgody i dowodów potwierdzających; Samo automatyczne dopasowanie leksykalne nie powinno generować zarzutów.
Połącz raporty wiadomości z zaufanymi tożsamościami
Gdy zgłoszona wiadomość jest dostępna za pośrednictwem autoryzowanego kanału, porównaj jej rzeczywistą domenę nadawcy, wyświetlaną nazwę i żądane działanie z oczekiwaną tożsamością biznesową. Zachowaj wynik uwierzytelnienia odpowiedniego odbiorcy wraz z pochodzeniem. RFC 8601 wyjaśnia, dlaczego A Authentication-Results asercja wymaga zaufanej granicy. Nie traktuj skopiowanej linii przepustki jako wystarczającego dowodu, że nieznana domena została uwierzytelniona u odbiorcy.
Prawidłowo uwierzytelniona wiadomość z innej domeny może w dalszym ciągu być zwodnicza, podczas gdy wiarygodna wiadomość od nowego partnera biznesowego może być nieznana, ale nie złośliwa. Odpowiedź zależy od przynależności i konkretnej prośby. Niezależna weryfikacja poprzez ugruntowaną osobę kontaktową biznesową może rozwiązać tę kwestię bardziej bezpośrednio niż zbieranie dodatkowych wariantów pisowni. The Doradztwo IC3 BECz 2020 r. potwierdza tę ogólną kontrolę weryfikacyjną, a nie twierdzenie dotyczące bieżącej usługi monitorowania.
Arkusz procesu odpowiedzi
Utwórz arkusz zawierający identyfikator kandydata, oryginalną pisownię, znormalizowaną reprezentację DNS , jeśli została sprawdzona, metodę porównania, źródło obserwacji, znacznik czasu, właściciela zakresu i bieżący stan. Dodaj dowody faktycznego użycia, dotkniętych użytkowników lub przepływu pracy, uzasadnienie zaufania, proponowaną reakcję, wymaganą autoryzację i datę dalszych działań. Zachowaj osobne pole dla tego, czego źródło nie może ustalić. Zapobiega to maskowaniu niepewnych wniosków przez precyzję wynikającą z punktacji narzędzia.
Zdefiniuj dowód zamknięcia dla każdej odpowiedzi. Wewnętrzne ostrzeżenie powinno określać jego odbiorców i podstawę, bez powtarzania wrażliwych treści. Blok powinien mieć autoryzowanego właściciela i plan przeglądu pod kątem fałszywych alarmów. Raport zewnętrzny powinien być poparty merytorycznie i zatwierdzony. Są to wyłącznie rozważania dotyczące projektu procesu; nie utworzono tutaj żadnej blokady, ostrzeżenia ani raportu. Przejrzyj obciążenie pracą i nierozwiązane sprawy o dużym wpływie, a także surową liczbę alertów, oceniając, czy proces jest przydatny.
Fikcyjna diagnoza: kandydat o wysokich wynikach
Fikcyjne narzędzie do monitorowania marki oznacza domenę przypominającą nazwę dostawcy. Wynik podobieństwa jest wysoki, ale alert nie zawiera wiadomości, treści witryny internetowej ani oświadczenia o przynależności. Analityk rejestruje go jako kandydata, zamiast oznaczać jego operatora jako złośliwego. Później użytkownik biznesowy dostarcza raport z autoryzowaną wiadomością, który wykorzystuje domenę kandydującą i żąda nietypowej zmiany rekordu dostawcy. Dowód wiadomości zmienia priorytet dochodzenia, a nie wynik leksykalny.
Zespół porównałby wyniki zaufanego odbiorcy i zweryfikował żądaną zmianę z dostawcą, korzystając z istniejącej drogi kontaktu. Jeśli dostawca odrzuci żądanie, sprawa może udokumentować zweryfikowany fakt i uzyskać zgodę na odpowiednią reakcję. Hipotetyczny zespół nie rejestruje domeny, nie testuje loginu ani nie wysyła phishing wiadomość, aby udowodnić swoją rację. Jest to wymyślony proces, a nie obserwowana domena, prawdziwa skarga lub zakończone działania egzekucyjne.
Dbaj o to, aby proces był odpowiedzialny i opierał się na dowodach
Przejrzyj fałszywe alarmy, nieaktualnych, nierozwiązanych kandydatów, opóźnienia w odpowiedziach i wpływ potwierdzonych przypadków na biznes. Nie twórz, że rosnąca liczba alertów oznacza wzrost liczby ataków bez sprawdzenia zasięgu źródła i zmian reguł. Nie udawaj, że spokojna kolejka świadczy o braku podszywania się. Zachowaj wystarczającą ilość informacji o wersji, aby wyjaśnić, dlaczego ta sama domena może otrzymać inny wynik po aktualizacji narzędzia lub danych Unicode.
Brakuje wymaganego, zredagowanego scenariusza nadużyć obejmującego dowody tożsamości, granice kontroli i niezależną weryfikację działalności. Fikcyjne ćwiczenie nie może spełnić tego wymogu. Wszystkie bramki do uwolnienia pozostają otwarte, a żadne oryginalne obserwacje z monitoringu nie są przedstawiane jako prace ukończone. Przed publikacją uzyskaj autoryzowane dowody, poproś specjalistę o sprawdzenie kryteriów odpowiedzi, weryfikację przydatności źródła i tras produkcji, pełną kontrolę dostępności i zabezpieczenie zwolnienia właściciela. Celem jest praktyczny proces decyzyjny, a nie obietnica odkrycia lub wyeliminowania każdego podobna domena.