Başarısız olan sınırı araştırın
Kimliği doğrulanmış bir alanla ilişkili kötü amaçlı bir mesaj, kanıtlar incelenmeden "kimlik doğrulama başarısız oldu" şeklinde özetlenemez. İleti, bir hesap, yetkili gönderim hizmeti veya iş süreci kötüye kullanıldığında etki alanı kontrollerinden geçmiş olabilir. Görüntülenen logo, mesajın nasıl gönderildiğine veya alıcının ona neden güvendiğine dair tam bir açıklama değil, bir sunum gözlemi ekler. Kimlik, hesap kontrolü, yetki gönderme, içerik ve iş onayını ayırarak başlayın.
Bu makale savunma amaçlı bir araştırma ve kontrol-inceleme iş akışı önermektedir. Doğrulanmış bir durumu tanımlamıyor BIMI olayı kötüye kullanmak veya gerçek bir kuruluşu suçlamak. 8 Kasım 2026'da saklanan kaynaklar arasında protokol ve alıcı belgelerinin yanı sıra IC3'ün açıkça 6 Nisan 2020 tarihli bulut e-posta tavsiyesi yer almaktadır. Kurgusal örnek operasyonel bir kanıt değildir ve hiçbir kimlik bilgisi, kiracı günlüğü, sertifika kaydı veya etkilenen mesaj toplanmamıştır.
Kimlik kanıtını tam olarak tanımlayın
DMARC görünür From etki alanından geçiş hizalamasına ilişkindir SPF veya DKIM kimlik doğrulama. O alandan gelen her mesajı onaylı bir iş talimatına dönüştürmez. DKIM imzalama sorumluluğunu tanımlar ve kapsanan içeriği korur; İnsan yazarın talepte bulunmaya yetkili olduğu evrensel bir ifade değildir. Hangi kontrolün işe yaradığına dair bir sonuca varmadan önce gerçek kimlikleri ve doğrulanmış sonuçları kaydedin. RFC 9989 RFC 6376
Ayrıca sonucun güvenilir kaynağını da tanımlayın. Authentication-Results Bir güven sınırı vardır ve bunun dışına eklenen iddialar yanıltıcı olabilir. Geçiş etiketinin ekran görüntüsüne güvenmek yerine alınan mesajı ve doğrulayıcı içeriğini koruyun. Güvenilir bir sonuç yoksa kimlik doğrulamayı doğrulanmamış olarak işaretleyin. Bunu yalnızca tanıdık bir logonun veya DNS bahsedilen bir sertifikanın varlığından çıkarmayın. RFC 8601
Sunumu itibardan ayırın
Google'ın BIMI belgeleri ve Yahoo uygunluk sayfasında farklı sertifika ve görüntüleme koşulları açıklanmaktadır. Yahoo açıkça itibar ve etkileşimi içerirken Google, sertifika destekli yolunu ve VMC bağlantılı onay işaretini belgeliyor. Bu nedenle bir logo gözlemi, evrensel bir itibar puanına veya gönderenden gelen her mesajın güvenli olduğuna dair güvenceye dönüştürülemez. Gözlemin yanı sıra alıcı ve müşteri yüzeyini kaydedin. Google BIMI Yahoo BIMI
Bir itibar sistemi aynı zamanda bir olay kararı olarak da ele alınmamalıdır. Bir logonun bulunmamasının iyi niyetli açıklamaları olabilir ve bir logonun varlığı, yeni ele geçirilmiş bir hesabın varlığını dışlamaz. Bir arayüz beklenmedik şekilde davrandığı için bir markayı suçlamaktan kaçının. Soruşturmanın, sorumluluğu devretmeden veya sonuç niteliğindeki bir iddiayı iletmeden önce mesaja, hesaba ve ticari kanıtlara ihtiyacı vardır.
Yetkili bir kanalın ele geçirilmesini göz önünde bulundurun
IC3'ün 2020 tavsiye belgesi, meşru bulut e-posta hesaplarını tehlikeye atan, yazışmaları inceleyen ve ödemeleri yeniden yönlendiren suçluları tanımlıyor. Ayrıca bu olayların olası parçaları olarak posta kutusu kuralları ve harici iletme de açıklanmaktadır. Bu, yetkili kanıtların uzlaşmayı önerdiği durumlarda hesap ve posta kutusu etkinliğinin araştırılmasını destekler; bu projedeki herhangi bir mesajın bu teknikleri kullandığını ortaya koymaz. IC3 bulut e-posta danışmanlığı
Saklanan kayıtlara karşı test edilebilecek hipotezler oluşturun. Mesaj sıradan servis aracılığıyla mı gönderildi? Yetkili bir uygulama veya kullanıcı hesabı bunu oluşturdu mu? Beklenmeyen hesap, yönlendirme veya yapılandırma değişiklikleri mi oldu? Gerçekte hangi kimlik geçti hizalama? Desteklenmeyen olasılıkları hipotez olarak etiketleyin. Bir teoriyi kanıtlamak için sırları toplamayın veya başka bir kuruluşun ortamına erişmeye çalışmayın.
Uygun sahipleri aracılığıyla koruyun ve muhafaza edin
Önerilen yanıtta güvenlik sahibinin, posta yöneticisinin, iş onaylayıcısının ve kanıt sorumlusunun adı belirtilmelidir. Bağlamı bozabilecek değişiklikler yapmadan önce mesajı ve ilgili yetkili günlükleri koruyun. Gerçek bir olay hesabın askıya alınmasını, kimlik bilgisi rotasyonunu veya izin değişikliklerini gerektiriyorsa, bunlar bu belge tarafından yürütülen veya yetkilendirilen adımlar değil, kuruluşun müdahale süreci kapsamında ayrı sonuç niteliğindeki eylemlerdir.
IC3 tavsiyesi, çok faktörlü kimlik doğrulama, günlük kaydı, şüpheli etkinlik uyarıları ve kimlik avına karşı korumaları önerir. Danışma belgesinin tarihi geçmiş olduğundan ve platform örnekleri genel olduğundan, eski yapılandırma talimatlarını kelimesi kelimesine kopyalamak yerine her öneriyi kuruluşun mevcut desteklenen kontrolleriyle eşleştirin. Bir kontrol incelemesinde neyin etkinleştirildiği, kapsamın nasıl doğrulandığı ve istisnaların kime ait olduğu sorulmalıdır. IC3 savunma önerileri
İşletme doğrulamasını güvenliği ihlal edilmiş kanalın dışında tutun
Mesaj bir ödeme veya maddi değişiklik talep ediyorsa, bağımsız olarak bilinen bir iletişim kişisi ve belirlenmiş onay süreci aracılığıyla talebi doğrulayın. IC3, ödeme değişiklikleri ve işlemleri için şahsen veya bilinen numarayla doğrulama yapılmasını önerir. Güvenliği ihlal edilmiş olabilecek aynı ileti dizisine yanıt vermek, yalnızca yanıtın kimliği doğrulanmış aynı alandan gelmesi nedeniyle bağımsız bir kontrol değildir. IC3 doğrulama kılavuzu
Onaylanan gerçekleri ve onaylayanın yetkisini kaydedin. Finans, bir işlemin nasıl durdurulacağına veya tersine çevrileceğine kendi süreci aracılığıyla karar verirken, güvenlik teknik bir uzlaşma sağlayabilir. Tersine, bir işletme sahibi, teknik neden bilinmeden önce bile yetkisiz bir talebi reddedebilir. Her iki takım da mevcut koruma önlemlerini uygulamak için bir logo veya sertifika teşhisini beklememelidir.
Orijinal kimlik ve kontrol inceleme çalışma sayfası
Gözlemleri, hipotezleri ve eylemleri ayırmak için önerilen bu çalışma sayfasını kullanın. Tamamlanmış bir olay raporu değildir ve gerçek mağdur bilgileri içermez.
- Gözlemlenen mesaj: korunmuş orijinal, alınma zamanı, görünür kimlik ve talep edilen eylem.
- Güvenilir kimlik doğrulama: doğrulayıcı, SPF veya DKIM kimliği, hizalama ve imzalı içerik kapsamı.
- Görüntü gözlemi: alıcı, müşteri, logo veya rozet ve görüntü kaynağıyla ilgili herhangi bir belirsizlik.
- Yetkili kanal: Kuruluysa, gönderimden sorumlu hesap, uygulama veya hizmet.
- Hipotezler: uzlaşma, kötüye kullanım, yapılandırma sorunu veya başka bir neden; gerekli kanıt.
- İşletme doğrulaması: bağımsız iletişim, yetki ve kesin talep onaylandı veya reddedildi.
- Kontrol yanıtı: sorumlu sahip, onaylı muhafaza, kanıt koruma ve kurtarma kriterleri.
- İletişim: doğrulanmış gerçekler, düzeltmeler, izleyici onayı ve çözümlenmemiş sonuçlar.
Yararlı bir bulgu, kimlik doğrulamanın tasarlandığı gibi yürütüldüğü ancak farklı bir kontrol sınırının araştırıldığı söylenebilir. Bu, BIMI bozuk olduğunu beyan etmekten veya gönderenin güvende olduğunu beyan etmekten daha kesindir. Kanıtlar daha güçlü bir sonucu destekleyene kadar atıf konusundaki belirsizliği koruyun. Gerçek kuruluşlar hakkındaki itibar iddiaları özel dikkat ve açık inceleme gerektirir.
Kurgusal senaryo: Tanıdık bir hesap, yetkisiz bir değişiklik gönderir
Kurgusal Alder Harbor, normalde satın alma işlemlerini yürüten bir tedarikçi hesabından fatura değişikliği talebi alır. Önerilen araştırma, tanıdık bir görüntülenen logoyu ve varsayımsal olarak hizalanmış bir kimlik doğrulama sonucunu kaydeder, ancak her ikisini de gözlemlenen gerçeklerden ziyade senaryo varsayımları olarak ele alır. İşletme sahibi, mevcut satıcı kaydı aracılığıyla tedarikçiyle bağımsız olarak iletişim kurar ve hayal edilen alıştırmada, değişikliğe izin verilmediğini öğrenir.
Uygulama daha sonra güvenlik ekibinden yetkili gönderme kanalını belirlemesini ve ilgili kanıtları uygun sahipler aracılığıyla saklamasını ister. Bir sertifikanın sahtekarlıkla verildiğini veya belirli bir sağlayıcının başarısız olduğunu varsaymaz. Bu çalışmada hiçbir Alder Harbor mesajı, hesabı veya onay çağrısı mevcut değildir; senaryo, düzeltilmiş bir olay değil, eğitimsel bir kontrol uygulamasıdır.
Yararlı kimlik doğrulamasını atmadan kurtarma
Gerçek bir olaydan sonra, posta kimlik doğrulama yapılandırmasının yanı sıra hesap erişimini, uygulama yetkilendirmesini, izlemeyi ve işletme doğrulamasını inceleyin. Kimlik doğrulamanın kaldırılması, hesap kontrolü hatasını gidermez ve diğer kimliğe bürünme yollarına karşı yararlı korumayı ortadan kaldırabilir. Kanıtların bu bileşenleri içerdiği durumlarda sertifika ve varlık incelemesi yine de uygun olabilir ancak logonun görsel öneminden ziyade gerçekleri takip etmelidir.
Katalog, kimlik kanıtı, kontrol sınırı ve bağımsız iş doğrulaması içeren, düzenlenmiş bir kötüye kullanım senaryosu gerektirir. Bu operasyonel eserler mevcut değil. Orijinal kanıtlar, insan KOBİ'si, kaynak uygulanabilirliği, üretim yolları, görsel erişilebilirlik ve mal sahibinin serbest bırakılması açık olmaya devam etmektedir. Bu yazı bir olay bulgusu, kontrol uygulaması veya güvenlik garantisi değil, katmanlı bir araştırma yöntemi sunmaktadır.