Adayları toplamadan önce yanıtı tasarlayın
Benzer alan izleme yalnızca bir bulgunun orantılı, kanıta dayalı bir karara yol açabileceği durumlarda faydalıdır. Bir markaya benzeyen bir alan adı, kötüye kullanım kanıtı değil, incelemeye adaydır. Bir izleme süreci neyi gözlemlediğini, sözcüksel eşleşmeyi operasyonel kanıttan nasıl ayırt ettiğini, soruşturmanın kime ait olduğunu ve hangi yanıtların onaya ihtiyaç duyduğunu tanımlamalıdır. Aksi takdirde, büyük bir uyarı kuyruğu, kuruluşun gerçek kimliğe bürünmeyle başa çıkma becerisini geliştirmeden dikkat tüketebilir.
RFC 9989, bölüm 2.2, bunu açıklıyor DMARC görsel olarak benzer alan adlarını veya görünen adın kötüye kullanımını ele almaz. Farklı bir alan adı, kendi postasının kimliğini doğru bir şekilde doğrulayabilir. Bu nedenle izleme, etki alanı kimlik doğrulamasını değiştirmek yerine tamamlar. Bu makale bir iş akışı önermektedir; alan adlarını kaydetmez, gerçek bir izleme listesini sorgulamaz, test mesajları göndermez, şüpheli siteleri ziyaret etmez veya kayıt şirketleri veya iddia edilen operatörlerle iletişime geçmez.
Savunulabilir bir kapsam tanımlayın
Kuruluşun doğrulanmış alan adları, genel marka adları ve izleme hedefi açısından önemli olan iş ilişkileriyle başlayın. Bu kapsamı kimin onayladığını ve her bir öğenin neden dahil edildiğini kaydedin. Bir araç izin verdiği için kişisel adları veya hassas ilişki verilerini toplamaktan kaçının. Hangi gözlem kaynaklarının mevcut ve yetkili olduğunu, bunların kapsam sınırlarını ve beklenen inceleme sıklığını belirtin. Bir sağlayıcının uyarısı, internet üzerinden tam görünürlüğün kanıtı değil, o anda söz konusu kaynaktan gelen kanıttır.
Aday oluşturma kurallarını üst kademeye yükseltme kurallarından ayırın. Aday kuralları, yazım veya karakter benzerliğini karşılaştırabilir; Sorunun üst kademeye iletilmesi, bildirilen yanıltıcı bir mesaj veya gözlenen yanıltıcı bir iş iddiası gibi ek bağlam gerektirir. Kayıt yaşı, sertifika veya MX kaydı ilgili bağlam olabilir, ancak hiçbiri tek başına kötü niyet göstermez. Benzer şekilde, MX kaydının bulunmaması da bir alan adının aldatmacaya katılamayacağının tam bir garantisi değildir. Uygun bir göstergeyi evrensel bir karara dönüştürmeyin.
Kafa karışıklığını teknik bir sinyal olarak ele alın
Unicode Teknik Standardı 39 Kafa karıştırıcı tanımlayıcıları tespit etmeye yönelik mekanizmaları açıklıyor ve karşılaştırmaların aşırı kapsayıcı olabileceği konusunda uyarıyor. İskelet veya ilgili karşılaştırma sonucu, hukuki bir bulgu, ortak mülkiyet kanıtı veya alıcının aldatıldığına dair kanıt değil, diziler arasındaki teknik bir ilişkidir. Aracı, Unicode veri sürümünü ve karşılaştırma yöntemini kaydedin; böylece gelecekteki incelemeciler bir adayın neden ortaya çıktığını anlayabilir.
Orijinal gözlemlenen dizeyi ve onun DNS odaklı gösterimini karşılaştırma yapıtından ayrı tutun. Kafa karıştırıcı bir iskelet, ziyaret edilecek veya DNS yayınlanacak bir adres değildir. Bir araç adları normalleştirir veya farklı görüntülerse bu dönüşümü meta veri olarak koruyun. İnsan incelemesi, uluslararası hale getirilmiş adların doğası gereği şüpheli olduğunu varsaymadan, hedef kitleyi ve bağlamı dikkate almalıdır. Meşru kuruluşlar birçok komut dosyası kullanır; İzleme süreci, dil seçimini suiistimal kanıtı olarak ele almaktan kaçınmalıdır.
Otomatik suçlama yerine triyaj merdiveni oluşturun
Aday, mevcut suiistimal kanıtı olmadan incelendi, ek araştırma gerekli, kimliğe bürünme kanıtı doğrulandı ve belgelenmiş sonuçla çözüldü gibi durumları kullanın. Aralarında geçiş yapmak için hangi kanıtların gerekli olduğunu tanımlayın. Bir uyarı, alan adının kalıcı olarak güvenli olduğu bildirilmeden düşük öncelikli olarak kapatılabilir. Doğrulanmış bir olay, yanıt sahipliği kuruluncaya kadar açık kalabilir. Bunlar, endüstri standardı sınıflandırmalar veya satıcı özellikleri değil, önerilen dahili iş akışı etiketleridir.
Her aday için gözlemlenen benzerliği, kaynağı ve zamanı, varsa iddia edilen bağlılığı, etkilenen iş sürecini, mevcut mesaj kanıtlarını ve çözülmemiş soruları kaydedin. Kötüye kullanımın mümkün olup olmadığını test etmek için hesapları araştırmayın, kaynakları kaydetmeyin veya mesaj iletmeyin. Daha derin bir analiz gerekliyse bunu yetkili bir güvenlik sürecine yönlendirin. Herhangi bir harici şikayet, yayından kaldırma talebi veya iletişimin ilgili onay ve destekleyici kanıtlara ihtiyacı vardır; Otomatikleştirilmiş bir sözcüksel eşleşme tek başına bir iddia oluşturmamalıdır.
Mesaj raporlarını güvenilir kimliklere bağlama
Bildirilen bir mesaj yetkili bir kanal aracılığıyla mevcut olduğunda, bu mesajın gerçek Kimden alan adını, görünen adını ve istenen eylemi beklenen işletme kimliğiyle karşılaştırın. İlgili alıcının kimlik doğrulama sonucunu kaynağıyla birlikte koruyun. RFC 8601 nedenini açıklıyor Authentication-Results iddianın güvenilir bir sınıra ihtiyacı vardır. Kopyalanan geçiş satırını, tanıdık olmayan alanın alıcının alıcısında doğrulandığının yeterli kanıtı olarak değerlendirmeyin.
Doğru şekilde kimliği doğrulanmış farklı alan adındaki bir mesaj yine de aldatıcı olabilir; yeni bir iş ortağından gelen meşru bir mesaj ise kötü niyetli olmasa da yabancı olabilir. Yanıt, bağlılığa ve özel talebe bağlıdır. Yerleşik bir iş bağlantısı aracılığıyla yapılan bağımsız doğrulama, bu soruyu ek yazım değişkenlerini toplamaktan daha doğrudan çözebilir. IC3 BEC tavsiyesi2020 tarihli, mevcut bir izleme hizmetine ilişkin bir iddiayı değil, bu genel doğrulama kontrolünü desteklemektedir.
Bir yanıt süreci çalışma sayfası
Aday tanımlayıcı, orijinal yazım, doğrulandığı yerde normalleştirilmiş DNS temsili, karşılaştırma yöntemi, gözlem kaynağı, zaman damgası, kapsam sahibi ve mevcut durumu içeren bir çalışma sayfası oluşturun. Gerçek kullanıma, etkilenen kullanıcılara veya iş akışına, güven gerekçesine, önerilen yanıta, gerekli yetkilendirmeye ve takip tarihine ilişkin kanıtları ekleyin. Kaynağın oluşturamadığı şeyler için ayrı bir alan tutun. Bu, bir araç puanının kesinlik görünümünün belirsiz bir sonucu maskelemesini önler.
Her yanıt için kapanış kanıtını tanımlayın. Dahili bir uyarı, hassas içeriği tekrarlamadan hedef kitlesini ve temelini belirlemelidir. Bir bloğun yetkili bir sahibi ve yanlış pozitifler için bir inceleme planı olmalıdır. Harici bir rapor gerçeklere dayalı olarak desteklenmeli ve onaylanmalıdır. Bunlar yalnızca süreç tasarımı hususlarıdır; burada herhangi bir blok, uyarı veya rapor oluşturulmamıştır. Sürecin faydalı olup olmadığını değerlendirirken iş yükü ve çözülmemiş yüksek etkili vakaların yanı sıra ham uyarı sayılarını da inceleyin.
Kurgusal teşhis: yüksek puan alan bir aday
Kurgusal bir marka izleme aracı, tedarikçi adına benzeyen bir alanı işaretler. Benzerlik puanı yüksek ancak uyarıda herhangi bir mesaj, web sitesi içeriği veya bağlılık iddiası yer almıyor. Analist, operatörünü kötü niyetli olarak etiketlemek yerine onu aday olarak kaydeder. Daha sonra bir iş kullanıcısı, aday etki alanını kullanan yetkili bir mesaj raporu sağlar ve olağandışı bir tedarikçi kaydı değişikliği talep eder. Mesaj kanıtı, sözcük puanını değil, soruşturma önceliğini değiştirir.
Ekip, güvenilir alıcı sonuçlarını karşılaştıracak ve talep edilen değişikliği mevcut bir iletişim yolunu kullanarak tedarikçiyle doğrulayacaktı. Tedarikçinin talebi reddetmesi durumunda vaka, doğrulanan gerçeği belgeleyebilir ve uygun yanıt için onay isteyebilir. Varsayımsal ekip alan adını kaydetmez, giriş bilgilerini test etmez veya bir e-posta göndermez. kimlik avı Bir noktayı kanıtlamak için mesaj. Bu, gözlemlenen bir alan, gerçek bir şikayet veya tamamlanmış yaptırım eylemi değil, icat edilmiş bir süreç uygulamasıdır.
Süreci hesap verebilir ve kanıta dayalı tutun
Yanlış pozitifleri, eski çözümlenmemiş adayları, yanıt gecikmelerini ve doğrulanan vakaların iş üzerindeki etkisini inceleyin. Kaynak kapsamı ve kural değişiklikleri kontrol edilmeden artan uyarı sayısının saldırıların arttığı anlamına geldiğini iddia etmeyin. Sessiz bir kuyruğun kimliğe bürünme olmadığını kanıtladığını iddia etmeyin. Bir araç veya Unicode veri güncellemesinden sonra aynı alanın neden farklı bir puan alabileceğini açıklamak için yeterli sürüm bilgisini saklayın.
Kimlik kanıtı, kontrol sınırı ve bağımsız iş doğrulaması içeren, gerekli düzenlenmiş kötüye kullanım senaryosu hala eksik. Kurmaca egzersiz bu gereksinimi karşılayamaz. Tüm serbest bırakma kapıları açık kalır ve orijinal izleme gözlemlerinin hiçbiri tamamlanmış çalışma olarak temsil edilmez. Yayınlamadan önce yetkili kanıtları edinin, yanıt kriterlerini bir uzmana inceletin, kaynağın uygulanabilirliğini ve üretim rotalarını doğrulayın, erişilebilirlik kontrollerini tamamlayın ve sahibin serbest bırakılmasını sağlayın. Amaç, her şeyi keşfetme veya ortadan kaldırma vaadi değil, pratik bir karar sürecidir. benzer alan adı.