在人们知道哪个控制失败之前，冒充事件经常会跨团队发生。 DNS可能完好无损，邮件身份验证可能会通过 相似域名 并且业务请求仍然可能是欺诈性的。指派一名事件负责人，立即保护后续行动，并让相关团队并行调查。在持有可疑付款之前等待DNS答复可能会导致最重要的风险得不到处理。
坦诚面对事实和不确定性
创建包含报告时间、受影响的工作流程、原始消息参考、确切的可见身份和已知业务风险的案例记录。标记每一个观察结果的来源和置信度。区分指控与已确认的事件以及响应建议与已采取的行动。 NIST当前的事件响应指南将响应置于更广泛的网络安全风险管理范围内；下面的工作流程是本地操作实施，而不是强制性的NIST模板。 SP 800-61 修订版 3.
设定一个指定的事件线索和一个安全的证据地点。将受访问控制的原件与最小化共享副本分开。确定谁可以授权遏制、提供者报告和业务决策。这可以防止技术分析师在尝试解决邮件警报时无意中做出财务或声誉承诺。
给每个团队一个不同的问题
DNS应建立组织的实际域和相关授权的所有权和最近的更改。它不应该因为品牌名称出现在其中而承担对相似域名的控制。邮件操作应建立接收到的身份、可信身份验证结果、路由和任何转换。身份验证断言需要已知的信任边界。 RFC 8601.
企业主应使用先前建立的联系来确定所请求的操作是否获得授权。联邦调查局特别建议对付款请求进行独立验证并更改付款程序。 联邦调查局指导。安全部门应结合这些调查结果，评估暴露情况并协调授权响应，而不是强迫每个案例都对 DNS 欺骗进行解释。
遵循综合并行分类
书面场景假设来自相似域的付款请求。其DNS团队在发明的清单中没有发现未经授权的更改。邮件操作会识别单独的相似身份，因此组织自己的域策略无法直接控制它。业务团队的已知供应商联系人拒绝了该请求。安全部门会保留案件并保留归属和提供者的回应。
由此产生的关键路径是现在暂停业务，同时收集技术证据。拟议的分类账使案件保持开放并列出关闭门，而不是将一项已完成的团队任务与解决方案等同起来。所有确认和发现都是假设的，而不是执行的协调模型。没有访问真正的DNS 、邮箱、供应商或事件管理系统，也没有执行任何外部通信或遏制操作。
合并调查结果而不消除分歧
使用通用的案件标识符和时区，但保留每个团队的原始证据参考。如果DNS表示未更改，而消息显示传递签名，则这些观察结果可能与授权服务或不同的域兼容。在宣布任一团队错误之前，先比较范围和时间。 DMARC基于域的范围有助于解释为什么未更改的策略可以与该域之外的模拟共存。 RFC 9989.
记录每个未解决问题的下一个负责任的行动，包括提供商调查、帐户审查或丢失日志的恢复。避免重复的票证将同一事件分割成互不相关的历史记录。尽可能保持紧急变更可逆，并记录每个已完成操作的权限和验证。
当评估了业务风险、对邮件身份条件进行了分类、记录了DNS调查结果并且剩余的响应义务由所有者确定后，关闭。关闭不需要对攻击者产生确定性。它需要对发生的事情、受到保护的事情、改变的事情以及后续尚未解决的事情进行有根据的说明。
明确交接
对于说明性案例 DEMO-TRIAGE-01，提议的DNS所有者提供了更改历史记录证据；邮件操作提供可信的身份证据；财务提供独立的经营决策；安全部门拥有未解决的暴露和提供商响应的后续行动。完成的DNS检查只能解决这个问题。如果帐户日志仍然丢失，请指定负责的后续所有者，并在记录任何范围关闭时保留这种不确定性。没有人接受这些说明性任务。
将调查结果保留在证据范围内
这些例子是防御性决策辅助工具，而不是针对真实的人或当前提供者的观察到的指控。分别保留认证证据、业务验证和归属。当前协议源描述了域验证和可信结果边界；他们不提供缺失的账户证据或授权发布指控。