在人們知道哪個控制失敗之前，冒充事件經常會跨團隊發生。 DNS可能完好無損，郵件身份驗證可能會通過 相似域名 並且業務請求仍然可能是欺詐性的。指派一名事件負責人，立即保護後續行動，讓相關團隊並行調查。在持有可疑付款之前等待DNS答覆可能會導致最重要的風險無法處理。
Open with facts and uncertainty
建立包含報告時間、受影響的工作流程、原始訊息參考、確切的可見身分和已知業務風險的案例記錄。標記每一個觀察結果的來源和置信度。區分指控與已確認的事件以及回應建議與已採取的行動。 NIST目前的事件回應指南將回應置於更廣泛的網路安全風險管理範圍內；以下的工作流程是本地操作實施，而不是強制性的NIST範本。 SP 800-61 修訂版 3.
設定一個指定的事件線索和一個安全的證據地點。將受存取控制的原件與最小化共用副本分開。確定誰可以授權遏制、提供者報告和業務決策。這可以防止技術分析師在嘗試解決郵件警報時無意中做出財務或聲譽承諾。
Give each team a distinct question
DNS應建立組織的實際網域和相關授權的所有權和最近的變更。它不應該因為品牌名稱出現在其中而承擔對相似域名的控制。郵件操作應建立接收到的身分、可信任身分驗證結果、路由和任何轉換。身份驗證斷言需要已知的信任邊界。 RFC 8601.
企業主應使用先前建立的聯繫來確定所要求的操作是否獲得授權。聯邦調查局特別建議對付款請求進行獨立驗證並更改付款程序。 聯邦調查局指導。安全部門應結合這些調查結果，評估暴露情況並協調授權回應，而不是強迫每個案例都對 DNS 欺騙進行解釋。
遵循綜合平行分類
書面場景假設來自相似網域的付款請求。其DNS團隊在發明的清單中沒有發現未經授權的變更。郵件操作會識別單獨的相似身份，因此組織自己的網域策略無法直接控制它。該業務團隊的已知供應商聯絡人拒絕了該請求。安全部門會保留案件並保留歸屬和提供者的回應。
由此產生的關鍵路徑是現在暫停業務，同時收集技術證據。建議的分類帳使案件保持開放並列出關閉門，而不是將一項已完成的團隊任務與解決方案等同起來。所有確認和發現都是假設的，而不是執行的協調模型。沒有存取真正的DNS 、郵箱、供應商或事件管理系統，也沒有執行任何外部通訊或遏製作業。
Join findings without erasing disagreement
使用通用的案件識別碼和時區，但保留每個團隊的原始證據參考。如果DNS表示未更改，而訊息顯示傳遞簽名，則這些觀察結果可能與授權服務或不同的網域相容。在宣布任一團隊錯誤之前，先比較範圍和時間。 DMARC基於域的範圍有助於解釋為什麼未更改的策略可以與該域之外的模擬共存。 RFC 9989.
記錄每個未解決問題的下一個負責任的行動，包括提供者調查、帳戶審查或遺失日誌的復原。避免重複的票證將相同事件分割成互不相關的歷史記錄。盡可能保持緊急變更可逆，並記錄每個已完成操作的權限和驗證。
當評估了業務風險、對郵件身分條件進行了分類、記錄了DNS調查結果並且剩餘的回應義務由所有者確定後，關閉。關閉不需要對攻擊者產生確定性。它需要對發生的事情、受到保護的事情、改變的事情以及後續尚未解決的事情進行有根據的說明。
明確交接
對於說明性案例 DEMO-TRIAGE-01，提議的DNS所有者提供了更改歷史記錄證據；郵件操作提供可信的身份證據；財務提供獨立的經營決策；安全部門擁有未解決的暴露和提供者回應的後續行動。完成的DNS檢查只能解決這個問題。如果帳戶日誌仍然遺失，請指定負責的後續所有者，並在記錄任何範圍關閉時保留這種不確定性。沒有人接受這些說明性任務。
將調查結果保留在證據範圍內
這些例子是防禦性決策輔助工具，而不是針對真實的人或目前提供者的觀察到的指控。分別保留認證證據、業務驗證和歸屬。目前協議來源描述了網域驗證和可信結果邊界；他們不提供缺失的帳戶證據或授權發布指控。