สอบสวนและจำกัดเหตุฟิชชิง

กระบวนการ

ทำตามลำดับนี้

1. เปิดระเบียนเหตุ รักษาข้อความที่รายงานพร้อมส่วนหัวและไฟล์แนบเต็ม และบันทึกผู้รายงาน เวลาประทับ ผู้รับ และการกระทำแรก
2. วิเคราะห์โครงสร้างพื้นฐานผู้ส่ง URL ไฟล์แนบ ผลการยืนยันตัวตน และเนื้อหาข้อความในสภาพแวดล้อมแยก โดยไม่ตามลิงก์สดจากอุปกรณ์ผลิต
3. ค้นหาเทเลเมทรีจดหมายและความปลอดภัยที่ได้รับอนุญาตหาข้อความที่ตรง ตัวบ่งชี้ การส่ง การคลิก การรันเพย์โหลด การเข้าสู่ระบบน่าสงสัย และการเปลี่ยนกฎกล่องจดหมาย
4. กักข้อความที่ตรง และบล็อกโดเมน URL แฮช ผู้ส่ง และโครงสร้างพื้นฐานที่เป็นอันตรายที่ยืนยัน ผ่านการควบคุมที่อนุมัติ
5. สำหรับบัญชีที่กระทบ เพิกถอนเซสชันและโทเค็นที่ยังใช้ รีเซ็ตข้อมูลรับรองผ่านผู้ให้บริการตัวตน ทบทวนวิธี MFA และการเข้าถึงที่มอบ และตรวจกิจกรรมปลายทาง
6. แจ้งผู้ใช้ที่กระทบด้วยคำสั่งเฉพาะ ยกระดับการเจาะที่ยืนยันตามแผนเหตุ และรักษาหลักฐานสำหรับความต้องการทางกฎหมายหรือหน่วยงานบังคับใช้กฎหมาย
7. เฝ้าการเกิดซ้ำ บันทึกขอบเขตและการตัดสินใจ และแปลงบทเรียนเป็นการปรับปรุงการควบคุมจดหมาย การตรวจพบ และการตระหนัก

เตรียมสิ่งนี้

ข้อมูลที่แมวจะขอ

• ข้อความต้นฉบับหรือตัวระบุเหตุ
• สิทธิจดหมายและระบบตัวตนที่ได้รับอนุญาต
• ผู้ติดต่อเหตุและนโยบายยกระดับ

เราเตอร์ + playbook เดียว

จัดเส้นทางก่อน เลือกอันเดียว

Cat Paw โหลด playbook เดียวต่องาน ไม่ผสมหลายอัน เริ่มที่เราเตอร์นี้ เส้นทางที่เหลือเป็นตัวเลือกเฉพาะ workflow

• เราเตอร์: cybersecurity-pack
• skills/cybersecurity-skills/conducting-phishing-incident-response/SKILL.md
• skills/cybersecurity-skills/investigating-phishing-email-incident/SKILL.md

เสร็จหมายถึง

จุดจบที่ตรวจได้

สำเนาที่ทราบทั้งหมดถูกกัก ตัวบ่งชี้ถูกบล็อก บัญชีและปลายทางที่กระทบถูกกักกัน ขอบเขตถูกบันทึก และการเฝ้าที่เข้มขึ้นกำลังทำงาน

แหล่งที่มา

กระบวนการนี้มาจากไหน

1. www.cisa.gov/resources-tools/resources/phishing-guidance-stopping-attack-cycle-phase-one
2. csrc.nist.gov/pubs/sp/800/61/r3/final

แหล่งที่มาตั้งรูปแบบของ workflow โพสต์ Reddit และชุมชน ถ้ามี ให้ถือเป็นเรื่องเล่าจากผู้ปฏิบัติ ไม่ใช่ข้อเท็จจริงสากล