Şüpheli e-posta triage’ında amaç, mesajın içeriğini, alıcı kapsamını ve kullanıcının yaptığı işlemi birlikte değerlendirmektir. Tek bir URL itibarı veya e-posta doğrulama sonucu, mesajın güvenli olduğu sonucuna tek başına yetmez.
İlk Bildirimde Toplanacak Bilgiler
- Mesajın alınma zamanı ve bildirilen hesap.
- Özgün mesaj veya kurumun onaylı yöntemiyle alınmış başlık bilgisi.
- Kullanıcının bağlantı açıp açmadığı, bilgi girip girmediği veya dosya çalıştırıp çalıştırmadığı.
- Benzer mesajı alan diğer kişiler.
- İlgili e-posta güvenlik kaydı ve olay numarası.
Başlık ve Bağlantı Kontrolleri
Görünen göndereni, gerçek adresi, Reply-To ve ilgili aktarım bilgilerini değerlendirin. SPF, DKIM ve DMARC sonuçları e-posta kimliğini incelemeye yardımcı olur; geçerli sonuçlar mesajın niyetini veya ekinin zararsızlığını garanti etmez.
Alan adını ve yönlendirme zincirini güvenli inceleme ortamında değerlendirin. Kurumsal, kişisel veya gizli veri içeren URL ve ekleri onaylanmamış kamu tarama servislerine yüklemeyin. Şüpheli dosyayı analistin günlük çalışma cihazında açmayın.
Kullanıcı Etkinliği ile Zaman Çizelgesi
| Veri kaynağı | İnceleme amacı |
|---|---|
| E-posta kaydı | Mesajın teslimi ve alıcı kapsamı |
| Proxy / DNS | Şüpheli hedefe erişim zamanları |
| Kimlik sistemi | Yeni oturum, başarısız giriş, MFA değişikliği |
| Uç nokta | Dosya, süreç ve ilgili güvenlik olayı |
Bu kaynakların mevcut olup olmadığını ve saklama kapsamını kontrol edin. Veri yokluğu, olay olmadığına dair kanıt değildir.
Temsili Triage Kararı
Eğitim için kurgulanan örnek: kullanıcı sahte giriş sayfasında parola girdiğini bildiriyor. İnceleme, yalnızca mesajı silmekle bitmez; yetkili ekip hesap oturumlarını ve kimlik etkinliğini kontrol eder, kurumun hesap güvenliği sürecini uygular ve diğer alıcıları araştırır.
Olay Kaydının Kapanış Koşulları
- Kullanıcı etkisi ve alıcı kapsamı açıklanmış olmalı.
- Toplanan kanıt ve veri boşlukları kaydedilmeli.
- Yapılan müdahalenin yetkili ekip ve zamanı belli olmalı.
- Gerekli takip ve kullanıcı bilgilendirmesi tamamlanmalı.
Kaynak ve Kapsam
IBM: Phishing, saldırının genel bağlamı için kaynak olarak kullanılmıştır. Triage sıralaması ve olay tablosu bu rehber için hazırlanmış, kuruma göre uyarlanması gereken bir çalışma önerisidir.
İlgili Rehberler
