التحقيق في اختراق البريد الإلكتروني التجاري وقواعد البريد الوارد

BEC مقابل Spoofing

موضوع 'BEC مقابل Spoofing' هو جزء أساسي من العمل على التحقيق في BEC. يُنصح بتقسيمه إلى ثلاثة أسئلة: ما هو المدخل، ما القرار الذي نرغب في اتخاذه، وما هو الدليل الكافي لتبريره. تمنع هذه الأسئلة الاستخدام التلقائي للأدوات دون فهم الهدف.

في التمرين، سجل Received chain, Return-Path, SPF, DKIM, DMARC، قارن بالسلوك المتوقع، وحدد نقطة محورية (Pivot) واحدة على الأقل. يجب أن تكون النتيجة قابلة للفحص من قبل محلل آخر، بما في ذلك القيود والخطوات التالية.

أدلة تسجيل الدخول والهوية

موضوع 'Sign-in وأدلة الهوية' هو جزء أساسي من العمل على التحقيق في BEC. يُنصح بتقسيمه إلى ثلاثة أسئلة: ما هو المدخل، ما القرار الذي نرغب في اتخاذه، وما هو الدليل الكافي لتبريره. تمنع هذه الأسئلة الاستخدام التلقائي للأدوات دون فهم الهدف.

في التمرين، سجل Received chain, Return-Path, SPF, DKIM, DMARC، قارن بالسلوك المتوقع، وحدد نقطة محورية (Pivot) واحدة على الأقل. يجب أن تكون النتيجة قابلة للفحص من قبل محلل آخر، بما في ذلك القيود والخطوات التالية.

قواعد البريد الوارد/التحويل

موضوع 'قواعد البريد الوارد/التحويل' هو جزء أساسي من العمل على التحقيق في BEC. يُنصح بتقسيمه إلى ثلاثة أسئلة: ما هو المدخل، ما القرار الذي نرغب في اتخاذه، وما هو الدليل الكافي لتبريره. تمنع هذه الأسئلة الاستخدام التلقائي للأدوات دون فهم الهدف.

في التمرين، سجل Received chain, Return-Path, SPF, DKIM, DMARC، قارن بالسلوك المتوقع، وحدد نقطة محورية (Pivot) واحدة على الأقل. يجب أن تكون النتيجة قابلة للفحص من قبل محلل آخر، بما في ذلك القيود والخطوات التالية.

تدقيق صندوق البريد و OAuth

موضوع 'تدقيق صندوق البريد و OAuth' هو جزء أساسي من العمل على التحقيق في BEC. يُنصح بتقسيمه إلى ثلاثة أسئلة: ما هو المدخل، ما القرار الذي نرغب في اتخاذه، وما هو الدليل الكافي لتبريره. تمنع هذه الأسئلة الاستخدام التلقائي للأدوات دون فهم الهدف.

في التمرين، سجل Received chain, Return-Path, SPF, DKIM, DMARC، قارن بالسلوك المتوقع، وحدد نقطة محورية (Pivot) واحدة على الأقل. يجب أن تكون النتيجة قابلة للفحص من قبل محلل آخر، بما في ذلك القيود والخطوات التالية.

تحديد النطاق، الاحتواء، والإخطار

يجب أن يقلل الاستجابة لتحقيق BEC من المخاطر دون محو الأدلة التي لا تزال مطلوبة. ابدأ بإجراء قابل للعكس ومركز، وقم بتأكيد الملكية والصلاحية، ووثق الوقت، المنفذ، والنتيجة.

يجب أن يعالج الإصلاح طويل الأمد الجذر: الأذونات، التكوين، التحقق، القياس عن بعد، العملية، أو التدريب. بعد التنفيذ، قم بإعادة الاختبار ومراقبة علامات العودة، بدلاً من الاكتفاء بإغلاق التذكرة.

نقاط الفحص الفريدة

في هذا الموضوع، يُنصح ببناء خريطة أدلة مركزة مسبقًا. نقاط الفحص الرئيسية هي: Received chain, Return-Path, SPF, DKIM, DMARC, Message-ID, mailbox rules. القائمة ليست قائمة تحقق تلقائية؛ تم اختيار كل عنصر لأنه يمكن أن يربط بين الكيان، والعملية، والوقت، أو يفسر سلوكًا مشروعًا.

• Received chain: حدد القيمة المتوقعة، ما الذي سيعتبر غير عادي، وما هو المصدر الإضافي الذي سيؤكد النتيجة.
• Return-Path: حدد القيمة المتوقعة، ما الذي سيعتبر غير عادي، وما هو المصدر الإضافي الذي سيؤكد النتيجة.
• SPF: حدد القيمة المتوقعة، ما الذي سيعتبر غير عادي، وما هو المصدر الإضافي الذي سيؤكد النتيجة.
• DKIM: حدد القيمة المتوقعة، ما الذي سيعتبر غير عادي، وما هو المصدر الإضافي الذي سيؤكد النتيجة.
• DMARC: حدد القيمة المتوقعة، ما الذي سيعتبر غير عادي، وما هو المصدر الإضافي الذي سيؤكد النتيجة.
• Message-ID: حدد القيمة المتوقعة، ما الذي سيعتبر غير عادي، وما هو المصدر الإضافي الذي سيؤكد النتيجة.

عندما يكون أحد النقاط غير متاح، يجب توثيق الفجوة واختيار بديل. على سبيل المثال، إذا كان معرف العملية غير مستقر، يمكن استخدام الوقت، المضيف، المستخدم، والأصل؛ إذا كان الحمولة مشفرة، يتم استخدام البيانات الوصفية، الحجم، التردد، وسياق TLS/DNS.

عملية عمل موصى بها

1. حدد النطاق وسؤال عمل واحد في موضوع التحقيق في BEC.
2. سجل مصادر البيانات والأدلة المطلوبة: Received chain, Return-Path, SPF, DKIM.
3. أنشئ خط أساس قصير للسلوك السليم أو النتيجة المتوقعة.
4. نفذ الحد الأدنى من الفحص في بيئة معملية واحفظ الوقت، المدخل، والمخرج.
5. أنشئ جدولًا زمنيًا أو جدول مقارنة وافصل بين الحقيقة والتفسير.
6. قم بالتحول إلى مصدر إضافي لتأكيد أو دحض التفسير الأولي.
7. لخص القرار، القيود، الإجراء الموصى به، ومعيار إعادة الاختبار.

سيناريو عملي

السيناريو المختار هو سيناريو حساب مخترق مع قاعدة توجيه مخفية. الغرض من التمرين ليس إثبات القدرة على الهجوم، بل ممارسة جمع، مقارنة، وتوثيق البيانات بطريقة آمنة. قبل البدء في العمل، يتم تعريف بيانات وهمية، نافذة زمنية، ونتيجة متوقعة.

في نهاية التمرين، يجب تقديم منتج يمكن لمحلل أو مراجع آخر مراجعته: لقطة شاشة أو تصدير للدليل، جدول زمني قصير، فرضية أولية، دليل مؤكد، قيد، وتوصية. عندما لا يكون هناك دليل كافٍ، فإن الاستنتاج الصحيح هو أن السيناريو لم يتم إثباته.

قائمة تحقق عملية

• ✓تحقق ووثق: مصدر الدليل.
• ✓تحقق ووثق: وقت الجمع والمنطقة الزمنية.
• ✓تحقق ووثق: Hash وسلسلة الحضانة.
• ✓تحقق ووثق: الأداة والإصدار.
• ✓تحقق ووثق: إجراءات الاستجابة المنفذة.
• ✓تحقق ووثق: الجدول الزمني وافتراضات العمل.
• ✓اذكر المنطقة الزمنية، إصدار الأداة، ووقت الجمع.
• ✓احفظ البيانات الأولية قبل التصفية أو التغيير.
• ✓اكتب ما يثبته الاكتشاف وما هو غير معروف بعد.
• ✓حدد المالك والإجراء التالي مع الموعد النهائي.

الأخطاء الشائعة

• تغيير النظام قبل الحفاظ على الأدلة.
• عدم توثيق المنطقة الزمنية.
• عدم حساب الهاش.
• خلط الحقيقة والتخمين.
• عدم توثيق من كان يمتلك الدليل.
• تفضيل الكمال النظري على احتواء الضرر الفوري.

الخلاصة ودعوة للعمل

التحقيق في Business Email Compromise وقواعد البريد الوارد هو موضوع يربط المعرفة التقنية بالانضباط في العمل. ابدأ بسؤال، اجمع الأدلة ذات الصلة فقط، حافظ على السياق والوقت، واختر إجراءً يمكن تبريره وإعادة فحصه.

في مسار Cybersecurity & AI التابع لـ HPI، يتم ممارسة هذه المبادئ باستخدام الأنظمة والسجلات والمختبرات. من الطبيعي الانتقال إلى المقالات المرتبطة، وتنفيذ تمرين المختبر، وحفظ المنتج كجزء من محفظة عمل احترافية.

الأسئلة الشائعة