Расследование компрометации деловой электронной почты и правил входящих сообщений
Расследование BEC — это контролируемый процесс, который уравновешивает предотвращение ущерба и сохранение доказательств. Документируются источник, время и инструменты, сохраняется хэш, строится хронология, а факты, интерпретации и решения разделяются.
Реагирование на инциденты (Incident Response) и цифровая криминалистика (DFIR) требуют баланса между скоростью, сохранением доказательств, непрерывностью бизнеса и документированием. Правильное действие — это действие, которое можно объяснить, воспроизвести и проверить после инцидента. Эта статья посвящена расследованию BEC и предназначена для аналитиков SOC и исследователей Microsoft 365. Цель состоит в том, чтобы предложить рабочий метод, который можно применять на практике, в профессиональном интервью и в рабочей среде, не ограничиваясь словарным определением.
Основная проблема заключается в том, что данные почти всегда неполны. Received chain, Return-Path, SPF могут указывать направление, но их значение зависит от времени, актива, пользователя и ожидаемой активности. Поэтому мы будем строить проверку вокруг исследовательского вопроса, необходимых доказательств и четкого критерия завершения.
Практический сценарий в статье: сценарий скомпрометированной учетной записи со скрытым правилом пересылки. Все примеры являются лабораторными данными или описаниями процессов. При работе с Penetration Testing, Web или Cloud необходимо действовать только с явным разрешением, определенной областью действия и возможностью остановить проверку.
