Əsas fikir
Göndərən domeni autentifikasiyasını mərhələli tətbiq edin və pul köçürmə/təchizatçı dəyişikliklərini email-dən kənar kanalla təsdiqləyin.
Email saxtalaşdırması ilə BEC arasındakı fərq
Email başlığındakı From adı və ünvanı etibarlı görünə bilər, lakin bu, məktubu həqiqətən kimin göndərdiyini sübut etmir. Göndərənin saxtalaşdırılması məktubda görünən ada və ya ünvana aid ola bilər; BEC isə saxta domenlə yanaşı real hesabın ələ keçirilməsi və ya mövcud yazışmaya müdaxilə ilə də baş verə bilər. CEO fırıldağı və saxta təchizatçı hesabı adətən təcili, məxfi pul və ya məlumat tələbi yaradır. Qrammatika qüsurları, təcili ton və naməlum keçidlər xəbərdarlıq əlamətləridir, lakin yaxşı yazılmış email və tanış imza da təhlükəsizliyə sübut deyil.
Rəhbər adından fırıldaqçılıq
Rəhbər adından təcili köçürmə, hədiyyə kartı və ya məxfi məlumat istəyir.
Ələ keçirilmiş iş hesabı
Həqiqi hesabdan yazıla bilər; göndərən domeni yoxlaması hesabın ələ keçirilməsini təkbaşına aşkarlamır.
Təchizatçının bank rekvizitlərinin dəyişməsi
Bank hesabı dəyişdikdə əvvəldən bilinən telefon nömrəsi ilə ayrıca yoxlayın.
SPF, DKIM və DMARC nə edir
SPF domenin SMTP MAIL FROM və HELO/EHLO identifikatorlarında istifadəsinə icazə verilən göndərən hostları DNS-də elan edir. DKIM məktubun seçilmiş hissələrini domenin açarı ilə imzalayır. DMARC görünən From domeninin uğurlu SPF və ya DKIM yoxlamasında istifadə olunan domenlə uyğunluğunu yoxlayır; ən azı bir uyğun yoxlamanın uğurlu olması kifayətdir. Domen sahibi emal siyasətini elan edə və hesabatlar ala bilər. Bu yoxlamalar görünən adın saxtalaşdırılmasını, oxşar domeni, həqiqi poçt hesabının ələ keçirilməsini və sosial mühəndisliyi təkbaşına dayandırmır. Bütün qanuni göndəriş xidmətlərini inventarlaşdırın, DNS qeydlərini sınaqdan keçirin, hesabatları izləyin və yalnız domen uyğunluğunu yoxlayıb qanuni göndərişləri düzəltdikdən sonra reject siyasətinə keçin.
| Mexanizm | Əsas məqsəd | Məhdudiyyət |
|---|---|---|
| SPF | Hostun domeni SMTP MAIL FROM və ya HELO/EHLO-da istifadə etmək icazəsi | Yönləndirmə və üçüncü tərəf göndərişi ayrıca plan tələb edir |
| DKIM | İmzalanmış mesaj hissələri və domen açarı | İmzalı domen görünən From ilə eyni olmaya bilər |
| DMARC | From ilə SPF/DKIM identifikatorlarının uyğunluğu və siyasət | Email məzmununun zərərsizliyini və insan kimliyini yoxlamır |
Secure Email Gateway müdafiə qatıdır
Email gateway qəbul və ya göndəriş nöqtəsində qaydalar, reputasiya, spam/antimalware təhlili və link/əlavə yoxlaması tətbiq edə bilər; konkret imkanlar məhsul və sazlamadan asılıdır. Şübhəli faylı sandbox-da açmaq, təhlükəli link olan məktubu karantinə almaq və göndərən autentifikasiyasını yoxlamaq faydalıdır, lakin gateway uğurlu hesab ələ keçirilməsini, təchizatçı məlumatının dəyişməsini və ya yeni saxta domeni bütün hallarda dayandırmır. MFA, poçt hesablarının auditi və yönləndirmə qaydalarının monitorinqi, fişinq barədə bildiriş düyməsi, ehtiyat nüsxələr və təsdiqləmə prosesi ilə tamamlayın.
Ödənişi email-dən kənar təsdiqləyin
Yeni alıcı, bank rekviziti dəyişikliyi, məxfi fayl paylaşımı və təcili rəhbər tapşırığı üçün ikinci təsdiq tələb edin. Əvvəldən qeydiyyatda olan nömrəyə zəng edin və ya ayrıca təsdiqlənmiş sistemdən istifadə edin; məktubun özündəki nömrə və linkə güvənməyin. Ekran görüntüsü və görünən göndərən adı sübut sayılmır. İki nəfər təsdiqi, limit, vaxt gecikməsi və geri çağırma qaydası mümkün olduqda maliyyə sistemində tətbiq edilməlidir. Başlıqlar və sübutlar saxlanılsın deyə, şübhəli məktubu təşkilatın hadisə bildirişi kanalı ilə təqdim edin.
Dayandır
Sorğunu yoxlayana qədər ödənişi və ya məlumat paylaşımını təxirə salın.
Müstəqil kanalı seç
Məlum telefon nömrəsi, təsdiqlənmiş vendor portalı və ya daxili təsdiq prosesi ilə əlaqə saxlayın.
Hadisəni bildir
Məktubu təhlükəsizlik komandasına ötürün. Komanda başlıqları və yönləndirmə qaydalarının qeydlərini saxlamalı, ehtiyac olduqda hesab sessiyalarını ləğv etməlidir.
Şübhəli məktubun başlıqlarını düzgün oxuyun
Tam başlıqlarda Received zəncirini, Reply-To, Return-Path və SPF, DKIM, DMARC nəticələrini müqayisə edin. Authentication-Results üçün təşkilatın etibar etdiyi qəbul serverinin yazdığı nəticələrə əsaslanın; kənardan əlavə edilmiş başlıqlar saxtalaşdırıla bilər. Yalnız ekran görünüşündəki From sətrinə baxmayın. “Pass” nəticəsi domen autentifikasiyasının həmin yoxlamadan keçdiyini bildirir; istifadəçinin dürüstlüyünü və məktubun məzmununu təsdiqləmir. SPF yönləndirilmiş məktubda fərqli nəticə verə bilər, DKIM isə mesaj dəyişəndə pozula bilər; nəticələri From domeninin autentifikasiya olunan domenlə uyğunluğu və təşkilatın icazəli göndərənlər siyahısı ilə birgə qiymətləndirin. Təcili dəyişiklik və pul tələbi üçün ayrıca təsdiq yenə tələb olunur.