Yüksek önemHARDEC11 adım · 6 faz
Phishing & Initial Access Response
Kimlik avı e-postası, kötü amaçlı ek veya kimlik bilgisi hasadı kaynaklı ilk erişim olaylarında kampanya kapsamını çıkarma, erişimi kesme ve tekrarını önleme akışı.
Bilgilendirme notu
Bilgilendirme notu: Phishing kaynaklı ilk erişim müdahalesinde e-posta başlıklarını, URL yönlendirme zincirini ve ek dosya meta verilerini birlikte inceleyin. MITRE ATT&CK TA0001 kapsamında kimlik avı bağlantıları (T1566.002) ve kötü amaçlı ekler (T1566.001) farklı tespit sinyalleri üretir. MFA bypass tekniklerine karşı koşullu erişim politikaları ve kimlik avına dirençli MFA (FIDO2) uygulanana kadar tüm etkilenen oturumları iptal edin ve yeniden kimlik doğrulama zorunlu kılın.
1
Hazırlık
1 adım- İhbar hattı ve otomatik analiz kur
Kullanıcı 'report phishing' butonu, e-posta sandbox, URL/ek detonation ve EDR entegrasyonu hazır olsun.
2
Tespit ve Analiz
3 adım- Şüpheli mesajı doğrula ve analiz et
Başlık (header), gönderen altyapısı, bağlantı hedefi ve eki güvenli ortamda incele; IOC'leri (URL, alan, hash, IP) çıkar.
- Kampanya kapsamını çıkar
Aynı IOC'lerle eşleşen tüm alıcıları bul; kimlerin tıkladığını, ek açtığını veya kimlik bilgisi girdiğini belirle.
- Başarılı erişim belirtisi ara
Tıklayan hesaplarda anormal oturum açma, yeni cihaz, MFA kaydı, posta kuralı veya yeni OAuth izni oluşumunu kontrol et.
3