यह प्लेबुक XDR स्टोरीज़ वर्कबेंच का उपयोग करके उन कहानियों की जांच कैसे करनी है, जो फ़िशिंग वेबसाइटों का उपयोग करती हैं।
सारांश
यह प्लेबुक एसओसी इंजीनियरों के लिए फ़िशिंग हमलों के लिए उपयोग की जा रही वेबसाइटों से संबंधित संभावित सुरक्षा घटनाओं की जांच के लिए एक प्रणालीबद्ध दृष्टिकोण को रेखांकित करता है। यह धमकी की प्रकृति के बारे में निष्कर्ष निकालने के लिए प्रारंभिक जानकारी एकत्र करने, नेटवर्क ट्रैफ़िक का विश्लेषण करने, और निष्कर्ष निकालने की एक रूपरेखा प्रदान करता है।
धमकी के बारे में प्रारंभिक जानकारी इकट्ठा करना
संभावित खतरे के बारे में बुनियादी जानकारी एकत्र करने के लिए कहानी में विवरण विजेट का उपयोग करें। कहानी का विवरण और अन्य डेटा की समीक्षा करें ताकि यह तय कर सकें कि आगे की जांच की आवश्यकता है या नहीं। इसके अतिरिक्त, समान घटनाएं अनुभाग में अन्य कहानियाँ दिखाई जाती हैं जो समान संकेतक और प्रदर्शनीय साझा करती हैं।
कहानी के अमीर संदर्भ प्रदान करने और आपको कहानी का तेजी से आकलन करने में मदद करने के लिए एआई सारांश उत्पन्न करें क्लिक करें।
इस हमले से प्रभावित डिवाइस के बारे में डेटा की समीक्षा करने के लिए स्रोत विजेट का उपयोग करें।
अधिक जानकारी (जैसे संकेत आईडी) के लिए और अपनी जांच को अपनी क्वेरी के आधार पर केंद्रित करने के लिए संकेत कैटलॉग का उपयोग कर सकते हैं।
फ़िशिंग हमले के लिए हमले के वितरण को समझना
हमला वितरण ग्राफ ट्रैफ़िक की प्रकृति को समझने में सहायता कर सकता है, जैसे नियमित हमले जो बॉट व्यवहार के समान हैं, एक बार की घटना या अन्य विशेषताएँ।
फ़िशिंग हमलों के लिए, ट्रैफ़िक वितरण आमतौर पर कम संख्या में प्रवाह या एक बार की घटना होगी, जिसके ग्राफ़ कुछ इस प्रकार दिखते हैं:
फ़िशिंग हमले के चरण का निर्धारण करना
एक संभावित फ़िशिंग हमले की जांच करने के लिए, यह पहचानना महत्वपूर्ण है कि यह हमला किस चरण में पहचान लिया गया था। Cato के सुरक्षा सेवाएँ निम्नलिखित विभिन्न चरणों में फ़िशिंग हमलों को पहचानती हैं:
पहुँच ब्लॉक - Cato ब्राउज़िंग गंतव्य को एक फ़िशिंग साइट के रूप में पहचानता है और साइट तक पहुँच को ब्लॉक करता है
क्रेडेंशियल सबमिशन ब्लॉक - जब कोई उपयोगकर्ता फ़िशिंग साइट का उपयोग करता है और साइट ब्राउज़र में प्रस्तुत होती है, तो Cato उपयोगकर्ता को क्रेडेंशियल दर्ज करने से रोक सकता है
पोस्ट-कम्प्रोमाइज डिटेक्शन - संदिग्ध गतिविधि निगरानी (एसएएम) सेवा पहचान सकती है कि जब कोई उपयोगकर्ता जोखिम भरे साइटों में क्रेडेंशियल सबमिट करता है, और संभावित उल्लंघन के लिए व्यवस्थापक को सूचित करने वाले इवेंट बनाता है
कहानी के इवेंट्स देखने और यह जानकारी प्राप्त करने के लिए कि फ़िशिंग प्रयास किस चरण में पहचान गया था, लक्ष्य कार्य विजेट का उपयोग करें और क्या यह ब्लॉक हो गया था। खतरे का नाम फ़ील्ड दिखा सकता है कि हमले को किस बिंदु पर पहचान गया था।
यह एक घटना का उदाहरण है जो एक फ़िशिंग साइट पर क्रेडेंशियल सबमिशन को IPS ब्लॉक दिखा रहा है:
विभिन्न चरणों पर फ़िशिंग हमलों की जांच
जिस चरण पर संभावित हमला पहचान गया था, उसे निर्धारित करने के बाद, उस चरण पर पहचान के लिए नीचे दिए गए जांच कदमों का पालन करें।
जब साइट तक पहुंच ब्लॉक हो गई थी
यह अनुभाग सुनिश्चित करने के लिए एक दृष्टिकोण का वर्णन करता है कि अवरुद्ध वेबसाइट एक फ़िशिंग साइट है। जांच का यह हिस्सा मुख्य रूप से लक्ष्य पर केंद्रित है।
लक्ष्य
लक्ष्य अनुभाग आपको पहचाने गए लक्ष्यों की जांच करने की अनुमति देता है ताकि उनके संभावित इरादे के बारे में अधिक जानकारी प्राप्त की जा सके और यह आकलन किया जा सके कि लक्ष्य दुर्भावनापूर्ण है या नहीं:
Cato के दुर्भावनापूर्ण स्कोर का मूल्यांकन करें
काटो की लोकप्रियता की जांच करें
संबंधित काटो श्रेणियाँ विचार करें
लक्ष्य से संबंधित खतरे की खुफिया फ़ीड की संख्या की समीक्षा करें
फ़िशिंग हमलों के लिए एक विशेष रूप से महत्वपूर्ण संकेतक डोमेन की निर्माण तिथि है। यदि तिथि हाल की है, तो यह अधिक संभावना है कि साइट दुर्भावनापूर्ण है।
बाहरी स्रोत खोजने के लिए लक्ष्य लिंक्स का उपयोग करना
अब तक, आपको इस कहानी में दर्ज गतिविधि की अच्छी पकड़ होनी चाहिए, लक्ष्य लिंक्स ऐतिहासिक संदर्भ और दुर्भावनापूर्ण व्यवहार के संकेतों के लिए मान्यता प्राप्त स्रोतों पर बाहरी खोज करने में मदद करता है। इस डेटा को पहचानने के लिए अन्य संस्थाओं के साथ संबंध और ज्ञात खतरे के कर्ताओं, अभियानों या तकनीकों के साथ संभावित लिंक्स की पहचान करें।
हमला से संबंधित प्रवाह
कहानी से संबंधित अप्रक्रियाशील डेटा प्रवाह की जांच करने के लिए हमला से संबंधित प्रवाह अनुभाग का उपयोग करें।
इन प्रवाहों से सहायक डेटा बिंदुओं का विश्लेषण करें, जिसमें यूआरएल, उपयोगकर्ता-अभिकर्ता, फ़ाइल नाम और अन्य संबंधित विशेषताएँ शामिल हैं, और उन्हें पिछली जांच चरण की जांच के निष्कर्षों से तुलना करें ताकि संभावित सहसंबंध का पता चल सके।
स्कैनर जांच के लिए, प्रसिद्ध स्कैनर और स्कैनिंग विधियों की कई वर्गीकृतियाँ हैं जैसे कि:
ज़्यादातर मामलों में जब फ़िशिंग साइट तक पहुँच अवरुद्ध होती है, इनमें कहानी का सही वर्गीकरण फ़िशिंग साइट पर ब्राउज़ करना होता है।
अनुशंसित कार्य
पीड़ित से सत्यापित करें कि क्या हमला एक स्पीयर फ़िशिंग प्रयत्न था और क्या उनके लिए विशेष रूप से लक्षित किया गया था (निजी नाम, निजी जानकारी आदि का उपयोग करके)।
यदि नहीं, तो सुनिश्चित करें कि कोई अन्य कर्मचारी उसी फ़िशिंग अभियान के शिकार नहीं थे।
यदि फ़िशिंग प्रयास का स्रोत ईमेल-आधारित है और उपयोगकर्ता को ज्ञात है, तो अपने संगठनात्मक ईमेल प्लेटफ़ॉर्म का उपयोग करके स्रोत पता रिपोर्ट और ब्लॉक करके हमले को कम करें।
यदि फ़िशिंग प्रयास का स्रोत अज्ञात है, तो एक पूर्ण एंडपॉइंट सुरक्षा स्कैन (एंटी-वायरस, ईपीपी, ईडीआर, आदि) करें और संक्रमित मशीन से कोई भी अज्ञात प्रोग्राम और ब्राउज़र एक्सटेंशन हटा दें।
जब क्रेडेंशियल सबमिशन अवरुद्ध हो गया था
यह अनुभाग बताता है कि किसी फ़िशिंग वेबसाइट पर क्रेडेंशियल सबमिट करने का प्रयास कैसे किया गया। जांच का यह हिस्सा मुख्य रूप से पहचाने गए लक्ष्य और यूआरएल पर ध्यान केंद्रित करता है।
लक्ष्य
लक्ष्य अनुभाग आपको पहचाने गए लक्ष्यों की जांच करने की अनुमति देता है ताकि उनके संभावित इरादे के बारे में अधिक जानकारी प्राप्त की जा सके और यह आकलन किया जा सके कि लक्ष्य दुर्भावनापूर्ण है या नहीं:
Cato के दुर्भावनापूर्ण स्कोर का मूल्यांकन करें
काटो की लोकप्रियता की जांच करें
संबंधित काटो श्रेणियाँ विचार करें
लक्ष्य से संबंधित खतरे की खुफिया फ़ीड की संख्या की समीक्षा करें
फ़िशिंग हमलों के लिए एक विशेष रूप से महत्वपूर्ण संकेतक डोमेन की निर्माण तिथि है। यदि तिथि हाल की है, तो यह अधिक संभावना है कि साइट दुर्भावनापूर्ण है।
बाहरी स्रोत खोजने के लिए लक्ष्य लिंक्स का उपयोग करना
अब तक, आपको इस कहानी में दर्ज गतिविधि की अच्छी पकड़ होनी चाहिए, लक्ष्य लिंक्स ऐतिहासिक संदर्भ और दुर्भावनापूर्ण व्यवहार के संकेतों के लिए मान्यता प्राप्त स्रोतों पर बाहरी खोज करने में मदद करता है। इस डेटा को पहचानने के लिए अन्य संस्थाओं के साथ संबंध और ज्ञात खतरे के कर्ताओं, अभियानों या तकनीकों के साथ संभावित लिंक्स की पहचान करें।
रेफरर की पहचान करना
फ़िशिंग हमलों में, सबसे पहले संवाद किया गया लक्ष्य अक्सर दुर्भावनापूर्ण साइट नहीं होता, बल्कि एक रेफरर साइट होता है, मतलब एक साइट जो दुर्भावनापूर्ण साइट के लिंक को शामिल करती है। रेफरर साइट हमले से संबंधित प्रवाह अनुभाग में रेफरर कॉलम दिखाई देती है।
डोमेन लुकअप के साथ रेफरर की जाँच करें
एक रेफरर की पहचान करने के बाद, आप डोमेन लुकअप का उपयोग करके डोमेन पर शोध कर सकते हैं। कम लोकप्रियता और उच्च दुर्भावनापूर्ण स्कोर एक दुर्भावनापूर्ण डोमेन को इंगित करता है।
हमला से संबंधित प्रवाह
कहानी से संबंधित अप्रक्रियाशील डेटा प्रवाह की जांच करने के लिए हमला से संबंधित प्रवाह अनुभाग का उपयोग करें।
इन प्रवाहों से सहायक डेटा बिंदुओं का विश्लेषण करें, जिसमें यूआरएल, उपयोगकर्ता-अभिकर्ता, फ़ाइल नाम और अन्य संबंधित विशेषताएँ शामिल हैं, और उन्हें पिछली जांच चरण की जांच के निष्कर्षों से तुलना करें ताकि संभावित सहसंबंध का पता चल सके।
जब किसी URL की जांच की जाती है, तो यह देखना महत्वपूर्ण है कि क्या इसमें कोई संवेदनशील डेटा है (ध्यान दें कि कई मामलों में URL एन्कोड होते हैं और सभी डेटा तक पहुंचने के लिए उन्हें डिकोड किया जाना चाहिए)। हम यह भी अनुशंसा करते हैं कि समान यूआरएल पैटर्न के लिए बाहरी टूल की जांच करें ताकि पहचाने गए ट्रैफ़िक में अधिक जानकारी प्राप्त हो सके।
नोट: जब कोई जाँच करता है, तो हम अनुशंसा करते हैं कि आप संदिग्ध फ़िशिंग संबंधित साइटों तक न पहुँचें।
स्कैनर जांच के लिए, प्रसिद्ध स्कैनर और स्कैनिंग विधियों की कई वर्गीकृतियाँ हैं जैसे कि:
ज़्यादातर मामलों में जब एक फ़िशिंग साइट पर क्रेडेंशियल सबमिशन अवरुद्ध होता है, कहानी का सही वर्गीकरण क्रेडेंशियल सबमिशन प्रयास होता है।
अनुशंसित कार्य
यदि संवेदनशील डेटा लीक हुआ है, तो सम्बंधित सेवाओं के पासवर्ड को बदल दें और सभी सेवाओं से एक सख्त लॉग-ऑफ का विचार करें।
सुनिश्चित करें कि कोई दुर्भावनापूर्ण फ़ाइलें डाउनलोड और निष्पादित न हों।
पीड़ित से सत्यापित करें कि क्या हमला एक स्पीयर फ़िशिंग प्रयत्न था और क्या उनके लिए विशेष रूप से लक्षित किया गया था (निजी नाम, निजी जानकारी आदि का उपयोग करके)।
यदि नहीं, तो सुनिश्चित करें कि कोई अन्य कर्मचारी उसी फ़िशिंग अभियान के शिकार नहीं थे।
यदि फ़िशिंग प्रयास का स्रोत ईमेल-आधारित है और उपयोगकर्ता को ज्ञात है, तो अपने संगठनात्मक ईमेल प्लेटफ़ॉर्म का उपयोग करके स्रोत पता रिपोर्ट और ब्लॉक करके हमले को कम करें।
यदि फ़िशिंग प्रयास का स्रोत अज्ञात है, तो एक पूर्ण एंडपॉइंट सुरक्षा स्कैन (एंटी-वायरस, ईपीपी, ईडीआर, आदि) करें और संक्रमित मशीन से कोई भी अज्ञात प्रोग्राम और ब्राउज़र एक्सटेंशन हटा दें।
जब हमला कम्प्रोमाइज के बाद पहचान गया था
यह अनुभाग बताता है कि किसी फ़िशिंग वेबसाइट पर क्रेडेंशियल का समर्पण कैसे हुआ। जांच का यह हिस्सा मुख्य रूप से पहचाने गए लक्ष्य और रेफरर पर ध्यान केंद्रित करता है (एक साइट जो दुर्भावनापूर्ण साइट के लिंक को शामिल करती है)।
लक्ष्य
लक्ष्य अनुभाग आपको पहचाने गए लक्ष्यों की जांच करने की अनुमति देता है ताकि उनके संभावित इरादे के बारे में अधिक जानकारी प्राप्त की जा सके और यह आकलन किया जा सके कि लक्ष्य दुर्भावनापूर्ण है या नहीं:
Cato के दुर्भावनापूर्ण स्कोर का मूल्यांकन करें
काटो की लोकप्रियता की जांच करें
संबंधित काटो श्रेणियाँ विचार करें
लक्ष्य से संबंधित खतरे की खुफिया फ़ीड की संख्या की समीक्षा करें
फ़िशिंग हमलों के लिए एक विशेष रूप से महत्वपूर्ण संकेतक डोमेन की निर्माण तिथि है। यदि तिथि हाल की है, तो यह अधिक संभावना है कि साइट दुर्भावनापूर्ण है।
बाहरी स्रोत खोजने के लिए लक्ष्य लिंक्स का उपयोग करना
अब तक, आपको इस कहानी में दर्ज गतिविधि की अच्छी पकड़ होनी चाहिए, लक्ष्य लिंक्स ऐतिहासिक संदर्भ और दुर्भावनापूर्ण व्यवहार के संकेतों के लिए मान्यता प्राप्त स्रोतों पर बाहरी खोज करने में मदद करता है। इस डेटा को पहचानने के लिए अन्य संस्थाओं के साथ संबंध और ज्ञात खतरे के कर्ताओं, अभियानों या तकनीकों के साथ संभावित लिंक्स की पहचान करें।
रेफरर की पहचान करना
फ़िशिंग हमलों में, सबसे पहले संवाद किया गया लक्ष्य अक्सर दुर्भावनापूर्ण साइट नहीं होता, बल्कि एक रेफरर साइट होता है, मतलब एक साइट जो दुर्भावनापूर्ण साइट के लिंक को शामिल करती है। रेफरर साइट हमले से संबंधित प्रवाह अनुभाग में रेफरर कॉलम दिखाई देती है।
डोमेन लुकअप के साथ रेफरर की जाँच करें
एक रेफरर की पहचान करने के बाद, आप डोमेन लुकअप का उपयोग करके डोमेन पर शोध कर सकते हैं। कम लोकप्रियता और उच्च दुर्भावनापूर्ण स्कोर एक दुर्भावनापूर्ण डोमेन को इंगित करता है।
हमला से संबंधित प्रवाह
कहानी से संबंधित अप्रक्रियाशील डेटा प्रवाह की जांच करने के लिए हमला से संबंधित प्रवाह अनुभाग का उपयोग करें।
इन प्रवाहों से सहायक डेटा बिंदुओं का विश्लेषण करें, जिसमें यूआरएल, उपयोगकर्ता-अभिकर्ता, फ़ाइल नाम और अन्य संबंधित विशेषताएँ शामिल हैं, और उन्हें पिछली जांच चरण की जांच के निष्कर्षों से तुलना करें ताकि संभावित सहसंबंध का पता चल सके।
जब किसी URL की जांच की जाती है, तो यह देखना महत्वपूर्ण है कि क्या इसमें कोई संवेदनशील डेटा है (ध्यान दें कि कई मामलों में URL एन्कोड होते हैं और सभी डेटा तक पहुंचने के लिए उन्हें डिकोड किया जाना चाहिए)। हम यह भी अनुशंसा करते हैं कि समान यूआरएल पैटर्न के लिए बाहरी टूल की जांच करें ताकि पहचाने गए ट्रैफ़िक में अधिक जानकारी प्राप्त हो सके।
नोट: जब कोई जाँच करता है, तो हम अनुशंसा करते हैं कि आप संदिग्ध फ़िशिंग संबंधित साइटों तक न पहुँचें।
निष्कर्ष
फ़िशिंग साइट पर क्रेडेंशियल्स सबमिशन की बाद की पहचान के अधिकांश मामलों के लिए, कहानी के लिए सही वर्गीकरण क्रेडेंशियल्स सबमिशन है।
अनुशंसित कार्य
यदि संवेदनशील डेटा लीक हुआ है, तो सम्बंधित सेवाओं के पासवर्ड को बदल दें और सभी सेवाओं से एक सख्त लॉग-ऑफ का विचार करें।
सुनिश्चित करें कि कोई दुर्भावनापूर्ण फ़ाइलें डाउनलोड और निष्पादित न हों।
पीड़ित से सत्यापित करें कि क्या हमला एक स्पीयर फ़िशिंग प्रयत्न था और क्या उनके लिए विशेष रूप से लक्षित किया गया था (निजी नाम, निजी जानकारी आदि का उपयोग करके)।
यदि नहीं, तो सुनिश्चित करें कि कोई अन्य कर्मचारी उसी फ़िशिंग अभियान के शिकार नहीं थे।
यदि फ़िशिंग प्रयास का स्रोत ईमेल-आधारित है और उपयोगकर्ता को ज्ञात है, तो अपने संगठनात्मक ईमेल प्लेटफ़ॉर्म का उपयोग करके स्रोत पता रिपोर्ट और ब्लॉक करके हमले को कम करें।
यदि फ़िशिंग प्रयास का स्रोत अज्ञात है, तो एक पूर्ण एंडपॉइंट सुरक्षा स्कैन (एंटी-वायरस, ईपीपी, ईडीआर, आदि) करें और संक्रमित मशीन से कोई भी अज्ञात प्रोग्राम और ब्राउज़र एक्सटेंशन हटा दें।
यदि पहचानी गई ट्रैफ़िक को ब्लॉक नहीं किया गया था, तो लक्ष्य को ब्लॉक करने के लिए इंटरनेट फ़ायरवॉल नियम बनाएँ।