メールドメインのなりすまし検出用 Playbook

この Playbook は、Phisher のメールアドレスに類似ドメインが存在する可能性をアナリストに警告することで、ユーザーから報告されたフィッシング送信の初期段階でのトリアージを支援します。

メールドメインスプーフィング検出 Playbook は、Phisher の送信者メールドメインと、観測事象リポジトリに存在する信頼できるドメイン名との類似性の一致を探します。なりすまし送信者のメールドメインの一致が Playbook によって特定されると、アナリストはタグでアラートを受け取ります。

ワークフローは既存の Playbook に基づいて作成され、インシデント調査のための一貫した効率的なアプローチを提供します。Playbook の各意思決定ポイントは結果主導型のタスクに変換され、そのようなタスクの結果に基づいてフローの方向が変わります。

メールドメインのなりすまし検出プレイブックの開始

1. sn_si.user および flow_designer ロールを持つユーザーとしてログインします。
2. 移動先 すべて > Flow Designer をクリックし、[ メールドメインスプーフィング検出 Playbook Playbook ] を選択します。
3. (オプション)メールドメインのなりすまし検出 Playbook フローのコピーを作成し、必要な変更を加えることができます。Playbook のフローのコピーを作成するには、[ アイコンをクリックし、[ フローのコピー] を選択します。このステップは、フローをカスタマイズまたは変更する場合にのみ実行します。

   図 : 1. メールドメインスプーフィング検出 Playbook

   

4. Playbook をアクティブ化します。
   • ベースシステムで利用可能な Playbook を使用するには、メインフローをアクティブ化します。
   • 必要な変更を行った後、コピーしたフローをアクティブ化します。

トリガー条件:この Playbook は、次の条件が満たされるとトリガーされ、セキュリティインシデントに関連付けられます。

• [差出人] は空ではありません。
• セキュリティインシデント が空でない。

• メールドメインスプーフィング検出 Playbook の使用
  次の手順は、メールドメインスプーフィング検出 Playbook で利用可能なアクション、タスク、およびサブフローのウォークスルーを示しています。