Phishing و Malware از دید کارشناس پشتیبانی

Spoofed Sender/Domain مشابه برای فریب استفاده می‌شود

Phishing تلاش می‌کند کاربر را وادار کند Credential بدهد، Link خطرناک باز کند یا File آلوده اجرا کند. Malware نتیجه یا ابزار حمله می‌تواند باشد، اما هر Phishing الزاماً File Malware ندارد؛ صفحه Login جعلی هم کافی است.

پشتیبان معمولاً اولین نفری است که کاربر بعد از کلیک اشتباه تماس می‌گیرد. واکنش درست حفظ شواهد، محدود کردن آسیب و Escalation طبق Incident Process است، نه سرزنش کاربر.

Spoofed Sender/Domain مشابه برای فریب استفاده می‌شود. Urgency و درخواست غیرعادی از نشانه‌های رایج است.

Credential Harvesting با صفحه Login جعلی انجام می‌شود

Credential Harvesting با صفحه Login جعلی انجام می‌شود. Attachment Macro/Executable می‌تواند Malware حمل کند.

نمایش نام فرستنده با آدرس واقعی فرق دارد. QR Phishing مسیر را به گوشی منتقل می‌کند. MFA Prompt Bombing می‌تواند کاربر را به تأیید اشتباه وادار کند.

Spam مزاحمت عمومی است

Spam مزاحمت عمومی است؛ Phishing هدف فریب و سرقت/اجرا دارد. تشخیص نهایی همیشه از ظاهر ایمیل ممکن نیست و ابزار Security لازم می‌شود.

Phishing می‌تواند Credential را بدون Malware File بدزدد. واکنش سریع و حفظ شواهد مهم است. Incident را طبق Process Escalate کن.

کاربر را از ادامه تعامل بازدار

از کاربر را از ادامه تعامل بازدار شروع کن. بعد زمان/Message/URL را حفظ کن. اگر تا اینجا چیزی غیرعادی ندیدی، اگر Credential وارد شده طبق Policy Password/Session/MFA را مدیریت کن. در آخر Endpoint مشکوک را طبق دستور Incident Team Isolation کن.

نتیجه «کاربر را از ادامه تعامل بازدار» و «زمان/Message/URL را حفظ کن» را کنار هم بگذار. اگر هر دو طبیعی بودند، «اگر Credential وارد شده طبق Policy Password/Session/MFA را مدیریت کن» کمک می‌کند محدوده مشکل کوچک‌تر شود. «Endpoint مشکوک را طبق دستور Incident Team Isolation کن» را زمانی انجام بده که بررسی‌های قبلی جواب روشنی نداده‌اند.

کاربر Password را در صفحه‌ای که از Link ایمیل باز شده وارد کرده ولی File

کاربر Password را در صفحه‌ای که از Link ایمیل باز شده وارد کرده ولی File اجرا نکرده است. چون Credential ممکن است سرقت شده باشد، فقط Scan Antivirus کافی نیست؛ Account Response هم لازم است.

ترتیب منطقی بررسی همین وضعیت می‌تواند این باشد: کاربر را از ادامه تعامل بازدار → زمان/Message/URL را حفظ کن → اگر Credential وارد شده طبق Policy Password/Session/MFA را مدیریت کن → Endpoint مشکوک را طبق دستور Incident Team Isolation کن. این ترتیب را با نتیجه واقعی هر مرحله جلو ببر؛ اگر یکی از بررسی‌ها علت را روشن کرد، سراغ تغییرهای بی‌ربط نرو.

پنج Email نمونه ساختگی را بررسی کن و Red Flagها را علامت بزن: Domain

پنج Email نمونه ساختگی را بررسی کن و Red Flagها را علامت بزن: Domain، Link مقصد، درخواست Credential، Urgency و Attachment. هیچ Link واقعی ناشناس را باز نکن.

قبل از ایجاد خطا «کاربر را از ادامه تعامل بازدار» را در حالت سالم ثبت کن. بعد از ایجاد یک خطای کنترل‌شده، همان مورد و در پایان «Endpoint مشکوک را طبق دستور Incident Team Isolation کن» را دوباره بررسی کن. تفاوت قبل و بعد باید در گزارش تمرین مشخص باشد.

سرزنش کاربر و از دست دادن همکاری

سرزنش کاربر و از دست دادن همکاری. Forward کردن Email مشکوک به همکاران به شکل عادی و فعال. حذف شواهد قبل از Report.

CCST روی شناسایی و Escalation امن تمرکز دارد. تحلیل Malware و Forensics عمیق خارج از این سطح است.

Phishing می‌تواند Credential را بدون Malware File بدزدد

Phishing می‌تواند Credential را بدون Malware File بدزدد. واکنش سریع و حفظ شواهد مهم است. Incident را طبق Process Escalate کن.

اگر کاربر فقط Password را در سایت جعلی وارد کرده Malware Scan کافی است؟ خیر؛ Credential Compromise و Session/MFA هم باید طبق Policy پاسخ داده شود. نمایش نام فرستنده چرا کافی نیست؟ می‌تواند جعل شود و باید Domain/Header/Context بررسی شود.