Begin hier
Je eerste nuttige stap
Neem eerst de gratis les over phishing door en gebruik daarna de werkwijze voor analisten hieronder om bewijs uit het bericht te koppelen aan mogelijke identiteitsactiviteit.
Bewaar de oorspronkelijke melding en formuleer de vraag
Leg vast hoe het bericht is gemeld, wanneer het binnenkwam en wat de ontvanger zegt te hebben gedaan. Bewaar het oorspronkelijke bericht via het goedgekeurde proces, zodat headers en identifiers beschikbaar blijven. Werk vanuit een veilige kopie of vertrouwde beheertools, niet door de links in het bericht te openen.
Stel een precieze vraag: was dit een ongewenst bericht, heeft iemand de bestemming bezocht, of is er bewijs van ongeautoriseerde accountactiviteit? Dat zijn verschillende bevindingen. Klik niet op de URL, open geen bijlagen en neem buiten het goedgekeurde onderzoeksproces geen contact op met de vermeende afzender.
Vergelijk het bewijs over afzender en domein
Maak onderscheid tussen de weergavenaam, het zichtbare From-adres, het antwoordadres en de werkelijke bestemming van de link. Vergelijk het domein met de verwachte organisatie aan de hand van een vertrouwde referentie, niet via een link uit het bericht. Let op een geloofwaardige weergavenaam die aan een ander geregistreerd domein hangt.
In een synthetisch voorbeeld stuurt “Help Desk” een bericht vanaf helpdesk.training.invalid, terwijl de organisatie haar eigen bedrijfsdomein verwacht. Het verschil is een reden om te onderzoeken, geen bewijs dat inloggegevens zijn gestolen. De gereserveerde .invalid-voorbeelden hier zijn geen bestaande kwaadaardige bestemmingen.
- Bewaar de message-identifier en tijdstempels bij je aantekeningen.
- Leg het waargenomen domein vast, niet je visuele indruk van het logo.
- Behandel verkorte of verhulde bestemmingen als extra onzekerheid.
- Bezoek geen bestemming om te bepalen of die veilig is.
Lees authenticatieresultaten nauwkeurig
SPF gaat over een geautoriseerd verzendpad voor een envelopdomein; DKIM gaat over een handtekening en ondertekende inhoud. DMARC voegt afstemming (alignment) met het zichtbare From-domein en beleidsafhandeling toe. Lees de authenticatieresultaten die jouw vertrouwde ontvangende systeem heeft toegevoegd, niet willekeurige headertekst die een afzender heeft meegestuurd.
Geslaagde authenticatie bewijst niet dat het bericht onschuldig is of dat de afzender het verzoek mag doen. Een domein in handen van een aanvaller kan zijn eigen mail authenticeren, en een legitiem account kan gecompromitteerd zijn. Ook een mislukte controle kan context nodig hebben, zoals het gedrag bij doorsturen.
Breng identiteits- en applicatieactiviteit met elkaar in verband
Als de melding wijst op een bezoek of het invoeren van inloggegevens, beoordeel dan via geautoriseerde tools het relevante inlogvenster. Kijk naar sessieresultaten, MFA-events, app-toestemmingen en mailboxactiviteit. Houd de tijdzone consistent en behandel één veld niet als een volledige conclusie over een incident.
Stel dat een synthetisch pakket een gemelde klik om 09:10 laat zien, een onbekende inlogpoging om 09:12 en een geweigerde MFA-prompt om 09:13. De weigering beperkt wat die poging aantoont; ze sluit andere sessies of machtigingen niet uit. Vraag het ontbrekende bewijs over geslaagde pogingen en sessies op voordat je schrijft dat het account veilig of gecompromitteerd is.
Kies insluiting die past bij het bewijs
Volg het bevoegdheids- en escalatieproces van de organisatie. Mogelijke defensieve acties zijn onder meer het in quarantaine plaatsen van een bevestigd kwaadaardig bericht, het intrekken van getroffen sessies of het beoordelen van een ongeautoriseerde app-machtiging. De juiste actie hangt af van de geverifieerde scope en de operationele context.
Bewaar het relevante bewijs en leg vast wie elke wijziging heeft goedgekeurd en uitgevoerd. Alleen een wachtwoordreset pakt een actieve sessie of gedelegeerde app-toegang mogelijk niet aan. Valideer het resultaat in plaats van aan te nemen dat een maatregel werkte omdat iemand op de knop heeft geklikt.
Schrijf de overdracht die een andere analist nodig heeft
Beschrijf de aanleiding, de tijdlijn, het bewijs, de huidige scope, de mate van zekerheid en de volgende eigenaar. Vermeld wat is ingesloten en wat nog openstaat. Blaas een vermoedelijk event niet op tot een bevestigde accountcompromittering om de melding daadkrachtiger te laten klinken.
Herhaal als oefening je beoordeling nadat je een bevestigde, ongeautoriseerde mailboxregel hebt toegevoegd. Leg uit hoe dat nieuwe bewijs de scope, ernst, insluiting en prioriteiten voor bewijs verandert. Het uitgebrachte Pro SOC-lab geeft je een volledig synthetisch pakket en uitgewerkte beoordelingen voor dit soort redeneringen.
Bronnen en reikwijdte
Dit is originele educatieve begeleiding van BitsSecured. Er worden onafhankelijke oefenvoorbeelden gebruikt, geen echte examenvragen, en er wordt geen slagen, certificering of baan beloofd. BitsSecured is niet verbonden aan of goedgekeurd door CompTIA.