कोई यूजर एक संदिग्ध email की शिकायत करता है। मुझे अपना विश्लेषण बताइए।

header से बाहर की ओर काम करें, एक सुरक्षित माहौल में। sending path, SPF, DKIM और DMARC के नतीजे, envelope बनाम display sender, और reply to में कोई बेमेल जांचें। link और attachment को sandbox में चलाएं, अपने workstation पर कभी नहीं। indicator निकालें, फिर mail log में ढूंढें कि यह और किसे मिला और किसी ने click या authenticate तो नहीं किया। message purge करके और infrastructure block करके रोकथाम करें।

मैं उसे अपनी मशीन पर कभी नहीं खोलता। मैं mail platform से पूरे header के साथ असली message निकालता हूं, और जो कुछ भी जिंदा है उसे network capture चलाते हुए sandbox virtual machine में चलाता हूं। पहले header: SPF, DKIM और DMARC के नतीजे, received chain, यह कि envelope sender display name से मेल खाता है या नहीं, और यह कि reply to address कोई मिलता जुलता नकली domain तो नहीं। मैंने जितनी credential phishing देखी है उनमें से ज्यादातर SPF पास कर जाती हैं क्योंकि वे किसी कब्जे में लिए गए जायज tenant से भेजी जाती हैं, तो अकेला pass कुछ साबित नहीं करता। फिर link: shortener खोलिए, redirect chain का पीछा कीजिए, और देखिए कि landing page हमारे अपने login page की नकल करने वाला कोई harvester तो नहीं। फिर मैं दायरे पर मुड़ता हूं, जो sample से ज्यादा मायने रखता है: mail log में sender, subject और URL ढूंढकर पता करें कि यह किस किसे मिला, click के लिए proxy log देखें, और उस infrastructure से authentication के लिए sign in log देखें। सभी mailbox से purge करें, domain block करें, और जिसने भी authenticate किया उसे reset करें।