Trabalhe dos cabeçalhos para fora, em um ambiente seguro. Confira o caminho de envio, os resultados de SPF, DKIM e DMARC, o remetente de envelope contra o exibido, e qualquer divergência no reply to. Detone links e anexos em um sandbox, nunca na sua estação. Extraia indicadores e depois busque nos logs de e-mail todo mundo que recebeu aquilo e se alguém clicou ou autenticou. Contenha removendo a mensagem e bloqueando a infraestrutura.
Por que os entrevistadores perguntam isso
O entrevistador está checando hábitos de manuseio seguro, letramento em cabeçalhos, e se você pensa além do único e-mail reportado até o escopo organizacional. Muitos candidatos analisam a amostra e param ali. A resposta forte pivota rápido para a pergunta que realmente importa: quem mais recebeu e quem interagiu. Ele também quer as ações de resposta que você mesmo consegue tomar versus o que precisa do administrador de e-mail.
Como estruturar sua resposta
- Declare as suas precauções de manuseio antes de tocar na amostra.
- Leia primeiro os resultados de autenticação e o caminho do remetente.
- Detone e extraia indicadores em um ambiente isolado.
- Pivote imediatamente para escopo organizacional e contenção.
Exemplo de resposta
Eu nunca abro na minha própria máquina. Eu puxo a mensagem original com cabeçalhos completos da plataforma de e-mail, e detono qualquer coisa viva em uma máquina virtual sandbox com captura de rede rodando. Cabeçalhos primeiro: resultados de SPF, DKIM e DMARC, a cadeia de received, se o remetente de envelope bate com o nome exibido, e se o endereço de reply to é um domínio parecido. A maior parte do phishing de credenciais que eu vi passa no SPF porque é enviado de um tenant legítimo comprometido, então um pass sozinho não prova nada. Depois os links: expanda encurtadores, siga as cadeias de redirecionamento, e veja se a página de destino é um coletor imitando a nossa própria tela de login. Aí eu viro para o escopo, que importa mais que a amostra: buscar nos logs de e-mail o remetente, o assunto e a URL para achar todo mundo que recebeu, conferir logs de proxy por cliques, e conferir logs de sign in por autenticações vindas daquela infraestrutura. Remover de todas as caixas, bloquear o domínio, resetar quem autenticou.
Vai encarar essa entrevista em breve? O GhostPilot escuta a sua chamada ao vivo, identifica a pergunta no instante em que ela é feita e coloca uma resposta estruturada na sua tela em tempo real. Teste na sua próxima entrevista simulada ou pegue um Session Pass de $29, sem assinatura, para a hora da verdade.
Veja como funcionaPerguntas de acompanhamento que você pode esperar
- O que você faz se três usuários já digitaram credenciais?
- Como você distingue um coletor de credenciais de uma página de entrega de malware?
- Como você lida com um phishing reportado que acaba sendo um e-mail real de fornecedor?
Mais perguntas para Analista de Cibersegurança
Seu entrevistador vai fazer a própria versão desta. Cole a descrição real da vaga no Question Predictor gratuito e receba as 20 perguntas que essa vaga tem mais chance de fazer, com o que cada uma está de fato sondando.
Prever minhas perguntas