Playbook zur Untersuchung von Phishing-E-Mails — Vom Header zum Urteil

Antwort zuerst

Untersuchen Sie eine Phishing-E-Mail in fünf Schritten: Header ziehen → Absender-Authentifizierung prüfen → Domänen analysieren → URLs zerlegen → IOCs extrahieren.

1. Wie Phishing funktioniert

Phishing beruht auf Identitätstäuschung und Dringlichkeit. Die Nachricht behauptet, von einer vertrauenswürdigen Partei zu stammen, drängt zu einer Aktion (Anmeldung, Zahlung, Download), und der Gewinn ist Anmeldedaten-Diebstahl, Schadsoftware oder Business-E-Mail-Kompromittierung. Ihre Aufgabe ist es, Identitätsbehauptungen zu verifizieren — nicht Absichten zu erraten — mithilfe der eigenen Metadaten der Nachricht.

Taktisch entspricht dies MITRE ATT&CK T1566 (Phishing) und seinen Sub-Techniken: T1566.001 (Spearphishing-Anhang), T1566.002 (Spearphishing-Link) und T1566.003 (Spearphishing über Dienst). Das Benennen der Technik während des Triage gibt der Untersuchung eine gemeinsame Sprache und hilft Ihnen zu entscheiden, welche Indikatoren am wichtigsten sind.

2. Header-Analyse

Öffnen Sie die vollständigen Roh-Header („Original anzeigen“ in E-Mail-Clients; behalten Sie den vollständigen Header-Block). Konzentrieren Sie sich auf:

• From: der behauptete Absender.
• Reply-To: wohin Antworten tatsächlich gehen — eine Abweichung ist ein starkes Spoofing-Signal.
• Received-Kette: Hop-Anzahl und Ursprungs-IP.
• Message-ID, Return-Path: Korrelation mit der From-Domäne.

Fügen Sie den Header-Block in den E-Mail-Header-Analyzer ein. Er extrahiert From / Reply-To / Authentifizierungsergebnisse lokal und markiert Abweichungen. Er sendet Ihren Header niemals irgendwohin.

3. Absender-Validierung

Prüfen Sie SPF-, DKIM- und DMARC-Ergebnisse im Authentication-Results-Header:

• SPF-Fehlschlag — die sendende IP ist für die From-Domäne nicht autorisiert.
• DKIM-Fehlschlag — die Nachricht ist für eine behauptete Domäne nicht gültig signiert.
• DMARC-Fehlschlag — weder SPF- noch DKIM-Ausrichtung besteht; die Nachricht sollte unter striktem DMARC abgelehnt werden.

Ein Fehlschlag ist ein Signal, kein Urteil: Eine legitime Mailingliste kann SPF nicht bestehen und dennoch DKIM bestehen. Korrelieren Sie vor dem Urteilen mindestens zwei Prüfungen.

4. Domänen-Analyse

Validieren Sie die beteiligten Domänen mit der DNS-Abfrage: prüfen Sie MX-/SPF-/DMARC-Einträge der From-Domäne und bestätigen Sie, ob die Domäne eine neuere, ähnlich aussehende Registrierung ist. Eine kürzlich erstellte Domäne mit gültigem SPF, das nicht zu Ihren Anbietern passt, ist verdächtiger als eine etablierte Markendomäne.

5. URL-Analyse — nicht klicken

Extrahieren Sie jeden Link aus der E-Mail. Kopieren Sie in Ihrem E-Mail-Client das Linkziel (darüberfahren oder „Link kopieren“), statt zu klicken. Analysieren Sie jede URL mit dem URL-Analyzer (lokales Parsen der Struktur) und prüfen Sie die Reputation mit der URL-Reputationsprüfung. Achten Sie auf:

• Nicht-HTTPS oder gemischte Protokolle.
• Eingebettete Anmeldedaten oder ein @ im Hostnamen (Ähnlichkeits-Trick).
• Eine Roh-IP im Hostnamen.
• Eine Domäne, die sich von der imitierten Marke unterscheidet.

Eine „saubere“ Reputation bedeutet kein bekannter Eintrag — niemals ein Sicherheitsurteil.

6. IOC-Extraktion

Extrahieren Sie Indikatoren — Absender-Domäne, URLs, IPs, Datei-Hashes, Bitcoin-Adressen — und normalisieren Sie sie mit der IOC-Abfrage. Defangen Sie Werte, bevor Sie sie in Berichten teilen. Dokumentieren Sie, was Sie gefunden haben, auch wenn die Intelligence keinen Eintrag hat.

7. Untersuchungs-Workflow

1. Erfassen Sie die Roh-Nachricht (EML) unverändert.
2. Analysieren Sie Header und Authentifizierungsergebnisse.
3. Validieren Sie Domänen und URLs mit den obigen Werkzeugen.
4. Extrahieren Sie IOCs und prüfen Sie die OpenTrojan-Intelligence.
5. Entscheiden Sie: IOCs auf die Blockliste setzen, den Zielbenutzer/das Sicherheitsteam benachrichtigen oder als Fehlalarm schließen — immer mit dokumentierter Evidenz.

Starten Sie eine neue Untersuchung, um Header-Befunde, IOCs und das endgültige Urteil mit Referenzen zu protokollieren.

8. Kurzreferenz der Indikatoren

• Hoch: Reply-To weicht von From ab + From-Domäne hat keine Richtlinie; DMARC-Fehlschlag + ähnlich aussehende URL.
• Mittel: SPF-Fehlschlag allein, neue Domäne, dringende Handlungssprache.
• Niedrig: Nur-HTML-Nachricht, generische Begrüßung, Absender-Domäne stimmt mit From überein.

9. Abschwächung

• Melden Sie es an den Missbrauchskanal Ihres Anbieters und Ihre interne SOC.
• Blockieren Sie die Absender-Domäne und bösartige URLs am Gateway.
• Schulen Sie den Empfänger — bestrafen Sie niemals eine Meldung.

10. Nützliche Werkzeuge

• E-Mail-Header-Analyzer — lokales Header-Parsen und Markierungen.
• DNS-Abfrage — SPF-/DMARC-/MX-Einträge für die Domänen.
• URL-Analyzer — lokale URL-Strukturanalyse.
• URL-Reputationsprüfung — Bekannt-Eintrag-Prüfung für Domänen/URLs.
• IOC-Abfrage — Indikatoren normalisieren, defangen und prüfen.
• Untersuchungsarbeitsbereich — den Fall verfolgen.

11. Referenzen

• RFC 7208 — SPF
• RFC 7489 — DMARC