mail-shield/1.1.0 · حُدّث في ٠٩‏/٠٧‏/٢٠٢٦

البريد وانتحال الهوية والاستجابة للتصيد

كيفية قراءة المصادقة والانتحال وحملات البريد بمعايير واضحة للاستجابة.

يجمع Mail في ADDA بين المصادقة وسمعة النطاق والروابط والسياق التشغيلي لتقليل عدم اليقين قبل اتخاذ إجراء.

تزداد سرعة الاستجابة للتصيد عندما يتحدث البريد وDNS وEvidence وincidents اللغة نفسها. ولا يقتصر الأمر على وسم رسالة بأنها مشبوهة؛ بل يهم أيضًا تفسير الخطر والحفاظ على قابلية التتبع وترك توصيات واضحة للاستمرارية.

إذا عاد نطاق أو حملة بريدية إلى الظهور، فمن المناسب التصعيد إلى Intelligence أو watchlists أو takedown packs حتى لا يبدأ كل تحليل من الصفر.

قائمة التحقق

• فحص النطاق والمصادقة قبل تقرير أي إجراء.
• ربط الروابط والموضوع والحملة إذا بدت الحالة متكررة.
• ربط Evidence أو incident عندما يؤثر الاكتشاف في العمليات.

بدء سريع

1. تحقق من النطاق والانتحال قبل الإعلان عن حملة.
2. راجع ما إذا كانت الحالة تتطلب بلاغ إساءة أو early warning أو incident.
3. احفظ Evidence إذا أدى الاكتشاف إلى حظر أو تنسيق خارجي.

التدفق التشغيلي

التحقق من النطاق

اقرأ SPF وDKIM وDMARC والإشارات المرتبطة بالنطاق المرصود.

حدّد ما إذا كان الانتحال يستوجب خفض الثقة.

ربط الحملة

اربط الروابط والموضوع وأنماط التكرار مع incidents أو Intel.

تجاوز تحليل رسالة بريد واحدة.

الاستجابة

حدّد ما إذا كان الأنسب التحذير أو الإبلاغ عن الإساءة أو فتح incident أو إعداد حزمة استجابة.

قدّم إغلاقًا تشغيليًا وقابلًا للتفسير.

flowchart LR
  S1["التحقق من النطاق"]
  S2["ربط الحملة"]
  S3["الاستجابة"]
  S1 --> S2
  S2 --> S3

أدوات التحقق والفحوص

تنفذ قراءة سياقية لهذه الواجهة وتعيد خطوات مقترحة بتركيز تشغيلي.

فحص نطاق البريد

يلخص المصادقة المقدرة والخطر والخطوات التالية.

أمثلة

Payload لتحليل البريد

{
  "domain": "secure-capacero.ar",
  "subject": "Actualizá tu acceso ahora",
  "links": [
    "http://secure-capacero.ar/login"
  ]
}

الروابط والمراجع

المسارات ذات الصلة

البريد في مساحة العمل مركز الحوادث

APIs

/api/adda/v1/mail/analyze
/api/adda/v1/mail/check-domain
/api/adda/v1/reports/abuse

Docs ومسارات الدعم

docs/ADDA_API.md
docs/ADDA_INTEL.md

المشكلات الشائعة

• قد يؤدي تحليل النطاق فقط من دون الروابط إلى التقليل من شأن الحملة.
• تجعل الاستجابة للتصيد من دون Evidence أو incident إعادة بناء سجل الحالة أكثر صعوبة.

الإجراءات المقترحة

• إذا أدى البريد إلى إجراءات عامة أو مؤسسية، فاختم Evidence.
• صعّد إلى watchlists أو takedown pack إذا عاد النمط إلى الظهور أو تكرر.

Reason Codes مفيدة

DNS_SUSPICIOUS

يُظهر النطاق المرتبط بالبريد إشارات خطر.

عزّز التحقق قبل افتراض المشروعية.

UA_SUSPICIOUS

تبدو الروابط أو العوامل المرتبطة بالحالة غير موثوقة.

اتخذ وضعية تحقق أو احتواء.

قاموس Score

spoofingRiskScore

الخطر المجمع للمصادقة والانتحال.

severity

أولوية البريد أو النطاق الذي جرى تحليله.

reasonCodes

الأسباب الدفاعية المستخدمة لتفسير الاكتشاف.

ملاحظات البروتوكول

• غالبًا ما يكون التصيد متعدد القنوات؛ اربط Mail مع DNS وincidents وIntel.

سجل المقالة

٠٩‏/٠٧‏/٢٠٢٦

مقال تشغيلي جديد للاستجابة للتصيد وspoofing.