피싱·사칭 분석

Phishing & Impersonation Analysis

드러난 사칭 하나에서 출발해, 그 뒤의 인프라와 퍼진 범위를 찾아냅니다.

회사 이름과 비슷한 도메인, 사칭 사이트와 메일·문자가 어떤 인프라와 이어져 있는지 분석하고, 아직 신고되지 않은 사칭이 있는지도 확인합니다. 회사 도메인의 메일 발신자 검증 설정도 함께 살펴, 확인된 것과 더 확인할 것을 나누고 먼저 대응할 일을 정리합니다.

우리를 사칭한 정황은 어디와 이어져 있고, 어디까지 퍼졌는가?

사칭에 쓰인 도메인·인프라와 그 연결 관계를 정리하고, 확인된 것과 더 확인할 것을 나눠 먼저 대응할 일을 제시합니다.

검토 완료

신고된 사칭 문자에서 유사 도메인과 그 뒤의 서버를 따라가, 같은 인프라에 놓인 다른 사칭까지 찾고 관련 없는 것은 걸러냅니다.

이런 상황에 적합합니다

사칭 사이트나 문자가 돌고 있을 때
고객이나 임직원이 우리 회사를 사칭한 사이트·문자를 신고해, 그것이 어디와 이어져 있고 얼마나 퍼졌는지 확인하려는 경우입니다.
대표 명의로 송금 요청이 갔을 때
대표 이름으로 송금을 요청하는 메일이 거래처에 갔다는 이야기를 듣고, 어떤 도메인과 발신 인프라가 쓰였는지 확인하려는 경우입니다.
회사 이름과 비슷한 도메인이 보일 때
회사 이름과 비슷한 도메인이 새로 등록되어, 실제로 사칭에 쓰이는지 미리 확인하려는 경우입니다.
사칭이 되풀이될 때
사칭이 한 번으로 끝나지 않고 반복되어, 합의한 주기로 새 사칭이 있는지 확인하려는 경우입니다.

드러난 사칭 하나에서 출발해, 그와 이어진 도메인과 인프라, 퍼진 범위를 봅니다.

예를 들면

회사 이름과 비슷한 도메인이 새로 등록되었고 회사 도메인의 메일 발신자 검증 설정 일부가 빠져 있다면, 그 도메인이 실제로 메일을 보내는지, 임직원을 노린 피싱으로 이어질 수 있는지 살펴봅니다.

신고된 사칭 하나를 깊게 따라가려면 심층 조사로, 사칭이 되풀이된다면 합의한 주기의 모니터링으로 진행할 수 있습니다. 세 가지 진행 방식 보기

사칭에 쓰인 도메인·서버·발신 인프라가 서로 어떻게 이어져 있는지 근거와 함께 정리합니다.

같은 인프라에서 찾은 다른 사칭과 그 시점을 정리하고, 확인된 것과 더 확인할 것을 나눕니다.

메일 발신자 검증 설정에서 빠져 있거나 약한 부분을 정리합니다.

고객·임직원 안내나 도메인 설정 보완처럼, 예상되는 영향을 기준으로 먼저 할 일을 정리합니다.

이 분석은 밖에 드러난 사칭과 그 뒤의 인프라를 봅니다. 임직원이 사칭 메시지를 알아채고 신고하는 연습은 임직원 보안교육에서 다룹니다.