Procedimento para analisar links de phishing: mudanças entre as edições

De wikiti
Ir para navegação Ir para pesquisar
Sem resumo de edição
 
(11 revisões intermediárias pelo mesmo usuário não estão sendo mostradas)
Linha 1: Linha 1:
[[Category:Segurança_da_Informação]]
[[Category:Segurança_da_Informação]]


= phishing =
== Investigação de Phishing ==


== Análise de links ==
 
== Análise de e-mail ==
 
'''[https://eml-analyzer.herokuapp.com/ eml-analyze]'''
 
== Análise de links Sandbox ==


Para verificar um link suspeito usar o Browserling
Para verificar um link suspeito usar o Browserling


'''[https://www.browserling.com/ Browserling]'''
'''[https://www.browserling.com/ Browserling]'''
'''[https://any.run/ any.run]'''


== Análise do domínio ==
== Análise do domínio ==
Linha 22: Linha 29:
'''[https://www.virustotal.com/ virustotal]'''
'''[https://www.virustotal.com/ virustotal]'''


= Identificar usuário enviando phishing/spam no Entra ID =
== Análise APT ==
 
'''Objetivo''' Identificar envio anômalo de e-mails e bloquear o usuário comprometido.
 
== Alerta automático ==
 
A Microsoft envia alerta quando um usuário envia mais de 10 mil e-mails em 24h.
 
== Acesso Inicial ==
 
'''Passo 1:''' Acessar <pre>https://security.microsoft.com/ </pre>
 
'''Passo 2:''' Vá em Email e Colaboração > Gerenciador.
 
[[File:mailecolaboracao.png ‎|200px]]
 
== Coleta de Evidências para justificar o bloqueio do usuário ==
 
'''Passo 1:''' Verifique o assunto dos e-mails enviados.
 
'''Passo 2:''' Verifique a quantidade de e-mails enviados.
 
'''Passo 3:''' Liste os destinatários principais.
 
[[File:spamphising.png ‎|200px]]
 
== Investigação: ==
 
'''Passo 1:''' Acessar <pre>https://entra.microsoft.com/#home </pre>
 
'''Passo 2:''' Confirir
 
*Entradas (logins) suspeitos (IP, localização, horário).
*Dispositivos conectados.
*Atividades recentes no Exchange.
 
== Ações de Contenção: ==


Possivelmente o usuário tem a senha comprometida, ou seja, o atacante pode acessar o GSREDES, Google, Microsoft, etc.
* Página Threat Actor


*Redefinir senha do usuário no Azure AD imediatamente.
Verificação de APT por meio do HASH
*Revogar sessões ativas no Azure.
*Sistemas realizar a solicitação através do Fale Conosco https://auth.unesp.br/contato.
*Redefinir senha do usuário no Google
*Revogar sessões ativas no Azure.


== Notificação ==
'''[https://platform.socradar.com/ SOC RADAR]'''
Informar o DTI.

Edição atual tal como às 12h00min de 25 de junho de 2025


Investigação de Phishing

Análise de e-mail

eml-analyze

Análise de links Sandbox

Para verificar um link suspeito usar o Browserling

Browserling

any.run

Análise do domínio

Verificar no Mxtoolbox o MX do domínio. O IP de origem (Received) está listado? Também foi verificado o TXT do domínio? Está configurado o SPF?

Mxtoolbox

Análise de IP

abuseipdb

virustotal

Análise APT

  • Página Threat Actor

Verificação de APT por meio do HASH

SOC RADAR

Disponível em “https://wiki-ti.unesp.br/index.php?title=Procedimento_para_analisar_links_de_phishing&oldid=990”