Edição das 12h43min de 28 de abril de 2025

phishing

Análise de links

Para verificar um link suspeito usar o Browserling

Análise do domínio

Verificar no Mxtoolbox o MX do domínio. O IP de origem (Received) está listado? Também foi verificado o TXT do domínio? Está configurado o SPF?

Mxtoolbox

Análise de IP

abuseipdb

virustotal

Identificar usuário enviando phishing/spam no Entra ID

Objetivo Identificar envio anômalo de e-mails e bloquear o usuário comprometido.

Alerta automático

A Microsoft envia alerta quando um usuário envia mais de 10 mil e-mails em 24h.

Acesso Inicial

Passo 1: Acessar

https://security.microsoft.com/

Passo 2: Vá em Email e Colaboração > Gerenciador.

Coleta de Evidências para justificar o bloqueio do usuário

Passo 1: Verifique o assunto dos e-mails enviados.

Passo 2: Verifique a quantidade de e-mails enviados.

Passo 3: Liste os destinatários principais.

Investigação:

Passo 1: Acessar

https://entra.microsoft.com/#home

Passo 2: Confirir

Entradas (logins) suspeitos (IP, localização, horário).
Dispositivos conectados.
Atividades recentes no Exchange.

Ações de Contenção:

Possivelmente o usuário tem a senha comprometida, ou seja, o atacante pode acessar o GSREDES, Google, Microsoft, etc.

Redefinir senha do usuário no Azure AD imediatamente.
Revogar sessões ativas no Azure.
Sistemas realizar a solicitação através do Fale Conosco https://auth.unesp.br/contato.
Redefinir senha do usuário no Google
Revogar sessões ativas no Azure.

Notificação

Informar o DTI.

@@ Linha 1: / Linha 1: @@
 [[Category:Segurança_da_Informação]]
-=== phishing ===
+= phishing =
-= Análise de links =
+== Análise de links ==
 Para verificar um link suspeito usar o Browserling
@@ Linha 9: / Linha 9: @@
 '''[https://www.browserling.com/ Browserling]'''
-= Análise do domínio =
+== Análise do domínio ==
 Verificar no Mxtoolbox o MX do domínio. O IP de origem (Received) está listado?
@@ Linha 16: / Linha 16: @@
 '''[https://mxtoolbox.com/MXLookup.aspx Mxtoolbox]'''
-= Análise de IP =
+== Análise de IP ==
 '''[https://www.abuseipdb.com/ abuseipdb]'''
 '''[https://www.virustotal.com/ virustotal]'''
+= Identificar usuário enviando phishing/spam no Entra ID =
+'''Objetivo''' Identificar envio anômalo de e-mails e bloquear o usuário comprometido.
+== Alerta automático ==
+A Microsoft envia alerta quando um usuário envia mais de 10 mil e-mails em 24h.
+== Acesso Inicial ==
+'''Passo 1:''' Acessar <pre>https://security.microsoft.com/ </pre>
+'''Passo 2:''' Vá em Email e Colaboração > Gerenciador.
+[[File:mailecolaboracao.png ‎|200px]]
+== Coleta de Evidências para justificar o bloqueio do usuário ==
+'''Passo 1:''' Verifique o assunto dos e-mails enviados.
+'''Passo 2:''' Verifique a quantidade de e-mails enviados.
+'''Passo 3:''' Liste os destinatários principais.
+[[File:spamphising.png ‎|200px]]
+== Investigação: ==
+'''Passo 1:''' Acessar <pre>https://entra.microsoft.com/#home </pre>
+'''Passo 2:''' Confirir
+*Entradas (logins) suspeitos (IP, localização, horário).
+*Dispositivos conectados.
+*Atividades recentes no Exchange.
+== Ações de Contenção: ==
+Possivelmente o usuário tem a senha comprometida, ou seja, o atacante pode acessar o GSREDES, Google, Microsoft, etc.
+*Redefinir senha do usuário no Azure AD imediatamente.
+*Revogar sessões ativas no Azure.
+*Sistemas realizar a solicitação através do Fale Conosco https://auth.unesp.br/contato.
+*Redefinir senha do usuário no Google
+*Revogar sessões ativas no Azure.
+== Notificação ==
+Informar o DTI.

Procedimento para analisar links de phishing: mudanças entre as edições