Procedimento para analisar links de phishing
phishing
Análise de links
Para verificar um link suspeito usar o Browserling
Análise do domínio
Verificar no Mxtoolbox o MX do domínio. O IP de origem (Received) está listado? Também foi verificado o TXT do domínio? Está configurado o SPF?
Análise de IP
Identificar usuário enviando phishing/spam no Entra ID
Objetivo Identificar envio anômalo de e-mails e bloquear o usuário comprometido.
Alerta automático
A Microsoft envia alerta quando um usuário envia mais de 10 mil e-mails em 24h.
Acesso Inicial
Passo 1: Acessar
https://security.microsoft.com/
Passo 2: Vá em Email e Colaboração > Gerenciador.
Coleta de Evidências para justificar o bloqueio do usuário
Passo 1: Verifique o assunto dos e-mails enviados.
Passo 2: Verifique a quantidade de e-mails enviados.
Passo 3: Liste os destinatários principais.
Investigação:
Passo 1: Acessar
https://entra.microsoft.com/#home
Passo 2: Confirir
- Entradas (logins) suspeitos (IP, localização, horário).
- Dispositivos conectados.
- Atividades recentes no Exchange.
Ações de Contenção:
Possivelmente o usuário tem a senha comprometida, ou seja, o atacante pode acessar o GSREDES, Google, Microsoft, etc.
- Redefinir senha do usuário no Azure AD imediatamente.
- Revogar sessões ativas no Azure.
- Sistemas realizar a solicitação através do Fale Conosco https://auth.unesp.br/contato.
- Redefinir senha do usuário no Google
- Revogar sessões ativas no Azure.
Notificação
Informar o DTI.