RB-TRIAGE-001: E-mailtriage & headeranalyse
Documentbeheer
| Kenmerk | Waarde | Datum |
|---|---|---|
| Documentnaam | E-mailtriage & headeranalyse | |
| Versie | [Versienummer invullen] | [Datum invullen] |
| Eigenaar | [Eigenaar/team invullen] | [Datum invullen] |
| Status | [Draft/Approved/Retired] | [Datum invullen] |
| Volgende reviewdatum | [Volgende reviewdatum invullen] | [Datum invullen] |
| Goedkeuringen | [Goedkeurder(s) invullen] | [Datum invullen] |
| Wijzigingsoverzicht | Eerste versie | [Datum invullen] |
1. Vereisten
- Volledige e-mailheaders (raw)
- Inhoud van de e-mail (raw + weergegeven)
- Adres van de afzender
- Bijlagen (indien aanwezig)
- Ingesloten URL's
- Alert van de e-mailsecurity (indien afgegaan)
Benodigde tools:
- E-mailplatform: Microsoft 365 (Message Trace, Defender), Google Workspace (Email Log Search)
- Tools voor headeranalyse:
- Ingebouwde analyzers / MXToolbox
- Threat intelligence:
- VirusTotal
- URLScan
- Interne logging:
- SIEM / logplatform
2. Stap-voor-stap-instructies
- Verzamel de volledige e-mailgegevens
- Haal de volledige e-mailheaders op (niet gedeeltelijk)
- Leg vast:
- Afzender (From, Reply-To)
- Onderwerp
- Tijdstip
- Message-ID
- Analyseer de authenticatieresultaten - Controleer:
- SPF → pass/fail
- DKIM → pass/fail
- DMARC → pass/fail/alignment.
- Indicatoren:
- SPF fail of softfail
- DKIM ontbreekt of is ongeldig
- DMARC fail
- Valideer de identiteit van de afzender
- Vergelijk:
- Weergavenaam met het werkelijke e-mailadres
- Gelijkenis van domeinen (typosquatting, homoglyphs)
- Controleer:
- Pas geregistreerde domeinen
- Externe afzender die een interne gebruiker spooft
- Vergelijk:
- Review de routering van de e-mail
- Analyseer de
Received:-headers:- IP-adres van herkomst
- Verzendende infrastructuur
- Ongebruikelijke relays of geolocatie-afwijkingen
- Analyseer de
- Extraheer indicatoren
- Haal eruit:
- Alle URL's (ook geobfusceerde URL's) Namen + hashes van bijlagen
- Reply-To-domein (vaak afwijkend)
- Voer eerste reputatiecontroles uit
- URL's → VirusTotal/URLScan
- Domeinen → passive DNS / reputatie
- Hashes van bestanden → malwaredatabases
- Beoordeel de inhoud van de e-mail:
- Let op:
- urgentie/druktactieken
- vragen om credentials
- financiële verzoeken
- verdachte bijlagen
- linktekst die niet overeenkomt met de werkelijke bestemming
- Let op:
3. Na afloop
- Zorg dat alle geanalyseerde headers, geëxtraheerde IOC's en het eerste oordeel in het incidentticket zijn vastgelegd
Bijdrager
Vishal Thakur GitHub: https://github.com/malienist
Jayden Vo GitHub: https://github.com/jayden-vo
Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.