이메일 도메인 스푸핑 탐지 플레이북 사용
다음 단계에서는 이메일 도메인 스푸핑 탐지 플레이북에서 사용할 수 있는 작업, 작업 및 하위 플로우에 대한 연습을 제공합니다.
시작하기 전에
필요한 역할:
- sn_si.admin
- flow_designer
sn_sec_spoke(Security Operations Spoke)를 설치했는지 확인합니다.
프로시저
-
3단계에서 Playbook은 Levenshtein 알고리즘을 사용하여 태그 지정 도메인과 이메일 도메인 간의 유사성을 계산합니다.
그림 1. 이메일 도메인 스푸핑 탐지 Playbook -
5단계에서는 지금까지 수행된 조사에 따라 두 도메인의 유사성이 임계치를 초과하는지 여부를 확인합니다.
두 도메인의 유사성이 임계치를 초과하지 않으면 5단계에서 수동 응답 작업이 생성되고 플로우가 종료됩니다. 두 도메인의 유사성이 임계값을 초과하면 6단계와 7단계가 실행됩니다.
그림 2. 유사성이 임계치를 초과함