---
sourceDocument: Gestão de segurança do Xanadu
sourceDocumentLink: https://servicenow-prod.fluidtopics.net/r/pt-BR/xanadu/security-management

 Release :

    - xanadu

ft:locale :

    - pt-BR

ft:publication_title :

    - Gestão de segurança do Xanadu

ft:clusterId :

    - security

bundleId :

    - security

workflow :

    - Technology


---

# Use o playbook de detecção de falsificação de domínio de e-mail

# Use o playbook de detecção de falsificação de domínio de e-mail {#ariaid-title1}

* Versão de lançamento: Xanadu
* 
* Atualizado 1 de ago. de 2024
* 
* ![](https://www.servicenow.com/docs/portal-asset/ico-clock) 1 min. de leitura

Use este playbook para encontrar uma correspondência de semelhança entre o domínio de e-mail do remetente do Phisher com um nome de domínio confiável no repositório do observável. As etapas a seguir fornecem instruções passo a passo das ações, tarefas e subfluxos que estão disponíveis no playbook de detecção de falsificação de domínio de e-mail.

## Antes de Iniciar

Função necessária:

* sn_si.admin
* flow_designer
{#playbook-using-email-spoof-detection__ul_w1v_zkw_fzb}

Verifique se você instalou o Spoke das Operações de segurança (sn_sec_spoke).

## Procedimento

1. Quando o playbook é acionado e começa a ser executado, na Ação 1, o playbook extrai o domínio de e-mail do e-mail de phishing.
2. Na Ação 2, o playbook recupera todos os observáveis de tipo de endereço de e-mail/domínio marcados pelo marcador de segurança "Candidato a falsificação de domínio".
3. Na Ação 3, o playbook calcula a semelhança entre o domínio Obter Marcado e o domínio E-mail usando o algoritmo Levenshtein.  
   Figura 1. Playbook de detecção de falsificação de domínio de e-mail
4. Na Ação 4, o playbook pesquisa o registro de propriedade do sistema com base nas seguintes condições:  
   * O nome é sn_sec_spoke.domain_spoof_threshold, (OR)
   * O nome vai de A a Z e, se vários registros forem encontrados, retorne somente o primeiro registro.
   {#playbook-using-email-spoof-detection__ul_gps_kdc_gzb}
5. Na Ação 5, com base na investigação feita até o momento, o playbook verifica se a semelhança dos dois domínios excede o limite ou não.  
   Se a semelhança dos dois domínios não exceder o limite, uma tarefa de resposta manual será criada na Ação 5 e o fluxo será encerrado. Se a semelhança dos dois domínios exceder o limite, as ações 6 e 7 serão executadas.Figura 2. A semelhança excede o limite
6. Na Ação 6, o playbook adiciona o marcador de segurança de falsificação de domínio de e-mail ao incidente de segurança.
7. Na Ação 7, o playbook adiciona um link de anotação de trabalho ao contexto usando a opção de script.
8. Na Ação 8, o fluxo termina.
{#playbook-using-email-spoof-detection__steps_hh3_55y_fzb}