---
sourceDocument: Gestão de segurança do Xanadu
sourceDocumentLink: https://servicenow-prod.fluidtopics.net/r/pt-BR/xanadu/security-management

 Release :

    - xanadu

ft:locale :

    - pt-BR

ft:publication_title :

    - Gestão de segurança do Xanadu

ft:clusterId :

    - security

bundleId :

    - security

workflow :

    - Technology


---

# Usar o playbook de e-mails falsificados (usando o mesmo nome de exibição)

# Usar o playbook de e-mails falsificados (usando o mesmo nome de exibição) {#ariaid-title1}

* Versão de lançamento: Xanadu
* 
* Atualizado 1 de ago. de 2024
* 
* ![](https://www.servicenow.com/docs/portal-asset/ico-clock) 2 min. de leitura

Use este playbook para investigar e-mails falsificados, que são acionados quando nomes falsificados de e-mails são enviados para os funcionários da organização. As etapas a seguir fornecem instruções das ações, tarefas e subfluxos que estão disponíveis no playbook de e-mails falsificados (usando o mesmo nome de exibição).

## Antes de Iniciar

Função necessária:

* sn_si.admin
* flow_designer
{#playbook-using-spoofed-emails__ul_w1v_zkw_fzb}

## Procedimento

1. Quando o playbook é acionado e começa a ser executado, na Ação 1, você precisa verificar se há e-mails falsificados contínuos no Proofpoint.
2. Na Ação 2, se houver e-mails contínuos no Proofpoint, verifique se este é um e-mail interno falsificado ou não.
3. Na Ação 3, se este for um e-mail falsificado interno, execute as seguintes ações:
   1. Na Ação 5, você precisa executar a análise de URL usando todas as origens, como Total de vírus, Sandbox de fluxo de ameaças anômalas, urlquery.net, PhishTank (por exemplo, verifique PhiskTank e Anomali).
   2. Na Ação 6, você precisa investigar o URL em uma VM Linux (por exemplo, Ubuntu).  
      Figura 1. Playbook de e-mails falsificados (usando o mesmo nome de exibição)
   3. Na Ação 7, você precisa pesquisar quando o domínio foi criado no WHOIS.  
      Procure domínios registrados recentemente (na última semana) que sejam suspeitos e tenham uma alta probabilidade de ataques de phishing.
   4. Na Ação 8, com base na investigação feita até o momento, você precisa verificar se este e-mail contém um link ou anexo malicioso.  
      Se este e-mail não contiver um anexo ou link mal-intencionado, o fluxo será encerrado.Figura 2. O e-mail falsificado contém anexos ou links maliciosos
   5. Na Ação 9, se o e-mail contiver anexos ou links mal-intencionados, execute as ações a seguir.  
      1. Na Ação 10, você precisa entrar em contato com o usuário afetado para verificar se as credenciais estão comprometidas. Você pode usar o modelo de e-mail fornecido para entrar em contato com o usuário afetado.
      2. Na Ação 11, você precisa verificar se as credenciais estão comprometidas com base na resposta do e-mail. Se as credenciais não foram comprometidas, o fluxo será encerrado.
         1. Na Ação 12, se as credenciais estiverem comprometidas, na Ação 13, você precisará verificar se usuários adicionais foram afetados. Se nenhum usuário adicional for afetado, o fluxo será encerrado.
         2. Na Ação 14, se usuários adicionais forem afetados, execute as seguintes ações:
            1. Na Ação 15, você precisa pesquisar e excluir e-mails usando o Microsoft Exchange Online.
            2. Na Ação 16, você precisa bloquear o remetente e os arquivos ou anexos mal-intencionados no Office 365 e no Proofpoint.
            {#playbook-using-spoofed-emails__ol_cnv_wwl_gzb}
         {#playbook-using-spoofed-emails__ol_etv_dwl_gzb}
      {#playbook-using-spoofed-emails__ol_wlh_hvl_gzb}
   {#playbook-using-spoofed-emails__substeps_dzf_g2l_gzc}
4. Na Ação 17, se este não for um e-mail interno falsificado, você precisará verificar se o sistema do usuário afetado foi afetado.
5. Na Ação 18, se o sistema do usuário for afetado, na Ação 19, gere um tíquete de TI para recriar a imagem do sistema afetado.  
   Figura 3. Verifique se o sistema do usuário afetado foi afetado
6. Na Ação 20, uma tarefa de resposta é criada para você concluir a revisão pós-incidente antes de fechar a tarefa.