ドメインが何を明らかにするか、そして証拠がどこで終わるかを特定します。技術的な関連性と身元を混同することなく、登録、DNS、メールインフラストラクチャ、変更履歴を調査します。
ドメイン調査は、保全されたターゲットとその文脈（元のメッセージ、疑われるなりすまし、取引、またはインシデント）から始まります。公開DNSおよび登録クエリにより、技術的な観察が追加されます。これらは単独で容疑者を特定したり、詐欺を証明したりするものではありません。
アドレスレコード、ネームサーバー、エイリアス、メール交換器、および登録イベントを確認します。すべての観測についてソースとUTC時刻を記録します。レジストラ、DNSプロバイダ、ネットワーク所有者、およびウェブサイト運営者を区別します。これらの役割はしばしば異なる当事者に属します。
共有ホスティング、非公開の登録データ、および最近のドメイン作成は決定的な指標ではありません。これらをインシデントのアーティファクト、正規の履歴情報源、およびその他の独立して検証された証拠と比較してください。調査結果とともに不確実性や代替説明を報告してください。
DNSレコードをメッセージの真正性の証明と混同せずに、メール認証ポリシーを解釈してください。
リソースを読む登録イベント、匿名化された個人情報、および公開ドメイン記録の限界を理解する。
リソースを読むA、AAAA、MX、TXT、CNAME、NS、およびSOAレコード。それぞれのフォレンジック上の重要性と限界。
リソースを読む結論に飛びつくことなく、タイポスクワッティング、ブランド詐称、新規登録ドメインを調査します。
リソースを読む不完全なカバー率を完全なタイムラインとして扱わずに、過去の観測を比較します。
リソースを読む不審なウェブサイトを運営している個人または組織と、ネットワークインフラストラクチャを区別してください。
リソースを読むBECを調査する際は、偽装されたドメイン、類似の送信者、および侵害されたメールボックスを区別してください。
リソースを読むWHOIS/RDAPの作成日が、捜査官が詐欺の日付を特定し、ドメインをリンクさせ、新規登録されたなりすましサイトを発見するのにどのように役立つか。
リソースを読む金融およびコンプライアンスチーム向けの実用的なルーティン：新しい連絡先への支払い、オンボーディング、または信頼をする前に、ドメインの登録期間を確認すること。
リソースを読む多くの詐欺およびフィッシングドメインが新しい理由、ドメインの年齢を測定する方法、および誤検出を避ける方法。
リソースを読む登録者、レジストラ、連絡先データを読み取る方法、匿名化の意味、非公開データを合法的に要求する方法。
リソースを読むウェブサイトまたはメールの背後にあるIPアドレスを追跡し、ネットワーク所有者を見つけ、IP証拠の限界を理解する方法。
リソースを読むレジストラ、DNSプロバイダ、およびウェブホストを分離し、乱用報告や法的要求が適切な組織に届くようにします。
リソースを読むMXレコードとメールプロバイダーデータを使用して、不正なドメインがどのようにメールを受信・送信しているかを理解する。
リソースを読むドメイン調査がメールが送信されたIPアドレスをどのように取得し、SPFレコードと照合するか。
リソースを読む登録、DNS、ホスティング、メール、証明書、および証拠の封印を網羅するエンドツーエンドのドメインフォレンジックワークフロー。
リソースを読む