Плейбук: компрометация почты домена, MX и DNS

Сверьте MX и SPF с прошлой копией: если почта домена идёт не туда, сначала регистратор и DNS, потом ящики. Настройка записей заранее: SPF, DKIM, DMARC, проверка: dig по DNS и почте. Шлюз вложений: почтовый шлюз. Сутки: первые 24 часа. Каталог: каталог плейбуков.

Статья опирается на логику направления «Управление инцидентами» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 17: cisecurity.org/controls. Это не российский закон. Чужие зоны DNS не трогаем. Команды — только к своему домену.

Признаки и что не делать

Клиенты пишут, что письма от вас странные; MX указывает на неизвестный хост; SPF внезапно другой; нет доступа в панель регистратора. Не чините «на глаз» без копии вчерашних записей. Не сбрасывайте пароль регистратора с заражённой станции.

Первые шаги

dig +short MX example.com
dig +short TXT example.com
dig +short TXT _dmarc.example.com

Ожидаемо: те же имена, что в вашей датированной выгрузке. Если MX чужой — звонок регистратору по номеру с его официального сайта, блокировка панели, возврат записей, смена пароля и второго фактора. Сохраните вывод dig и скрины панели как факт.

Дальше: все почтовые пароли и токены приложений, правила пересылки, секреты, которые могли уйти письмом. Одна взломанная учётка без смены MX — обзорный сценарий учётки, не этот. Приоритет: критический. Эскалация директору сразу: идёт почта компании. Если читали чужие письма с ПДн — сроки РКН.

Диагностика

Где это в модели зрелости

Материал относится к направлению «Управление инцидентами» (хаб: инциденты, карта: карта зрелости). SPF — гигиена сети. Плейбук — когда зону уже переписали.

Как проверить

1. Есть датированная копия MX/SPF/DMARC вне панели регистратора.
2. Второй фактор на регистраторе включён, пароль не из корпоративной почты.
3. Плейбук отделяет смену MX от взлома одного ящика.

Источники

• CIS Control 17: cisecurity.org/controls.