메뉴
通过分析举报的邮件、提取指标、评估凭据受攻陷情况、在全组织范围隔离恶意邮件并修复受影响账号来响应网络钓鱼事件。涵盖邮件头分析、URL/附件沙箱检测和邮箱范围清除操作。适用于网络钓鱼响应、邮件事件、凭据钓鱼、鱼叉式网络钓鱼调查或钓鱼修复相关请求。
기본적으로 소스를 먼저 확인하는 Prompt가 선택됩니다. 직접 명령으로 전환하거나 로컬 사본을 다운로드할 수도 있습니다.
설치 여부를 결정하기 전에 SKILL.md와 SkillsMP에 표시된 보조 파일을 읽어 보세요.
Codex 또는 Claude로 설치 이 Prompt를 복사해 Codex, Claude 또는 다른 어시스턴트에 붙여 넣으면 Skill 페이지를 검토하고 설치를 진행할 수 있습니다.
직접 명령은 검토 Prompt를 거치지 않습니다. 실행하기 전에 소스를 확인하세요.
npx skills add https://github.com/killvxk/cybersecurity-skills-zh --skill conducting-phishing-incident-response명령은 한 줄로 유지됩니다. 복사하기 전에 가로로 스크롤해 전체 내용을 확인하세요.
로컬 사본을 원하시나요? SkillsMP에서 현재 제공할 수 있는 파일을 다운로드하세요.
通过分析 Zeek dns.log 中的高熵子域名查询、超量查询量、超长查询长度以及异常 DNS 记录类型，检测 DNS 隧道和数据外泄中的隐蔽通道通信。适用于：当需要狩猎基于 DNS 的 C2 或数据外泄通道、调查异常 DNS 查询模式、或响应涉及 DNS 隧道工具（iodine、dnscat2、DNSExfiltrator）的威胁情报时使用。
实施 Google 的 BeyondCorp 零信任访问模型，通过 IAP、Access Context Manager 和 Chrome Enterprise Premium，消除网络边界的隐式信任，强制执行基于身份的访问控制，实现无 VPN 的安全应用访问。适用于将传统 VPN 替换为零信任架构、部署 Identity-Aware Proxy、配置设备信任策略、或为远程办公实施上下文感知访问控制时使用。
在授权的安全评估过程中，使用 Burp Suite 的扫描器、Intruder 和 Repeater 工具识别和验证跨站脚本（XSS）漏洞。适用于 Web 应用渗透测试中检测反射型、存储型和 DOM 型 XSS，验证自动化扫描器报告的 XSS 发现，以及评估 CSP 和 XSS 过滤器的有效性时使用。
SOC 직업 분류 기준
SKILL.md 표시 중
| name | conducting-phishing-incident-response |
| description | 通过分析举报的邮件、提取指标、评估凭据受攻陷情况、在全组织范围隔离恶意邮件并修复受影响账号来响应网络钓鱼事件。涵盖邮件头分析、URL/附件沙箱检测和邮箱范围清除操作。适用于网络钓鱼响应、邮件事件、凭据钓鱼、鱼叉式网络钓鱼调查或钓鱼修复相关请求。 |
| domain | cybersecurity |
| subdomain | incident-response |
| tags | ["phishing-response","email-security","credential-compromise","email-header-analysis","mailbox-remediation"] |
| version | 1.0.0 |
| author | mahipal |
| license | Apache-2.0 |
不适用于涉及内部账号受攻陷的商业邮件欺诈（BEC）；此类情况请使用专注于账号接管调查的 BEC 响应流程。
评估举报的邮件以确定其是否为恶意邮件：
邮件头分析清单：
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
Return-Path: billing@spoofed-domain[.]com
From: "IT Support" <support@corp-lookalike[.]com>
Reply-To: attacker@gmail[.]com（与 From 不同）
SPF: FAIL（发件人 IP 未被授权用于该域名）
DKIM: FAIL（签名无效）
DMARC: FAIL（策略：none - 无执行）
Received: from mail.attacker-infra[.]net [45.33.x.x]
X-Originating-IP: 45.33.x.x
Message-ID: <random@attacker-infra.net>
分类标准：
在安全环境中检查 URL 和附件：
URL 分析：
附件分析：
识别所有收件人并评估谁与钓鱼邮件发生了交互：
范围评估：
━━━━━━━━━━
总收件人： 47 名用户
投递到收件箱： 38 名用户（9 名被邮件网关拦截）
已打开邮件： 24 名用户（邮件追踪像素数据）
已点击链接： 8 名用户（代理/防火墙日志）
已输入凭据： 3 名用户（钓鱼页面已提交表单数据）
已打开附件： 2 名用户（EDR 进程执行遥测）
搜索方法：
根据影响评估执行遏制措施：
邮件遏制：
账号遏制（针对输入过凭据的用户）：
# Microsoft 365：撤销会话并重置密码
Connect-AzureAD
Revoke-AzureADUserAllRefreshToken -ObjectId "user@corp.com"
Set-AzureADUserPassword -ObjectId "user@corp.com" -ForceChangePasswordNextLogin $true
# 检查邮箱转发规则
Get-InboxRule -Mailbox "user@corp.com" | Where-Object {$_.ForwardTo -or $_.RedirectTo}
# 移除可疑转发规则
Remove-InboxRule -Mailbox "user@corp.com" -Identity "Rule Name"
清除钓鱼攻击的所有痕迹：
加强针对类似钓鱼攻击的防御：
| 术语 | 定义 |
|---|---|
| 鱼叉式网络钓鱼（Spear Phishing） | 使用个性化内容针对特定个人或组织精心制作的定向钓鱼攻击 |
| 凭据收割（Credential Harvesting） | 通过模仿合法登录页面捕获用户名和密码的钓鱼技术 |
| SPF（Sender Policy Framework，发件人策略框架） | 指定哪些邮件服务器被授权为某域名发送邮件的电子邮件认证协议 |
| DKIM（DomainKeys Identified Mail，域名密钥识别邮件） | 使用加密签名验证邮件在传输过程中未被篡改的电子邮件认证方法 |
| DMARC | 使用 SPF 和 DKIM 确定邮件真实性并指示接收方如何处理失败情况的策略框架 |
| OAuth 同意钓鱼（OAuth Consent Phishing） | 诱骗用户授予恶意 OAuth 应用程序访问其邮件和数据权限的攻击 |
| 邮件头（Email Header） | 每封邮件中嵌入的元数据，包含用于取证分析的路由、认证和发件人信息 |
背景：用户举报一封声称来自 IT 部门的邮件，要求重新注册 MFA。邮件包含一个二维码，链接到托管在受攻陷 WordPress 网站上的逼真 Microsoft 365 登录页面克隆。
处理方法：
常见陷阱：
网络钓鱼事件响应报告
===================================
事件： INC-2025-1602
举报日期： 2025-11-16T09:15:00Z
举报人： jdoe@corp.example.com
分类： 凭据钓鱼（AiTM）
邮件分析
主题： "需要操作：MFA 重新注册"
发件人： it-support@corp-security[.]com（伪造）
SPF： FAIL | DKIM：FAIL | DMARC：FAIL
钓鱼 URL： hxxps://compromised-site[.]com/ms365/login
钓鱼类型： Microsoft 365 AiTM 凭据收割器
影响评估
收件人： 47 人
点击链接： 8 人
输入凭据： 3 人（通过代理 POST 数据确认）
遏制措施
[x] 邮件已从全部 47 个邮箱清除
[x] 钓鱼域名已在 Web 代理处阻断
[x] 发件人域名已在邮件网关处阻断
[x] 3 个受攻陷账号：密码已重置，会话已撤销
[x] 邮箱转发规则已检查（已移除 1 条恶意规则）
[x] OAuth 应用程序授权已检查（未发现未授权授权）
提取的 IOC
域名： corp-security[.]com
URL： hxxps://compromised-site[.]com/ms365/login
IP： 104.21.x.x（Cloudflare 托管）
发件人： it-support@corp-security[.]com
建议
1. 为企业域名实施 DMARC 执行（p=reject）
2. 在邮件网关部署二维码扫描
3. 向全部 47 名收件人发送有针对性的意识通知
4. 通过注册商滥用联系方式申请域名下线