菜单
通过分析举报的邮件、提取指标、评估凭据受攻陷情况、在全组织范围隔离恶意邮件并修复受影响账号来响应网络钓鱼事件。涵盖邮件头分析、URL/附件沙箱检测和邮箱范围清除操作。适用于网络钓鱼响应、邮件事件、凭据钓鱼、鱼叉式网络钓鱼调查或钓鱼修复相关请求。
默认使用会先检查来源的 Prompt；你也可以切换为直接命令，或下载本地副本。
决定是否安装前，请先阅读 SKILL.md，以及 SkillsMP 当前展示的配套文件。
用 Codex 或 Claude 帮你安装 复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。
直接命令不会经过审查 Prompt；运行前请先检查来源。
npx skills add https://github.com/killvxk/cybersecurity-skills-zh --skill conducting-phishing-incident-response命令会保持在同一行。复制前请横向滚动并检查完整内容。
想先保存到本地？可下载 SkillsMP 当前能够提供的文件。
基于 SOC 职业分类
正在显示 SKILL.md
| name | conducting-phishing-incident-response |
| description | 通过分析举报的邮件、提取指标、评估凭据受攻陷情况、在全组织范围隔离恶意邮件并修复受影响账号来响应网络钓鱼事件。涵盖邮件头分析、URL/附件沙箱检测和邮箱范围清除操作。适用于网络钓鱼响应、邮件事件、凭据钓鱼、鱼叉式网络钓鱼调查或钓鱼修复相关请求。 |
| domain | cybersecurity |
| subdomain | incident-response |
| tags | ["phishing-response","email-security","credential-compromise","email-header-analysis","mailbox-remediation"] |
| version | 1.0.0 |
| author | mahipal |
| license | Apache-2.0 |
不适用于涉及内部账号受攻陷的商业邮件欺诈（BEC）；此类情况请使用专注于账号接管调查的 BEC 响应流程。
评估举报的邮件以确定其是否为恶意邮件：
邮件头分析清单：
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
Return-Path: billing@spoofed-domain[.]com
From: "IT Support" <support@corp-lookalike[.]com>
Reply-To: attacker@gmail[.]com（与 From 不同）
SPF: FAIL（发件人 IP 未被授权用于该域名）
DKIM: FAIL（签名无效）
DMARC: FAIL（策略：none - 无执行）
Received: from mail.attacker-infra[.]net [45.33.x.x]
X-Originating-IP: 45.33.x.x
Message-ID: <random@attacker-infra.net>
分类标准：
在安全环境中检查 URL 和附件：
URL 分析：
附件分析：
识别所有收件人并评估谁与钓鱼邮件发生了交互：
范围评估：
━━━━━━━━━━
总收件人： 47 名用户
投递到收件箱： 38 名用户（9 名被邮件网关拦截）
已打开邮件： 24 名用户（邮件追踪像素数据）
已点击链接： 8 名用户（代理/防火墙日志）
已输入凭据： 3 名用户（钓鱼页面已提交表单数据）
已打开附件： 2 名用户（EDR 进程执行遥测）
搜索方法：
根据影响评估执行遏制措施：
邮件遏制：
账号遏制（针对输入过凭据的用户）：
# Microsoft 365：撤销会话并重置密码
Connect-AzureAD
Revoke-AzureADUserAllRefreshToken -ObjectId "user@corp.com"
Set-AzureADUserPassword -ObjectId "user@corp.com" -ForceChangePasswordNextLogin $true
# 检查邮箱转发规则
Get-InboxRule -Mailbox "user@corp.com" | Where-Object {$_.ForwardTo -or $_.RedirectTo}
# 移除可疑转发规则
Remove-InboxRule -Mailbox "user@corp.com" -Identity "Rule Name"
清除钓鱼攻击的所有痕迹：
加强针对类似钓鱼攻击的防御：
| 术语 | 定义 |
|---|---|
| 鱼叉式网络钓鱼（Spear Phishing） | 使用个性化内容针对特定个人或组织精心制作的定向钓鱼攻击 |
| 凭据收割（Credential Harvesting） | 通过模仿合法登录页面捕获用户名和密码的钓鱼技术 |
| SPF（Sender Policy Framework，发件人策略框架） | 指定哪些邮件服务器被授权为某域名发送邮件的电子邮件认证协议 |
| DKIM（DomainKeys Identified Mail，域名密钥识别邮件） | 使用加密签名验证邮件在传输过程中未被篡改的电子邮件认证方法 |
| DMARC | 使用 SPF 和 DKIM 确定邮件真实性并指示接收方如何处理失败情况的策略框架 |
| OAuth 同意钓鱼（OAuth Consent Phishing） | 诱骗用户授予恶意 OAuth 应用程序访问其邮件和数据权限的攻击 |
| 邮件头（Email Header） | 每封邮件中嵌入的元数据，包含用于取证分析的路由、认证和发件人信息 |
背景：用户举报一封声称来自 IT 部门的邮件，要求重新注册 MFA。邮件包含一个二维码，链接到托管在受攻陷 WordPress 网站上的逼真 Microsoft 365 登录页面克隆。
处理方法：
常见陷阱：
网络钓鱼事件响应报告
===================================
事件： INC-2025-1602
举报日期： 2025-11-16T09:15:00Z
举报人： jdoe@corp.example.com
分类： 凭据钓鱼（AiTM）
邮件分析
主题： "需要操作：MFA 重新注册"
发件人： it-support@corp-security[.]com（伪造）
SPF： FAIL | DKIM：FAIL | DMARC：FAIL
钓鱼 URL： hxxps://compromised-site[.]com/ms365/login
钓鱼类型： Microsoft 365 AiTM 凭据收割器
影响评估
收件人： 47 人
点击链接： 8 人
输入凭据： 3 人（通过代理 POST 数据确认）
遏制措施
[x] 邮件已从全部 47 个邮箱清除
[x] 钓鱼域名已在 Web 代理处阻断
[x] 发件人域名已在邮件网关处阻断
[x] 3 个受攻陷账号：密码已重置，会话已撤销
[x] 邮箱转发规则已检查（已移除 1 条恶意规则）
[x] OAuth 应用程序授权已检查（未发现未授权授权）
提取的 IOC
域名： corp-security[.]com
URL： hxxps://compromised-site[.]com/ms365/login
IP： 104.21.x.x（Cloudflare 托管）
发件人： it-support@corp-security[.]com
建议
1. 为企业域名实施 DMARC 执行（p=reject）
2. 在邮件网关部署二维码扫描
3. 向全部 47 名收件人发送有针对性的意识通知
4. 通过注册商滥用联系方式申请域名下线