钓鱼防御清单 — 信任邮件前先验证
一份可操作、逐步执行的清单，用于在任何人点击之前分流可疑邮件：检查发件人身份、头部与认证信号（SPF/DKIM/DMARC），安全检查域名与 URL，提取指标，并决定是阻断、隔离、报告还是升级——全部可在本地完成。
快速解答
要防御钓鱼，请在信任内容之前验证发件人：对比 From 与 Reply-To，检查 SPF/DKIM/DMARC 认证结果，悬停（绝不点击）检查 URL，并且拿不准时报告该邮件并阻断发件人，而不是转发或点击。
定义
钓鱼防御是对可疑邮件的验证优先分流——发件人身份、头部认证、域名与 URL 检查、指标提取与遏制——在任何收件人点击或回复之前执行。
目标
在几分钟内判断可疑邮件是否为钓鱼尝试——并在任何人点击、回复或提供凭据之前将其遏制。产出是判定 + 遏制行动，而不只是一个标签。
何时使用
当邮件出现以下任一特征时运行本清单：意外的发件人、紧迫或恐吓性措辞、要求点击或输入凭据、收到意想不到的附件，或域名与合法域名极为相似。在点击任何带链接的消息之前，也应主动应用本清单。
前置条件
- 可访问原始消息（EML 或”显示原始内容”导出）。
- 仅限本地的工具——不要将完整头部或正文粘贴到未知的在线服务。
- 工单或报告渠道（SOC 邮箱、滥用举报邮箱、安全团队聊天）。
分步检查
1. 发件人身份
- From 显示名称是否与邮箱地址一致？（显示名称是自由文本，可以造假。）
- Reply-To 是否与 From 域名一致？不同的 Reply-To 会把回复引向攻击者。
- Return-Path / 信封发件人是否与 From 头部不同？不一致是伪造信号。
- 是否通过已知的、独立的渠道联系过发件人进行验证？绝不在同一封邮件线程中验证。
2. 头部与认证信号
- SPF（
spf=pass/fail）— 发送服务器是否通过了域名策略？ - DKIM（
dkim=pass/fail）— 消息是否由声称的域名签名？ - DMARC（
dmarc=pass/fail）— 对齐是否成立，域名发布了什么策略？ - 一个或多个失败 = 强伪造信号。通过并不意味着消息安全——攻击者会使用失陷的或相似的域名。
- 审查 Received 链路：路径是否合理？重要消息缺少跳数或仅一跳都很可疑。
3. 域名检查
- 将显示的域名与实际 href 目标核对（悬停，绝不点击）。
- 查找域名抢注：
rnicrosoft、paypa1、多余子域名，或不同 TLD 下的域名。 - 使用 DNS 查询域名——是否发布了 SPF/DMARC？无这些记录的品牌仿冒域名是风险信号。
- 检查域名声誉——是否为新建注册，或与垃圾邮件/钓鱼历史关联？
4. URL 检查
- 提取每个链接并用本地分析器分析 URL 结构（协议、主机、路径、查询参数）。
- 若 URL 被混淆，则拒绝该消息：内嵌凭据、主机中含
@、裸 IP 主机，或可疑片段。 - 绝不在受管资产上直接打开该 URL。如确需打开，请在隔离或沙箱环境中进行。
5. 附件与指标
- 在检查前将意外附件视为敌对内容；检查文件哈希。
- 将指标（发件人地址、域名、URL、哈希）提取为结构化列表。
- 将每个指标与声誉/IOC 查询交叉核对，并记录每项结果的来源。
什么表明存在风险
- From/Reply-To/Return-Path 不一致、SPF/DKIM/DMARC 失败、新注册域名或低声誉发件人、混淆的 URL 模式、紧急索取凭据，或哈希匹配已知恶意样本。
什么是正常情况
- From/Reply-To/Return-Path 之间对齐、认证通过、Received 链路一致，以及域名与你预期服务地址栏中看到的一致。
工具
- 邮件头分析器 — 本地检查头部，不上传。
- URL 分析器 — 不获取内容即可解析 URL 结构。
- URL 声誉检查 — 点击前对照情报检查链接。
- DNS 查询 — 验证 SPF/DMARC 与域名记录。
- IOC 查询 — 对照已知情报检查提取的指标。
- 哈希检查器 — 验证附件哈希。
证据
按消息记录：原始头部摘录、From/Reply-To/Return-Path、SPF/DKIM/DMARC 结果、检查过的域名与 URL、含查询结果与来源的指标列表，以及每项检查的时间戳。
升级
在以下情况立即升级：已输入凭据、在受管资产上点击了链接、打开了附件，或消息针对特权账户。原样保全原始消息（EML）以供取证。
缓解
- 在网关阻断发件人与域名。
- 隔离该消息；通知收到它的收件人。
- 若凭据可能已暴露：强制重置密码并撤销会话；审查登录日志。
- 若已点击链接：隔离设备并启动调查。
验证
- 确认消息已被阻断/隔离，且无收件人点击或回复。
- 与邮件管理员一起验证认证相关修复（例如 DMARC 策略缺口）。
- 记录案例与结果，以便日后关联模式。
发起一项新调查，按消息跟踪发现、证据与遏制结果。