钓鱼邮件调查剧本 — 从头到判定

先给答案

分五步调查钓鱼邮件：提取邮件头 → 检查发件人认证 → 分析域名 → 解剖 URL → 提取 IOC。

1. 钓鱼如何运作

钓鱼依赖伪装与紧迫感。邮件声称来自可信方，推动某种行动（登录、付款、下载），其收益是凭据窃取、恶意软件或商业电子邮件欺诈。你的任务是验证身份声明——而不是猜测意图——使用邮件自身的元数据。

战术上这对应 MITRE ATT&CK T1566（钓鱼） 及其子技术：T1566.001（鱼叉式钓鱼附件）、T1566.002（鱼叉式钓鱼链接）与 T1566.003（通过服务钓鱼）。在分流阶段命名该技术，可为调查提供共同语言，并帮助你决定哪些指标最重要。

2. 邮件头分析

打开完整原始邮件头（邮件客户端中的”显示原始内容”；保留完整头部块）。重点关注：

• From：声称的发件人。
• Reply-To：回复实际去向——不一致是强烈的伪造信号。
• Received 链路：跳数与来源 IP。
• Message-ID、Return-Path：与 From 域名的关联性。

将头部块粘贴到 Email Header Analyzer。它会在本地提取 From / Reply-To / 认证结果并标记不一致。它绝不会把你的邮件头发送到任何地方。

3. 发件人验证

检查 Authentication-Results 头部中的 SPF、DKIM 和 DMARC 结果：

• SPF 失败 — 发送 IP 未获得 From 域名的授权。
• DKIM 失败 — 消息未被有效签署到声称的域名。
• DMARC 失败 — SPF 与 DKIM 对齐均未通过；在严格 DMARC 下该消息应被拒绝。

一次失败是信号而非结论：合法的邮件列表可能 SPF 失败但 DKIM 通过。至少关联两项检查后再判定。

4. 域名分析

使用 DNS Lookup 验证涉及的域名：检查 From 域名的 MX/SPF/DMARC 记录，并确认该域名是否为较新注册或相似仿冒域名。一个近期创建、SPF 有效但与你的服务商不匹配的域名，比一个老牌品牌域名更可疑。

5. URL 分析 — 不要点击

提取邮件中的每个链接。在邮件客户端中，复制链接目标（悬停或”复制链接”）而不是点击。使用 URL Analyzer（本地结构解析）分析每个 URL，并用 URL Reputation Checker 检查声誉。留意：

• 非 HTTPS 或混合协议。
• 主机名中内嵌凭据或 @（仿冒手法）。
• 主机名中的裸 IP。
• 与被冒充品牌不同的域名。

“干净的”声誉意味着无已知记录——绝不是安全结论。

6. IOC 提取

提取指标——发件人域名、URL、IP、文件哈希、比特币地址——并用 IOC Lookup 规范化。在报告中分享前先失效化（defang）这些值。记录你的发现，即使情报中没有记录。

7. 调查工作流

1. 原样捕获原始消息（EML）。
2. 分析邮件头与认证结果。
3. 使用上述工具验证域名和 URL。
4. 提取 IOC 并检查 OpenTrojan 情报。
5. 判定：将 IOC 加入黑名单、通知目标用户/安全团队，或以误报结案——始终记录证据。

发起一项新调查以记录邮件头发现、IOC 与带引用的最终结论。

8. 指标快速参考

• 高：Reply-To 与 From 不一致 + From 域名无策略；DMARC 失败 + 仿冒 URL。
• 中：单独 SPF 失败、新域名、紧迫行动措辞。
• 低：纯 HTML 消息、通用问候语、退订域名与 From 一致。

9. 缓解措施

• 向你的服务商滥用通道与内部 SOC 报告。
• 在网关阻断发件人域名与恶意 URL。
• 教育收件人——绝不惩罚报告者。

10. 有用的工具

• Email Header Analyzer — 本地邮件头解析与标记。
• DNS Lookup — 域名的 SPF/DMARC/MX 记录。
• URL Analyzer — 本地 URL 结构分析。
• URL Reputation Checker — 域名/URL 的已知记录检查。
• IOC Lookup — 规范化、失效化并检查指标。
• 调查工作区 — 跟踪案件。

11. 参考资料

• RFC 7208 — SPF
• RFC 7489 — DMARC