detecting-spearphishing-with-email-gateway

# 使用邮件网关检测鱼叉式网络钓鱼

## 概述

鱼叉式网络钓鱼（Spearphishing）使用个性化、经过研究的内容针对特定个人，可绕过通用垃圾邮件过滤器。邮件安全网关（SEG）如 Microsoft Defender for Office 365、Proofpoint、Mimecast 和 Barracuda 提供高级检测能力，包括行为分析、URL 引爆、附件沙箱和冒充检测。本技能涵盖配置这些网关以检测和拦截定向钓鱼攻击。

## 前置条件

- 对邮件安全网关管理控制台的访问权限
- 了解邮件流架构（MX 记录、传输规则）
- 熟悉 SPF/DKIM/DMARC 认证
- 了解常见的鱼叉式钓鱼技术和借口场景

## 核心概念

### 鱼叉式网络钓鱼特征

- **定向收件人**：特定个人，通常是高管或财务人员
- **经过研究的借口**：引用真实项目、同事或事件
- **冒充**：伪造可信发件人（CEO、供应商、合作伙伴）
- **低流量**：少量邮件以避免基于模式的检测
- **紧迫语气**：制造快速行动的压力

### 网关检测层

1. **信誉过滤**：IP/域名/URL 信誉评分
2. **认证检查**：SPF、DKIM、DMARC 验证
3. **内容分析**：基于 NLP 的邮件正文分析
4. **冒充检测**：显示名称和域名相似性匹配
5. **URL 分析**：实时 URL 引爆和重定向追踪
6. **附件沙箱**：在隔离环境中对附件进行行为分析
7. **行为分析**：通讯模式中的异常检测

## 实施步骤

### 步骤一：配置冒充保护

```
Microsoft Defender for Office 365：
  安全 > 反钓鱼策略 > 冒充设置
  - 为 VIP 启用用户冒充保护
  - 启用域名冒充保护
  - 添加受保护用户（CEO、CFO、HR 总监）
  - 设置操作：隔离邮件

Proofpoint：
  邮件保护 > 冒充者分类器
  - 启用显示名称伪造检测
  - 配置仿冒域名检测
  - 设置冒充者阈值敏感度
```

### 步骤二：配置 URL 保护

- 启用安全链接/URL 重写
- 启用点击时 URL 引爆
- 封锁新注册域名（< 30 天）
- 启用 URL 重定向链追踪

### 步骤三：配置附件沙箱

- 启用安全附件/附件沙箱
- 配置动态投递（投递正文，暂留附件）
- 将沙箱引爆超时设置为 60 秒以上
- 封锁来自外部发件人的启用宏的 Office 文档

### 步骤四：创建自定义检测规则

使用 `scripts/process.py` 分析邮件网关日志，识别鱼叉式钓鱼模式，并生成自定义检测规则。

### 步骤五：配置告警和响应操作

- 对冒充尝试进行实时告警
- 对高置信度检测自动隔离
- 向用户发送带安全提示的通知
- 与 SIEM 集成进行关联

## 工具与资源

- **Microsoft Defender for Office 365**: https://security.microsoft.com
- **Proofpoint Email Protection**: https://www.proofpoint.com/us/products/email-security
- **Mimecast Email Security**: https://www.mimecast.com/products/email-security/
- **Barracuda Email Protection**: https://www.barracuda.com/products/email-protection

## 验证

- 冒充保护正确识别伪造 VIP 显示名称
- URL 引爆捕获测试钓鱼邮件中的恶意链接
- 附件沙箱检测武器化文档
- 自定义规则在已知鱼叉式钓鱼模式上触发
- SIEM 集成接收网关告警