detecting-spearphishing-with-email-gateway

使用邮件网关检测鱼叉式钓鱼

概述

鱼叉式钓鱼针对特定个人，使用经过调研的个性化内容，从而绕过通用垃圾邮件过滤器。Microsoft Defender for Office 365、Proofpoint、Mimecast 和 Barracuda 等邮件安全网关（SEG）提供高级检测能力，包括行为分析、URL 引爆、附件沙箱和仿冒检测。本技能涵盖如何配置这些网关，以检测和阻止定向钓鱼攻击。

何时使用

• 在调查需要借助邮件网关检测鱼叉式钓鱼的安全事件时
• 在为该领域构建检测规则或威胁狩猎查询时
• 当 SOC 分析师需要针对此类分析的结构化流程时
• 在验证相关攻击技术的安全监控覆盖情况时

前置条件

• 可访问邮件安全网关管理控制台
• 了解邮件流架构（MX 记录、传输规则）
• 熟悉 SPF/DKIM/DMARC 身份验证
• 了解常见鱼叉式钓鱼技术和借口话术

关键概念

鱼叉式钓鱼特征

• 定向收件人：特定个人，通常是高管或财务人员
• 经过调研的借口：引用真实项目、同事或事件
• 仿冒：伪造可信发件人（CEO、供应商、合作伙伴）
• 低发送量：邮件数量很少，以规避基于模式的检测
• 紧急语气：制造压力，促使人快速行动

网关检测层

1. 信誉过滤：IP/域名/URL 信誉评分
2. 身份验证检查：SPF、DKIM、DMARC 验证
3. 内容分析：基于 NLP 的邮件正文分析
4. 仿冒检测：显示名称和域名相似度匹配
5. URL 分析：实时 URL 引爆和重定向跟踪
6. 附件沙箱：在隔离环境中对附件进行行为分析
7. 行为分析：通信模式中的异常检测

工作流

步骤 1：配置仿冒防护

Microsoft Defender for Office 365:
  Security > Anti-phishing policies > Impersonation settings
  - Enable user impersonation protection for VIPs
  - Enable domain impersonation protection
  - Add protected users (CEO, CFO, HR Director)
  - Set action: Quarantine message

Proofpoint:
  Email Protection > Impostor Classifier
  - Enable display name spoofing detection
  - Configure lookalike domain detection
  - Set Impostor threshold sensitivity

步骤 2：配置 URL 防护

• 启用安全链接 / URL 重写
• 启用点击时 URL 引爆
• 阻止新注册域名（< 30 天）
• 启用 URL 重定向链跟踪

步骤 3：配置附件沙箱

• 启用安全附件 / 附件沙箱
• 配置动态传递（投递正文，暂扣附件）
• 将沙箱引爆超时设置为 60 秒以上
• 阻止来自外部发件人的启用宏的 Office 文档

步骤 4：创建自定义检测规则

使用 scripts/process.py 分析邮件网关日志，识别鱼叉式钓鱼模式，并生成自定义检测规则。

步骤 5：配置告警和响应操作

• 对仿冒尝试进行实时告警
• 对高置信度检测结果自动隔离
• 向用户发送通知并提供安全提示
• 与 SIEM 集成以进行关联分析

工具与资源

• Microsoft Defender for Office 365：https://security.microsoft.com
• Proofpoint Email Protection：https://www.proofpoint.com/us/products/email-security
• Mimecast Email Security：https://www.mimecast.com/products/email-security/
• Barracuda Email Protection：https://www.barracuda.com/products/email-protection

验证

• 仿冒防护能够正确识别伪造的 VIP 显示名称
• URL 引爆能够捕获测试钓鱼邮件中的恶意链接
• 附件沙箱能够检测武器化文档
• 自定义规则能够对已知鱼叉式钓鱼模式触发
• SIEM 集成能够接收网关告警