授权邮件安全审查与钓鱼分析：拆解头认证…

在获得授权的前提下，对钓鱼邮件、SPF/DKIM/DMARC 配置、BEC 和邮箱令牌滥用进行邮件安全审查。

适用场景

解决思路

1. 确认授权范围：分析样本邮件 / 租户配置评审。
2. 不向真实用户二次投递恶意样本。
3. 按“头认证 → 内容/URL → 附件沙箱 → 租户控制面建议”的顺序执行。
4. 获取完整原始头，检查 Received 链、From/Return-Path 一致性。
5. 检查 SPF/DKIM/DMARC 对齐结果。
6. 对 URL 进行沙箱分析，对附件做静态分析，并联合 malware-analysis。
7. 识别并对比仿冒品牌与回复地址差异。
8. 评审租户控制面：反钓鱼策略、外部标记、MFA、OAuth app 同意。
9. 使用邮件客户端「查看源」查看邮件头。
10. 使用 dig/nslookup 查询 SPF/DMARC 记录。
11. 使用 urlscan / 沙箱分析链接与附件。
12. 使用租户管理中心评审策略。
13. 查阅 references/email-auth-checklist.md。
14. 按需联合 ../malware-analysis/、../attack-chain/（钓鱼阶段）、../windows-ad/（令牌）。
15. 遵循上游 MASTER R36 路由上下文。
16. 完成后自检头认证结论是否完整。
17. 将 IOC 可检测化，并联合 threat-hunting。
18. 检查 Checklist。

适用边界 · 注意事项

• 未获得对样本邮件或租户配置的明确授权时。
• 需要未授权对第三方域群发测试钓鱼时。
• 缺少隔离沙箱、邮件源查看或租户管理权限时。