快速开始
- 1. 在通报活动前验证域名和 spoofing。
- 2. 评估案例是否需要滥用报告、early warning 或 incident。
- 3. 如果发现导致阻止或外部协调，请保存 Evidence。
← ADDA 手册
mail-shield/1.1.0 · 更新于 2026年7月9日
邮件、身份仿冒与网络钓鱼响应
以明确的响应标准研读身份验证、仿冒和邮件活动。
ADDA 中的 Mail 结合身份验证、域名信誉、链接和运营上下文，以降低行动前的不确定性。
当邮件、DNS、Evidence 和 incidents 使用同一种语言时，网络钓鱼响应会更快。这不只是将消息标记为可疑；解释风险、保留可追溯性并为连续性留下清晰建议同样重要。
如果域名或邮件活动再次出现，应升级到 Intelligence、watchlists 或 takedown packs，避免每次分析都从零开始。
检查清单
- • 在决定措施前检查域名和身份验证。
- • 如果案例似乎重复出现，请交叉核验链接、主题和活动。
- • 当发现影响运营时，关联 Evidence 或 incident。
运维流程
验证域名
研读 SPF、DKIM、DMARC 以及与所观察域名相关的信号。
判断仿冒是否需要降低信任。
关联活动
将链接、主题和重复模式与 incidents 或 Intel 交叉核验。
超越对单封邮件的分析。
响应
决定是否警告、报告滥用、创建 incident 或准备响应包。
提供运营上可执行且可解释的收尾。
flowchart LR S1["验证域名"] S2["关联活动"] S3["响应"] S1 --> S2 S2 --> S3
验证器与检查
针对当前界面执行上下文分析，并返回以运维为重点的建议步骤。
检查邮件域名
汇总估算的身份验证、风险和后续步骤。
示例
邮件分析 payload
{
"domain": "secure-capacero.ar",
"subject": "Actualizá tu acceso ahora",
"links": [
"http://secure-capacero.ar/login"
]
}链接与参考
常见问题
- • 只分析域名而不分析链接，可能低估活动。
- • 在没有 Evidence 或 incident 的情况下响应网络钓鱼，会使案例历史难以重建。
建议操作
- • 如果邮件导致公开或机构措施，请封存 Evidence。
- • 如果模式再次出现或复制，请升级到 watchlists 或 takedown pack。
实用 Reason Codes
DNS_SUSPICIOUS
与邮件关联的域名显示风险信号。
在认定其合法前加强验证。
UA_SUSPICIOUS
与案例关联的链接或代理看起来不可信。
采取验证或遏制姿态。
Score 字典
spoofingRiskScore
身份验证与仿冒的综合风险。
severity
所分析邮件或域名的优先级。
reasonCodes
用于解释发现的防御理由。
协议说明
- • 网络钓鱼往往跨多个渠道：将 Mail 与 DNS、incidents 和 Intel 关联。
文章历史
2026年7月9日
新增了用于响应网络钓鱼和 spoofing 的运营文章。