網路釣魚調查操作手冊

本文展示了一套網路釣魚調查手冊。 它是 Microsoft 安全性 採用框架（SAF）中安全運營（SecOps）領域事件回應指引的一部分。

本手冊適用於所有負責建立或執行事件回應手冊的角色，包括安全運營分析師、事件應變人員、身份管理員及 IT 營運人員。

網路釣魚攻擊是攻擊者最常見的初始存取技術之一。 成功的釣魚攻擊可能導致憑證入侵、惡意軟體執行、資料外洩，以及在身份、電子郵件和端點環境中橫向移動。

本文的指引說明了應該調查的事項及其原因。 提供產品專屬範例（如 Microsoft Defender 全面偵測回應 或 Microsoft Sentinel）作為參考實作。

開始之前

在開始網路釣魚調查之前，請確保以下基本整備要求已就緒。 這些先決條件應在事件發生前完成，作為事件應變規劃的一部分。

Area 要求 詳細資料
帳戶資訊 至少要有一個識別碼來識別疑似目標使用者 識別碼可以是：使用者主體名稱（UPN）、電子郵件地址，或使用者名稱/別名。

這些資訊是為了關聯電子郵件活動、登入次數及後續操作所必需的。
Microsoft 365審計/記錄 應在整個組織範圍內啟用信箱稽核，以確保信箱存取與操作均被記錄。 請在 Exchange Online PowerShell 中執行下列命令，確認是否已啟用預設開啟的信箱稽核：Get-OrganizationConfig | Format-List AuditDisable/。

值為 False 表示所有信箱都已啟用信箱稽核。
Microsoft 365審計/記錄 必須使用訊息追蹤記錄，才能識別出原始的網路釣魚訊息、確認傳遞狀態、找出所有收件者，以及取得郵件路由詳細資料。 訊息追蹤可在 Exchange 管理中心、Microsoft Defender 入口網站（電子郵件與協作> Exchange 訊息追蹤）使用。

為了有效處理訊息追蹤資料，調查人員必須能夠擷取並解讀從原始電子郵件標頭取得的 Message-ID 值。
Microsoft 365審計/記錄 統一稽核日誌是檢視 Microsoft 365 工作負載中使用者與管理活動所必需的。 確保調查人員能搜尋統一稽核日誌，以檢視郵件箱存取、郵件項目操作、行政變更及登入相關事件等操作。
Microsoft Entra 記錄檔 Microsoft Entra ID 登入與稽核日誌會保留有限期間（30 天或 90 天，視授權而定）。 為支援調查、歷史分析及事件後審查，應將日誌匯出至長期儲存庫，如 Microsoft Sentinel、Azure 監視器 或第三方 SIEM。
許可 確保調查人員擁有足夠的權限，以存取所需資料，且不會過度優先使用帳號。 Microsoft Entra ID：最低建議角色為安全性讀取者。

Defender 入口網站與 Microsoft 合規入口網站：安全閱讀器。

這些職務提供唯讀存取電子郵件、警示及稽核資料。
端點可視性 Microsoft Defender 端點防護 如果安裝了 Defender for Endpoint，請使用它來：

- 驗證用戶是否與釣魚內容互動。
- 識別有效載荷執行。
- 將端點活動與電子郵件事件相關聯。
硬體 一個能執行 PowerShell 的系統。
軟體 這些 PowerShell 模組常用於網路釣魚事件調查 Microsoft Graph PowerShell SDK
Exchange Online PowerShell 模組
Microsoft Entra Incident Response PowerShell 模組。

確保所有模組都已安裝並保持最新狀態。

Workflow

網路釣魚調查工作流程包含以下幾個高階階段：

  1. 識別並確認網路釣魚訊息。
  2. 評估影響範圍及受影響的使用者。
  3. 評估使用者互動與憑證暴露情況。
  4. 識別下游活動。
  5. 遏制威脅並防止復發

此工作流程協助應變人員從偵測階段過渡到控制階段，且不跳過關鍵驗證步驟。

要檢查的事項

在調查過程中，請將此清單作為品質門檻。

  • 辨識釣魚郵件及原始訊息識別碼
  • 確定所有收件人及投遞狀態
  • 確認使用者是否與該訊息互動
  • 評估憑證入侵或惡意軟體執行情況
  • 識別橫向或後續活動
  • 從信箱中移除惡意訊息
  • 重置或保護受影響帳號
  • 提升偵測與預防控制

調查步驟

步驟一：識別釣魚訊息

  1. 取得該封疑似網路釣魚電子郵件。

  2. 從電子郵件標頭中擷取 Message-ID。

  3. 使用訊息追蹤來判斷：

    • 訊息收到時
    • 哪些使用者已收到
    • 無論是送達、封鎖還是隔離

步驟 2：受影響的使用者範圍

  1. 識別所有訊息接收者
  2. 確認訊息是否被繞過過濾器
  3. 判斷是否使用同一活動的變體發送過類似訊息

步驟三：評估使用者互動

  1. 針對每位受影響使用者，判斷他們是否：

    • 打開郵件
    • 已點擊的連結
    • 已開啟附件
    • 提交的學歷

    將電子郵件活動與以下事物相關聯：

    • Microsoft Entra 登入日誌
    • 稽核記錄
    • 端點活動（如有）

步驟四：識別後續活動

  1. 若憑證可能已外洩，請調查是否有下列情況：

    • 可疑的登入事件
    • 密碼噴射或暴力破解活動
    • OAuth 同意授權
    • 代幣濫用
    • 不尋常的信箱或協作活動

  2. 如果有開啟附件，請驗證是否有惡意軟體在端點上執行。

步驟五：控制並修復

根據調查結果：

  1. 從所有信箱移除網路釣魚郵件。停用或重設。
  2. 遭入侵的帳號
  3. 撤銷活躍的會話和代幣。
  4. 封鎖惡意寄件者、網域和網址。
  5. 隔離或修復受影響的終點。

步驟六：恢復

控制後，應著重恢復正常運作並降低復發風險。

回收行動可能包括：

  • 強制驗證重設與多重驗證
  • 檢視信箱規則與轉寄設定
  • 改進電子郵件過濾與反釣魚政策
  • 更新偵測與警示
  • 更新或精進網路釣魚應變手冊

下一步

深入了解 SecOps 領域。

  • 上次更新時間：