detecting-email-account-compromise
作者 mukul975detecting-email-account-compromise 可協助事件應變人員與 SOC 分析師調查 Microsoft 365 與 Google Workspace 信箱遭接管的情況，方法包括檢查可疑登入、收件匣規則濫用、外部轉寄、OAuth 授權，以及 Graph／稽核記錄活動。可將它當作實用的 detecting-email-account-compromise 排查指南，幫助快速初步研判。
此技能評分為 78/100，因為它具備可信、貼近真實事件應變流程的 email account compromise 偵測方法，且附有足夠的支撐素材，方便使用者判斷是否合用。對目錄使用者而言，它是 Microsoft 365／Google Workspace 帳號遭入侵調查的穩健安裝候選，但在工作流程完整性與導入說明上仍有一些保留。
- SKILL.md 清楚說明觸發情境與使用目的：透過分析收件匣規則、可疑登入、轉寄規則與 API 存取模式，偵測 O365 與 Google Workspace 帳號遭入侵。
- 儲存庫提供實用支援素材：包含 Microsoft Graph 端點的 API 參考，以及一支可分析收件匣規則、登入記錄與 OAuth 授權的 Python 腳本。
- 前置資料（frontmatter）有效，且帶有豐富的作業標籤與 MITRE 對應，可幫助代理與使用者快速掌握適用範圍。
- 未提供安裝指令或快速上手說明，因此使用者必須從腳本與參考文件自行推斷設定與執行步驟。
- 雖然描述中提到 Google Workspace，但整體流程看起來仍以 Microsoft Graph 為中心，可能會降低非 Microsoft 環境下的清晰度。
detecting-email-account-compromise 技能概覽
detecting-email-account-compromise 技能可協助你檢查 Microsoft 365 與 Google Workspace 的信箱是否遭到接管，重點會放在最關鍵的訊號：可疑登入、收件匣規則濫用、外部轉寄，以及異常的 API 或 OAuth 存取。它特別適合事件應變人員、SOC 分析師與郵件管理員，用來快速、以證據為基礎地判斷某個帳號只是雜訊偏多，還是真的已經被入侵。
這個 detecting-email-account-compromise 技能能做什麼
這個 detecting-email-account-compromise 技能聚焦在初步分流與偵測，不是通用的郵件資安建議。它對齊的是事件應變工作流程：你需要把信箱行為連回身分事件與持久化機制，尤其是 BEC 類型入侵時。
最適合的使用情境
當你收到奇怪的轉寄規則、刪信、異常登入地點，或可疑 Graph 活動的警示時，就很適合用它。當你需要一套可重複的 detecting-email-account-compromise 指南，來驗證某個信箱是否被拿來做資料外洩或橫向釣魚時，它也很有用。
它在事件應變中的實際價值
它的實用性在於關聯分析：收件匣規則變更、登入異常、OAuth 授權，合在一起通常比單獨看其中一項更能拼出完整故事。對 detecting-email-account-compromise 的事件應變用途來說，這代表更快的範圍界定、更好的證據蒐集，以及更少因單次登入雜訊而產生的誤判。
如何使用 detecting-email-account-compromise 技能
在你的工作區安裝這個技能
使用這個 detecting-email-account-compromise 的 repository 安裝流程：
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill detecting-email-account-compromise
安裝完成後，確認 skills/detecting-email-account-compromise 底下有技能資料夾，且你的 agent 能讀到 skill 檔案與支援素材。
先閱讀這些檔案
先看 SKILL.md 以理解預期的工作流程，再打開 references/api-reference.md 來看 Microsoft Graph endpoints 和 indicator 表格。接著讀 scripts/agent.py，如果你想了解偵測邏輯、規則樣式與輸入期待，這個檔案會直接告訴你這個技能實際在找什麼。
把模糊需求轉成可用的提示詞
這個技能在你提供具體事件框架時效果最好，而不是只說「幫我看這個信箱」。請加入平台、時間範圍、可疑使用者，以及你已經掌握的 artifact 類型。好的 detecting-email-account-compromise 使用提示詞可以像這樣：
“Investigate suspected account takeover for user jane@company.com in Microsoft 365 over the last 7 days. Focus on inbox rules, external forwarding, impossible-travel sign-ins, and OAuth consent grants. Summarize compromise likelihood, key evidence, and next actions for containment.”
會影響輸出的輸入品質
請提供確切的 tenant 類型、信箱擁有者、時間範圍，以及已知的不良指標，例如外部網域、可疑 user agent，或特定的訊息規則名稱。如果你已經蒐集了 Graph 或 audit log 匯出檔，也一併提供；這樣技能就能優先做關聯分析，而不是先猜要查什麼。
detecting-email-account-compromise 技能常見問答
這個技能只適用於 Microsoft 365 嗎？
不是。這個 repository 對 Microsoft 365 的支援最完整，但 detecting-email-account-compromise 技能也在工作流程層級涵蓋 Google Workspace 概念。如果你的環境是混合式的，可以先用它來架構調查流程，再把資料來源細節調整成你的平台。
什麼情況下不該用這個技能？
不要把它當成完整的郵件安全計畫，也不要把它當成通用的釣魚回應提示詞。如果你只需要一句話判斷一封可疑郵件，這個技能的粒度就太細了；它是為了帳號入侵調查與以證據為基礎的初步分流而設計。
它可以取代手動 hunt 查詢嗎？
不行。它能幫你決定要查什麼、以及如何解讀結果，但你仍然需要 tenant 存取權、日誌資料與驗證。當你已經有身分與稽核日誌可供檢視或匯出時，detecting-email-account-compromise 指南的價值最高。
初學者適合用嗎？
適合，但前提是使用者願意提供脈絡。初學者若能提出清單式的調查計畫，並分享信箱、日期範圍與可疑行為，而不是期待技能自動猜出全部資訊，通常會得到最好的結果。
如何改進 detecting-email-account-compromise 技能
提供它可以推理的素材
最快的改善方式，是在同一個提示詞裡一次提供信箱規則、登入事件、OAuth 授權與相關時間戳。事件包越完整，模型就越不需要在缺口之間自行腦補；這對 detecting-email-account-compromise 的使用情境特別重要。
明確說出你這裡的「遭入侵」代表什麼
告訴技能你最在意的是資料外洩、持久化、BEC 風險，還是未授權存取。這會直接改變分析重點：若是外洩情境，轉寄規則更重要；若是帳號接管與持久化，風險登入與 token 授權就更關鍵。
留意常見失誤模式
最常見的漏判是時間範圍過大、缺少 tenant 脈絡，以及把日誌直接貼上來卻沒有使用者身分。另一個失誤模式，是要求「所有可疑活動」，卻沒有說清楚哪些訊號算可疑；當你直接點名要檢查的指標，輸出通常會好很多。
用更精準的第二輪追問
如果第一次結果太廣，就用已經找到的證據再收斂一次。例如：「只重新檢查轉寄規則和那兩筆來自新國家的登入，並說明哪一個最符合遭入侵情境。」這類追問通常比整個重來一次，更能得到更好的 detecting-email-account-compromise 技能結果。