detecting-business-email-compromise

detecting-business-email-compromise 技能概述

这个技能能做什么

detecting-business-email-compromise 技能帮助你通过邮件头检查、社会工程线索和面向响应的检测逻辑，识别并分流 Business Email Compromise（BEC，商业邮件欺诈）尝试。它最适合分析师、SOC 团队和事件响应人员，适合需要一份实用的 detecting-business-email-compromise 指南，而不是泛泛的钓鱼提示。

最适合的使用场景

当邮件要求电汇、修改供应商收款账户、催促对方尽快行动，或者看起来来自高管或可信合作伙伴时，就适合使用这套 detecting-business-email-compromise 技能。它也很适合 Incident Response 场景下的 detecting-business-email-compromise：你需要确认邮件是否只是成功投递、是否发出了类似邮件，或者账号是否已经开始遭到入侵。

它有什么不同

这个仓库不只是安全意识内容。它包含检测分类、工作流逻辑、标准映射，以及支持分析邮件头和消息内容的脚本。这让面向安装决策的 detecting-business-email-compromise 技能对那些需要运营级检测支持、而不只是政策措辞的团队更有价值。

如何使用 detecting-business-email-compromise 技能

安装并检查技能内容

按你目录里常规的技能安装流程安装 detecting-business-email-compromise 技能，然后先打开 skills/detecting-business-email-compromise/SKILL.md。在尝试改造之前，先阅读 references/workflows.md 了解调查流程，阅读 references/standards.md 查看规则分类和控制项映射，再阅读 references/api-reference.md 里的邮件头和模式示例。

提供正确的输入

detecting-business-email-compromise 的使用效果最好时，你会提供邮件来源、怀疑的业务场景，以及你希望做出的判断。高质量输入会写明发件人、收件人、显示名称、正文、邮件头，以及引发警觉的原因。

输入示例：

• “帮我检查这个 .eml，看是否存在冒充 CEO 和付款重定向。”
• “确认这封供应商邮件是 BEC 尝试，还是正常的发票变更。”
• “分析这些邮件头和正文，判断是否存在 reply-to 不一致和紧迫措辞。”

把模糊需求改写成可用提示词

弱提示词会说：“检测 BEC。” 更强的提示词会说：“使用 detecting-business-email-compromise 技能评估这封来信中的 BEC 指标。重点关注显示名称伪造、reply-to 不一致、付款变更措辞、紧迫施压，以及邮件头是否暗示伪造或账号入侵。返回最可能的 BEC 类型、置信度依据，以及立即的遏制步骤。”

提升输出效果的实用工作流

先从邮件内容和邮件头入手，再要求分类、指标和下一步动作。如果你已经知道场景，就明确说明是 CEO fraud、invoice fraud、gift card fraud，还是 account compromise。这样技能就能优先关注正确的指标，而不是把所有通用钓鱼特征一视同仁地打分。

detecting-business-email-compromise 技能常见问题

它比普通提示词更好吗？

如果你需要可重复的分析，答案是肯定的。普通提示词可以发现明显的钓鱼，但 detecting-business-email-compromise 技能在你需要 BEC 专项检查时更有用，例如高管冒充、付款变更请求、转发规则滥用，以及事件响应后的跟进。

新手能用吗？

可以，但前提是他们能提供邮件正文或邮件头数据。对于新手来说，detecting-business-email-compromise 指南的价值最大之处在于：把它当作单封可疑邮件的结构化检查清单，而不是一部泛化的网络安全百科。

主要边界是什么？

这个技能是为 BEC 检测和响应设计的，不适合恶意附件分析或通用垃圾邮件过滤。如果问题是恶意附件、凭证收集页面，或者没有邮件环节的终端入侵，这就不是首选技能。

什么时候不该安装？

如果你的团队只需要高层级的安全意识培训，就可以跳过。若你的工作流从不处理财务、HR、高管邮件或供应商付款请求，也可以跳过，因为这些才是 detecting-business-email-compromise 最契合的场景。

如何改进 detecting-business-email-compromise 技能

提供证据，不要只给怀疑

当你提供 From、Reply-To、显示名称、主题、正文和 Authentication-Results 时，detecting-business-email-compromise 技能会表现得更好。如果你有原始 .eml，就直接附上，而不是只做摘要，因为邮件头对齐和回复路径差异常常会决定最终判断。

说明你怀疑哪种 BEC 模式

更强的 detecting-business-email-compromise 使用提示词会直接点出可能的模式：CEO fraud、invoice fraud、attorney impersonation、data theft，或者 account compromise。这样技能就能更准确地权衡紧迫措辞、供应商付款修改、高管头衔或 HR 数据请求。

留意常见失误模式

最常见的错误，是在没有上下文的情况下直接要求结论。另一个错误是漏掉让消息变危险的财务或业务流程细节，例如谁有权批准付款，或者发件人是否是已知供应商。如果你想获得更好的 detecting-business-email-compromise 安装结果，就要先把业务上下文补齐。

首轮结果后继续迭代

拿到第一轮输出后，再追问一个更窄的问题：“只列出最强的指标”，“说明为什么这不是或是 account compromise”，或者“为财务和 SOC 起草遏制步骤”。这样可以让技能保持聚焦，并把第一次分析转化为可执行的事件响应行动方案。