detecting-email-forwarding-rules-attack

检测邮件转发规则攻击 skill 概览

这个 skill 是做什么的

detecting-email-forwarding-rules-attack skill 可以帮助你排查恶意邮箱转发规则——攻击者常用这类规则在初始入侵后继续读取邮件。它最适合 Security Audit、威胁狩猎和事件响应团队，用来确认是否存在未经授权创建的转发、重定向、删除或隐藏规则。

谁应该安装它

如果你已经在收集 Microsoft 365 或 Exchange 审计数据，或者你需要一套可重复的 ATT&CK T1114.003 检测流程，就应该安装 detecting-email-forwarding-rules-attack skill。它适合想要的是一份以检测为导向的指南，而不是一个泛泛的“怎么写查询”提示词的分析人员。

它的不同之处

这个 skill 更偏实战，而不是理论：它会指向可能的数据源、可疑的规则模式，以及可复用于狩猎的仓库文件。它真正要解决的问题，是把一堆噪音很大的邮箱规则搜索，收敛成一个有证据、能界定范围、并且可以给出风险判断的结论。

如何使用 detecting-email-forwarding-rules-attack skill

安装并查看正确的文件

先在仓库或你的 skill 管理器里使用 detecting-email-forwarding-rules-attack install 路径，然后优先阅读 SKILL.md。如果你想看更有用的实现上下文，再打开 references/workflows.md、references/api-reference.md、references/standards.md 和 assets/template.md。这些文件会展示工作流、检测逻辑、查询示例，以及狩猎输出的结构。

提供这个 skill 真正需要的输入

当你提供以下信息时，detecting-email-forwarding-rules-attack usage 的效果最好：邮件平台、时间范围、已知账号或租户、可用日志源，以及在你的环境里“可疑”具体指什么。一个弱请求是：“找转发攻击。” 更强的请求是：“狩猎过去 14 天的 Exchange Online 收件箱规则，优先找外部转发和删除后转发行为，并为每条命中返回证据字段。”

把提示词写成面向狩猎结果的形式

一个好的 detecting-email-forwarding-rules-attack guide 提示词，应该要求三类输出之一：狩猎计划、查询集合，或调查摘要。例如：“使用 Microsoft 365 审计日志和 Graph 收件箱规则，生成一套针对 T1114.003 的分步狩猎方案，包含 Splunk SPL 和 KQL 示例、误报说明，以及分诊清单。” 这种写法能帮助 skill 产出可执行的工作，而不是泛泛建议。

按正确顺序执行工作流

先从你最信任的数据源开始，通常是 Unified Audit Log、Microsoft Graph inbox rules，或 SIEM 已摄取的 Exchange 事件。然后检查诸如 ForwardTo、RedirectTo、DeleteMessage、MarkAsRead，或者把邮件移动到 Junk/RSS 文件夹这类规则动作。在判断是否恶意之前，先把规则创建者、客户端 IP 和时间戳关联起来。

detecting-email-forwarding-rules-attack skill 常见问题

这个 skill 只适用于 Microsoft 365 吗？

基本上是的。仓库的重点是 Exchange Online 和 Microsoft Graph 风格的收件箱规则，所以它在 Microsoft 365 环境里最强。你可以把其中一部分思路迁移到别处，但 detecting-email-forwarding-rules-attack skill 不是一个通用的邮件安全框架。

如果我自己会写提示词，还需要它吗？

如果你已经熟悉数据模型和检测模式，自定义提示词可能就够了。当你需要一套可重复的 detecting-email-forwarding-rules-attack install 决策流程，并且希望它能直接给出结构化指导——查什么、看什么、怎么分诊可疑滥用——时，就适合安装这个 skill。

它适合新手吗？

如果你能处理审计日志或 SIEM 查询，那它是适合的。若你没有邮箱遥测数据、没有 Microsoft 365 访问权限，或者没有办法验证转发规则是否合理，它就没那么有帮助。在这些情况下，这个 skill 也许仍能帮你规划思路，但不能替你证明检测结果。

什么情况下不该用它？

不要把它当成完整邮箱失陷调查的替代品。转发规则只是持久化方式之一，不是整个事件本身。如果你的案件涉及 OAuth 滥用、委派访问，或者恶意传输规则，你需要在这个 skill 之外补充更多检测。

如何改进 detecting-email-forwarding-rules-attack skill

给它更完整的环境上下文

最有价值的输入，是你租户里的真实情况：邮件平台、审计日志保留时间、明确的业务例外，以及向合作伙伴域转发是否属于正常行为。这些上下文能帮助 detecting-email-forwarding-rules-attack skill 降低误报，并更准确地给命中结果排序。

要求证据，而不只是命中结果

常见失败模式是只拿到一串规则，却没有任何决策支持。你应该要求证据列，例如用户、邮箱、规则名称、动作、外部目的地、创建时间，以及为什么这条规则可疑。对于 Security Audit 工作来说，这比单纯的命中数量更重要。

用更具体的可疑模式收紧狩猎范围

如果第一次输出太宽泛，就一次只缩小到一种模式：外部转发、删除后转发、针对财务关键词的目标规则，或隐藏式投递行为。比如：“只关注会向外部转发并删除原始邮件的规则，并区分真阳性和正常委派行为。”

从检测迭代到验证

第一轮之后，用已确认的良性示例、更短的日期范围，以及你观察到的攻击者行为来改进下一轮。这样 detecting-email-forwarding-rules-attack usage 就能从泛化狩猎转向精确验证，而这正是这个 skill 价值最大的地方。