Palo Alto Cortex 高级邮件安全模块如何做检测与调查？

Palo Alto 官方文档说明，Cortex Advanced Email Security 模块监控全部入站、出站与草稿邮件，并对可疑邮件生成 issue。当同一用户短时间发出大量邮件、或同一封邮件被投向组织内多名收件人时，系统会把相关 issue 缝合（stitch）为一条「多事件」记录，避免把一次群发攻击拆成上百条孤立告警。管理员在模块的邮件安全 issue 表中集中查看所有含邮件相关威胁的记录。

点开单条 issue 会打开邮件安全卡片，顶部展示严重级别、检测标签、类别与检测方法；概览页给出 issue 描述、处理人、状态、已采取动作、创建与更新时间，并列出所用的 MITRE ATT&CK 战术与技术、受影响资产、以及关联的 case 数量与严重级别。卡片另设 War Room（按时间顺序汇总全部调查动作、取证物与协作记录）与 Work Plan（可视化展示该 issue 所绑定 playbook 的执行进度）两个页签，把调查与自动化编排收敛在同一界面。

对邮件类告警，官方提供专门的因果链（causality chain）视图，把事件执行链上的各节点连成图：发件人 IP（悬停可看该地址发出的邮件数与涉及用户数，点击可看地理位置与黑名单状态）、发件人用户名（可看其触达的组织与用户）、已发送邮件（图标上方显示该邮件触发的 issue 数，闪电标记代表已执行自动处置）、附件数量与各附件影响到的终端、链接数量、以及收件人清单。对多事件 issue，视图会把所有参与该次攻击的邮件一并铺开，便于判断攻击面。

该模块的设计思路值得借鉴之处在于：把邮件当作 XDR 数据源之一，而不是孤立的网关日志。发件人 IP、账号、附件哈希、链接与终端行为在同一因果图上关联，使得「一封邮件 → 哪些终端被影响 → 触发了哪些告警 → 已自动做了什么」可以一次看清；配合 Microsoft 365 集成与自动化处置规则（remediation response rules），可在检测后直接执行回收类动作。自建邮件系统若要复刻这一能力，关键是把 MTA/网关日志、终端 EDR 事件与身份日志按邮件 Message-ID 与收件人维度做统一关联建模。