邮件安全事件响应标准流程是什么？

事件前需备好工具、权限与分级标准，方能快速响应。

• 预置只读日志访问、账号封锁、网关策略下发等应急权限（P0 可在分钟级执行）。
• 按影响面分级：P1 账号被盗群发/数据外泄；P2 单账号异常；P3 可疑但未确认。
• 明确 RACI：安全运营（主导）、邮件运维（执行）、法务/合规（通报）、管理层（决策）。

先止血，防止影响扩大。

• 从 SIEM/网关告警识别异常登录、海量外发、异常附件行为。
• 立即重置被盗账号口令、吊销会话/令牌、强制登出所有设备。
• 在网关对 attacker 域名/IP 加黑名单，对涉案邮件下发召回（recall）或隔离。

在遏制同时保全证据、定位根因。

• 导出相关账号的登录日志、邮件收发日志、收发件箱副本用于审计。
• 排查初始入侵向量：钓鱼邮件、弱口令、令牌泄露还是供应链。
• 清除持久化后门（转发规则、OAuth 第三方应用、隐藏收件箱规则）。

恢复业务并沉淀改进。

• 在确认根因消除后逐步恢复账号与邮件流，加强监控观察复发。
• 向受影响方与监管要求方依规通报，必要时强制改密与 MFA 绑定。
• 输出复盘报告：时间线、损失、根因、加固项与负责人/截止日，纳入下轮演练。