用户报告钓鱼邮件后，标准的分诊（triage）流程应该怎么走？

NIST SP 800-61 Rev.2 把事件处理生命周期划分为四个阶段：准备（Preparation）；检测与分析（Detection and Analysis）；遏制、根除与恢复（Containment, Eradication, and Recovery）；事后活动（Post-Incident Activity）。用户上报的钓鱼邮件进入的是「检测与分析」阶段——它只是一条先兆或指示（precursor / indicator），尚未构成已确认事件。分诊的职责就是把这条低置信度输入，转换为「非事件／可疑／已确认事件」三态之一，并附上足以驱动后续处置的定级结论。

2025 年 4 月 3 日，NIST 发布 SP 800-61 Rev.3，正式取代 Rev.2。Rev.3 不再以独立生命周期图呈现，而是把事件响应重新组织为《网络安全框架》（CSF）2.0 的六大功能——治理（Govern）、识别（Identify）、保护（Protect）、检测（Detect）、响应（Respond）、恢复（Recover）——并以社区概要（Community Profile）的形式给出建议与考量，强调事件响应应作为组织整体网络安全风险管理的组成部分，而非孤立的技术流程。对钓鱼分诊的直接影响是：分诊结论不仅要服务于当次处置，还要回流到治理与保护环节，驱动策略与控制的持续改进。

切勿仅凭「用户觉得可疑」立案，也切勿仅凭「网关放行」结案。确认动作应基于原始报文而非转发副本：

• 取原始 .eml：要求上报人使用「作为附件转发」或由管理员从邮箱后台导出，避免转发导致信头被重写、附件被剥离。
• 读 Authentication-Results：按 RFC 8601 解析本域边界写入的 SPF / DKIM / DMARC 结果，判断发件域是否被冒用，还是攻击者使用了自有的「看起来像」的域名。
• 比对显示名与信封发件人：显示名欺骗（friendly-from spoofing）在 DMARC 通过的情况下依然成立，因为 DMARC 只对齐 RFC5322.From 的域，不校验显示名。
• 看 Reply-To 与 Return-Path：BEC 类邮件常把回复地址指向攻击者控制的外部邮箱，这是高价值判据。
• 静态检查载荷：URL 与附件在此阶段只提取、只做静态特征比对，不在办公终端上点击或打开。

单封邮件几乎不构成事件，一次投递活动才构成。分诊必须回答「同一活动的完整收件人集合」这一问题，否则遏制必然遗漏。可用的检索维度包括：Message-ID 前缀与生成模式、信封发件人域与发件 IP、主题模板、附件哈希、URL 主机名与路径特征、投递时间窗。

随后叠加交互证据：邮件网关或代理日志中该 URL 的点击记录；身份平台在钓鱼落地页时间窗内的认证事件（尤其是异常地理位置、异常 User-Agent、成功的 MFA 挑战）；终端 EDR 中附件哈希的执行记录。SP 800-61 Rev.2 明确要求事件响应团队具备把多源指示关联起来的能力，并保持事件数据的准确记录——分诊阶段的检索条件与命中数量本身就应写入工单，作为后续复核与法律举证的依据。

SP 800-61 Rev.2 建议不要采用简单的先到先处理，而应基于相关因素对事件排序，其给出的三个维度是：功能影响（对业务功能的当前与预期影响）、信息影响（对信息机密性、完整性与可用性的影响）、可恢复性（恢复所需的时间与资源，以及是否可能恢复）。映射到钓鱼场景可形成清晰阶梯：

• 低：拦截成功、零投递，或已投递但无人交互，载荷为普通垃圾/引流。
• 中：已投递并有点击，但凭据未提交、无进程执行；或投递面覆盖普通岗位。
• 高：确认凭据提交、会话令牌被窃、附件在终端落地执行，或收件人涉及财务、人事、IT 管理员等高权限岗位。
• 紧急：已出现横向内部钓鱼、邮箱转发规则被创建、支付流程已被介入或资金已发出。

CISA 于 2021 年 11 月发布的《联邦政府网络安全事件与漏洞响应手册》把事件响应流程组织为准备、检测与分析、遏制、根除与恢复、事后活动，并额外强调贯穿全程的协调（Coordination）——即与内部管理层、法律、公关及外部机构的信息同步。分诊结论应直接触发对应动作：

• 中级及以上：全域回收（purge）同活动邮件，网关加封发件域/IP/URL，并对已交互用户强制改密与吊销会话。
• 高级及以上：转入正式事件流程，指定事件负责人，启动证据保全（原始 .eml、网关日志、身份日志一并冻结）。
• 紧急：同步启动资金止付与对外报案流程，不等待技术分析完成。

无论定级高低，分诊都应向上报人反馈结论。SP 800-61 Rev.3 以 CSF 2.0 的治理功能收束事件响应，其含义之一正是：上报—反馈—度量的闭环质量，决定了组织长期的钓鱼可见度。若用户上报后长期无回音，上报率会迅速衰减，检测能力随之退化。