如何利用 SOAR 自动化邮件安全事件响应？

针对高频邮件安全场景编写 Playbook：钓鱼报告、恶意附件、账号被盗、数据外泄。每个剧本明确触发器（SIEM 告警/用户举报）、输入、步骤与人工审批节点，符合事件响应生命周期（准备—检测—遏制—根除—恢复—复盘）。

通过 Microsoft 365 安全 Graph/PowerShell 或 Google Workspace Gmail API 自动：从所有邮箱软删除/隔离匹配恶意邮件（Search-Mailbox/gmail.users.messages.delete）、阻断发件域/IP、禁用转发规则、吊销受影响用户会话与 OAuth 授权，将遏制时间从小时级压缩到秒级。

剧本并行调用威胁情报（判定 URL/附件哈希/发件域声誉）、身份系统（确认账号异常）、HR 系统（确认是否在岗），自动生成事件时间线与置信度，决定自动处置还是升级人工。

自动开/关工单、通知受影响用户与安全团队，记录处置动作用于取证与复盘；持续衡量 MTTD/MTTR、自动处置占比与误报率，迭代剧本。对「删除邮件」「吊销会话」等高风险动作保留审批与回滚能力。