用途：当用户通过举报按钮或工单上报可疑邮件、邮件网关标记绕过初始过滤的邮件、自动检测发现凭据窃取URL或恶意附件，或需评估针对组织的钓鱼活动范围时使用。不适用于无恶意意图的垃圾邮件或营销邮件，此类应转交邮件管理方调整过滤规则。
主要能力：解析完整邮件头（From、Return-Path、Reply-To、Received、Authentication-Results、DKIM-Signature），检查SPF、DKIM、DMARC对齐情况；对URL提交URLScan.io与VirusTotal分析，对附件计算MD5/SHA256并查询MalwareBazaar、提交沙箱动态分析；通过Splunk/SIEM或Microsoft Graph API检索同源邮件确定活动范围；结合代理日志识别点击与提交凭据的用户；执行邮件清除、指标封禁与凭据重置等遏制动作；最后生成含时间线、IOC、影响范围与处置措施的事件报告。
使用方式：需具备邮件网关日志（Proofpoint、Mimecast或Microsoft Defender for Office 365）、Splunk或SIEM邮件日志、沙箱（Any.Run、Joe Sandbox或Hybrid Analysis）、Microsoft Graph API或Exchange Admin Center、URLScan.io与VirusTotal API密钥。流程按六步执行：提取分析邮件头、分析URL与附件、确定活动范围、识别受影响用户、遏制处置、记录报告。示例命令包括New-ComplianceSearch与New-ComplianceSearchAction进行邮件清除，Set-MsolUserPassword与Revoke-AzureADUserAllRefreshToken重置凭据。
适用场景：凭据钓鱼、宏文档、二维码钓鱼、线程劫持、语音邮件钓鱼等。
限制：资料未提供具体收费、价格或平台支持范围；实际效果取决于所接入工具与日志覆盖情况，需按组织环境调整查询与处置步骤。