用途：本技能面向商业电子邮件诈骗（BEC）检测。BEC 攻击者冒充高管、供应商或可信伙伴，诱导员工转账、泄露敏感数据或更改付款信息；与传统钓鱼不同，BEC 常常不含恶意链接或附件，纯粹依赖社会工程。
主要能力与关键概念：资料按 FBI IC3 分类列出攻击类型：CEO 欺诈、账号失陷、虚假发票、律师冒充、数据窃取。检测指标包括紧急与保密用语、新增或变更付款指令、高管通信偏离常态、显示名与域名不匹配、Reply-To 与 From 地址不一致、首次通信、索要礼品卡或加密货币等。
使用方式（四步流程）：一、配置 BEC 专用邮件规则，如标记外部域名冒充 VIP 显示名、检测财务关键词与紧急用语、对首次向财务人员发信告警、检查 Reply-To 域名不一致。二、部署行为分析，为每个用户建立正常通信基线，检测异常请求，监控邮件转发规则变更（T1114.003）。三、实施财务控制，包括超过阈值的双人授权、付款信息变更的带外电话回拨核实、供应商付款变更验证流程、财务团队培训。四、监控账号失陷，检测邮件登录的“不可能旅行”、转发规则创建、邮箱委派变更、隐藏 BEC 邮件的收件箱规则。
适用场景：调查需要检测 BEC 的安全事件、构建检测规则或威胁狩猎查询、SOC 分析师需要结构化流程、验证相关攻击技术的监控覆盖。
前置条件：具备 BEC 检测能力的邮件安全网关、了解组织的财务流程与审批链、可访问邮件日志与 SIEM 平台、掌握社会工程手法知识。
工具与资源：Microsoft Defender for O365 Anti-BEC、Proofpoint Email Fraud Defense、Abnormal Security，以及 FBI IC3 BEC 咨询（https://www.ic3.gov/）与 FinCEN BEC 咨询。
验证：用测试场景触发 BEC 检测规则、演练中财务控制阻止未授权转账、账号失陷检测捕获模拟攻击、意识评估中 BEC 易感性下降。
限制：资料未提供具体部署命令、价格、许可或平台兼容性细节，具体实现需结合组织环境确认。