用途：本技能针对使用个性化、经过调查内容的定向鱼叉式钓鱼邮件，这类邮件能绕过通用垃圾邮件过滤器。通过配置邮件安全网关（如 Microsoft Defender for Office 365、Proofpoint、Mimecast、Barracuda）的高级检测能力来识别并拦截。
主要能力：网关提供多层检测，包括信誉过滤（IP/域名/URL信誉评分）、SPF/DKIM/DMARC 认证检查、基于 NLP 的正文内容分析、冒充检测（显示名与域名相似度匹配）、URL 实时引爆与重定向跟踪、附件沙箱行为分析，以及通信模式异常的行为分析。
使用方式：
- 配置冒充保护，如 Defender 在“Security > Anti-phishing policies > Impersonation settings”下为 VIP 启用用户与域名冒充保护并设置隔离动作；Proofpoint 启用显示名伪造检测与相似域名检测。
- 配置 URL 保护：启用安全链接/URL 重写、点击时引爆、拦截新注册域名（<30天）、跟踪重定向链。
- 配置附件沙箱：启用安全附件，设置动态投递、引爆超时 60 秒以上、拦截外部发件人的宏文档。
- 创建自定义检测规则，可使用 scripts/process.py 分析网关日志并生成规则。
- 配置告警与响应：冒充实时告警、高置信度自动隔离、用户安全提示通知、与 SIEM 集成关联。
适用场景：调查需要邮件网关检测鱼叉式钓鱼的安全事件、构建该领域检测规则或威胁狩猎查询、SOC 分析师需要结构化流程、验证相关攻击技术的监控覆盖。
前提：可访问网关管理控制台、理解邮件流架构（MX 记录、传输规则）、熟悉 SPF/DKIM/DMARC、了解常见鱼叉式钓鱼手法与借口。
限制：资料未提供具体平台版本要求、许可或收费信息；脚本内容与参数未给出，需自行查看源文件。