用途：当用户通过举报按钮或工单上报可疑邮件、邮件网关标记绕过初始过滤的邮件、自动检测发现凭据窃取 URL 或恶意附件，或需评估针对组织的钓鱼活动范围时使用。不适用于无恶意意图的垃圾邮件或营销邮件，应转交邮件管理团队调优过滤。
主要能力：解析 .eml 完整邮件头，检查 SPF、DKIM、DMARC 认证结果与 Received 链；将 URL 提交 URLScan.io 与 VirusTotal 分析；计算附件 MD5/SHA256 并查询 MalwareBazaar，提交 Any.Run 或 Joe Sandbox 做动态分析；通过 Splunk 或 Microsoft Graph API 检索同主题/同发件人邮件以确定活动范围；借助代理日志识别点击及提交凭据的用户；使用 Microsoft 365 合规搜索清除邮件、封禁域名与哈希、重置密码并撤销会话；最后生成含时间线、IOC 与处置动作的事件报告。
使用方式：需具备邮件网关日志、SIEM 邮件日志、沙箱、Microsoft Graph API 或 Exchange 管理中心、URLScan.io 与 VirusTotal API 密钥等前提。按工作流依次执行：提取分析邮件头、分析 URL 与附件、确定活动范围、识别受影响用户、遏制处置、记录报告。示例命令包括 New-ComplianceSearch、Start-ComplianceSearch、New-ComplianceSearchAction -Purge -PurgeType SoftDelete，以及 Set-MsolUserPassword 与 Revoke-AzureADUserAllRefreshToken。
适用场景：凭据钓鱼、宏文档、二维码钓鱼、线程劫持、语音邮件钓鱼等。
限制：具体收费、价格、平台支持范围与效果暂未提供；需依赖所列工具与权限，实际可用性取决于环境配置。