Email Forensics 是一个面向电子邮件取证的技能，用于分析电子邮件消息、邮箱归档以及邮件元数据，支持调查网络钓鱼攻击、商务电子邮件欺诈（BEC）、邮件伪造（spoofing）以及从邮件数据中提取具备取证价值的工件。
主要能力
邮箱解析：解析 PST、OST、MBOX、EML 和 MSG 文件。 邮件头分析：对邮件头与路由进行深度分析。 附件提取：提取并分析邮件附件。 钓鱼检测：识别钓鱼指标与技术。 伪造检测：检测邮件伪造与冒名。 链接分析：提取并分析邮件内容中的 URL。 时间线生成：构建基于邮件的通信时间线。 线程重建：重建邮件会话线程。 元数据提取：提取发件人、收件人及路由元数据。 认证分析：分析 SPF、DKIM 和 DMARC 结果。
使用方式
该技能以 Python 模块形式提供，可从 email_forensics 导入 EmailAnalyzer、MailboxParser、PhishingDetector 等类进行操作。例如，解析邮箱文件、分析单个邮件文件、扫描钓鱼邮件等。
快速开始示例：
from email_forensics import EmailAnalyzer, MailboxParser, PhishingDetector
Parse mailbox file
parser = MailboxParser("/evidence/mailbox.pst") emails = parser.get_all_messages()
Analyze single email
analyzer = EmailAnalyzer() analysis = analyzer.analyze_file("/evidence/suspicious.eml")
Detect phishing
detector = PhishingDetector() results = detector.scan_email(analysis)
任务示例
任务 1：邮箱解析。输入邮箱文件（PST、OST、MBOX），流程包括加载并校验邮箱文件、解析文件夹结构、提取消息、索引元数据、生成邮箱摘要；输出为带消息清单的已解析邮箱。
任务 2：邮件头分析。输入邮件消息（EML、MSG 或原始邮件头），流程包括解析所有头字段、分析路由路径、验证认证、检测异常、生成邮件头分析；输出为邮件头综合分析。
任务 3：钓鱼检测。输入邮件消息，流程包括分析发件人真实性、检查 URL 的恶意指标、分析附件风险、检测社会工程、计算风险评分；输出为带风险评估的钓鱼分析。
任务 4：附件分析。输入带附件的邮件，流程包括提取全部附件、识别文件类型、计算哈希、检查恶意软件指标、提取元数据；输出为带提取文件的附件分析。
任务 5：邮件时间线创建。输入邮箱或邮件集合，流程包括解析所有消息、提取时间戳、构建时间顺序线、识别通信模式、可视化活动；输出为邮件通信时间线。
任务 6：邮件线程重建。输入邮件消息，流程包括按会话分组、分析 In-Reply-To 头、构建线程层级、识别缺失消息、重建完整线程；输出为重建后的邮件线程。
任务 7：伪造检测。输入邮件消息，流程包括验证发件人头、检查认证记录、分析显示名技巧、比较信封与邮件头、检测冒名；输出为伪造分析结果。
任务 8：链接分析。输入邮件内容，流程包括提取所有 URL、分析 URL 组件、对照威胁情报检查、检测 URL 混淆、识别重定向链；输出为 URL 分析结果。
任务 9：商务电子邮件欺诈分析。输入邮件或邮箱，流程包括识别 BEC 指标、检测紧迫性用语、分析财务请求、检查发件人合法性、评分 BEC 概率；输出为 BEC 分析结果。
适用场景
适用于电子邮件取证调查，包括网络钓鱼攻击调查、商务电子邮件欺诈（BEC）调查、内部威胁调查，以及需要从邮件数据中提取取证工件的场景。
限制
该技能的收费、价格、支持平台、运行环境与版本要求等事实暂未提供。