Anthropic-Cybersecurity-Skills 邮件网关检测鱼叉式钓鱼标准、框架映射与检测指标实践指南【免费下载链接】Anthropic-Cybersecurity-Skills817 structured cybersecurity skills for AI agents · Mapped to 6 frameworks: MITRE ATTCK, NIST CSF 2.0, MITRE ATLAS, D3FEND, NIST AI RMF MITRE F3 (Fight Fraud) · agentskills.io standard · Works with Claude Code, GitHub Copilot, Codex CLI, Cursor, Gemini CLI 20 platforms · 29 security domains · Apache 2.0项目地址: https://gitcode.com/GitHub_Trending/an/Anthropic-Cybersecurity-Skills导读本文是 Anthropic-Cybersecurity-Skills 仓库中detecting-spearphishing-with-email-gateway技能的配套标准解读围绕该技能的标准与参考文档系统梳理鱼叉式钓鱼Spearphishing检测所依据的 MITRE ATTCK 技术映射、NIST 指南、CIS Controls v8 关键控制项以及主流邮件安全网关SEG的功能矩阵与高权重检测指标。读完本文你将掌握如何把行业标准落位到 Microsoft Defender、Proofpoint、Mimecast、Barracuda 四类网关的防护配置中并结合仓库内置的检测引擎与评分逻辑构建一套可量化、可验证的鱼叉式钓鱼检测基线。技能背景为何需要标准化的鱼叉式钓鱼检测鱼叉式钓鱼与批量垃圾邮件最大的区别在于个性化与定向性攻击者针对特定个体通常是高管、财务人员投入研究利用真实项目、同事或事件信息构造可信话术并以低邮件量规避基于模式的检测。通用垃圾邮件过滤器对此类攻击的检出率有限因此需要邮件安全网关提供行为分析、URL 引爆detonation、附件沙箱、仿冒检测等高级能力——这正是本技能SKILL.md的定位。而要让这些检测能力可审计、可对齐、可度量就必须将其映射到公认的安全框架之上。本技能的标准文档standards.md提供了三层标准底座MITRE ATTCK攻击行为视角、NIST合规与基线视角、CIS Controls v8落地控制项视角并辅以厂商功能矩阵与检测指标权重表构成标准 → 功能 → 指标的完整链路。MITRE ATTCK 技术映射鱼叉式钓鱼的攻击行为全景标准文档将鱼叉式钓鱼相关的攻击行为收敛为 6 个 ATTCK 技术与子技术覆盖攻击链的侦察与初始访问两大阶段技术 ID名称阶段定位T1566.001Phishing: Spearphishing Attachment初始访问投递恶意附件T1566.002Phishing: Spearphishing Link初始访问投递恶意链接T1566.003Phishing: Spearphishing via Service初始访问经第三方服务投递T1598.002Phishing for Information: Spearphishing Attachment侦察借附件收集信息T1598.003Phishing for Information: Spearphishing Link侦察借链接收集信息T1534Internal Spearphishing横向移动内部账号互发钓鱼这一映射并非仓库孤立行为。在本仓库的映射体系中mappings/mitre-attack/README.md 明确将 T1566.001Spearphishing Attachment与 T1566.002Spearphishing Link作为子技术映射示例而在 mappings/README.md 的覆盖率统计中T1566.001 以 15 个关联技能位列全仓库 Top 10 最受覆盖技术可见检测/分析邮件钓鱼是仓库能力建设的高优先级方向。此外mappings/attack-navigator-layer.json 中已为 T1534、T1566.001、T1566.002、T1566.003、T1598.003 等 ID 生成了 Navigator 层高亮说明这些技术均有对应技能支撑。与检测引擎的对应关系技术映射并非停留在纸面。仓库配套的检测引擎 scripts/process.py 在生成检测指标时直接携带 MITRE 技术 IDlookalike_domain / similar_domain仿冒域名→ 标注T1566.002Spearphishing Link对应链接投递场景vip_impersonationVIP 仿冒→ 标注T1566.001Spearphishing Attachment对应附件投递场景中常见的高管伪装urgency_subject / urgency_body / spf_failure / dkim_failure / dmarc_failure / reply_to_mismatch→ 统一标注父技术T1566。这意味着当检测引擎从网关日志中批量提取指标并生成规则时每条规则都天然携带 ATTCK 编号可直接灌入 attack-navigator-layer.json 或 SIEM 关联查询实现检测即映射。延伸F3 反欺诈视角值得留意的是该技能在 SKILL.md 的 frontmatter 中同时声明了mitre_f3映射F3 v1.1将 T1566Phishing、T1598Phishing for Information、T1672Email Spoofing以及 F3 特有的 F1032Impersonate Official、F1031Impersonate Account Holder纳入反欺诈战术框架。根据 docs/mitre-f3-mapping.md 的说明F3 将 ATTCK 折叠为单一 T1657Financial Theft的入侵如何转化为经济损失过程拆分为 positioningFA0001与 monetizationFA0002两个专属战术——鱼叉式钓鱼正是典型的入侵起始点因此该技能同时回答攻击者如何进入ATTCK与如何走向欺诈F3两个问题。NIST 指南可信邮件与持续监控的合规基线标准文档引用的 NIST 基线分为三个层面分别对应技术实现、安全控制与框架能力NIST SP 800-177 Rev.1Trustworthy Email—— 这是可信邮件的权威指南核心主张是邮件安全不能依赖单一技术而应建立在身份认证SPF/DKIM/DMARC/ARC与传输安全TLS的组合之上。网关检测层中的Authentication checks正是该指南的工程落地——api-reference.md 给出了Received-SPF、Authentication-Results、DKIM-Signature、ARC-Authentication-Results等安全头的解析方式其中Authentication-Results将 SPF、DKIM、DMARC 三者合并呈现是判定邮件可信度的第一手证据。NIST SP 800-53 Rev.5—— 两个直接相关的控制族SI-8Spam Protection要求组织部署垃圾邮件与恶意内容防护机制对应网关的内容分析、附件沙箱、URL 过滤SI-3Malicious Code Protection要求对恶意代码进行检测、拦截与清除对应附件沙箱引爆与宏保护。NIST CSF—— 两个核心功能类别PR.ATAwareness Training人员意识与培训与本技能用户上报 安全意识侧写吻合DE.CMSecurity Continuous Monitoring安全持续监控对应网关日志的持续采集与 SIEM 集成。SKILL.md 的 frontmatter 进一步将技能细化为PR.AT-01、DE.CM-09、DE.AE-02、RS.CO-02四个 CSF 子类别其中DE.AE-02异常事件分析与RS.CO-02响应协调共同勾勒出监控发现 → 分析确认 → 协调响应的闭环。CIS Controls v8邮件与浏览器的防护控制项CIS Controls v8 的Control 9Email and Web Browser Protections是本技能在控制层面最直接的落点标准文档精选了 5 个子控制项控制项要求网关落位9.1仅允许经批准的浏览器与邮件客户端设备态势检查 条件访问9.2使用 DNS 过滤服务域名信誉与 RBL 检查9.3维护并强制实施基于网络的 URL 过滤URL 重写 时点点击引爆9.6阻止不必要的文件类型附件类型白名单/黑名单9.7部署并维护邮件服务器反恶意软件防护附件沙箱 宏保护其中 9.6 与 9.7 在检测引擎中均有具体实现证据。scripts/agent.py 内置了SUSPICIOUS_EXTENSIONS集合.exe、.scr、.bat、.cmd、.ps1、.vbs、.js、.hta、.lnk、.iso、.img、.dll、.msi并对双扩展名如.exe.pdf与文件名中的..特征单独告警——这正是 9.6阻止不必要文件类型的机器可执行版本。9.3 的 URL 过滤则对应 workflows.md 多层检测管线中的URL Analysis层URL 信誉检查、域名年龄验证、实时引爆、重定向链追踪、与合法站点的视觉相似度比对。邮件安全网关功能矩阵四厂商能力对照标准文档的核心附表是四类主流网关在七个关键能力维度上的对照这是在选购或评估网关时最常被引用的部分完整继承如下功能Microsoft DefenderProofpointMimecastBarracuda仿冒检测Anti-phishing policyImpostor ClassifierBrand Exploit ProtectImpersonation ProtectionURL 引爆Safe LinksURL DefenseURL ProtectLink Protection附件沙箱Safe AttachmentsTargeted Attack ProtectionAttachment ProtectAdvanced Threat ProtectionDMARC 强制内置内置DMARC Analyzer内置AI/ML 检测是多模型NexusAI是是用户上报Report Message 加载项PhishAlarm内置PhishlineSIEM 集成Microsoft SentinelSplunk、QRadarSplunk、Sentinel多种自动修复ZAP是CLEAR是是该矩阵的工程价值在于能力等价映射同一项检测需求在不同厂商产品中对应不同功能模块。例如仿冒检测在 Defender 中通过 Anti-phishing policy 配置、在 Proofpoint 中通过 Impostor Classifier 调参、在 Mimecast 中依赖 Brand Exploit Protect、在 Barracuda 中则称为 Impersonation Protection。当你按本技能在多个租户间复制防护策略时这份矩阵就是翻译层。矩阵与 API 证据的交叉验证矩阵中Siem 集成与URL 引爆两项能力可分别用 api-reference.md 中的厂商 API 佐证Proofpoint TAP APIGET /v2/siem/messages/blocked可拉取被阻断消息响应字段含spamScore、phishScore、threatsInfoMap、fromAddress——这正是 SIEM 集成与威胁情报提取的数据通道Mimecast URL Protection APIPOST /api/ttp/url/decode-url用于解码 Mimecast 重写后的保护链接是URL 重写 → 时点引爆闭环中取证溯源的关键调用Microsoft Defender 威胁评估 APIPOST /v1.0/informationProtection/threatAssessmentRequests可对特定邮件按internetMessageId提交阻断期望的钓鱼评估将人工研判半自动化。检测指标体系高权重信号与评分逻辑标准文档给出了 8 项检测指标的权重分级这是整个检测体系信号侧的浓缩完整继承如下指标权重说明显示名仿冒 VIP高From 名称匹配受保护用户但邮箱不同相似域名高与合法域名仅差 1-2 个字符首次向 VIP 发信中无历史通信记录紧急关键词中urgent、immediately、wire transfer、confidentialReply-to 不匹配高Reply-to 与 From 地址不一致外部发件人套用内部品牌高邮件模仿内部模板新注册域名高发件域名注册不足 30 天认证失败高SPF/DKIM/DMARC 校验失败检测引擎中的权重落地这 8 项指标并非仅停留在文档层面scripts/process.py 用一套可加权的风险评分模型将其工程化。该脚本的analyze_email()核心函数按如下分值累计上限 100仿冒域名lookalike_domain编辑距离为 1 时加30 × confidencecritical距离为 2 时加15 × confidencemedium置信度由max(0, 1.0 - dist * 0.3)计算即距离越近置信度越高VIP 仿冒vip_impersonation显示名命中 VIP 关键词时加25 × 0.8内置DEFAULT_VIP_NAMESCEO、CFO、CTO、CISO、COO、President 等主题紧急词urgency_subject加min(命中模式数 × 5, 20)正文紧急词urgency_body加min(总命中次数 × 3, 15)SPF/DKIM 失败各加 20DMARC 失败加 25criticalReply-to 域名不匹配加 20confidence 0.85。评分阈值决策规则analyze_email()末尾score 70 → critical判定为鱼叉式钓鱼 score 50 → high判定为鱼叉式钓鱼 score 30 → medium score 10 → low 否则 → clean这一模型的价值在于可解释性每条规则generate_detection_rules()都会生成SPEAR-XXXX编号、severity、MITRE 编号与quarantine/tag动作建议高风险high/critical自动映射为隔离动作——与标准文档中高权重指标应触发强动作的语义完全一致。标准落地从指标表到多层检测管线标准文档的指标与权重最终要通过 workflows.md 的多层检测管线组装成完整的入站检测流。建议读者将标准的指标权重与工作流的分层编排对照阅读连接过滤层对应指标新注册域名——通过域名年龄与 IP 信誉实现认证层对应认证失败指标——SPF 对齐、DKIM 签名、DMARC 策略、ARC 头转发邮件四重校验仿冒检测层对应显示名仿冒 VIP与相似域名两项高权重指标——VIP 名单比对、Levenshtein 距离计算、首次发信分析内容分析层对应紧急关键词与外部发件人套用内部品牌——NLP 紧迫性分析、业务上下文异常检测URL 分析层域名年龄、URL 信誉、实时引爆、重定向链、视觉相似度附件分析层文件类型校验、沙箱引爆、宏分析、嵌入对象检测决策引擎聚合各层得分后执行组织策略输出 DELIVER低风险/ TAG加警示横幅/ QUARANTINE中风险/ BLOCK高风险丢弃四档动作。其中工作流 2VIP 仿冒检测给出了与指标表一一对应的分诊逻辑发件域名非 VIP 授权域名时按相似度分级——完全匹配不同邮箱→ CRITICAL 阻断相似域名1-2 字符差异→ HIGH 隔离仅相似 → MEDIUM 加警告横幅。这直接复用了标准文档中相似域名 1-2 字符差异的高权重定义。配置与验证把标准落到网关配置模板技能目录中的 assets/template.md 提供了一份可直接填写的网关配置模板将本文所有标准要求收敛为可审计的配置项VIP 保护名单按角色CEO/CFO/CTO/VP Finance/HR Director标注风险级别对应 NIST PR.AT 与指标显示名仿冒 VIP仿冒检测规则表VIP 显示名匹配 → 隔离告警Critical相似域名Levenshtein 距离 ≤ 2→ 隔离High首次向 VIP 发信 → 打标警告MediumReply-to 不匹配 → 打标日志MediumURL 保护设置URL 重写、时点点击验证、拦截 30 天内新域名、重定向追踪最多 5 跳、可疑 URL 引爆附件保护设置沙箱引爆、动态投递先投正文、暂扣附件、阻断外部宏、阻断可执行类型.exe/.scr/.bat/.cmd/.ps1/.vbs/.js告警配置VIP 仿冒 → 邮件SIEM 通知 SOC凭据窃取 URL 被拦截 → SIEM恶意附件阻断 → 邮件SIEM合作伙伴域名 DMARC 失败 → 邮件通知邮件管理员季度复核清单更新 VIP 名单、复核误报率、分析用户上报漏报、更新域名白/黑名单、模拟钓鱼测试、复核自定义规则、验证 SIEM 集成。实操验证三步走用真实邮件验证解析按 api-reference.md 用 Pythonemail模块解析.emlemail.message_from_binary_file(f, policypolicy.default)核对Authentication-Results头中spfpass/dkimpass/dmarcpass的组合命令行验证认证与域名dig TXT example.com | grep vspf1查 SPF 记录dig TXT _dmarc.example.com查 DMARC 记录期望vDMARC1; preject; ruamailto:dmarcexample.comopendkim-testkey -d example.com -s selector -vvv验证 DKIM引擎批处理验证运行python scripts/process.py detect --from CEO ceomicr0soft-verify.com --subject URGENT: wire transfer观察评分累加或python scripts/process.py check-domain micr0soft.com观察 typosquatting 判定对目录批量扫描可用 agent.pypython scripts/agent.py 邮件目录/ --output report.json其风险分级每命中指标 15 分与 process.py 的加权模型互为补充。最终依据 SKILL.md 的 Validation 清单逐项验收仿冒保护能否识别伪造的 VIP 显示名、URL 引爆能否拦截测试钓鱼邮件中的恶意链接、附件沙箱能否检出武器化文档、自定义规则能否命中已知鱼叉式钓鱼模式、SIEM 是否成功接收网关告警——五项全过即代表本文所述的标准映射已完整生效。关键参考文件索引技能主文档SKILL.md标准与参考本文主题standards.md多层检测工作流workflows.md厂商 API 与邮件头解析参考api-reference.md检测引擎加权评分 规则生成process.pyEML 分析 Agentagent.py网关配置模板template.mdATTCK 技能映射方法论mappings/mitre-attack/README.mdATTCK 覆盖率与 Navigator 层mappings/README.md、mappings/attack-navigator-layer.jsonF3 反欺诈映射说明docs/mitre-f3-mapping.md【免费下载链接】Anthropic-Cybersecurity-Skills817 structured cybersecurity skills for AI agents · Mapped to 6 frameworks: MITRE ATTCK, NIST CSF 2.0, MITRE ATLAS, D3FEND, NIST AI RMF MITRE F3 (Fight Fraud) · agentskills.io standard · Works with Claude Code, GitHub Copilot, Codex CLI, Cursor, Gemini CLI 20 platforms · 29 security domains · Apache 2.0项目地址: https://gitcode.com/GitHub_Trending/an/Anthropic-Cybersecurity-Skills创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
Anthropic-Cybersecurity-Skills 邮件网关检测鱼叉式钓鱼：标准、框架映射与检测指标实践指南
Anthropic-Cybersecurity-Skills 邮件网关检测鱼叉式钓鱼标准、框架映射与检测指标实践指南【免费下载链接】Anthropic-Cybersecurity-Skills817 structured cybersecurity skills for AI agents · Mapped to 6 frameworks: MITRE ATTCK, NIST CSF 2.0, MITRE ATLAS, D3FEND, NIST AI RMF MITRE F3 (Fight Fraud) · agentskills.io standard · Works with Claude Code, GitHub Copilot, Codex CLI, Cursor, Gemini CLI 20 platforms · 29 security domains · Apache 2.0项目地址: https://gitcode.com/GitHub_Trending/an/Anthropic-Cybersecurity-Skills导读本文是 Anthropic-Cybersecurity-Skills 仓库中detecting-spearphishing-with-email-gateway技能的配套标准解读围绕该技能的标准与参考文档系统梳理鱼叉式钓鱼Spearphishing检测所依据的 MITRE ATTCK 技术映射、NIST 指南、CIS Controls v8 关键控制项以及主流邮件安全网关SEG的功能矩阵与高权重检测指标。读完本文你将掌握如何把行业标准落位到 Microsoft Defender、Proofpoint、Mimecast、Barracuda 四类网关的防护配置中并结合仓库内置的检测引擎与评分逻辑构建一套可量化、可验证的鱼叉式钓鱼检测基线。技能背景为何需要标准化的鱼叉式钓鱼检测鱼叉式钓鱼与批量垃圾邮件最大的区别在于个性化与定向性攻击者针对特定个体通常是高管、财务人员投入研究利用真实项目、同事或事件信息构造可信话术并以低邮件量规避基于模式的检测。通用垃圾邮件过滤器对此类攻击的检出率有限因此需要邮件安全网关提供行为分析、URL 引爆detonation、附件沙箱、仿冒检测等高级能力——这正是本技能SKILL.md的定位。而要让这些检测能力可审计、可对齐、可度量就必须将其映射到公认的安全框架之上。本技能的标准文档standards.md提供了三层标准底座MITRE ATTCK攻击行为视角、NIST合规与基线视角、CIS Controls v8落地控制项视角并辅以厂商功能矩阵与检测指标权重表构成标准 → 功能 → 指标的完整链路。MITRE ATTCK 技术映射鱼叉式钓鱼的攻击行为全景标准文档将鱼叉式钓鱼相关的攻击行为收敛为 6 个 ATTCK 技术与子技术覆盖攻击链的侦察与初始访问两大阶段技术 ID名称阶段定位T1566.001Phishing: Spearphishing Attachment初始访问投递恶意附件T1566.002Phishing: Spearphishing Link初始访问投递恶意链接T1566.003Phishing: Spearphishing via Service初始访问经第三方服务投递T1598.002Phishing for Information: Spearphishing Attachment侦察借附件收集信息T1598.003Phishing for Information: Spearphishing Link侦察借链接收集信息T1534Internal Spearphishing横向移动内部账号互发钓鱼这一映射并非仓库孤立行为。在本仓库的映射体系中mappings/mitre-attack/README.md 明确将 T1566.001Spearphishing Attachment与 T1566.002Spearphishing Link作为子技术映射示例而在 mappings/README.md 的覆盖率统计中T1566.001 以 15 个关联技能位列全仓库 Top 10 最受覆盖技术可见检测/分析邮件钓鱼是仓库能力建设的高优先级方向。此外mappings/attack-navigator-layer.json 中已为 T1534、T1566.001、T1566.002、T1566.003、T1598.003 等 ID 生成了 Navigator 层高亮说明这些技术均有对应技能支撑。与检测引擎的对应关系技术映射并非停留在纸面。仓库配套的检测引擎 scripts/process.py 在生成检测指标时直接携带 MITRE 技术 IDlookalike_domain / similar_domain仿冒域名→ 标注T1566.002Spearphishing Link对应链接投递场景vip_impersonationVIP 仿冒→ 标注T1566.001Spearphishing Attachment对应附件投递场景中常见的高管伪装urgency_subject / urgency_body / spf_failure / dkim_failure / dmarc_failure / reply_to_mismatch→ 统一标注父技术T1566。这意味着当检测引擎从网关日志中批量提取指标并生成规则时每条规则都天然携带 ATTCK 编号可直接灌入 attack-navigator-layer.json 或 SIEM 关联查询实现检测即映射。延伸F3 反欺诈视角值得留意的是该技能在 SKILL.md 的 frontmatter 中同时声明了mitre_f3映射F3 v1.1将 T1566Phishing、T1598Phishing for Information、T1672Email Spoofing以及 F3 特有的 F1032Impersonate Official、F1031Impersonate Account Holder纳入反欺诈战术框架。根据 docs/mitre-f3-mapping.md 的说明F3 将 ATTCK 折叠为单一 T1657Financial Theft的入侵如何转化为经济损失过程拆分为 positioningFA0001与 monetizationFA0002两个专属战术——鱼叉式钓鱼正是典型的入侵起始点因此该技能同时回答攻击者如何进入ATTCK与如何走向欺诈F3两个问题。NIST 指南可信邮件与持续监控的合规基线标准文档引用的 NIST 基线分为三个层面分别对应技术实现、安全控制与框架能力NIST SP 800-177 Rev.1Trustworthy Email—— 这是可信邮件的权威指南核心主张是邮件安全不能依赖单一技术而应建立在身份认证SPF/DKIM/DMARC/ARC与传输安全TLS的组合之上。网关检测层中的Authentication checks正是该指南的工程落地——api-reference.md 给出了Received-SPF、Authentication-Results、DKIM-Signature、ARC-Authentication-Results等安全头的解析方式其中Authentication-Results将 SPF、DKIM、DMARC 三者合并呈现是判定邮件可信度的第一手证据。NIST SP 800-53 Rev.5—— 两个直接相关的控制族SI-8Spam Protection要求组织部署垃圾邮件与恶意内容防护机制对应网关的内容分析、附件沙箱、URL 过滤SI-3Malicious Code Protection要求对恶意代码进行检测、拦截与清除对应附件沙箱引爆与宏保护。NIST CSF—— 两个核心功能类别PR.ATAwareness Training人员意识与培训与本技能用户上报 安全意识侧写吻合DE.CMSecurity Continuous Monitoring安全持续监控对应网关日志的持续采集与 SIEM 集成。SKILL.md 的 frontmatter 进一步将技能细化为PR.AT-01、DE.CM-09、DE.AE-02、RS.CO-02四个 CSF 子类别其中DE.AE-02异常事件分析与RS.CO-02响应协调共同勾勒出监控发现 → 分析确认 → 协调响应的闭环。CIS Controls v8邮件与浏览器的防护控制项CIS Controls v8 的Control 9Email and Web Browser Protections是本技能在控制层面最直接的落点标准文档精选了 5 个子控制项控制项要求网关落位9.1仅允许经批准的浏览器与邮件客户端设备态势检查 条件访问9.2使用 DNS 过滤服务域名信誉与 RBL 检查9.3维护并强制实施基于网络的 URL 过滤URL 重写 时点点击引爆9.6阻止不必要的文件类型附件类型白名单/黑名单9.7部署并维护邮件服务器反恶意软件防护附件沙箱 宏保护其中 9.6 与 9.7 在检测引擎中均有具体实现证据。scripts/agent.py 内置了SUSPICIOUS_EXTENSIONS集合.exe、.scr、.bat、.cmd、.ps1、.vbs、.js、.hta、.lnk、.iso、.img、.dll、.msi并对双扩展名如.exe.pdf与文件名中的..特征单独告警——这正是 9.6阻止不必要文件类型的机器可执行版本。9.3 的 URL 过滤则对应 workflows.md 多层检测管线中的URL Analysis层URL 信誉检查、域名年龄验证、实时引爆、重定向链追踪、与合法站点的视觉相似度比对。邮件安全网关功能矩阵四厂商能力对照标准文档的核心附表是四类主流网关在七个关键能力维度上的对照这是在选购或评估网关时最常被引用的部分完整继承如下功能Microsoft DefenderProofpointMimecastBarracuda仿冒检测Anti-phishing policyImpostor ClassifierBrand Exploit ProtectImpersonation ProtectionURL 引爆Safe LinksURL DefenseURL ProtectLink Protection附件沙箱Safe AttachmentsTargeted Attack ProtectionAttachment ProtectAdvanced Threat ProtectionDMARC 强制内置内置DMARC Analyzer内置AI/ML 检测是多模型NexusAI是是用户上报Report Message 加载项PhishAlarm内置PhishlineSIEM 集成Microsoft SentinelSplunk、QRadarSplunk、Sentinel多种自动修复ZAP是CLEAR是是该矩阵的工程价值在于能力等价映射同一项检测需求在不同厂商产品中对应不同功能模块。例如仿冒检测在 Defender 中通过 Anti-phishing policy 配置、在 Proofpoint 中通过 Impostor Classifier 调参、在 Mimecast 中依赖 Brand Exploit Protect、在 Barracuda 中则称为 Impersonation Protection。当你按本技能在多个租户间复制防护策略时这份矩阵就是翻译层。矩阵与 API 证据的交叉验证矩阵中Siem 集成与URL 引爆两项能力可分别用 api-reference.md 中的厂商 API 佐证Proofpoint TAP APIGET /v2/siem/messages/blocked可拉取被阻断消息响应字段含spamScore、phishScore、threatsInfoMap、fromAddress——这正是 SIEM 集成与威胁情报提取的数据通道Mimecast URL Protection APIPOST /api/ttp/url/decode-url用于解码 Mimecast 重写后的保护链接是URL 重写 → 时点引爆闭环中取证溯源的关键调用Microsoft Defender 威胁评估 APIPOST /v1.0/informationProtection/threatAssessmentRequests可对特定邮件按internetMessageId提交阻断期望的钓鱼评估将人工研判半自动化。检测指标体系高权重信号与评分逻辑标准文档给出了 8 项检测指标的权重分级这是整个检测体系信号侧的浓缩完整继承如下指标权重说明显示名仿冒 VIP高From 名称匹配受保护用户但邮箱不同相似域名高与合法域名仅差 1-2 个字符首次向 VIP 发信中无历史通信记录紧急关键词中urgent、immediately、wire transfer、confidentialReply-to 不匹配高Reply-to 与 From 地址不一致外部发件人套用内部品牌高邮件模仿内部模板新注册域名高发件域名注册不足 30 天认证失败高SPF/DKIM/DMARC 校验失败检测引擎中的权重落地这 8 项指标并非仅停留在文档层面scripts/process.py 用一套可加权的风险评分模型将其工程化。该脚本的analyze_email()核心函数按如下分值累计上限 100仿冒域名lookalike_domain编辑距离为 1 时加30 × confidencecritical距离为 2 时加15 × confidencemedium置信度由max(0, 1.0 - dist * 0.3)计算即距离越近置信度越高VIP 仿冒vip_impersonation显示名命中 VIP 关键词时加25 × 0.8内置DEFAULT_VIP_NAMESCEO、CFO、CTO、CISO、COO、President 等主题紧急词urgency_subject加min(命中模式数 × 5, 20)正文紧急词urgency_body加min(总命中次数 × 3, 15)SPF/DKIM 失败各加 20DMARC 失败加 25criticalReply-to 域名不匹配加 20confidence 0.85。评分阈值决策规则analyze_email()末尾score 70 → critical判定为鱼叉式钓鱼 score 50 → high判定为鱼叉式钓鱼 score 30 → medium score 10 → low 否则 → clean这一模型的价值在于可解释性每条规则generate_detection_rules()都会生成SPEAR-XXXX编号、severity、MITRE 编号与quarantine/tag动作建议高风险high/critical自动映射为隔离动作——与标准文档中高权重指标应触发强动作的语义完全一致。标准落地从指标表到多层检测管线标准文档的指标与权重最终要通过 workflows.md 的多层检测管线组装成完整的入站检测流。建议读者将标准的指标权重与工作流的分层编排对照阅读连接过滤层对应指标新注册域名——通过域名年龄与 IP 信誉实现认证层对应认证失败指标——SPF 对齐、DKIM 签名、DMARC 策略、ARC 头转发邮件四重校验仿冒检测层对应显示名仿冒 VIP与相似域名两项高权重指标——VIP 名单比对、Levenshtein 距离计算、首次发信分析内容分析层对应紧急关键词与外部发件人套用内部品牌——NLP 紧迫性分析、业务上下文异常检测URL 分析层域名年龄、URL 信誉、实时引爆、重定向链、视觉相似度附件分析层文件类型校验、沙箱引爆、宏分析、嵌入对象检测决策引擎聚合各层得分后执行组织策略输出 DELIVER低风险/ TAG加警示横幅/ QUARANTINE中风险/ BLOCK高风险丢弃四档动作。其中工作流 2VIP 仿冒检测给出了与指标表一一对应的分诊逻辑发件域名非 VIP 授权域名时按相似度分级——完全匹配不同邮箱→ CRITICAL 阻断相似域名1-2 字符差异→ HIGH 隔离仅相似 → MEDIUM 加警告横幅。这直接复用了标准文档中相似域名 1-2 字符差异的高权重定义。配置与验证把标准落到网关配置模板技能目录中的 assets/template.md 提供了一份可直接填写的网关配置模板将本文所有标准要求收敛为可审计的配置项VIP 保护名单按角色CEO/CFO/CTO/VP Finance/HR Director标注风险级别对应 NIST PR.AT 与指标显示名仿冒 VIP仿冒检测规则表VIP 显示名匹配 → 隔离告警Critical相似域名Levenshtein 距离 ≤ 2→ 隔离High首次向 VIP 发信 → 打标警告MediumReply-to 不匹配 → 打标日志MediumURL 保护设置URL 重写、时点点击验证、拦截 30 天内新域名、重定向追踪最多 5 跳、可疑 URL 引爆附件保护设置沙箱引爆、动态投递先投正文、暂扣附件、阻断外部宏、阻断可执行类型.exe/.scr/.bat/.cmd/.ps1/.vbs/.js告警配置VIP 仿冒 → 邮件SIEM 通知 SOC凭据窃取 URL 被拦截 → SIEM恶意附件阻断 → 邮件SIEM合作伙伴域名 DMARC 失败 → 邮件通知邮件管理员季度复核清单更新 VIP 名单、复核误报率、分析用户上报漏报、更新域名白/黑名单、模拟钓鱼测试、复核自定义规则、验证 SIEM 集成。实操验证三步走用真实邮件验证解析按 api-reference.md 用 Pythonemail模块解析.emlemail.message_from_binary_file(f, policypolicy.default)核对Authentication-Results头中spfpass/dkimpass/dmarcpass的组合命令行验证认证与域名dig TXT example.com | grep vspf1查 SPF 记录dig TXT _dmarc.example.com查 DMARC 记录期望vDMARC1; preject; ruamailto:dmarcexample.comopendkim-testkey -d example.com -s selector -vvv验证 DKIM引擎批处理验证运行python scripts/process.py detect --from CEO ceomicr0soft-verify.com --subject URGENT: wire transfer观察评分累加或python scripts/process.py check-domain micr0soft.com观察 typosquatting 判定对目录批量扫描可用 agent.pypython scripts/agent.py 邮件目录/ --output report.json其风险分级每命中指标 15 分与 process.py 的加权模型互为补充。最终依据 SKILL.md 的 Validation 清单逐项验收仿冒保护能否识别伪造的 VIP 显示名、URL 引爆能否拦截测试钓鱼邮件中的恶意链接、附件沙箱能否检出武器化文档、自定义规则能否命中已知鱼叉式钓鱼模式、SIEM 是否成功接收网关告警——五项全过即代表本文所述的标准映射已完整生效。关键参考文件索引技能主文档SKILL.md标准与参考本文主题standards.md多层检测工作流workflows.md厂商 API 与邮件头解析参考api-reference.md检测引擎加权评分 规则生成process.pyEML 分析 Agentagent.py网关配置模板template.mdATTCK 技能映射方法论mappings/mitre-attack/README.mdATTCK 覆盖率与 Navigator 层mappings/README.md、mappings/attack-navigator-layer.jsonF3 反欺诈映射说明docs/mitre-f3-mapping.md【免费下载链接】Anthropic-Cybersecurity-Skills817 structured cybersecurity skills for AI agents · Mapped to 6 frameworks: MITRE ATTCK, NIST CSF 2.0, MITRE ATLAS, D3FEND, NIST AI RMF MITRE F3 (Fight Fraud) · agentskills.io standard · Works with Claude Code, GitHub Copilot, Codex CLI, Cursor, Gemini CLI 20 platforms · 29 security domains · Apache 2.0项目地址: https://gitcode.com/GitHub_Trending/an/Anthropic-Cybersecurity-Skills创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
