Análisis de Seguridad de Correo y Phishing
ACCIÓN REQUERIDA (leer y ejecutar inmediatamente)
AHORA: Confirmar autorización (analizar correo de muestra / revisar configuración del inquilino)AHORA: No volver a enviar muestras maliciosas a usuarios realesACTUAR: Autenticación de encabezados → contenido/URL → sandbox de adjuntos → recomendaciones de control del inquilino
Escenarios de Aplicación
- Desglose de correos de phishing e IOC
- Evaluación de configuración SPF/DKIM/DMARC
- Patrones de fraude BEC (Business Email Compromise)
- Phishing de aplicaciones OAuth / abuso de tokens de buzón (en conjunto con identidad llm/cloud)
- Diseño de simulacros de concienciación en seguridad (autorizado)
Flujo de Trabajo
□ Cadena completa de encabezados brutos: Received, coherencia From/Return-Path
□ Resultados de alineación SPF/DKIM/DMARC
□ Sandbox de URL y análisis estático de adjuntos (en conjunto con malware-analysis)
□ Diferencias entre marca suplantada y dirección de respuesta
□ Inquilino: políticas antiphishing, marcado externo, MFA, consentimiento de aplicaciones OAuth
Cadena de Herramientas
| Herramienta | Propósito |
|---|---|
| Cliente de correo «Ver fuente» | Encabezados |
| dig/nslookup | Registros SPF/DMARC |
| urlscan / sandbox | Enlaces y archivos adjuntos |
| Centro de administración del inquilino | Políticas |
Referencias
references/email-auth-checklist.md../malware-analysis/../attack-chain/(fase de phishing)../windows-ad/(tokens)
Contexto de Enrutamiento
Ascendente: MASTER R36
NO DEBE: Enviar masivamente correos de prueba de phishing a dominios de terceros sin autorización
Autocomprobación de Finalización de Tarea
- ¿Está completa la conclusión de autenticación de encabezados?
- ¿Los IOC son detectables (en conjunto con threat-hunting)?
- ¿Se ha completado la lista de verificación?