メールセキュリティ & フィッシング分析
ACTION REQUIRED（読んだらすぐ実行）
NOW: 承認の確認（サンプルメール分析 / テナント構成レビュー）NOW: 悪意のあるサンプルを実際のユーザーに再送しないACT: ヘッダー認証 → コンテンツ/URL → 添付ファイルサンドボックス → テナント制御面の提案
適用シナリオ
- フィッシングメールの解析とIOC抽出
- SPF/DKIM/DMARC 構成評価
- BEC ビジネスメール詐欺パターン
- OAuth アプリフィッシング / メールボックストークンの悪用（llm/cloud のID連携）
- セキュリティ意識向上訓練の設計（承認済み）
ワークフロー
□ 完全な生ヘッダー：Received チェーン、From/Return-Path の一致
□ SPF/DKIM/DMARC の検証結果
□ URL サンドボックスと添付ファイルの静的解析（malware-analysis と連携）
□ なりすましブランドと返信先アドレスの差異
□ テナント：アンチフィッシングポリシー、外部マーキング、MFA、OAuth アプリ同意
ツールチェーン
| ツール | 用途 |
|---|---|
| メールクライアント「ソースを表示」 | ヘッダー |
| dig/nslookup | SPF/DMARC レコード |
| urlscan / サンドボックス | リンクと添付ファイル |
| テナント管理センター | ポリシー |
参考
references/email-auth-checklist.md../malware-analysis/../attack-chain/（フィッシング段階）../windows-ad/（トークン）
ルーティングコンテキスト
上流: MASTER R36
禁止: 未承認での第三者ドメインへの一斉フィッシングテスト
タスク完了セルフチェック
- ヘッダー認証の結論は完全か？
- IOC は検出可能な形で抽出されているか（threat-hunting と連携）？
- チェックリストは完了したか？