使用 Microsoft Defender 中的 AI 代理自动筛查网络钓鱼

使用 Microsoft Defender 中的 AI 代理自动筛查网络钓鱼

2026 年 3 月 10 日

简介：人工智能时代的反网络钓鱼之战

网络钓鱼仍然是最持久、最有效的网络威胁之一，其复杂程度和数量不断发展。到 2026 年，随着生成式 AI 工具的兴起，攻击者有能力以前所未有的规模创建高度可信的个性化网络钓鱼电子邮件，这使得安全和运营 (SOC) 团队的手动检测和分类几乎成为不可能的任务。来自用户的网络钓鱼报告数量可能很快就会让分析师不知所措，导致响应延迟并增加受损风险 [1]。

传统上，网络钓鱼筛查过程涉及几个手动步骤：用户报告可疑电子邮件，安全分析师检查电子邮件标头，分析链接和附件（通常在隔离环境中），检查发件人的信誉，最后决定威胁的性质和补救措施。这个过程虽然在小范围内有效，但速度缓慢，容易出现人为错误，并且无法扩展到大规模的现代攻击 [2]。

为了应对这一挑战，Microsoft 发布了 网络钓鱼分类代理，这是 Microsoft Defender for Office 365 的革命性独立组件。该代理由先进的人工智能提供支持，旨在在几秒钟内分析、调查和修复可疑的网络钓鱼电子邮件，从而使 SOC 团队能够专注于更复杂的战略威胁。网络钓鱼分类代理代表了安全自动化领域的重大飞跃，改变了组织应对网络钓鱼攻击的方式 [3]。

本技术和教育文章旨在深入介绍网络钓鱼分类代理、其操作原理、优点以及在 Microsoft Defender for Office 365 环境中启用和配置它的分步指南。我们的重点将是这项技术如何在 2026 年及以后加强您的组织抵御网络钓鱼威胁的安全态势。

网络钓鱼筛查挑战和 AI 代理解决方案

网络钓鱼的有效性在于它能够利用人性和信任。借助人工智能，攻击者可以：

  • 大规模个性化：生成高度个性化的网络钓鱼电子邮件，模仿来自银行、供应商甚至同事的合法通信，从而增加成功的可能性。

  • 检测规避：使用混淆和多态性技术创建绕过传统电子邮件过滤器的网络钓鱼电子邮件变体。

  • 高级社会工程：开发更复杂和可信的叙述，利用时事或趋势来欺骗受害者。

面对这种情况，人类的反应就显得不足了。这就是网络钓鱼分类代理发挥作用的地方。它基于人工智能和机器学习原理运行，使您能够：

  • 深度上下文分析：代理不仅检查可疑关键字或链接，还使用高级语言模型来理解电子邮件的上下文、语气和意图。它可以识别基于规则的过滤器或承受压力的人类分析师不会注意到的细微异常。

  • 沙箱模拟：对于链接和附件，代理模拟隔离环境（沙箱）中的交互，观察链接（重定向、下载恶意软件）或附件（恶意脚本执行）的行为，而不暴露组织的真实网络。这样可以进行准确且安全的风险评估[4]。

  • 自动修复：根据分析，代理可以采取预定义的修复操作，例如将电子邮件移至隔离区、将其从用户收件箱中永久删除，甚至在网关级别阻止发件人。

自主分诊的创新优势

实施网络钓鱼分类代理可为安全运营带来变革性优势：

  • 无与伦比的速度：网络钓鱼电子邮件筛查和补救从几小时或几分钟减少到仅仅几秒钟。这可以最大限度地减少用户点击恶意链接或打开危险附件的机会。sos，包含攻击的传播。

  • 提高准确性：借助上下文分析和沙箱模拟，代理实现了更高的威胁检测率，最重要的是，显着减少了误报。这可以防止 SOC 团队出现警报疲劳，并确保资源分配给真正的威胁。

  • 大规模可扩展性：代理可以处理人类团队无法处理的网络钓鱼电子邮件，从而确保整个组织的保护保持一致，无论攻击的规模或强度如何。

  • SOC 资源优化：通过自动分类低风险和中风险威胁，网络钓鱼分类代理使安全分析师能够专注于更复杂的调查、主动威胁搜寻和制定安全策略，从而提高整体 SOC 成熟度水平。

  • 一致的响应：自动化可确保按照预定义的安全策略一致地处理每个网络钓鱼事件，消除人为干预可能发生的可变性。

实施的先决条件

要利用网络钓鱼分类代理的功能，您的组织将需要以下元素：

  • Microsoft Defender for Office 365 许可：网络钓鱼分类代理是 Microsoft Defender for Office 365 计划 2 许可证或包含此计划的 Microsoft 365 E5/A5/G5 包提供的一项高级功能。

  • 管理访问权限：在 Microsoft Defender 门户 (security.microsoft.com) 中具有全局管理员、安全管理员或合规管理员权限的帐户。

  • Defender for Office 365 基本配置：预计基本的反网络钓鱼、反垃圾邮件和反恶意软件策略已配置并可运行。

  • 用户消息报告策略：为了让代理发挥作用，用户必须有一个简单的机制来报告网络钓鱼电子邮件（例如 Outlook 中的报告消息加载项）。

分步指南：激活和配置网络钓鱼分类代理

激活和配置网络钓鱼分类代理是一个简单的过程，旨在与 Microsoft Defender for Office 365 环境无缝集成。

步骤 1：在 Microsoft Defender 门户中启用网络钓鱼分类代理

此初始步骤涉及启用安全仪表板中的功能，允许代理开始运行。

  1. 访问 Microsoft Defender 门户：打开浏览器并导航到“security.microsoft.com”。使用具有必要管理权限的帐户登录。

  2. 导航到威胁策略：在左侧导航窗格中，展开电子邮件和协作并选择策略和规则。然后单击“威胁策略”。

  3. 找到网络钓鱼分类代理：在威胁策略中，您将找到专用于 AI 资源的部分。选择 网络钓鱼分类代理（预览版/GA）。 “预览版/GA”名称表示该功能可能处于公共预览版或可能已经全面上市，具体取决于您所在的地区和 Microsoft 的发布时间表。

  4. 激活代理：将状态开关切换至打开。这将启用代理。接下来，您需要定义应用范围。要完整覆盖，请选择整个组织。您还可以选择特定的用户组或域来分阶段实施。

  5. 保存更改：确保保存要应用的策略的所有设置。

步骤 2：定义自动修复操作

激活后，配置网络钓鱼分类代理应如何响应不同的威胁级别至关重要。这允许您自定义代理修复的积极程度。

  1. 访问自动代理操作：在同一网络钓鱼分类代理配置屏幕上，导航到 自动操作 部分。

  2. 配置高置信度威胁：对于被分类为网络钓鱼高置信度的电子邮件（即代理高度确定其恶意性质），请选择 永久删除 操作。此操作将从用户的收件箱和任何文件夹中删除电子邮件，从而阻止任何进一步的交互。未来。

  3. 配置中等可信度威胁：对于中等可信度电子邮件（有强有力但非决定性的网络钓鱼证据），选择移至隔离区并通知管理员。这种方法允许人工分析师在永久删除之前查看隔离的电子邮件，从而降低误报的风险，但仍能遏制威胁。

  4. 其他补救选项：探索其他选项，例如针对低信任威胁的移至垃圾邮件或针对重复的网络钓鱼发件人的阻止发件人。这些设置的灵活性允许对代理响应进行精细控制。

  5. 保存更改：确认修复设置。

步骤 3：结果监控和分析

为了评估网络钓鱼分类代理的有效性并确保其按预期运行，Microsoft Defender for Office 365 提供了专用的仪表板和报告。

  1. 访问电子邮件和协作报告：在 Microsoft Defender 门户侧面菜单中，转到 报告 > 电子邮件和协作。

  2. 查看“AI 代理效率”报告：查找 “AI 代理效率” 报告（或类似名称，可能略有不同）。该报告旨在显示关键指标，例如：

  3. 避免的攻击数量：代理在无需人工干预的情况下检测到并修复了多少网络钓鱼电子邮件。

  4. 平均响应时间：与手动分类相比，代理的行动速度。

  5. 误报/否定：对代理准确性的分析，允许对补救策略进行微调。

  6. 攻击趋势：深入了解最常见的网络钓鱼类型和攻击者使用的策略。

  7. 使用威胁浏览器：要进行更详细的调查，Defender for Office 365 中的威胁浏览器允许您搜索特定电子邮件、查看攻击者的结论并了解威胁的路径。

  8. 配置自定义警报：在 Microsoft Sentinel（如果集成）中，您可以配置自定义警报，以通知您有关大量代理网络钓鱼检测或需要人工注意的高度复杂的网络钓鱼尝试。

其他注意事项和最佳实践

  • 用户培训：虽然代理会自动进行筛选，但对用户进行持续培训以识别和报告可疑电子邮件仍然至关重要。代理根据用户报告采取行动，强大的安全文化是第一道防线。

  • 定期政策审查：威胁形势不断变化。定期审查网络钓鱼分类代理配置和补救策略，以确保它们对攻击者的最新策略保持有效。

  • SOC 集成：确保网络钓鱼分类代理结果和警报与您的 SIEM/SOAR 系统（例如 Microsoft Sentinel）集成，以获得统一的安全视图并协调更广泛的事件响应。

  • 初始审核模式：对于需要更谨慎方法的组织，请考虑最初在审核模式下配置代理或使用较温和的补救措施（例如移至垃圾邮件）来监控其性能，然后再实施更积极的操作。

  • 持续反馈：使用报告和指标向 AI 模型提供反馈，有助于随着时间的推移提高其准确性和有效性。

结论

Microsoft Defender for Office 365 的网络钓鱼分类代理代表了 2026 年打击网络钓鱼的重大进步。通过自动对网络钓鱼电子邮件进行分类、调查和修复，它不仅大大加快了响应时间，而且还提高了检测准确性，并使安全团队能够专注于更具战略性的挑战。对于任何希望增强网络弹性并保护用户免受人工智能时代日益复杂的威胁的组织来说，有效实施此代理是关键的一步。通过采用这项技术，公司可以将网络钓鱼防御从手动、反应性的战斗转变为主动化、智能化运营。

参考文献

[1] 微软技术社区。 “Ignite 2025：Microsoft Defender 中有哪些新增功能？”网址：https://techcommunity.microsoft.com/blog/microsoftthreatprotectionblog/ignite-2025-whats-new-in-microsoft-defender/4469996 [2] 微软技术社区。 “RSA 2026：Microsoft Defender 中有哪些新增功能？”网址：[https://techcommunity.microsoft.com/blog/microsoftthreatprotectionblog/rsa-2026-what%E2%80%99s-new-in-microsoft-defender/4503046] （https://techcommunity.microsoft.com/blog/microsoftthreatprotectionblog/rsa-2026-what%E2%80%99s-new-in-microsoft-defender/4503046） [3] 领英。 “RSA 2026：Microsoft Defender 有哪些新功能？| Sami Lamppu。”网址：[https://www.linkedin.com/posts/sami-lamppu_rsa-2026-whats-new-in-microsoft-defender-activity-7442586162021433344-5Fez] （https://www.linkedin.com/posts/sami-lamppu_rsa-2026-whats-new-in-microsoft-defender-activity-7442586162021433344-5Fez） [4] 微软技术社区。 “每月新闻 - 2026 年 4 月。”网址：https://techcommunity.microsoft.com/blog/microsoftthreatprotectionblog/monthly-news---april-2026/4508050