将事件遏制与声誉恢复分开
发送帐户被盗会产生两个相关的问题。未经授权的行为者可能仍然具有访问权限，并且收件人或提供者可能已经学会不信任由此产生的邮件。阻止行为者是首要任务，但这并不能证明交付声誉已经恢复。将遏制、恢复合法发送和接收结果视为具有单独证据的单独阶段。
本文是建议的恢复框架，而不是事件报告。无账户、凭证、消息追踪， 黑名单 检查了条目或提供商仪表板。任何安全操作都必须由授权响应者使用适用的提供商程序来执行。发布草稿不能用作重置凭据、撤销访问、删除邮件或联系受影响收件人的权限。
在增加流量之前遏制访问路径
Microsoft 的受损帐户指南于 2026 年 7 月 17 日更新，建议在调查期间阻止访问并解决持久性问题，而不仅仅是更改密码。它包括会话、身份验证方法、应用程序同意、角色和转发评论。这些是 Microsoft 特定的响应领域；实际环境需要相应的授权步骤和证据。不要将新的机密发送到攻击者仍然可以访问的邮箱中。 Microsoft 帐户受损响应.
指定事件负责人并记录每次遏制行动实际完成的时间。保持计划的行动、提交的行动和验证的结果不同。成功的密码更改并不证明每个令牌、连接的应用程序或转发规则都已得到解决。在保留限制或补救更改删除理解事件所需的上下文之前，在组织的事件处理流程中保留相关日志。
定义受影响的内容
建立一个有界的事件窗口，从最早支持的可疑活动到最新验证的未经授权的操作，并明确说明不确定性。识别受影响的帐户、发送流、出站基础设施和接收人群。单个受感染的用户可能与合法应用程序共享基础设施，而受感染的集成可能会到达多个可见邮箱。不要从一个文件夹或一个警报推断出完整的范围。
影响记录应将未经授权的消息与因事件而延迟、拒绝或过滤的合法消息分开。保留带有分母和来源的计数：受影响的接受者来自哪些人群、在哪个时间间隔、在哪个提供者处？遥测不可用是一个限制，而不是零。避免将个人消息内容分发到授权调查人员之外。
检查身份验证而不将其视为无罪
通过受损的合法服务发送的邮件仍可能通过 SPF, DKIM 和 DMARC。域身份验证评估定义的身份关系；它并不能证明人类请求或消息内容是可信的。修复真正的身份验证缺陷（如果存在），但不要声称发布更严格的策略会消除早期的发送行为。 RFC 9989 ，第 4.4 节和第 11 节.
相反，不要假设事件发生后每条失败的消息都是声誉拒绝。保留完整的SMTP响应和阶段、实际发送身份和当前路由。永久性收件人错误、临时资源问题和提供商限制需要不同的处理。仅回复类并不能证明共同原因。 RFC 5321 ，第 4.2.1 节.
单独恢复provider权限
安全帐户可能仍无法发送。 Microsoft 在其恢复指南中进行了调查后从其受限实体工作流程中删除。该步骤与决定如何处理新邮件的下游提供商不同。在安全所有者批准恢复之前，请勿仅仅为了测试受损帐户是否可以再次发送而删除限制。 Microsoft 帐户受损响应.
如果涉及外部列表，请使用其当前所有者验证的补救路线和支持的原因和操作记录。如果接收者应用自己的信誉限制，请遵循该接收者的流程。不要向不相关的运营商提交相同的通用声明，购买所谓的有保证的恢复或转移到新的身份来逃避未解决的滥用问题。
在测量条件下重新引入所需流量
定义能够证明业务功能恢复的最小合法发送人群。使用授权收件人和普通的预期内容，而不是旨在强行“温暖”帐户的大爆炸。 Google 的发件人指南倾向于持续、逐步增加数量并监控回复、投诉和声誉。这是针对接收者的指导，而不是固定恢复期的承诺。 Google 发件人指南.
在释放延迟邮件之前记录原始队列状态。有些通知可能已经过时，有些通知可能已经被接受，尽管客户端结果不确定。指定一名所有者重试决策，以便应用程序和邮件平台不会创建竞争副本。在消息数据最终确定完成后，接受SMTP服务器承担传输责任；收件箱的放置仍然是一个单独的观察。 RFC 5321 ，第 4.2.5 节.
使用虚构的恢复时间表作为工作表
在一个虚构的事件中，安全团队首先记录遏制情况，然后验证不存在任何已知的未经授权的访问路径，最后才批准一小部分合法的发送队列。邮件团队记录提供商的接受情况和任何持续的延期。随后的审查将接收者的投诉和允许的放置观察与事件前的基线进行比较。这些是拟议的里程碑，而不是已执行的行动或经过一段时间的承诺。
时间表必须保留不利的发现。如果接受度提高而投诉仍然很高，那么恢复是不完整的。如果仪表板缺乏足够的数据，请将指标标记为不可用。如果再次发生未经授权的活动，请返回遏制状态，而不是增加数量以追求更好的交付百分比。不同的接收者可能会以不同的方式恢复，因此不要平均排除仍受影响的客户群。
关闭有证据，而不是看起来干净的仪表板
与安全人员和企业主一起设定关闭标准：遏制证据、恢复授权操作、受控交付结果和定义的监控间隔。任何收件人或事件通信都需要单独批准和准确的范围。没有固定的天数或成功的测试可以保证未来的声誉。
显示事件遏制和衡量的交付/声誉恢复时间表。这一确切的目录要求仍然开放。下面的恢复图是一份记录计划。实际事件遏制、提供商适用性、合法消息结果和衡量的声誉时间表均不存在，并且不得表示为已完成。