SafeW收到带宏的Excel文件时应该先核对什么？

收到带宏的Excel文件时，应先逐项核对发送者身份与通信渠道的可信度、文件名与扩展一致性、数字签名与证书、文件属性与修改痕迹，以及使用防病毒与沙箱对宏进行动态静态分析，确认组织策略后再决定是否启用宏，以避免恶意代码执行。

SafeW: 核对发送者身份与通信渠道可信度

验证发件邮箱和内部联系一致性

• 核对邮箱域名：检查发件人的邮箱域名与其声称单位是否一致，验证是否为公司内部邮件服务器或可信第三方，并留意相似字符替换以防域名欺骗。
• 确认通信路径：查看邮件头和传输路径，确认邮件是否通过正常企业网关或外部中转，识别异常中转服务器或来源国别以排除钓鱼风险。
• 比对历史通信：与过往已知的该联系人邮件内容格式和语气进行比对，若风格或签名信息异常，应通过电话或其他受信渠道二次确认真实性。

联系发送者进行二次确认

• 通过独立渠道确认：使用已有的电话或即时通讯工具联系发件人本人，避免通过邮件直接回复确认，以防对方邮箱被冒用或线程被劫持。
• 确认发送意图与文件用途：询问发件人该Excel文件的用途、创建时间与是否包含宏，确认业务合理性并记录沟通过程以备审计。
• 索要额外证明材料：若怀疑文件真实性，可要求发件人提供相关合同、工单编号或截图等补充材料以支持文件的合法性与必要性。

SafeW: 检查文件名、扩展名和元数据一致性

比对文件名与扩展的合理性

• 检查扩展一致性：确认文件扩展名是否与实际文件类型匹配，警惕“双重扩展”或伪装扩展（如 .xls.xlsm.exe），避免被恶意可执行文件误导。
• 审查文件名模式：核对文件名是否与项目编号、业务流水或发件人常用命名规则一致，异常或随机命名可能提示自动生成或批量攻击行为。
• 检测隐藏扩展设置：在系统设置中显示文件扩展名以避免误判，确认文件未通过隐藏扩展或特殊字符伪装真实类型。

查看文件属性与修改历史

• 检查创建与修改时间：在文件属性中比对创建、修改与访问时间是否合理，异常时间戳或频繁修改可能指示恶意注入或模板污染。
• 审阅作者与公司字段：查看Excel文件内部“作者”“公司”等元数据，发现不符合预期的作者信息需警惕源头异常或模板来源不明。
• 查看文档版本信息：在文件“信息”区或文件历史记录中查证版本变更记录，若无合理变更记录则需进一步询问文件来源与编辑链条。

SafeW: 静态与动态扫描宏代码与文件

用防病毒和静态分析工具扫描文件

• 运行多引擎扫描：使用企业级反病毒与多引擎扫描服务对文件进行静态扫描，观察是否存在已知恶意宏签名或可疑代码片段提示。
• 启用宏代码静态检查：在不启用宏的前提下导出或查看VBA代码，使用静态分析工具检测可疑关键字、外部调用或敏感函数调用痕迹。
• 比对哈希值与黑名单：计算文件哈希并与安全产品黑名单进行比对，如发现匹配或高度相似则拒绝启用并上报安全团队处理。

在隔离环境中进行动态沙箱分析

• 在受控沙箱运行：将文件提交到隔离的沙箱环境中启用宏并观察其网络连接、进程创建、文件写入等行为，评估是否存在恶意执行链。
• 记录系统调用与流量：捕获宏执行期间的系统调用、注册表变更和外发流量，分析是否存在数据泄漏、远程下载或命令与控制通信。
• 对比行为与规则库：将动态行为与威胁情报规则库对比，若行为匹配已有攻击模式应立即阻断并进行溯源与通知。

SafeW: 验证宏签名、权限与内容安全策略

检查数字签名与证书链

• 验证宏的数字签名：查看VBA项目是否由可信证书签名，确认证书颁发者是否合法并在本组织的受信任证书列表中存在。
• 确认证书有效期与撤销状态：检查签名证书的有效期、撤销列表（CRL/OCSP）状态，若证书已撤销或过期则拒绝信任宏。
• 比对签名与发件人：确保签名证书主体与发件人信息一致，若不一致或无法溯源，应通过安全流程进行进一步核查。

评估宏的权限与敏感操作

• 识别敏感API调用：在VBA代码中查找文件系统、网络、外部程序调用等敏感API，如发现批量操作或外部请求应提高警惕。
• 评估自动执行触发器：检查宏是否绑定到自动触发事件（如Workbook_Open、Auto_Open），自动执行宏在未经审批前不应启用。
• 实施最小权限原则：在测试环境中运行宏时限制其权限范围，禁止访问外部网络或关键存储，确保即便宏执行也无法越权操作。

SafeW: 决策、隔离与上报处置流程

在受控条件下决定是否启用宏

• 基于风险评估决定：结合发件人验证、静态与动态检测结果以及证书验证，按组织风险容忍度决定是否启用宏或需要额外审批。
• 采用分级审批流程：对高风险或不确定的宏文件启动安全审批流程，要求安全团队或资产负责人签批后方可在业务环境启用。
• 记录决策与理由：在启用或禁用宏的决策中记录评估结论、责任人和时间，以便后续审计及事件追溯使用。

隔离可疑文件并上报安全团队

• 将可疑文件隔离存放：将疑似恶意的Excel文件移至隔离存储或只读容器，阻断其在企业网络中进一步传播或被误启用。
• 向安全团队提交样本：将文件、哈希值、扫描与沙箱报告提交给组织安全团队或外部威胁情报提供方以协助深入分析。
• 执行补救与通报：若判定为恶意，应按照事件响应流程进行补救，包括杀毒、受影响资产清理、密码重置与相关人员通报。