Microsoft 365 / 检查反钓鱼与恶意邮件防护策略

在检查网络钓鱼与恶意邮件防御策略时，应不仅查看单个策略的开关，还需同时确认适用对象、策略优先级、隔离及通知结果。Microsoft 365 提供基础保护策略，根据产品可使用 Standard·Strict 预设策略及自定义策略。

首先要区分的策略

Microsoft的预设安全策略文档说明了基础、标准、严格和自定义策略之间的关系。特别是当多个策略应用于同一用户时，由于优先级可能会选择与预期不同的设置。并非所有功能都包含在所有Microsoft 365订阅中。

先记录现有功能和当前策略

区分 Exchange Online 的基本邮件保护和 Defender for Office 365 的附加功能。例如，当需要 Safe Links、Safe Attachments 或部分防钓鱼保护时，需要确认适用用户是否拥有相应服务权限。仅凭菜单显示的事实，不应判断所有人都包含该功能。

读取策略的角色和更改策略的角色也不同。使用经过批准的安全或邮件管理权限，记录当前策略名称、启用状态、目标用户、组、域、例外、优先级及隔离操作。与其推测默认值，不如实际读取租户设置，并确认现有工作例外的负责人和使用原因是否仍然存在。

如果同一用户有多条策略

同类型策略不会将多个值合并应用。将首先为该收件人选择匹配的第一条策略。基本优先关系为 Strict → Standard → 评估策略（如在使用中）→ 用户自定义 → 默认策略·内置保护，并且用户自定义策略之间数字越小优先级越高。Safe Links 与 Safe Attachments 的内置保护是该产品功能的基本保护，并不是所有基本邮件策略中具有相同名称的功能。

例如，如果测试用户同时包含在 Standard 预设和自定义垃圾邮件策略中，即使将自定义策略的优先级提高为 0，Standard 的相关保护仍会先应用。如果用户收到的结果与预期不同，请先检查该用户所属的预设对象。不应混淆不同保护类型（如恶意软件、垃圾邮件）的检测顺序与同类型策略的优先级。

这是根据微软的策略优先级文档判断的方法。如果假设“更强的设置会在各处合并”，可能导致所需的保护缺失，因此请指定一位收件人，比较按类型实际应用的策略。

策略检查顺序

1. 在 Microsoft Defender 门户中打开 [电子邮件和协作] → [策略和规则] → [威胁策略]。根据屏幕语言或许可证，子菜单可能有所不同。
2. 检查预设安全策略的启用状态和适用对象。还要确认是否对高管或敏感业务帐户应用了单独的策略。

3. 查看网络钓鱼、恶意软件、垃圾邮件策略的例外和允许列表。检查旧的业务例外是否过于宽泛。
4. 如果同一接收者包含在多个策略中，则根据微软的策略应用优先级判断实际应用的策略。
5. 通过隔离的实际消息或安全准备的测试邮件确认预期结果。检查用户是否会收到通知以及谁可以释放隔离邮件。

审查Standard·Strict应用的程序

Standard是一般保护标准，Strict是针对需要更严格保护对象的设置集合的起点。Strict并不意味着适用于所有职务。大部分预设的具体值由Microsoft管理，与用户可以自由调整的大多数自定义策略不同，因此在寻找单独选项之前，应判断策略选择和对象范围是否符合要求。

1. 威胁策略 → 预设安全策略中打开Standard或Strict的当前状态。首先记录现有的对象和排除项。
2. 为要更改的保护指定测试用户·组并审查例外。如果向导中基本保护和Defender保护的应用范围分开显示，则逐一对照对象和许可证。
3. 将需要输入的仿冒防护所需的受保护用户、域等项目与实际组织信息进行对照。确认的不仅是显示名称，还包括要保护的帐号和域。
4. 检查审查画面，并在批准的范围内应用后，重新读取保存状态和目标清单。在修改现有预设时，还需确认测试范围之外的对象是否也发生变化。
5. 通过业务上重要的正常发送路径的邮件检查投递、垃圾邮件、隔离和通知情况。不要在普通测试邮件中放入恶意附件或真实钓鱼网站。

简单的正常邮件收发测试无法验证所有攻击检测能力。实际安全测试必须在组织批准的工具和范围内单独进行。本检查的目的是确认策略对象、业务影响以及隔离和通知是否与预期一致。

确认隔离和用户通知

隔离策略控制用户可以查看哪些消息，以及是否可以自行解除或请求解除。即使是同样的“隔离”，根据检测类型和策略，用户的操作也可能不同。不要仅因为用户收到通知就指导其自行解除。

管理员需要确认消息的检测原因、应用策略和自动处理状态，并确定谁来批准释放隔离邮件。由于发送到垃圾箱的消息、被隔离的消息、服务器拒收的消息后续处理方式不同，所以请结合消息跟踪结果进行阅读。

当正常邮件被阻止时

不要因为正常邮件的投递问题而关闭整个组织的防钓鱼保护。请通过消息跟踪确认状态，调查隔离原因、发件人认证结果以及实际应用的策略。如果是误报，应缩小受影响的发件人和策略条件并进行修改，同时测试以确保其他类似邮件不被阻止。相反，如果钓鱼邮件到达了收件箱，则需要查看允许列表、优先级和域认证设置。

不要仅相信发件人的请求就允许整个域，需确认实际发送主体及SPF·DKIM·DMARC结果。将其添加到地址簿的安全发件人列表并不能绕过恶意软件和高置信度网络钓鱼邮件的检测。如果需要提交误报或进行允许，请使用该检测类型支持的官方提交渠道，并记录对象、有效期及依据。

在策略变更之后，需要重新测试相同的正常发送路径，并确认其他收件人没有出现保护漏洞。将策略、对象和例外记录下来，以便仅将有问题的变更恢复到之前的值，临时允许项需要负责人在到期前重新审查或删除。不要仅凭一封邮件送达就认为问题已解决，也不要为此降低安全保护。