企业邮箱防垃圾邮件配置规范

企业邮箱防垃圾邮件配置规范一、第一章总则规范配置标准是抵御外部邮件攻击的第一道防线，直接决定企业信息资产安全基线。本章界定本规范的核心适用范围与执行原则。1.1适用范围本规范适用于企业自建邮件系统（如基于Postfix、Exchange构建）及租用第三方企业邮箱服务（如腾讯企业邮、阿里邮箱、Coremail）的全域防垃圾邮件配置管理。涵盖入站、出站邮件过滤策略及终端用户隔离区管理。1.2核心原则邮件过滤配置必须遵循“先认证后投递、先隔离后审查、动态更新特征库”的原则。所有过滤规则上线前必须在测试环境验证误判率，严禁直接在生产环境应用未经验义的阻断性规则。1.3角色与职责•IT安全组：负责网关层、传输层过滤策略制定与全局规则维护。•系统运维组：负责邮件服务器基础组件运行监控、DNS记录配置及日志归档。•部门邮件管理员：负责本部门业务邮箱的二级白名单维护与隔离区初审。二、第二章身份验证协议配置（SPF/DKIM/DMARC）身份验证协议是判定邮件真伪的底层基石，缺失该层配置将使所有上层过滤规则极易被伪造发件人绕过。本章定义三大核心协议的配置标准与演进路径。2.1SPF（发件人策略框架）配置SPF通过DNS的TXT记录向收件方声明合法发件IP段，接收方在SMTP握手阶段比对连接IP，若不匹配则直接拒绝，从传输层阻断IP欺骗。配置要求：•必须在主域名及所有二级发件域名的根DNS中添加SPF记录。•IT管理员需梳理企业全部合法发件源，包含自建邮件服务器公网IP、第三方邮件服务商（如SendGrid、Mailchimp）的发送IP段。•记录格式必须采用硬拒绝模式，格式示例：v=spf1ip4:/24include:_-all。方案分层与禁忌：•优先使用-all（硬拒绝，未授权IP发信直接被收件方退信）。•若因历史遗留系统发信IP不固定导致退信激增，可临时使用~all（软拒绝，标记为可疑但不退信）观察14天，排查并补充IP后切换回-all。•严禁使用+all（允许任意IP发信，等同于放弃SPF防护，外部攻击者可随意伪造该域名发信）。•严禁使用?all（中立，无任何防护效果）。异常处置：配置后若合作方反映我方邮件被拒，运维组需在15分钟内提取收件方退信代码（如5505.7.1），核对SPF记录解析是否生效，并使用digtxt命令排查DNS缓存。若确认为遗漏发件IP，修改DNS记录并通知对方刷新缓存。2.2DKIM（域名密钥识别邮件标准）配置DKIM在邮件服务器出站时对邮件头与正文进行私钥签名，收件方通过DNS获取公钥解密验证。其核心机理是保障邮件内容在传输途中不被中间人篡改。配置要求：•密钥长度必须不低于2048位（1024位密钥易被暴力破解）。•必须为每个发信域配置独立的DKIM选择器，选择器命名规范为selYYYYMM（如sel202310），便于密钥轮换追溯。•DNS记录格式示例：sel202310._.INTXT"v=DKIM1;k=rsa;p=MIGfMA0GCSqGSIb3..."。动作机理与轮换机制：•错误做法：长期使用同一密钥不轮换。一旦私钥泄露，攻击者可无限伪造合法签名邮件绕过反垃圾网关。后果：企业域名信誉受损，被全球RBL列入黑名单。•正确做法：每6个月执行一次密钥轮换。新密钥发布到DNS后，保留旧密钥DNS记录14天（保证在途邮件验证通过），随后在邮件服务器删除旧私钥。2.3DMARC（基于域名的邮件身份验证报告与一致性）配置DMARC汇总SPF与DKIM的验证结果，并定义对未通过验证邮件的处理策略及报告反馈机制。无DMARC，企业无法掌握域名被伪造的真实情况。配置要求与三阶段演进：DMARC配置必须遵循三阶段灰度上线策略：1.观察期（p=none）：持续14天至30天。策略为v=DMARC1;p=none;rua=mailto:dmarc-reports@。此阶段仅收集数据，不阻断任何邮件。IT安全组每日分析报告，识别未纳入SPF/DKIM的合法发信源。2.隔离期（p=quarantine）：持续7天至14天。策略升级为p=quarantine;pct=10（初始影响10%未通过验证的邮件，将其投递至隔离区）。每日检查误报率，若低于0.1%，逐步将pct提升至100%。3.拒绝期（p=reject）：最终状态。策略为p=reject;pct=100。收件方直接拒绝未通过身份验证的邮件。•严禁在未完成观察期数据分析前，直接跳配p=reject（会导致大量第三方服务商代发的业务邮件（如HR招聘系统、财务报销系统）被全球退信，阻断业务运转）。三、第三章网关与服务器层过滤策略网关层过滤是拦截垃圾邮件的核心环节，需通过多维特征匹配与信誉评分实现精准拦截。本章规定SMTP会话阶段及内容处理阶段的阻断规则。3.1RBL（实时黑洞列表）与连接控制在SMTP连接建立阶段（RCPTTO命令前），通过查询RBL可拒绝已知恶意IP，节省带宽与服务器资源，避免恶意载荷进入内容扫描环节。配置要求：•必须启用SpamhausZEN（含SBL、XBL、PBL等）与中国反垃圾邮件协会（CASA）的RBL查询。•对命中RBL的连接，必须在SMTP握手阶段以5545.7.1Serviceunavailable直接断开连接，严禁将其投递至用户垃圾箱。连接频率限制：•单IP每分钟SMTP连接数阈值设为20次。超过阈值，触发4214.7.0Tryagainlater延迟响应，将该IP加入动态灰名单30分钟。•单账号每分钟发信量限制为10封，日发信量限制为500封。超出阈值触发账号冻结并告警至IT安全组，防范账号被盗用后的海量外发垃圾邮件。3.2灰名单机制配置•动作机理：对首次连接的未知发件方服务器返回临时错误码（如4514.7.1Tryagainlater）。正常邮件服务器（MTA）收到4xx错误后，会按标准RFC规则在5分钟至15分钟后重试投递；而发送垃圾邮件的僵尸网络通常不缓存状态、不重试，从而在早期阶段被丢弃。•配置要求：灰名单延迟时间设置为300秒。对已验证身份的合法发件域（通过SPF/DKIM）必须跳过灰名单检查，避免正常业务延迟。•异常处置：若重要客户首次发信被延迟，部门邮件管理员需在1小时内将其发信域加入全域白名单，并通知客户重试。3.3内容过滤与附件防护规则•可执行附件拦截：必须直接剥离或隔离.exe,.bat,.cmd,.js,.vbs,.scr,.iso,.img等高风险扩展名附件。错误做法是仅更改扩展名后放行，用户仍可通过重命名运行，导致勒索病毒执行。替代方案为：将附件打包为加密ZIP，密码通过其他渠道（如短信）告知用户。•宏文档拦截：含有宏的Office文档（.docm,.xlsm）默认隔离至管理员隔离区。业务确需使用时，发件人需提前向IT安全组报备文件Hash值，加入白名单后放行。•钓鱼链接识别：网关必须开启URL递归解析。若邮件正文包含外部链接，且该链接跳转后的真实IP命中威胁情报库，或域名注册时间小于30天，判定为高危，直接拒收并生成安全事件工单。四、第四章用户侧隔离区与误报管理隔离区是平衡“过度拦截”与“安全阻断”的缓冲带，必须建立透明可查的释放机制，否则将严重干扰正常业务沟通。本章定义隔离邮件的流转与审查标准。4.1隔离通知与查看机制•每日08:00系统自动向用户发送“垃圾邮件摘要报告”，列出发件人、主题、命中规则及评分。•摘要报告中必须提供“放行”与“举报为钓鱼”两个操作按钮。用户点击操作必须经过SSO单点登录二次认证，防止邮件预览窗中的恶意链接直接被点击触发。•隔离区邮件保留30天，期满自动彻底删除。严禁将垃圾邮件直接投递至用户收件箱由用户自行甄别（误判率无法控制，终端用户极易中招钓鱼）。4.2用户黑白名单管理•终端用户可在Webmail界面自行添加个人级白名单（跳过内容扫描，但仍需通过身份验证）。•用户级白名单优先级低于系统级黑名单。即：若发件人域名被系统判定为高危（如发件域被挂马），用户将其加入白名单无效，邮件仍被隔离。•用户误放行垃圾邮件后，系统记录该动作。若同一用户单月误放行垃圾邮件超过5次，IT安全组需强制重置该用户密码并安排反钓鱼安全培训。五、第五章异常处置与应急响应机制面对钓鱼暴发或系统误判引发的邮件风暴，缺乏分级响应机制将导致IT部门陷入被动救火状态，造成业务大面积停滞。本章建立三级响应体系。5.1风险事件分级与处置事件等级判定标准启动权限处置原则与演化阻断点一级（重大）勒索病毒附件在内网扩散；高管邮箱账号被盗群发钓鱼邮件；超过10个用户点击同一钓鱼链接CIO/IT总监1.网关层紧急拉黑发件域/IP；<br>2.全域切断外部SMTP入站15分钟；<br>3.启用企业IM工具广播预警；<br>4.隔离受感染终端网络，追溯账号泄露路径。二级（严重）单一发件域伪造企业内部域名群发钓鱼；防垃圾网关单日拦截量激增300%IT安全组组长1.网关层拉黑发件域并提取特征码更新规则；<br>2.向全量用户推送针对性安全告警邮件；<br>3.检查DMARC隔离率报表。三级（一般）超过3个用户反馈同一封正常业务邮件被误隔离；网关特征库更新失败部门邮件管理员1.提取误报样本特征，调整贝叶斯权重；<br>2.手动放行被隔离邮件并通知发件方；<br>3.修复网关更新源连通性。5.2钓鱼邮件暴发应急SOP（标准作业程序）当检测到钓鱼邮件暴发时，必须按以下物理机理与逻辑顺序执行：1.阻断传播途径（5分钟内）：IT安全组在邮件网关提取钓鱼邮件的唯一特征（如发件地址、邮件头Message-ID、恶意URL），配置全局阻断规则，阻断所有在途与未读邮件投递。2.消除已有威胁（15分钟内）：通过PowerShell脚本或网关API，检索全量用户收件箱与已读邮件，强制删除/隔离命中特征的邮件。严禁仅依靠用户手动删除（用户可能漏删或已点击链接）。3.凭证重置与溯源（1小时内）：调取邮件网关与代理服务器日志，比对已读用户名单与外联日志，锁定已点击恶意链接或提交凭证的用户。强制重置该批用户的企业邮箱密码、VPN密码，并清理其终端的会话Token。六、第六章运维检查与持续优化垃圾邮件特征库每日更新，防垃圾系统若不进行定期健康度评估，拦截率将在3个月内显著下降。本章建立PDCA闭环管理机制。6.1日常健康度检查（Plan&Check）•每日检查：运维组每日上午09:00检查DMARCrua报告，分析前24小时被外部拒绝的邮件量，若突降可能意味着SPF/DKIM配置失效；若激增可能意味着内部账号被盗发或外部遭遇大规模伪造攻击。•每周检查：提取网关Top50拦截发件域与Top10误报样本，优化黑名单与内容过滤正则表达式。6.2持续改进机制（Do&Act）•每季度演练：IT安全组每季度使用第三方模拟钓鱼平台向全体员工发送定制化钓鱼邮件（如“薪资调整确认”、“门禁系统升级”）。对点击附件或链接的员工，系统自动记录并强制安排线上反钓鱼培训。•年度策略审计：每年年底由非执行方（如外部审计或内部合规组）对本规范执行情况进行审计。重点核查白名单清单是否包含失效域名、黑名单是否过大导致性能下降，输出年度改进基线。七、第七章附件：可执行工具与表单本章节提供可直接落地的检查表与联络机制，相关人员须照此执行。7.1邮件安全事件应急处置联络通讯录角色姓名手机号职责说明一级决策人张某某138******批准全域切断外部邮件等极端操作技术负责人李某某139******网关阻断规则配置、溯源分析运维值班人王某