要在Microsoft 365中拦截钓鱼邮件，请开启标准或严格预设安全策略，将攻击者最可能伪造的人员和域名添加到冒充保护中，保持Safe Links开启，并为用户提供内置的“举报”按钮。在Google Workspace中，请开启Gmail的高级钓鱼和恶意软件设置，并发布SPF、DKIM和DMARC。如果仍有大量邮件通过，请在前端部署MX网关（例如 iBlockSpam）并锁定直连投递。
事实核查日期为2026年11月8日。Microsoft 365设置源自Microsoft Learn。Gmail设置源自Google Workspace管理员帮助。邮件路由规则源自IETF RFC。每个来源均已在文中内嵌链接。关于iBlockSpam的事实源自其官方网站。菜单和许可可能会发生变化，因此在更改实时租户设置前，请务必检查所链接的页面。
| 任务 | Microsoft 365 | Google Workspace |
|---|---|---|
| 基准策略 | 标准或严格预设安全策略 | Gmail安全设置，包含“自动应用未来推荐的设置" |
| 相似发送者 | 仿冒保护（Defender for Office 365方案1或2） | Gmail Safety中的仿冒与认证设置 |
| 恶意链接 | Safe Links（Defender for Office 365） | Gmail Safety中的链接与外部图像设置 |
| 恶意附件 | Safe Attachments (Defender for Office 365) | 附件设置与Security Sandbox（部分版本） |
| 暂存邮件 | 根据隔离策略进行隔离（15至30天） | 垃圾邮件文件夹，或根据所选操作进行管理员隔离 |
| 前端网关 | 合作伙伴入站连接器及Enhanced Filtering for Connectors | 入站网关设置：“自动检测外部IP" |
| 阻止绕过 | 将连接器限制在网关证书或IP范围内 | “拒绝所有非网关IP发送的邮件” |
在您进行任何更改之前，什么在保护您的邮箱？
两个平台都已经具备入站邮件过滤功能。问题在于您的许可证包含哪些额外的保护功能，以及哪些功能目前处于关闭状态。
Microsoft在其 Defender for Office 365概览 中描述了一个三级保护阶梯。所有云邮箱内置的安全功能（通常称为Exchange Online Protection或EOP）可以拦截广泛的已知攻击。Defender for Office 365 Plan 1 增加了仿冒保护、网络钓鱼阈值、Safe Links和Safe Attachments。Microsoft列举了Microsoft 365 Business Premium和Microsoft 365 E3作为包含Plan 1的示例。Plan 2（例如在Microsoft 365 E5中）增加了攻击模拟训练和自动调查功能。
在Google Workspace中，保护功能位于 Apps > Google Workspace > Gmail 下的 Safety 以及 Spam, Phishing and Malware 页面。某些功能取决于您所使用的版本。
如需了解更全面的情况（为什么电子邮件仍是主要的切入方式，以及MX路由如何运作），请阅读我们的商业电子邮件保护指南。
如何在Microsoft 365中拦截钓鱼邮件？
首先从Microsoft自身推荐的基准开始，然后添加默认未开启的保护措施。请在security.microsoft.com的Microsoft Defender门户中进行操作。
- 开启预设安全策略。 前往 电子邮件与协作 > 策略与规则 > 威胁策略 > 预设安全策略。Microsoft的预设安全策略页面将 Standard 描述为大多数用户的基准，并将 Strict 描述为针对高价值目标的更激进配置。大多数设置是固定的，系统会始终先应用Strict，然后是Standard，最后是任何自定义策略。
- 将人员和域名添加到仿冒保护中。 预设策略会自动保护您已接受的域名，但您必须指定具体的人员。在Standard或Strict预设中，您可以添加最多350名用户和50个自定义域名。请添加高管、财务人员和关键供应商。Microsoft指出，仿冒域名可能会绕过SPF、DKIM和DMARC，这就是为什么这一步至关重要。
- 检查自定义策略中的钓鱼阈值。 在Defender for Office 365防钓鱼策略中，阈值范围从1（Standard，默认值）到4（最激进）。较高的值也会拦截更多正常的邮件。
- 保持开启仿冒智能并遵循DMARC。 仿冒智能和首次联系安全提示适用于所有云邮箱。“遵循DMARC记录策略”设置允许您隔离或拒绝未通过发送者p=quarantine或p=reject策略的邮件。
- 确认Safe Links已激活。 Safe Links 在邮件流期间扫描URL，并在用户点击时再次进行检查。如果您至少拥有一个Defender for Office 365许可证，内置保护预设将对任何未被其他策略覆盖的用户应用Safe Links。请保持“允许用户点击跳转至原始URL”处于关闭状态。
- 开启“举报”按钮。 在用户举报设置中，启用内置的举报按钮。根据 Microsoft的举报指南，用户随后可以从受支持的Outlook应用中举报网络钓鱼，举报信息将发送至Microsoft、举报邮箱或两者兼有。
- 运行配置分析器。 配置分析器会将您的策略与“标准”及“严格”设置进行比较，并列出所有较弱的设置。
Microsoft 365隔离：用户可以和不可以释放的邮件
根据 Microsoft的隔离概述，恶意软件和高置信度的网络钓鱼邮件始终会被隔离，且只有管理员可以将其释放。默认情况下，用户可以处理属于自己的垃圾邮件、批量邮件、网络钓鱼和仿冒检测。隔离策略规定了用户可以执行的操作以及是否会收到通知。由默认策略拦截的垃圾邮件将在 15天后过期（可在1到30天之间调整）；预设策略会将其保留 30天。请开启通知功能，以便在邮件被删除前将其释放。
如何在Google Workspace中拦截垃圾邮件和网络钓鱼？
在Gmail中，最大的收益来自于高级安全设置以及对您自有域名的身份验证。您需要拥有Gmail设置管理员权限。
- 打开Gmail安全。 前往 应用 > Google Workspace > Gmail > 安全。Google的 高级网络钓鱼和恶意软件保护页面将控制项分为三个领域：附件、链接和外部图像，以及仿冒和身份验证。
- 开启各项保护并选择操作。 默认操作是“将电子邮件保留在收件箱中并显示警告”。您可以改为将邮件移至垃圾邮件箱，或者将其发送至管理员隔离区，用户不会收到任何通知。
- 勾选每个区域的“自动应用推荐设置”，以便为您开启来自Google的新防护功能。
- 启用增强型投递前消息扫描。 在垃圾邮件、网络钓鱼和恶意软件设置下，此设置会短暂延迟可疑消息，以便Gmail在投递前进行额外检查。
- 如果您的版本支持，请开启Security Sandbox。 Security Sandbox 会在虚拟环境中打开附件。该功能默认关闭，可能会延迟投递长达3分钟，适用于Business Standard、Business Plus、Enterprise和Frontline Plus版本。
- 在顶级组织级别应用设置，以确保覆盖所有用户。更改可能需要长达24小时才能生效。
在您的域名上执行SPF、DKIM和DMARC能阻止入站网络钓鱼吗？
它们可以阻止攻击者冒用您的确切域名进行发送。但它们无法阻止相似域名或被入侵的外部账户。
- SPF (RFC 7208)列出了允许代表您的域名发送邮件的服务器。请参阅Google的 SPF指南 以获取Workspace的值。
- DKIM (RFC 6376)会对每条消息进行签名。在Google Workspace中，请在Gmail > 验证电子邮件下生成密钥并发布，然后点击开始验证（Google的DKIM指南 建议使用2048位）。
- DMARC (RFC 7489)告知接收方在两项检查均失败时该如何操作。Google的DMARC指南建议在执行SPF或DKIM后等待48小时，初始设置应为p=none，随后再转为隔离或拒绝。
入站网关不会更改您的SPF记录。只有当您通过该网关发送出站邮件时，才需要向SPF中添加服务。
您应该在何时于Microsoft 365或Google Workspace前端添加第三方垃圾邮件过滤器？
当调整内置过滤器无法再解决问题，或者当您需要其无法提供的功能时，请添加网关。它是一个第二层防护，而非替代方案。
Microsoft对权衡利弊的表述非常直接。其集成非Microsoft安全服务指南指出，随着产品的增加，成本会更高、复杂度会更高，且误报率也会增加。它还提到“全面防护永远无法达到100%”。尽管如此，仍需添加网关的常见原因包括：
- 在应用了“标准”或“严格”设置后，垃圾邮件或钓鱼邮件仍会进入收件箱。
- 您的许可证不包含Defender for Office 365，且按用户计费的附加组件超出了您的预算。
- 您希望为多个域名或邮件平台统一使用一套隔离机制和规则，同时为每个用户提供简单的个人隔离功能。
Microsoft完全支持将MX指向网关且开启Enhanced Filtering for Connectors的设置。它建议避免使用“进出路由”模式，即邮件离开Microsoft 365进行扫描后再返回。
如何在Microsoft 365前面添加网关过滤器？
您需要创建一个合作伙伴入站连接器，开启“增强型筛选”，移动MX，然后锁定租户，使只有网关可以进行投递。操作顺序非常重要。
- 在更改前一天，将MX的TTL降低至约300秒。
- 在Exchange管理中心创建合作伙伴入站连接器（邮件流 > 连接器），针对所有发送者域名（*），要求使用TLS。目前请保持限制选项为关闭状态。
- 在security.microsoft.com/skiplisting开启Enhanced Filtering for Connectors。如果没有此设置，根据 Microsoft的解释，每条消息看起来都像是来自网关的IP，从而导致仿冒检查失去准确性。请输入网关的IP范围，或者针对单跳路由选择“自动检测并跳过最后一个IP地址”。在针对少数用户的试点阶段，必须列出每个收件人的所有地址。
- 将MX记录更改为网关的主机。不要保留Microsoft的MX作为备份。RFC 5321第5.1节 规定发送者会回退到其他列出的MX主机，垃圾邮件发送者可以直接针对备份进行攻击。
- 一旦旧的TTL过期，请锁定连接器。根据Microsoft的 第三方云路由指南，应通过网关的TLS证书（首选）或IP地址来限制合作伙伴连接器。这样，直接发送到您租户的邮件将被拒绝。
- 移除任何SCL -1绕过规则。 Microsoft将SCL -1称为“过滤的输入项而非最终决策”，并警告称，绕过共享网关IP可能会导致仿冒邮件和钓鱼邮件通过。
- 如果您使用Safe Links，请关闭网关中的链接重写功能。Microsoft警告称，双重链接封装可能会阻止Safe Links检查链接。
Microsoft的opt-in RejectDirectSend 设置（公告）也会拦截使用您自有域名作为发送者的匿名消息。请先迁移使用Direct Send的扫描器和应用程序。
如何在Google Workspace前添加网关过滤器？
在Gmail中，关键设置是入站网关。它告知Gmail应该忽略哪些IP，以便其判断真实的发送者。
- 提前一天降低MX的TTL。
- 在顶级组织下的 Apps > Google Workspace > Gmail > Spam, Phishing and Malware 中打开入站网关。Google的 入站网关指南 列出了所有选项。
- 添加网关IP。 仅接受公网IP。请列出邮件经过的所有网关。
- 选择“自动检测外部IP”，以便Gmail使用原始发送者的IP进行SPF。
- 选择“连接时需要TLS”并保存。不要开启“禁用Gmail垃圾邮件评估”，以确保Gmail作为第二层防护。
- 等待设置生效（最多24小时），然后将MX更改为网关的主机。不要将Google的MX作为备份保留。
- 在旧的TTL过期且测试邮件通过网关到达后，选择“拒绝所有非来自网关IP的邮件”。
需要注意的一个限制：Google指出“对于从入站网关到达的消息，Gmail不强制执行发送者的DMARC策略”。您的网关必须针对此类邮件处理仿冒检查。
在您锁定任何设置之前，请从外部账户发送一条测试消息并查看其报头。在Microsoft 365或Gmail之前的最后一跳应该是网关，且SPF应显示原始发送者的IP。如需回滚，请先移除锁定设置，然后再将MX指回，否则租户将拒绝直接到达的邮件。
iBlockSpam是如何实现这一点的
iBlockSpam 是BroadNet Group的品牌（参见我们所有的品牌）。它是一个在MX层级运行的入站过滤器。您只需将域名的MX记录指向其过滤服务器。每条消息都会经过垃圾邮件、病毒、恶意软件、钓鱼和仿冒检查。干净的邮件将进入您正在使用的平台：Microsoft 365、Google Workspace、cPanel/WHM、Exchange或其他服务器。邮箱不会发生迁移（工作原理）。
以下是iBlockSpam网站关于该产品的说明：
- 按域名计费。 Protect每域名每月费用为12美元（按年计费，每年144美元），或按月计费15美元。Protect Plus每域名每月费用为19美元（按年计费，每年228美元），或按月计费24美元。价格页面上的价格为USD的测试价格，不含税。
- 包含所有邮箱。 域名下的邮箱和域名别名无需支付每个邮箱的费用。每个域名每月包含100,000条入站消息，最大消息大小为400 MB。
- 每个用户均拥有个人隔离区，并可按每小时、每日、选定的工作日或自定义时间表接收摘要邮件。管理员还拥有共享域名隔离区。请参阅隔离与摘要。
- 过滤器与列表。 提供地理位置、附件类型和Microsoft Office宏过滤器、自定义域名规则，以及带有发送者验证的允许列表和阻止列表。
- 引导式设置。 向导将并排显示您当前的DNS和新值，并记录回滚步骤。Microsoft 365设置页面涵盖Partner连接器、增强型过滤和连接器锁定。Google Workspace设置页面涵盖入站网关设置。
- 停机缓冲。 如果您的邮件服务器宕机，邮件将保留长达5天。消息历史记录将保留30天。
- 监控。 MX、SPF和DMARC漂移警报（Protect为每周一次，Protect Plus为每日一次）、DMARC报告监控以及每日仿冒域名监测。Protect Plus还增加了每月所有者报告和人工设置服务。
本网站对限制条件也进行了明确说明。我们不提供免费试用；相反，域名的首个年度订阅享有30天退款保证。按月支付的费用不予退款。邮件在美国进行处理。没有任何过滤器能拦截一切，因此部分垃圾邮件可能会通过，而部分需要的邮件可能会被拦截。Lookalike Domain Watch可以检测仿冒域名，但无法将其下架。DMARC提供监控报告，但不拦截邮件。
短信钓鱼也会通过短信进行；请参阅我们的短信钓鱼防御指南。如需发送交易类邮件，请参阅BroadNet的电子邮件服务。
准备好了解您的域名状况了吗？ 运行免费的电子邮件健康检查以读取您的MX、SPF、DKIM和DMARC记录，然后在iBlockSpam价格页面上比较方案，并创建您的账户以开始Microsoft 365或Google Workspace的引导式设置。
常见问题
Microsoft 365中的Standard和Strict预设安全策略是什么？
它们是Microsoft为电子邮件提供的现成保护配置文件。Standard是大多数用户的基准配置。Strict则更为严格，适用于高价值目标，如高管和财务人员。大多数设置无法编辑。在已获得Defender for Office 365授权的区域，这些策略还涵盖了Safe Links、Safe Attachments和仿冒保护。您可以在Microsoft Defender门户网站的“威胁策略”下开启它们。
我是否需要Defender for Office 365来阻止Microsoft 365中的钓鱼攻击？
如果只需要基础保护，则无需额外购买。每个云邮箱都自带反垃圾邮件、反恶意软件、欺骗情报和隔离功能。仿冒保护、钓鱼阈值、Safe Links和Safe Attachments则需要Defender for Office 365 Plan 1或Plan 2。Microsoft列举了包含Plan 1的Microsoft 365 Business Premium和E3作为示例，以及包含Plan 2的E5作为示例。Defender for Office 365也可以作为附加组件单独购买。
Microsoft 365会保留隔离邮件多久？
这取决于邮件被拦截的原因。被默认反垃圾邮件策略拦截的垃圾邮件将保留15天，管理员可以将其设置为1到30天。Standard和Strict预设策略会保留30天。超过保留期后，邮件将被永久删除且无法恢复。
Google Workspace管理员应该开启哪些Gmail设置来防御网络钓鱼？
在管理控制台中，依次打开Apps、Google Workspace、Gmail、Safety。开启附件、链接和外部图像保护，以及仿冒和身份验证保护，并勾选“自动应用未来推荐的设置”。在“垃圾邮件、网络钓鱼和恶意软件”下，启用增强型邮件预投递扫描，如果您的版本包含Security Sandbox，请将其启用。请在顶级组织级别应用设置，以确保覆盖所有用户。
我可以在Google Workspace中添加第三方垃圾邮件过滤器吗？
可以。首先，在“垃圾邮件、网络钓鱼和恶意软件”下的“入站网关”设置中，添加过滤服务的公网IP范围，并选择“自动检测外部IP”和“需要TLS”。然后将您的MX记录指向该服务。一旦邮件通过该服务流转，请选择“拒绝所有非来自网关IP的邮件”。Google不会对网关邮件强制执行发送者的DMARC策略，因此网关必须检查仿冒行为。
如果我将Microsoft 365锁定为仅接受来自网关的邮件，会导致什么问题？
任何直接投递到您租户的服务都会停止工作。这包括使用Direct Send连接到mail.protection.outlook.com主机的扫描仪、打印机和业务应用。请先将它们迁移到经过身份验证的SMTP提交或它们自己的连接器。只有在旧的MX TTL已过期且测试邮件已通过网关送达后，再锁定连接器。
网关过滤器是否可以取代Microsoft 365或Gmail的垃圾邮件过滤？
不，它作为第一层防御机制。Microsoft 365会始终扫描入站邮件，并且通过Enhanced Filtering for Connectors，它能够识别原始发送者，而非网关。除非您禁用针对网关邮件的垃圾邮件评估（通常不建议这样做），否则Gmail也会持续进行扫描。双层防御可以拦截更多威胁，但会增加成本。