# 如何在Microsoft 365和Google Workspace中拦截钓鱼邮件：管理员设置及何时添加网关

> Microsoft 365和Google Workspace已经具备邮件过滤功能，但关键防护功能默认处于关闭状态。本指南列出了需要开启的具体设置，并附有Microsoft和Google文档的链接。随后，本指南将展示何时以及如何通过iBlockSpam等网关进行前端过滤，并如何锁定直连投递。

- 规范网址: https://www.broadnet.me/zh/blog/stop-spam-phishing-microsoft-365-google-workspace-2026
- 语言: zh
- 最后更新: 2026-11-08
- 发布方: BroadNet (https://www.broadnet.me)

- 发布日期: 2026-11-08
- 作者: BroadNet Editorial Team

若要在Microsoft 365中拦截钓鱼邮件，请开启**标准或严格预设安全策略**，将攻击者最可能伪造的人员和域名添加到冒充保护中，保持Safe Links开启，并为用户提供内置的“举报”按钮。在Google Workspace中，请开启Gmail的高级钓鱼和恶意软件设置，并发布SPF、DKIM和DMARC。如果仍有大量邮件通过，请在前端部署MX网关（例如 [iBlockSpam](https://iblockspam.com/?utm_source=broadnet.me&utm_medium=blog&utm_campaign=stop-spam-phishing-microsoft-365-google-workspace-2026)）并锁定直连投递。

> 事实核查日期为2026年11月8日。Microsoft 365设置源自Microsoft Learn。Gmail设置源自Google Workspace管理员帮助。邮件路由规则源自IETF RFC。每个来源均已在文中内嵌链接。关于iBlockSpam的事实源自其官方网站。菜单和许可可能会发生变化，因此在更改实时租户设置前，请务必检查所链接的页面。

| 任务 | Microsoft 365 | Google Workspace |
|---|---|---|
| 基准策略 | 标准或严格预设安全策略 | Gmail安全设置，包含“自动应用未来推荐的设置" |
| 相似发送者 | 仿冒保护（Defender for Office 365方案1或2） | Gmail Safety中的仿冒与认证设置 |
| 恶意链接 | Safe Links（Defender for Office 365） | Gmail Safety中的链接与外部图像设置 |
| 恶意附件 | Safe Attachments (Defender for Office 365) | 附件设置与Security Sandbox（部分版本） |
| 暂存邮件 | 根据隔离策略进行隔离（15至30天） | 垃圾邮件文件夹，或根据所选操作进行管理员隔离 |
| 前端网关 | 合作伙伴入站连接器及Enhanced Filtering for Connectors | 入站网关设置：“自动检测外部IP" |
| 阻止绕过 | 将连接器限制在网关证书或IP范围内 | “拒绝所有非网关IP发送的邮件” |

## 在您进行任何更改之前，什么在保护您的邮箱？

两个平台都已经具备入站邮件过滤功能。问题在于您的许可证包含哪些额外的保护功能，以及哪些功能目前处于关闭状态。

Microsoft在其 [Defender for Office 365概览](https://learn.microsoft.com/en-us/defender-office-365/mdo-about) 中描述了一个三级**保护阶梯**。所有云邮箱内置的安全功能（通常称为Exchange Online Protection或EOP）可以拦截广泛的已知攻击。**Defender for Office 365 Plan 1** 增加了仿冒保护、网络钓鱼阈值、Safe Links和Safe Attachments。Microsoft列举了Microsoft 365 Business Premium和Microsoft 365 E3作为包含Plan 1的示例。**Plan 2**（例如在Microsoft 365 E5中）增加了攻击模拟训练和自动调查功能。

在Google Workspace中，保护功能位于 **Apps > Google Workspace > Gmail** 下的 **Safety** 以及 **Spam, Phishing and Malware** 页面。某些功能取决于您所使用的版本。

如需了解更全面的情况（为什么电子邮件仍是主要的切入方式，以及MX路由如何运作），请阅读我们的[商业电子邮件保护指南](https://www.broadnet.me/blog/business-email-spam-phishing-protection-guide-2026)。

## 如何在Microsoft 365中拦截钓鱼邮件？

首先从Microsoft自身推荐的基准开始，然后添加默认未开启的保护措施。请在security.microsoft.com的Microsoft Defender门户中进行操作。

1. **开启预设安全策略。** 前往 **电子邮件与协作 > 策略与规则 > 威胁策略 > 预设安全策略**。Microsoft的[预设安全策略页面](https://learn.microsoft.com/en-us/defender-office-365/preset-security-policies)将 **Standard** 描述为大多数用户的基准，并将 **Strict** 描述为针对高价值目标的更激进配置。大多数设置是固定的，系统会始终先应用Strict，然后是Standard，最后是任何自定义策略。
2. **将人员和域名添加到仿冒保护中。** 预设策略会自动保护您已接受的域名，但您必须指定具体的人员。在Standard或Strict预设中，您可以添加最多350名用户和50个自定义域名。请添加高管、财务人员和关键供应商。[Microsoft指出](https://learn.microsoft.com/en-us/defender-office-365/anti-phishing-policies-about)，仿冒域名可能会绕过SPF、DKIM和DMARC，这就是为什么这一步至关重要。
3. **检查自定义策略中的钓鱼阈值。** 在Defender for Office 365防钓鱼策略中，阈值范围从1（Standard，默认值）到4（最激进）。较高的值也会拦截更多正常的邮件。
4. **保持开启仿冒智能并遵循DMARC。** 仿冒智能和首次联系安全提示适用于所有云邮箱。“**遵循DMARC记录策略**”设置允许您隔离或拒绝未通过发送者p=quarantine或p=reject策略的邮件。
5. **确认Safe Links已激活。** [Safe Links](https://learn.microsoft.com/en-us/defender-office-365/safe-links-about) 在邮件流期间扫描URL，并在用户点击时再次进行检查。如果您至少拥有一个Defender for Office 365许可证，内置保护预设将对任何未被其他策略覆盖的用户应用Safe Links。请保持“**允许用户点击跳转至原始URL**”处于关闭状态。
6. **开启“举报”按钮。** 在**用户举报设置**中，启用内置的**举报**按钮。根据 [Microsoft的举报指南](https://learn.microsoft.com/en-us/defender-office-365/submissions-outlook-report-messages)，用户随后可以从受支持的Outlook应用中举报网络钓鱼，举报信息将发送至Microsoft、举报邮箱或两者兼有。
7. **运行配置分析器。** [配置分析器](https://learn.microsoft.com/en-us/defender-office-365/configuration-analyzer-for-security-policies)会将您的策略与“标准”及“严格”设置进行比较，并列出所有较弱的设置。

### Microsoft 365隔离：用户可以和不可以释放的邮件

根据 [Microsoft的隔离概述](https://learn.microsoft.com/en-us/defender-office-365/quarantine-about)，恶意软件和高置信度的网络钓鱼邮件始终会被隔离，且只有管理员可以将其释放。默认情况下，用户可以处理属于自己的垃圾邮件、批量邮件、网络钓鱼和仿冒检测。**隔离策略**规定了用户可以执行的操作以及是否会收到通知。由默认策略拦截的垃圾邮件将在 **15天**后过期（可在1到30天之间调整）；预设策略会将其保留 **30天**。请开启通知功能，以便在邮件被删除前将其释放。

## 如何在Google Workspace中拦截垃圾邮件和网络钓鱼？

在Gmail中，最大的收益来自于高级安全设置以及对您自有域名的身份验证。您需要拥有Gmail设置管理员权限。

1. **打开Gmail安全。** 前往 **应用 > Google Workspace > Gmail > 安全**。Google的 [高级网络钓鱼和恶意软件保护页面](https://knowledge.workspace.google.com/admin/gmail/advanced/advanced-phishing-and-malware-protection)将控制项分为三个领域：附件、链接和外部图像，以及仿冒和身份验证。
2. **开启各项保护并选择操作。** 默认操作是“将电子邮件保留在收件箱中并显示警告”。您可以改为将邮件移至垃圾邮件箱，或者将其发送至管理员隔离区，用户不会收到任何通知。
3. **勾选每个区域的“自动应用推荐设置”**，以便为您开启来自Google的新防护功能。
4. **启用增强型投递前消息扫描。** 在**垃圾邮件、网络钓鱼和恶意软件**设置下，此设置会[短暂延迟可疑消息](https://knowledge.workspace.google.com/admin/security/help-prevent-phishing-with-pre-delivery-message-scanning)，以便Gmail在投递前进行额外检查。
5. **如果您的版本支持，请开启Security Sandbox。** [Security Sandbox](https://knowledge.workspace.google.com/admin/gmail/advanced/set-up-rules-to-detect-harmful-attachments) 会在虚拟环境中打开附件。该功能默认关闭，可能会延迟投递长达3分钟，适用于Business Standard、Business Plus、Enterprise和Frontline Plus版本。
6. **在顶级组织级别应用设置**，以确保覆盖所有用户。更改可能需要长达24小时才能生效。

## 在您的域名上执行SPF、DKIM和DMARC能阻止入站网络钓鱼吗？

它们可以阻止攻击者冒用您的确切域名进行发送。但它们无法阻止相似域名或被入侵的外部账户。

- **SPF** ([RFC 7208](https://www.rfc-editor.org/rfc/rfc7208))列出了允许代表您的域名发送邮件的服务器。请参阅Google的 [SPF指南](https://knowledge.workspace.google.com/admin/security/set-up-spf) 以获取Workspace的值。
- **DKIM** ([RFC 6376](https://www.rfc-editor.org/rfc/rfc6376))会对每条消息进行签名。在Google Workspace中，请在**Gmail > 验证电子邮件**下生成密钥并发布，然后点击**开始验证**（[Google的DKIM指南](https://knowledge.workspace.google.com/admin/security/set-up-dkim) 建议使用2048位）。
- **DMARC** ([RFC 7489](https://www.rfc-editor.org/rfc/rfc7489))告知接收方在两项检查均失败时该如何操作。Google的[DMARC指南](https://knowledge.workspace.google.com/admin/security/set-up-dmarc)建议在执行SPF或DKIM后等待48小时，初始设置应为p=none，随后再转为隔离或拒绝。

入站网关不会更改您的SPF记录。只有当您通过该网关发送**出站**邮件时，才需要向SPF中添加服务。

## 您应该在何时于Microsoft 365或Google Workspace前端添加第三方垃圾邮件过滤器？

当调整内置过滤器无法再解决问题，或者当您需要其无法提供的功能时，请添加网关。它是一个第二层防护，而非替代方案。

Microsoft对权衡利弊的表述非常直接。其[集成非Microsoft安全服务指南](https://learn.microsoft.com/en-us/defender-office-365/mdo-integrate-security-service)指出，随着产品的增加，成本会更高、复杂度会更高，且误报率也会增加。它还提到“全面防护永远无法达到100%”。尽管如此，仍需添加网关的常见原因包括：

- 在应用了“标准”或“严格”设置后，垃圾邮件或钓鱼邮件仍会进入收件箱。
- 您的许可证不包含Defender for Office 365，且按用户计费的附加组件超出了您的预算。
- 您希望为多个域名或邮件平台统一使用一套隔离机制和规则，同时为每个用户提供简单的个人隔离功能。

Microsoft完全支持将MX指向网关且开启Enhanced Filtering for Connectors的设置。它建议避免使用“进出路由”模式，即邮件离开Microsoft 365进行扫描后再返回。

## 如何在Microsoft 365前面添加网关过滤器？

您需要创建一个合作伙伴入站连接器，开启“增强型筛选”，移动MX，然后锁定租户，使只有网关可以进行投递。操作顺序非常重要。

1. **在更改前一天，将MX的TTL降低**至约300秒。
2. **在Exchange管理中心创建合作伙伴入站连接器**（**邮件流 > 连接器**），针对所有发送者域名（*），要求使用TLS。目前请保持限制选项为关闭状态。
3. **在security.microsoft.com/skiplisting开启Enhanced Filtering for Connectors**。如果没有此设置，根据 [Microsoft的解释](https://learn.microsoft.com/en-us/exchange/mail-flow-best-practices/use-connectors-to-configure-mail-flow/enhanced-filtering-for-connectors)，每条消息看起来都像是来自网关的IP，从而导致仿冒检查失去准确性。请输入网关的IP范围，或者针对单跳路由选择“自动检测并跳过最后一个IP地址”。在针对少数用户的试点阶段，必须列出每个收件人的所有地址。
4. **将MX记录更改**为网关的主机。不要保留Microsoft的MX作为备份。[RFC 5321第5.1节](https://www.rfc-editor.org/rfc/rfc5321#section-5.1) 规定发送者会回退到其他列出的MX主机，垃圾邮件发送者可以直接针对备份进行攻击。
5. 一旦旧的TTL过期，请**锁定连接器**。根据Microsoft的 [第三方云路由指南](https://learn.microsoft.com/en-us/exchange/mail-flow-best-practices/manage-mail-flow-using-third-party-cloud)，应通过网关的TLS证书（首选）或IP地址来限制合作伙伴连接器。这样，直接发送到您租户的邮件将被拒绝。
6. **移除任何SCL -1绕过规则。** Microsoft将SCL -1称为“过滤的输入项而非最终决策”，并警告称，绕过共享网关IP可能会导致仿冒邮件和钓鱼邮件通过。
7. 如果您使用Safe Links，请**关闭网关中的链接重写功能**。Microsoft警告称，双重链接封装可能会阻止Safe Links检查链接。

Microsoft的opt-in **RejectDirectSend** 设置（[公告](https://techcommunity.microsoft.com/blog/exchange/introducing-more-control-over-direct-send-in-exchange-online/4408790)）也会拦截使用您自有域名作为发送者的匿名消息。请先迁移使用Direct Send的扫描器和应用程序。

## 如何在Google Workspace前添加网关过滤器？

在Gmail中，关键设置是**入站网关**。它告知Gmail应该忽略哪些IP，以便其判断真实的发送者。

1. **提前一天降低MX的TTL**。
2. 在顶级组织下的 **Apps > Google Workspace > Gmail > Spam, Phishing and Malware** 中**打开入站网关**。Google的 [入站网关指南](https://knowledge.workspace.google.com/admin/gmail/advanced/set-up-an-inbound-mail-gateway) 列出了所有选项。
3. **添加网关IP。** 仅接受公网IP。请列出邮件经过的所有网关。
4. **选择“自动检测外部IP”**，以便Gmail使用原始发送者的IP进行SPF。
5. **选择“连接时需要TLS”**并保存。不要开启“禁用Gmail垃圾邮件评估”，以确保Gmail作为第二层防护。
6. **等待设置生效**（最多24小时），然后将MX更改为网关的主机。不要将Google的MX作为备份保留。
7. 在旧的TTL过期且测试邮件通过网关到达后，**选择“拒绝所有非来自网关IP的邮件”**。

需要注意的一个限制：Google指出“对于从入站网关到达的消息，Gmail不强制执行发送者的DMARC策略”。您的网关必须针对此类邮件处理仿冒检查。

在您锁定任何设置之前，请从外部账户发送一条测试消息并查看其报头。在Microsoft 365或Gmail之前的最后一跳应该是网关，且SPF应显示原始发送者的IP。如需回滚，请先移除锁定设置，然后再将MX指回，否则租户将拒绝直接到达的邮件。

## iBlockSpam是如何实现这一点的

[iBlockSpam](https://iblockspam.com/?utm_source=broadnet.me&utm_medium=blog&utm_campaign=stop-spam-phishing-microsoft-365-google-workspace-2026) 是BroadNet Group的品牌（参见[我们所有的品牌](https://www.broadnet.me/brands)）。它是一个在MX层级运行的入站过滤器。您只需将域名的MX记录指向其过滤服务器。每条消息都会经过垃圾邮件、病毒、恶意软件、钓鱼和仿冒检查。干净的邮件将进入您正在使用的平台：Microsoft 365、Google Workspace、cPanel/WHM、Exchange或其他服务器。邮箱不会发生迁移（[工作原理](https://iblockspam.com/how-it-works?utm_source=broadnet.me&utm_medium=blog&utm_campaign=stop-spam-phishing-microsoft-365-google-workspace-2026)）。

以下是iBlockSpam网站关于该产品的说明：

- **按域名计费。** Protect每域名每月费用为12美元（按年计费，每年144美元），或按月计费15美元。Protect Plus每域名每月费用为19美元（按年计费，每年228美元），或按月计费24美元。[价格页面](https://iblockspam.com/pricing?utm_source=broadnet.me&utm_medium=blog&utm_campaign=stop-spam-phishing-microsoft-365-google-workspace-2026)上的价格为USD的测试价格，不含税。
- **包含所有邮箱。** 域名下的邮箱和域名别名无需支付每个邮箱的费用。每个域名每月包含100,000条入站消息，最大消息大小为400 MB。
- **每个用户均拥有个人隔离区**，并可按每小时、每日、选定的工作日或自定义时间表接收摘要邮件。管理员还拥有共享域名隔离区。请参阅[隔离与摘要](https://iblockspam.com/features/quarantine-and-digests?utm_source=broadnet.me&utm_medium=blog&utm_campaign=stop-spam-phishing-microsoft-365-google-workspace-2026)。
- **过滤器与列表。** 提供地理位置、附件类型和Microsoft Office宏过滤器、自定义域名规则，以及带有发送者验证的允许列表和阻止列表。
- **引导式设置。** 向导将并排显示您当前的DNS和新值，并记录回滚步骤。[Microsoft 365设置页面](https://iblockspam.com/platforms/microsoft-365?utm_source=broadnet.me&utm_medium=blog&utm_campaign=stop-spam-phishing-microsoft-365-google-workspace-2026)涵盖Partner连接器、增强型过滤和连接器锁定。[Google Workspace设置页面](https://iblockspam.com/platforms/google-workspace?utm_source=broadnet.me&utm_medium=blog&utm_campaign=stop-spam-phishing-microsoft-365-google-workspace-2026)涵盖入站网关设置。
- **停机缓冲。** 如果您的邮件服务器宕机，邮件将保留长达5天。消息历史记录将保留30天。
- **监控。** MX、SPF和DMARC漂移警报（Protect为每周一次，Protect Plus为每日一次）、DMARC报告监控以及每日仿冒域名监测。Protect Plus还增加了每月所有者报告和人工设置服务。

本网站对限制条件也进行了明确说明。我们不提供免费试用；相反，域名的首个年度订阅享有30天退款保证。按月支付的费用不予退款。邮件在美国进行处理。没有任何过滤器能拦截一切，因此部分垃圾邮件可能会通过，而部分需要的邮件可能会被拦截。Lookalike Domain Watch可以检测仿冒域名，但无法将其下架。DMARC提供监控报告，但不拦截邮件。

短信钓鱼也会通过短信进行；请参阅我们的[短信钓鱼防御指南](https://www.broadnet.me/blog/smishing-defense-sms-phishing-protection)。如需发送交易类邮件，请参阅BroadNet的[电子邮件服务](https://www.broadnet.me/products/email)。

**准备好了解您的域名状况了吗？** 运行免费的[电子邮件健康检查](https://iblockspam.com/tools/email-health-check?utm_source=broadnet.me&utm_medium=blog&utm_campaign=stop-spam-phishing-microsoft-365-google-workspace-2026)以读取您的MX、SPF、DKIM和DMARC记录，然后在[iBlockSpam价格页面](https://iblockspam.com/pricing?utm_source=broadnet.me&utm_medium=blog&utm_campaign=stop-spam-phishing-microsoft-365-google-workspace-2026)上比较方案，并[创建您的账户](https://iblockspam.com/signup?utm_source=broadnet.me&utm_medium=blog&utm_campaign=stop-spam-phishing-microsoft-365-google-workspace-2026)以开始Microsoft 365或Google Workspace的引导式设置。

## 常见问题

### Microsoft 365中的Standard和Strict预设安全策略是什么？

它们是Microsoft为电子邮件提供的现成保护配置文件。Standard是大多数用户的基准配置。Strict则更为严格，适用于高价值目标，如高管和财务人员。大多数设置无法编辑。在已获得Defender for Office 365授权的区域，这些策略还涵盖了Safe Links、Safe Attachments和仿冒保护。您可以在Microsoft Defender门户网站的“威胁策略”下开启它们。

### 我是否需要Defender for Office 365来阻止Microsoft 365中的钓鱼攻击？

如果只需要基础保护，则无需额外购买。每个云邮箱都自带反垃圾邮件、反恶意软件、欺骗情报和隔离功能。仿冒保护、钓鱼阈值、Safe Links和Safe Attachments则需要Defender for Office 365 Plan 1或Plan 2。Microsoft列举了包含Plan 1的Microsoft 365 Business Premium和E3作为示例，以及包含Plan 2的E5作为示例。Defender for Office 365也可以作为附加组件单独购买。

### Microsoft 365会保留隔离邮件多久？

这取决于邮件被拦截的原因。被默认反垃圾邮件策略拦截的垃圾邮件将保留15天，管理员可以将其设置为1到30天。Standard和Strict预设策略会保留30天。超过保留期后，邮件将被永久删除且无法恢复。

### Google Workspace管理员应该开启哪些Gmail设置来防御网络钓鱼？

在管理控制台中，依次打开Apps、Google Workspace、Gmail、Safety。开启附件、链接和外部图像保护，以及仿冒和身份验证保护，并勾选“自动应用未来推荐的设置”。在“垃圾邮件、网络钓鱼和恶意软件”下，启用增强型邮件预投递扫描，如果您的版本包含Security Sandbox，请将其启用。请在顶级组织级别应用设置，以确保覆盖所有用户。

### 我可以在Google Workspace中添加第三方垃圾邮件过滤器吗？

可以。首先，在“垃圾邮件、网络钓鱼和恶意软件”下的“入站网关”设置中，添加过滤服务的公网IP范围，并选择“自动检测外部IP”和“需要TLS”。然后将您的MX记录指向该服务。一旦邮件通过该服务流转，请选择“拒绝所有非来自网关IP的邮件”。Google不会对网关邮件强制执行发送者的DMARC策略，因此网关必须检查仿冒行为。

### 如果我将Microsoft 365锁定为仅接受来自网关的邮件，会导致什么问题？

任何直接投递到您租户的服务都会停止工作。这包括使用Direct Send连接到mail.protection.outlook.com主机的扫描仪、打印机和业务应用。请先将它们迁移到经过身份验证的SMTP提交或它们自己的连接器。只有在旧的MX TTL已过期且测试邮件已通过网关送达后，再锁定连接器。

### 网关过滤器是否可以取代Microsoft 365或Gmail的垃圾邮件过滤？

不，它作为第一层防御机制。Microsoft 365会始终扫描入站邮件，并且通过Enhanced Filtering for Connectors，它能够识别原始发送者，而非网关。除非您禁用针对网关邮件的垃圾邮件评估（通常不建议这样做），否则Gmail也会持续进行扫描。双层防御可以拦截更多威胁，但会增加成本。