邮件是外部进入企业最稳定的通道，也是最容易被绕过的一环。网关能解决大部分批量攻击，但真正造成损失的往往是"看起来很正常"的那一封。
一、威胁从哪来
- 批量垃圾与钓鱼：伪造发件人、短链接、二维码、附件带宏
- 仿冒域名：与公司域名差一两个字母，冒充领导或供应商
- BEC 商务邮件诈骗：不发链接不带附件，只是让你改收款账户
- 账号被盗后的内发：从真实员工邮箱发出，网关基本不拦
前三类靠技术能挡掉大半，第四类只能靠流程与行为基线。所以邮件安全从来不是"上一个网关"这么简单。
二、网关能挡什么，挡不了什么
| 能力 | 能挡 | 挡不住 |
|---|---|---|
| 信誉库与规则 | 已知恶意 IP、域名、附件哈希 | 新注册域名、首次投递 |
| 内容检测 | 关键词、宏、可执行附件 | 纯文本的账户变更要求 |
| 身份校验 | SPF/DKIM/DMARC 不通过的外部信 | 被盗账号从合规服务器发出 |
| 沙箱 | 带行为的恶意附件与链接 | 引导用户自行输入密码的假页面 |
结论：网关负责把噪音降到最低，人负责对"涉及钱和权限"的邮件做二次确认。
三、策略三段：拒绝、隔离、标记
不要只有"拦"和"放"两档，中间必须有一层隔离区：
- 拒绝：DMARC 明确失败、信誉极差、含已知恶意附件。直接 5xx 拒收，不发退信给内部用户。
- 隔离：可疑但不确定。进隔离区，给收件人一封"你有 1 封邮件被隔离"的摘要，可自助放行。
- 标记：外部来信加醒目标签，例如标题前缀
[外部]，正文顶部提示"此邮件来自外部，请勿直接按邮件要求变更付款信息"。
隔离区要能自助查看，否则 IT 每天替人点"放行"，反而养成"让 IT 判断"的坏习惯。
四、误拦处理与白名单治理
误拦是邮件安全最常见的投诉来源。治理方法：
- 白名单按"域名+用途+申请人+到期日"登记，默认 90 天到期需续期
- 禁止按发件人全域名放行大厂公共域名（如 qq.com、163.com），那等于放开半个互联网
- 每周导出一次拦截日志，抽样看被拦的到底是什么，反向校准规则
- 对业务系统发信（ERP、OA 通知）单独走中继白名单，不与人混用
白名单是技术债
每加一条都在削弱网关。把白名单做成有主、有期限的清单，半年就能清掉一半历史遗留。
五、把最后一公里交给流程
- 付款信息变更：必须电话回拨已知号码确认，不接受邮件里给的新号码
- 领导要求转账或买卡：一律当面或电话核实，这条写进员工手册
- 外部附件先落沙箱预览，不鼓励直接下载打开
- 每季度发一次模拟钓鱼，重点看"点了之后有没有人上报"，而不是点击率
技术上再加两条兜底：管理账号强制双因子；邮件管理员账号与日常办公账号分离。真正让企业损失惨重的，多数不是网关漏了一封，而是漏了之后没人问一句。
#邮件安全#钓鱼防护#邮件网关#网络安全
