Microsoft 始终鼓励域所有者部署 DMARC 以提高企业邮箱送达率并防止身份盗窃。他还曾在旨在提高企业邮箱安全标准的行业组织中任职，表明了他对 DMARC 作为该组织一部分的支持。 安全通信的未来。

作为这种方法的坚定支持者，Microsoft 最近对其处理 DMARC 策略中某些设置的方式进行了一些更改。。现在，域所有者可以更好地控制未通过 DMARC 身份验证检查的企业邮箱。他们还得到 更深更广的视野 在其域的企业邮箱活动中，帮助他们检测潜在的欺诈性企业邮箱。

此博客详细介绍了 Microsoft 管理 DMARC 策略的新方法。

DMARC 如何帮助 Microsoft Exchange 用户打击网络钓鱼和身份盗窃？

DMARC 允许 Exchange 管理员配置 DMARC 策略，告诉收件人的邮件服务器如何处理从其域发送的未经授权的企业邮箱。这 三种政治选择 任何 DMARC 用户都可以从中选择 –

没有任何

“无”策略也称为“监控”策略，因为它只允许用户 观察收件人如何“邮箱感知其域。此策略并不指示接收邮件服务器；它们会按照自己的意愿处理来自您域的企业邮箱。

建议在 DMARC 部署的初始阶段使用“无”策略（大约 2-4 周，具体取决于您的应用的性质和实用性） 邮件发送域）。该政策使您准备好采取更严格的政策：隔离和拒绝。

很多 域名所有者 忽视了逐步推进 DMARC 政策的责任，以“隔离和拒绝‘，而不是通过 DMARC 利用企业邮箱身份验证的最终功能。 请注意，长期将 DMARC 策略设置为“无”的域等同于根本没有部署 DMARC 的域。。

隔离

一旦您完成监控并了解收件人邮箱的感知和接收方式， 管理您的企业邮箱你需要加强“隔离”政策的执行。 此 DMARC 策略可帮助您指示收件人邮箱将来自您的域的未经授权的企业邮箱标记为垃圾邮件。。这样，潜在的欺诈性和恶意企业邮箱就不会到达收件人的收件箱，从而最大限度地降低他们被欺骗的风险。您还可以使用 标签“PCT” （百分比标签）仅将预定义百分比的企业邮箱置于“隔离”策略之下。

解雇

“拒绝”策略是最严格的，因为它指示收件人服务器拒绝来自您的未经授权的企业邮箱的输入。 域名完全。这些企业邮箱不会到达主收件箱或垃圾邮件文件夹；他们只是简单地退回给发件人。

许多域所有者对于设置此 DMARC 策略犹豫不决，因为误报和错误配置可能会阻止合法企业邮箱进入邮箱。。 “退回”策略非常严格，需要仔细配置企业邮箱身份验证，包括与营销平台等第三方发件人进行协调，这可能会很复杂且管理起来会占用大量资源。这种经常无意中丢失有效企业邮箱的风险 引导域名所有者 相反，采取不太严格的政策，例如“无”或“隔离”。

Microsoft 如何遵守 DMARC 政策？

2023年， 微软收紧了 其域的 DMARC 策略强制执行“退回”策略，阻止未通过 DMARC 检查的企业邮箱。在此之前，由于“退回”策略而未能通过 DMARC 的企业邮箱最终仍可能会进入垃圾邮件文件夹，因为 Microsoft 将“退回”视为“隔离”，这可能会增加用户遭受网络钓鱼攻击的风险。

现在，如果组织的企业邮箱未通过“拒绝”策略进行身份验证，发件人会收到 未交货报告 解释企业邮箱被阻止的原因。

默认情况下，Microsoft 365 尊重发件人的 DMARC 策略，但管理员可以在 反网络钓鱼设置。例如，管理员可以在网络钓鱼攻击期间实施更严格的规则，例如隔离来自特定域的所有企业邮箱。

为 Microsoft 365 配置 DMARC 策略

以下是在 Microsoft 365 中配置 DMARC 策略的步骤-

1. 前往 Microsoft Defender 门户 并使用您的管理员凭据登录。
2. 转至策略与规则 > 威胁策略。
3. 通过选择“反网络钓鱼”来配置 DMARC。
4. 单击 + 或 ‘ 图标创建或编辑 DMARC 策略新的个性化政策‘分别。
5. 单击“设置”并配置以下内容：
   • 根据您的偏好、期望和情况，选择“无”、“隔离”或“拒绝”政策。
   • 指定您想要接收全局报告和取证报告的企业邮箱地址。
6. 完成配置后 DMARC 设置保存您的更改。
7. 通过将 DMARC TXT 记录添加到您的 DNS 来为您的域启用 DMARC。
8. 使用 DMARC 记录查找工具来确定记录是否包含错误。此外，如有必要，应评估 DMARC 报告并调整设置。。

如何充分利用 DMARC 报告？

添加后您的工作还没有完成 企业邮箱 您希望在哪里接收 DMARC 报告；您需要定期、频繁地分析它们。以下是您可以如何制定所需努力的策略：

分析认证失败

定期审查 DMARC 报告以确定 域名或IP地址 DMARC 检查失败。这有助于检测未经授权的发件人（潜在的欺骗者），并允许您通过更新来采取行动 SPF/DKIM 记录 或阻止恶意发件人。

改善 SPF 和 DKIM 的一致性

使用 DMARC 报告评估您的 SPF 和 DKIM 策略是否正确一致 所有授权发件人。如果企业邮箱无法通过 DMARC，即使它们是合法的，请调整您的 SPF 或 DKIM 配置以确保更好的对齐并减少误报。

优化您的企业邮箱基础设施

DMARC 报告提供有关代表您的域发送企业邮箱的所有来源的信息。使用此数据来优化您的企业邮箱基础设施，确保只有授权服务才能发送企业邮箱，并且 恶意或过时的系统 被识别并删除。

在系统地 审查 DMARC 报告并采取行动, 微软交换 用户可以增强企业邮箱安全性，防止域欺骗，并提高整体企业邮箱送达率。

此外，DMARC 只是全面企业邮箱安全计划的一部分。将 DMARC 与 员工培训、反网络钓鱼工具定期安全审核和多因素身份验证可以帮助加强组织对企业邮箱威胁的防御。