CISA 抗钓鱼 MFA 与邮件安全指南：FIDO/WebAuthn 封堵 AiTM，DMARC 强制 reject
一、指南背景
美国网络与基础设施安全局（CISA）长期将"钓鱼"列为首要初始入侵向量。在与 NSA、FBI 联合发布的《网络钓鱼指南》及独立的"抗钓鱼 MFA""号码匹配 MFA"两份情况说明书中，CISA 反复强调一个核心判断：并非所有 MFA 都等同安全，传统基于推送或短信的 MFA 易被 AiTM（对抗性中间人）、MFA 疲劳轰炸与 SIM 交换攻击绕过。本文梳理 CISA 对邮件安全的核心要求与合规落地路径。
二、MFA 层级：抗钓鱼认证是唯一终点
CISA 将 MFA 按安全性分为层级，最强一端是抗钓鱼 MFA。其明确结论：唯一广泛可用的抗钓鱼认证是 FIDO/WebAuthn 认证。当恶意行为者诱使用户登录伪造网站时，FIDO 协议会直接阻断该尝试——因为它将认证绑定到合法域名的源（origin），伪造站点无法复用凭证。
| 层级 | 形式 | 抗钓鱼能力 |
|---|---|---|
| 最强 | FIDO / WebAuthn、基于 PKI 的认证 | 抗钓鱼，可抵御 AiTM |
| 过渡 | 号码匹配（number matching）推送 MFA | 缓解 MFA 疲劳轰炸，非完全抗钓鱼 |
| 较弱 | 普通推送、短信（SMS）验证码 | 可被 SIM 交换、推送轰炸绕过 |
CISA 指出，过去一年针对 MFA 的绕过攻击显著增多。对所有组织，其建议是：识别不支持 MFA 的系统并制定升级或迁移计划；作为零信任原则的长期与中期目标，实施抗钓鱼 MFA。若暂时无法部署，可采用号码匹配作为过渡，并制定向抗钓鱼 MFA 迁移的路线。
三、邮件安全：DMARC 强制 reject 是第一拦截线
在 CISA/NSA/FBI 联合指南中，"保护登录凭证"一节将邮件认证列为所有组织适用的首要缓解措施：
- 对接收邮件启用 DMARC，并与 SPF、DKIM 配合，依据发布规则校验发件服务器；未通过校验的邮件被视为欺骗性邮件并被隔离/报告。
- 将 DMARC 策略设为 reject：任何被冒用域名的传入邮件在发送前即被邮件服务器拒绝，并提供通知伪造者来源的机制。
- 实施内部邮件与消息流量监控，建立正常流量基线，仔细检查偏离。
- 使用免费安全工具，防止用户被重定向到恶意网站窃取凭证。
CISA 强调，DMARC 与 SPF、DKIM 共同构成域名仿冒的"基础拦截网"，而 p=reject 提供最强保护——它直接使其他用户收不到冒用您域名的邮件。
四、合规落地路径（对企业）
4.1 认证侧：分步迁移至 FIDO
盘点所有支持 MFA 的系统，优先在高风险账户（邮件、财务、域控、VPN）启用 FIDO/WebAuthn 安全密钥或设备内置生物识别（如平台 authenticator）；对暂不支持的系统，强制号码匹配推送以封堵疲劳轰炸；对完全不支持 MFA 的系统，纳入淘汰或升级计划。
4.2 邮件侧：DMARC 收口至 reject
先以 p=none 收集 DMARC 报告、摸清合法发送源，再逐步过渡到 p=quarantine，最终设为 p=reject。全程配合 DKIM 全量签名与 SPF 的 10 次 DNS 查询上限（RFC 7208）。详细部署见 ztpop 知识库 SPF/DKIM/DMARC 三合一部署检查清单。
4.3 检测侧：收口移动端与协议层盲区
CISA 指南与微软 Q1 报告一致指出，QR 码钓鱼、设备码钓鱼正绕过传统网关。应在邮件安全网关层对二维码、日历邀请、嵌套 EML 做同等沙箱与信誉检测，并部署具备行为基线的 BEC 检测。
五、总结
CISA 的邮件安全框架可概括为"认证抗钓鱼 + 邮件强制认证 + 流量基线监控"三层。对企业而言，MFA 不再是"有就行"，而是"是否抗钓鱼"；DMARC 不再是"部署就行"，而是"是否 reject"。在 AiTM 与工业化 BEC 并起的当下，这两条红线直接决定邮件体系能否扛住初始入侵。
参考来源
- CISA — More than a Password / Implementing Phishing-Resistant MFA (CISA)
- CISA — Turn On MFA (CISA)
- CISA / NSA / FBI — 联合《网络钓鱼指南》（Phishing Guidance）
- IETF RFC 7489 — Domain-based Message Authentication, Reporting, and Conformance (DMARC)
- IETF RFC 7208 — Sender Policy Framework (SPF) Version 1
- MITRE ATT&CK — Multi-Factor Authentication (T1621)
了解更多邮件安全合规实践，请访问 行业资讯首页 或致电 021-69753778 获取安全咨询服务。
📦 相关产品与方案
昆仑邮件系统内置邮件安全网关模块，支持 DMARC 强制 p=reject 部署、DKIM 全量签名、抗钓鱼 MFA 策略协同及 BEC 行为基线检测。如您的企业需要构建符合 CISA 邮件安全框架的防护体系，请联系我们获取方案咨询。
电话：021-69753778 | 邮箱：zhangtao@ztpop.net