邮件安全监控与告警规则如何设计？

1 邮件安全监控与告警规则如何设计？ ▼
界定日志与数据源

统一采集 MTA（Postfix/Exchange）日志、邮件安全网关、身份认证结果（SPF/DKIM/DMARC、TLS-RPT）、以及沙箱与 URL 检测结论。所有日志应打上时间戳与事件 ID，集中到 SIEM 或日志平台，确保可追溯与关联分析。

设定关键指标与阈值
  • 认证失败率：单源 IP 短时大量 535/554 触发暴力或字典攻击告警。
  • DMARC 失败spikes：某发件域 DMARC fail 突增，提示伪造或配置错误。
  • 可疑附件/链接：含宏文档、双扩展名、罕见 MIME、恶意 URL 命中威胁情报。
  • 异常外发量：单账号短时巨量外发，疑似账号被盗（ATO）。
抑制告警疲劳与分级响应

参考 CIS Controls 与 NIST SP 800-92，对告警做分级（info/low/med/high）与关联去重，避免大量低价值告警淹没分析师。高优先级（如确认钓鱼、ATO）自动隔离并起工单；中低优先级入队列人工复核。定期复盘误报/漏报，迭代阈值。

对齐框架与演练

将规则映射到 MITRE ATT&CK 邮件战术（如 T1566 钓鱼、T1078 有效账号）与 CIS Control 8（审计日志）/Control 6（访问控制）。每季度做红蓝演练，验证告警从触发到处置的端到端时延满足 SLA。

参考：NIST SP 800-92《日志管理与安全事件分析指引》、CIS Critical Security Controls v8（Control 6/8）、MITRE ATT&CK（T1566 Phishing、T1078 Valid Accounts）、以及 SIEM 厂商邮件检测最佳实践。