邮件安全事件处置完成后，应该按什么清单做加固复核？

NIST SP 800-61 Rev.2 把事后活动（Post-Incident Activity）列为事件响应生命周期的四个阶段之一，要求组织在事件处置结束后开展经验总结，把结论转化为对流程与防护措施的改进。只关闭工单而不做加固复核，等于为同一手法的下一次得手留门。

NIST SP 800-177 Rev.1《Trustworthy Email》为增强邮件可信提供建议与指南，其中围绕 SMTP 与 DNS 推荐了用于认证发送域的机制，包括 SPF、DKIM 与 DMARC。复核要点：SPF 是否覆盖了全部实际发送来源（含第三方代发）；DKIM 是否对全部出站邮件签名且签名域与 From 域对齐；DMARC 策略强度是否与聚合报告所反映的就绪度相匹配；以及是否已针对子域与不存在子域做了策略约定。

SP 800-177 Rev.1 同时给出邮件传输安全方面的建议，涉及传输层安全及相关的证书认证机制。复核要点：出入站是否已启用传输加密；证书是否有效且在有效期内；对关键往来域是否配置了强制加密策略，避免在协商失败时静默降级为明文投递。

SP 800-177 Rev.1 还涉及邮件内容层面的加密与认证，包括基于 S/MIME 的内容加密与签名及相应的证书与密钥分发。复核要点：涉及敏感信息与资金指令的业务场景，是否具备内容级别的签名手段以支撑收件方核验，而不是仅依赖传输层与发送域认证。

除通用基线外，必须逐条回答本次事件特有的问题：检测为什么没有拦住（规则缺失还是评分不足）；发现为什么滞后（日志缺失、告警未配置还是无人查看）；处置为什么慢（流程不清、权限不足还是联系人不明）；以及处置是否彻底（令牌、授权、规则是否全部清理）。每一条都要有明确的责任人与完成时限，否则复盘会退化为形式。

一次合格的收尾应产出：事件时间线（可复核，标注证据来源）；影响范围确认（受影响账号、邮件、终端）；根因分析；已完成的处置动作记录；待办加固项及其责任人与时限；以及回写到检测规则与培训素材的具体内容。