概述

英国国家网络安全中心（NCSC）是英国政府下属的技术权威机构，其发布的邮件安全指南被公共部门与关键基础设施广泛采用。NCSC 的立场以"减少可被利用的攻击面"为主轴，对钓鱼、凭据窃取与数据外泄给出明确、可执行的基线。以下为其邮件安全核心建议的精译与落地映射。

核心建议一：DMARC 强制 p=reject

NCSC 强烈建议将所有面向外部的域名 DMARC 策略推进到 p=reject，并先以 p=none 收集报告、p=quarantine 过渡，再落到 reject。配合 SPF 与 DKIM，p=reject 能从协议层拒绝伪造本域的入站邮件，大幅压低冒充攻击。

核心建议二：暂停/禁止向外部域自动转发

邮箱自动转发到外部个人账号，是数据外泄与凭据泄露的高频路径（攻击者拿到内网邮箱后，常设转发规则把敏感邮件悄悄抄送外部）。NCSC 建议默认禁止或暂停外部自动转发，确有业务需要时走审批与日志留痕。这与防 BEC 的"邮箱规则审计"一脉相承。

核心建议三：阻断遗留认证，强制现代认证 + MFA

遗留认证协议（如未加密的 BASIC、NTLM 老式客户端）绕过了现代防护，是凭据填充与暴力破解的入口。NCSC 建议关闭遗留认证、统一走现代认证，并对所有邮件访问强制多因素认证（MFA），优先采用抗钓鱼的 FIDO/WebAuthn。

核心建议四：反欺骗与防冒充

对来自外部的邮件施加显式标识（如"外部邮件"横幅），并对显示名冒充（攻击者把发件人显示名改成"CEO"）做检测与告警。结合 DMARC 对齐，让用户在视觉与协议两层都能识别可疑邮件。

核心建议五：TLS 强制与邮件网关监控

确保入站/出站 SMTP 强制 TLS（配合 MTA-STS），并对邮件安全网关的拦截、隔离、投递失败做持续监控，使异常发信模式（如突发大量外发）可被及时发现。

对政企信创邮件的启示

以上五点可直接映射为信创邮件系统的出厂与运营基线：DMARC 默认 p=reject 模板、外部转发开关默认关、遗留认证端口封闭、MFA 强制、外部邮件标识与网关审计常态化。昆仑邮件系统在管理后台内置这些开关，便于政务与国企一键对齐 NCSC 级基线。