提示

你知道可以免费试用Office 365计划 2 Microsoft Defender XDR 中的功能吗？ 在 Microsoft Defender 门户试用中心使用 90 天Defender for Office 365试用版。 在此处了解谁可以注册和试用条款。

如果你是 microsoft 365 客户，邮箱位于 Exchange Online 中，或者独立Exchange Online Protection (EOP) 客户，没有Exchange Online邮箱，EOP 提供了多种方法来确保用户从受信任的发件人接收电子邮件。 总的来说，可以将这些选项视为 安全发件人列表。

以下列表中按从最推荐到最不推荐的顺序介绍了可用的安全发件人列表：

本文的其余部分包含有关每个方法的详细信息。

重要

始终隔离标识为恶意软件* 或高置信度钓鱼的邮件，而不管使用的安全发件人列表选项如何。 有关详细信息，请参阅 Office 365 中的默认安全。

* 在高级传递策略中标识的 SecOps 邮箱上跳过恶意软件筛选。 有关详细信息，请参阅 为第三方网络钓鱼模拟配置高级传递策略和将电子邮件传递到 SecOps 邮箱。

请务必密切监视使用安全发件人列表对垃圾邮件筛选所做的 任何 例外。

始终将安全发件人列表中的邮件提交到 Microsoft 进行分析。 有关说明，请参阅 向 Microsoft 报告良好的电子邮件。 如果邮件或消息源被确定为良性，Microsoft 可以自动允许这些邮件，并且你无需手动维护安全发件人列表中的条目。

除了允许电子邮件，还可以使用 阻止的发件人列表来阻止来自特定源的电子邮件。 有关详细信息，请参阅在 EOP 中创建阻止发件人列表。

允许来自发件人或域的邮件的第一个建议选项是租户允许/阻止列表。 有关说明，请参阅Create允许域和电子邮件地址的条目和Create允许欺骗发件人的条目。

仅当出于某种原因无法使用租户允许/阻止列表时，才应考虑使用其他方法来允许发送方。

注意

不能使用邮件头和邮件流规则将内部发件人指定为安全发件人。 本节中的过程仅适用于外部发件人。

Exchange Online和独立 EOP 中的邮件流规则使用条件和例外来标识邮件，以及指定应对这些邮件执行的操作的操作。 有关详细信息，请参阅邮件流规则 (Exchange Online中的传输规则) 。

以下示例假定需要来自 contoso.com 的电子邮件来跳过垃圾邮件筛选。 为此，请配置以下设置：

条件： 发件人>域 contoso.com> 。

配置以下设置之一：

邮件流规则条件： 邮件头>包括以下任意字词：

此条件检查发送电子邮件域的电子邮件身份验证状态，以确保发送域未受到欺骗。 有关电子邮件身份验证的详细信息，请参阅 SPF、 DKIM 和 DMARC。

IP 允许列表：在连接筛选器策略中指定源 IP 地址或地址范围。 有关说明，请参阅 配置连接筛选。

如果发送域不使用电子邮件身份验证，请使用此设置。 当涉及到 IP 允许列表中的源 IP 地址时，请尽可能严格。 建议将 IP 地址范围设置为 /24 或更小， (越少越好) 。 请勿使用属于使用者服务的 IP 地址范围， (例如 outlook.com) 或共享基础结构。

重要

切勿 将邮件 流规则配置为仅将发件人域作为跳过垃圾邮件筛选的条件。 这样做将 显著提高 攻击者欺骗发送域 (或模拟完整电子邮件地址) 、跳过所有垃圾邮件筛选和跳过发件人身份验证检查的可能性，以便邮件将到达收件人的收件箱。

请勿使用你拥有 (也称为接受域) 域或常用域 (，例如，microsoft.com) 邮件流规则中的条件。 这样做被视为高风险，因为它为攻击者发送本来会被筛选的电子邮件创造了机会。

如果允许网络地址转换后面的 IP 地址 (NAT) 网关，则需要知道 NAT 池中涉及的服务器，才能知道 IP 允许列表的范围。 IP 地址和 NAT 参与者可以更改。 在标准维护过程中，需要定期检查 IP 允许列表条目。

可选条件：

操作：在规则中配置以下两项操作：

修改消息属性>设置垃圾邮件置信度 (SCL) >绕过垃圾邮件筛选。

修改消息属性>设置邮件头：

如果规则中有多个域，则可以根据需要自定义标题文本。

当邮件由于邮件流规则而跳过垃圾邮件筛选时，该值 SFV:SKN 在 X-Forefront-Antispam-Report 标头中标记。 如果消息来自 IP 允许列表上的源，则还会添加该值 IPV:CAL 。 这些值可以帮助你进行故障排除。

警告

此方法创建攻击者成功将电子邮件发送到收件箱的高风险，否则将被筛选;但是，如果用户的安全发件人或安全域列表中的条目的邮件被确定为恶意软件或高置信度钓鱼，则会筛选该邮件。

用户或管理员可以将发件人电子邮件地址添加到邮箱中的“安全发件人”列表，而不是组织设置。 有关说明，请参阅在 Office 365 中Exchange Online邮箱上配置垃圾邮件设置。 邮箱中的安全发件人列表条目仅影响该邮箱。

在大多数情况下，此方法不可取，因为发送方会绕过部分筛选堆栈。 尽管你信任发件人，但发件人仍可能遭到入侵并发送恶意内容。 你应该让我们的筛选器检查每条消息，然后如果我们出错，则向 Microsoft 报告误报/负值。 绕过筛选堆栈还会干扰 零小时自动清除 (ZAP) 。

当邮件由于用户的“安全发件人”列表中的条目而跳过垃圾邮件筛选时， X-Forefront-Antispam-Report 标头字段将包含 值 SFV:SFE，该值指示绕过垃圾邮件、欺骗和钓鱼筛选 (不是高置信度钓鱼) 。

注意：

警告

如果没有其他验证（如邮件流规则），来自 IP 允许列表中的源的电子邮件会跳过垃圾邮件筛选和发件人身份验证 (SPF、DKIM、DMARC) 检查。 此结果造成攻击者成功将电子邮件发送到收件箱的高风险，否则将被筛选;但是，如果 IP 允许列表中某个条目的邮件被确定为恶意软件或高置信度钓鱼，则会筛选该邮件。

下一个最佳选项是将源电子邮件服务器或服务器添加到连接筛选器策略中的 IP 允许列表。 有关详细信息，请参阅 在 EOP 中配置连接筛选。

注意：

警告

此方法创建攻击者成功将电子邮件发送到收件箱的高风险，否则将被筛选;但是，如果来自允许发件人或允许域列表中的条目的邮件被确定为恶意软件或高置信度钓鱼，则会筛选该邮件。

不要使用常用域 (例如，在允许的域列表中 microsoft.com) 。

最不理想的选择是在反垃圾邮件策略中使用允许的发件人列表或允许的域列表。 应 尽可能 避免此选项，因为发件人会绕过除高置信度钓鱼) 之外的所有垃圾邮件、欺骗、网络钓鱼防护 (，以及发件人身份验证 (SPF、DKIM、DMARC) 。 此方法最好仅用于临时测试。 可以在 EOP 中配置反垃圾邮件策略 主题中找到详细步骤。

这些列表的最大限制约为 1000 个条目;不过，只能在门户中输入 30 个条目。 必须使用 PowerShell 添加超过 30 个条目。

注意

自 2022 年 9 月起，如果允许的发件人、域或子域位于组织中 接受的域中 ，则该发件人、域或子域必须通过 电子邮件身份验证 检查才能跳过反垃圾邮件筛选。

标准 SMTP 电子邮件由邮件信封和邮件内容组成。 邮件信封包含在 SMTP 服务器之间传输和传递邮件所需的信息。 邮件内容包含邮件头字段（统称为邮件头）和邮件正文。 RFC 5321 中介绍了消息信封，RFC 5322 中介绍了消息头。 收件人永远不会看到实际的邮件信封，因为它是由邮件传输过程生成的，而且它实际上不是邮件的一部分。

通常， 5321.MailFrom 和 5322.From 地址 (人对人通信) 相同。 但是，当代表其他人发送电子邮件时，地址可能不同。 这种情况最常发生在批量电子邮件中。

例如，假设 Blue Yonder 航空公司聘请了 Margie's Travel 来发送广告电子邮件。 收件箱中收到的邮件具有以下属性：

EOP 中反垃圾邮件策略中的安全发件人列表和安全域列表仅 5322.From 检查地址。 此行为类似于使用该 5322.From 地址的 Outlook 安全发件人。

若要防止筛选此消息，可以执行以下步骤：