Microsoft 365 外部電郵轉寄：如何阻擋自動轉寄

一句話結論： Microsoft 365 外部電郵轉寄主要經三條路徑：郵箱上設定的轉寄地址、帶轉寄或重新導向動作的收件匣規則，以及管理員撰寫的郵件流規則。外寄反垃圾郵件政策和遠程域名設定管住前兩條；郵件流規則要另行審查。對所有人預設阻擋外部自動轉寄，只為有業務理由的指定郵箱開例外，並在關閉任何東西之前，先把現有轉寄全部查一遍。

自動轉寄到外部地址，是公司電郵離開 Microsoft 365 租戶最無聲無息的途徑之一。有時是員工把工作電郵轉寄到私人郵箱，「方便在港鐵上看」；有時是攻擊者盜取密碼後建立的規則，把所有關於發票的電郵送到他控制的郵箱。無論哪種，內容已經出去了，而寄件方的郵件系統沒有留下任何異常記錄。

本文講的是預防：Microsoft 365 外部電郵轉寄如何運作，怎樣看清目前有哪些轉寄，以及怎樣建立一套「預設阻擋、例外放行」而又站得住腳的政策。如果您已懷疑某個郵箱被入侵，想知道該找哪些痕跡，請先閱讀我們的姊妹篇商業電郵入侵後如何排查惡意收件匣規則：先遏止，再談政策。

電郵是怎樣從 Microsoft 365 被轉寄出去的？

對大多數機構而言，要緊的有三條路徑，而且分別在不同地方控制。這就是為甚麼「我們已經阻擋了轉寄」往往只對了一半。

郵箱轉寄。 設定在郵箱本身的地址，位於 Microsoft 365 管理中心用戶的郵件設定，或 Exchange 管理中心該郵箱的郵件流設定。在 PowerShell 中顯示為 ForwardingSmtpAddress（通常由用戶或管理員設為外部地址）或 ForwardingAddress（由管理員設為某個收件人對象）。DeliverToMailboxAndForward 決定郵箱內是否同時保留一份。
收件匣規則。 用戶本人，或以用戶身份登入的任何人，在 Outlook 或 Outlook 網頁版建立的規則，動作為「轉寄至」「以附件形式轉寄」或「重新導向至」。它們可以設得很窄，例如只轉寄主旨中有「發票」的電郵，因此很容易被忽略。
郵件流規則。 管理員在 Exchange 管理中心撰寫的傳輸規則，把電郵重新導向、轉寄或密件副本到另一個地址。它們通常是正當的，例如日誌或合規副本，但權力很大，又很少有人覆核。

其他自動化亦可能把副本發出去，例如在 Power Automate 建立、轉寄新電郵的流程。它們受 Power Platform 設定管理，而不是 Exchange，所以要另行列出。

哪些設定真正能阻擋自動轉寄？

微軟關於控制外部自動轉寄的文件，把外寄垃圾郵件政策和遠程域名列為兩項控制，並清楚說明兩者的關係：只要其中任何一項阻擋了向某收件人的自動轉寄，電郵便會被阻擋。郵件流規則是另一套配置，所以要把它們當作獨立事項，而不是假設上述兩項設定會管到它們。

外寄垃圾郵件篩選政策

在 Microsoft Defender 管理入口，依次進入「Email & collaboration」「Policies & rules」「Threat policies」「Anti-spam」，打開外寄政策。在轉寄規則之下，自動轉寄設定有三個值：

Automatic - System-controlled（自動，系統控制）。 預設值。微軟現時把它視同禁止轉寄，所以外部自動轉寄會被阻擋。
On - Forwarding is enabled（開啓）。 對政策涵蓋的用戶容許外部自動轉寄。
Off - Forwarding is disabled（關閉）。 阻擋外部自動轉寄，寄件人會收到一封未能送達報告，代碼通常是 550 5.7.520。

微軟的建議是讓預設政策保持阻擋，另建一條自訂外寄政策設為 On，並把範圍限定在確有需要的個別用戶。在 PowerShell 中，這是使用 New-HostedOutboundSpamFilterPolicy 並加上 -AutoForwardingMode On，再以 New-HostedOutboundSpamFilterRule 透過 -From 限定到指定地址。以 Set-HostedOutboundSpamFilterPolicy -Identity Default -AutoForwardingMode Off 把預設政策明確設為 Off，可以避免日後對「系統控制」含義的任何疑問。

遠程域名

在 Exchange 管理中心「郵件流」下的「遠程域名（Remote domains）」中，每個遠程域名，包括涵蓋所有未列出域名的 Default 項目，都有一個「容許自動轉寄」的選項。在 PowerShell 中對應 Set-RemoteDomain 的 AutoForwardEnabled 參數。由於任何一項控制的阻擋都會生效，遠程域名有兩種用途：作為第二道防線，以及用於只應送達某一個合作方域名的例外。在外寄政策中放行某位用戶，同時在遠程域名中只放行該合作方的域名，就能把例外限定在這個目的地。

針對自動轉寄電郵的郵件流規則

不少機構會再加一條郵件流規則作雙重保險：由機構內部發出、收件人在機構外部、而郵件類型為自動轉寄的電郵，一律拒絕並附上說明。在 PowerShell 中，這是 New-TransportRule 加上 -FromScope InOrganization、-SentToScope NotInOrganization、-MessageTypeMatches AutoForward 和 -RejectMessageReasonText。請為與自訂外寄政策相同的指定郵箱加上例外，以免兩者互相矛盾。

怎樣找出目前有哪些轉寄？

阻擋任何東西之前，先把已存在的轉寄列出來。當中有些是正當的；不打招呼便切斷董事助理的轉寄，正是保安改動當天下午就被撤回的典型原因。

查看自動轉寄郵件報告。 在 Exchange 管理中心「報告」下的「郵件流」中，自動轉寄郵件報告顯示被自動轉寄給外部收件人的電郵及轉寄方式。它告訴您誰在轉寄、大約有多少。
列出郵箱層面的轉寄。 Get-Mailbox -ResultSize Unlimited | Where-Object { $_.ForwardingSmtpAddress -or $_.ForwardingAddress } | Select-Object DisplayName, ForwardingSmtpAddress, ForwardingAddress, DeliverToMailboxAndForward 會傳回所有設定了轉寄地址的郵箱。
列出帶轉寄動作的收件匣規則。 對每個郵箱執行 Get-InboxRule，保留 ForwardTo、ForwardAsAttachmentTo 或 RedirectTo 有值的規則。租戶較大時，把 Get-Mailbox 的結果送入迴圈，並把結果匯出到電子表格。
列出郵件流規則。 Get-TransportRule 顯示所有規則；找出指向機構外部的重新導向、密件副本或「加入收件人」動作，以及任何沒人說得清楚的規則。
逐一分類。 每一條轉寄都記錄負責人、目的地、業務理由，以及有沒有更好的替代做法。大部分轉寄到私人郵箱的需要，可以用 Outlook 流動應用程式取代；大部分「轉寄給會計師」的規則，可以用共用郵箱或共用文件夾取代。

凡是沒有負責人、也沒有理由的轉寄，都應當作可能的入侵處理，而不只是違反政策。這正是我們關於商業電郵入侵後排查收件匣規則的指南接手的地方。

全部阻擋、按人放行還是按域名放行？

大多數機構會在以下三種政策中選擇，各自適合的情況不同。

全部阻擋、指定用戶白名單還是合作方域名白名單？

全部阻擋外部自動轉寄。 預設外寄政策阻擋，不建自訂政策，郵件流規則拒絕所有自動轉寄、不設例外。最容易解釋，亦最容易審計。適合大多數中小型機構，真正的需要可以用委派或共用郵箱滿足。
指定郵箱白名單。 一條設為 On 的自訂外寄政策，只涵蓋一小份用戶名單，每人都有負責人和覆核日期。適合確有需要的機構，例如靠轉寄接收電郵的工單系統，或必須副本給外部方的受規管崗位。
按合作方域名放行。 在外寄政策中放行指定用戶，但遠程域名只容許自動轉寄到一兩個合作方域名。適合外判職能，例如外部薪酬服務商，並能在其中某個郵箱日後被入侵時限制損失。

無論選哪一種，都要寫下來。一段說明採用哪種政策、有哪些例外、新例外由誰審批的轉寄規範，才能把一項設定變成一項控制。

怎樣令它一直保持阻擋？

設定會漂移。新來的管理員為解決某位用戶的問題建了一條自訂外寄政策，範圍設成一個後來愈來愈大的群組；為某個項目加入的遠程域名項目，項目完結後沒人刪除。三個習慣能令轉寄一直受控。

開啓警報並送到對的人。 Microsoft Defender 內置了針對可疑轉寄活動、以及建立轉寄或重新導向規則的預設警報政策。確認它們已開啓，通知發往有人查看的郵箱，而不是一位已離職的管理員。
每季覆核例外。 每一個獲放行的郵箱，都應仍有負責人、理由，以及說得通的目的地。
任何事件之後重新檢查。 發生釣魚事件後，要在整個租戶範圍重新列一遍轉寄，而不只是受影響的郵箱。攻破一個帳戶的攻擊者，往往會嘗試其他帳戶。

我們的 Exchange Online Protection 設定指南介紹了這項設定周邊的其他外寄和內送過濾設定；香港供應商付款詐騙案例則說明了為甚麼轉寄和財務電郵總是一同出現。

Microsoft 365 保安審計在這方面檢查甚麼？

轉寄是 Brocent Microsoft 365 保安審計中電郵保安部分的一個檢查範疇。審查會讀取外寄垃圾郵件政策及其範圍、遠程域名設定、郵件流規則、所有郵箱的轉寄地址和帶轉寄動作的收件匣規則，以及相關警報政策的狀態。報告逐條列出外部轉寄及其已知負責人，標示無法解釋的項目，並建議適合該機構的政策模式。

Microsoft 365 保安審計示例報告（英文頁）展示了這類發現如何寫成文字、如何放入分階段的修正計劃。審計只讀、遙距交付，授予只讀訪問後 5 至 7 個工作天出報告，檢討會議按您所在地的辦公時間安排，無論您身處英國、澳洲還是亞洲。價格按人數固定，10 位用戶以內 450 美元起，詳見 Microsoft 365 保安審計價格頁。

對英國機構而言，把個人資料不受控地轉寄到私人地址，亦是一個資料保障問題；對不少澳洲和亞洲企業而言，它會出現在網絡保險投保問卷中。兩種情況下，審計報告都是為證明轉寄如何受控而設計的證據，它不是法律意見，也不是承保決定。如果您希望由專人長期照顧過濾、規則和警報，Brocent 的託管電子郵件安全服務可以承擔。