Microsoft 365 外部邮件转发：如何阻止自动转发

一句话结论： Microsoft 365 外部邮件转发主要走三条路径：邮箱上设置的转发地址、带转发或重定向动作的收件箱规则，以及管理员写的邮件流规则。出站反垃圾邮件策略和远程域设置管住前两条；邮件流规则要单独审查。对所有人默认阻止外部自动转发，只为有业务理由的指定邮箱开例外，并且在关掉任何东西之前，先把现有的转发全部查一遍。

自动转发到外部地址，是公司邮件离开 Microsoft 365 租户最不声不响的方式之一。有时是员工把工作邮件转到私人邮箱，"方便在地铁上看"；有时是攻击者盗取密码后建的一条规则，把所有关于发票的邮件都送到他控制的邮箱。无论哪种，内容都已经出去了，而发件方的邮件系统没有留下任何异常记录。

本文讲的是预防：Microsoft 365 外部邮件转发怎样运作，怎样看清目前有哪些转发，以及怎样建立一套"默认阻止、例外放行"并且站得住的策略。如果你已经怀疑某个邮箱被入侵，想知道该找哪些痕迹，请先读我们的姊妹篇商业电子邮件入侵后如何排查恶意收件箱规则：先遏制，再谈策略。

邮件是怎样从 Microsoft 365 被转发出去的？

对大多数机构而言，要紧的有三条路径，而且分别在不同的地方控制。这就是为什么"我们已经阻止了转发"往往只对了一半。

邮箱转发。 设置在邮箱本身的地址，位置在 Microsoft 365 管理中心用户的邮件设置里，或 Exchange 管理中心该邮箱的邮件流设置里。在 PowerShell 中显示为 ForwardingSmtpAddress（通常由用户或管理员设为外部地址）或 ForwardingAddress（由管理员设为某个收件人对象）。DeliverToMailboxAndForward 决定邮箱里是否同时保留一份。
收件箱规则。 用户本人，或以用户身份登录的任何人，在 Outlook 或 Outlook 网页版里建立的规则，动作为"转发到""作为附件转发"或"重定向到"。它们可以设得很窄，比如只转发主题里有"发票"的邮件，因此很容易被忽略。
邮件流规则。 管理员在 Exchange 管理中心写的传输规则，把邮件重定向、转发或密送到另一个地址。它们通常是正当的，例如日记或合规副本，但权力很大，又很少有人复查。

其他自动化也可能把副本发出去，例如在 Power Automate 里建的、转发新邮件的流。它们受 Power Platform 设置管理，而不是 Exchange，所以要单独列出来。

哪些设置真正能阻止自动转发？

微软关于控制外部自动转发的文档，把出站垃圾邮件策略和远程域列为两项控制，并且明确说明了两者的关系：只要其中任何一项阻止了向某个收件人的自动转发，邮件就会被阻止。邮件流规则是另一套配置，所以要把它们当作独立事项，而不是假定上面两项设置会管到它们。

出站垃圾邮件筛选策略

在 Microsoft Defender 门户中，依次进入"电子邮件与协作""策略与规则""威胁策略""反垃圾邮件"，打开出站策略。在转发规则下，自动转发设置有三个值：

Automatic - System-controlled（自动，系统控制）。 默认值。微软现在把它视同禁止转发，所以外部自动转发会被阻止。
On - Forwarding is enabled（开启）。 对策略覆盖的用户允许外部自动转发。
Off - Forwarding is disabled（关闭）。 阻止外部自动转发，发件人会收到一封未送达报告，代码通常是 550 5.7.520。

微软的建议是让默认策略保持阻止，另建一条自定义出站策略设为 On，并把范围限定在确实需要的具体用户。在 PowerShell 中，这是用 New-HostedOutboundSpamFilterPolicy 并加上 -AutoForwardingMode On，再用 New-HostedOutboundSpamFilterRule 以 -From 限定到指定地址。用 Set-HostedOutboundSpamFilterPolicy -Identity Default -AutoForwardingMode Off 把默认策略明确设为 Off，可以避免将来对"系统控制"含义的任何疑问。

远程域

在 Exchange 管理中心的"邮件流"下的"远程域"里，每个远程域，包括覆盖所有未列出域的 Default 条目，都有一个"允许自动转发"的选项。在 PowerShell 中对应 Set-RemoteDomain 的 AutoForwardEnabled 参数。由于任一控制项的阻止都会生效，远程域有两种用处：作为第二道防线，以及用于只应送达某一个合作方域的例外。在出站策略里放行某位用户，同时在远程域里只放行该合作方的域，就能把例外限定在这个目的地。

针对自动转发邮件的邮件流规则

很多机构会再加一条邮件流规则作为双保险：从组织内部发出、收件人在组织外部、且邮件类型为自动转发的邮件，一律拒绝并附上说明。在 PowerShell 中，这是 New-TransportRule 加上 -FromScope InOrganization、-SentToScope NotInOrganization、-MessageTypeMatches AutoForward 和 -RejectMessageReasonText。请为与自定义出站策略相同的指定邮箱加上例外，免得两者互相矛盾。

怎样找出现在有哪些转发？

阻止任何东西之前，先把已经存在的转发列出来。其中有些是正当的；不打招呼就切断董事助理的转发，正是安全改动当天下午就被撤回的典型原因。

查看自动转发邮件报告。 在 Exchange 管理中心的"报告"下的"邮件流"中，自动转发邮件报告显示了被自动转发给外部收件人的邮件及转发方式。它告诉你谁在转发、大致有多少。
列出邮箱级转发。 Get-Mailbox -ResultSize Unlimited | Where-Object { $_.ForwardingSmtpAddress -or $_.ForwardingAddress } | Select-Object DisplayName, ForwardingSmtpAddress, ForwardingAddress, DeliverToMailboxAndForward 会返回所有设置了转发地址的邮箱。
列出带转发动作的收件箱规则。 对每个邮箱运行 Get-InboxRule，保留 ForwardTo、ForwardAsAttachmentTo 或 RedirectTo 有值的规则。租户较大时，把 Get-Mailbox 的结果送进循环，并把结果导出到电子表格。
列出邮件流规则。 Get-TransportRule 显示所有规则；找出指向组织外部的重定向、密送或"添加收件人"动作，以及任何没人说得清楚的规则。
逐一分类。 每一条转发都记录负责人、目的地、业务理由，以及有没有更好的替代做法。大部分转到私人邮箱的需求，可以用 Outlook 移动应用取代；大部分"转给会计师"的规则，可以用共享邮箱或共享文件夹取代。

凡是没有负责人、也没有理由的转发，都应该当作可能的入侵来处理，而不只是违反政策。这正是我们关于商业电子邮件入侵后排查收件箱规则的指南接手的地方。

全部阻止、按人放行还是按域放行？

大多数机构会在以下三种策略中选择，各自适合的情况不同。

全部阻止、指定用户白名单还是合作方域白名单？

全部阻止外部自动转发。 默认出站策略阻止，不建自定义策略，邮件流规则拒绝所有自动转发、不设例外。最容易解释，也最容易审计。适合大多数中小型机构，真实需求可以用委派或共享邮箱满足。
指定邮箱白名单。 一条设为 On 的自定义出站策略，只覆盖一小份用户名单，每人都有负责人和复核日期。适合确有需要的机构，例如靠转发接收邮件的工单系统，或必须抄送外部方的受监管岗位。
按合作方域放行。 在出站策略里放行指定用户，但远程域只允许自动转发到一两个合作方的域。适合外包职能，例如外部薪资服务商，并且能在其中某个邮箱日后被入侵时限制损失。

无论选哪一种，都要写下来。一段说明采用哪种策略、有哪些例外、新例外由谁审批的转发规范，才能把一项设置变成一项控制。

怎样让它一直保持阻止？

设置会漂移。新来的管理员为了解决某个用户的问题建了一条自定义出站策略，范围设成了一个后来越来越大的组；为某个项目加的远程域条目，项目结束后没人删。三个习惯能让转发一直受控。

打开告警并送到对的人。 Microsoft Defender 内置了针对可疑转发活动、以及创建转发或重定向规则的默认告警策略。确认它们处于开启状态，通知发往有人看的邮箱，而不是一位已经离职的管理员。
每季度复核例外。 每一个被放行的邮箱，都应该仍有负责人、理由，以及说得通的目的地。
任何事件之后重新检查。 发生钓鱼事件后，要在整个租户范围重新列一遍转发，而不只是受影响的邮箱。攻破一个账号的攻击者，往往会去试其他账号。

我们的 Exchange Online Protection 设置指南介绍了这项设置周边的其他出站和入站过滤设置；香港供应商付款诈骗案例则说明了为什么转发和财务邮件总是一起出现。

Microsoft 365 安全审计在这里检查什么？

转发是 Brocent Microsoft 365 安全审计中邮件安全部分的一个检查领域。审查会读取出站垃圾邮件策略及其范围、远程域设置、邮件流规则、所有邮箱的转发地址和带转发动作的收件箱规则，以及相关告警策略的状态。报告逐条列出外部转发及其已知负责人，标出无法解释的条目，并推荐适合该机构的策略模式。

Microsoft 365 安全审计示例报告（英文页）展示了这类发现怎样写成文字、怎样放进分阶段的修复计划。审计只读、远程交付，授予只读访问后 5 到 7 个工作日出报告，复盘会议按你所在地的工作时间安排，无论你在英国、澳大利亚还是亚洲。价格按人数固定，10 位用户以内 450 美元起，详见 Microsoft 365 安全审计定价页。

对英国机构来说，把个人数据不受控地转发到私人地址，也是一个数据保护问题；对很多澳大利亚和亚洲企业来说，它会出现在网络保险投保问卷里。两种情况下，审计报告都是为了证明转发如何受控而设计的证据，它不是法律意见，也不是承保决定。如果你希望由专人长期照看过滤、规则和告警，Brocent 的托管邮件安全服务可以承担。