模拟攻击洞察（Impersonation Insight）- Microsoft 365 安全相关技术咨询

你好，针对你提到的这几个关于Microsoft 365模拟攻击防护的问题，我结合实际运维经验给你拆解下：

关于微软是否通过调整分值让模拟攻击邮件进入隔离 #

Microsoft 365的反钓鱼引擎本身就会结合多种信号给模拟攻击类邮件打分，邮件欺诈智能和模拟攻击保护模块会参考域名相似度、发件人信誉、邮件内容特征等维度调整垃圾/钓鱼邮件的分值。如果你的隔离策略是基于分值阈值设置的，当这类邮件的分值达标时就会被自动隔离。

不过像icloud.com这类高频使用的域名，微软引擎会内置信任机制来减少误判——如果邮件的安全信号（比如发件人DKIM/SPF验证通过、历史发送记录良好）足够抵消模拟攻击标记，就会被放行，这也是你看到部分误判邮件投递的原因。

为什么自定义的“隔离所有域名模拟攻击”规则未生效 #

大概率是这几个原因导致的，你可以逐一排查：

• 规则优先级冲突：如果有优先级更高的规则（比如允许特定合作方发件人的规则）先执行，就会覆盖隔离规则。你可以在Microsoft 365 Defender的规则列表里调整执行顺序，确保隔离规则排在允许类规则之前。
• 规则配置范围不全：检查规则是否覆盖了所有需要防护的域名变体——攻击者常使用拼写错误、添加特殊字符的域名模拟你的组织，若规则只匹配了精确域名，就会漏过这类变体。另外要确认规则是否开启了对外部发件人的覆盖，毕竟大部分模拟攻击来自外部。
• 第三方网关干扰：如果你的邮件先经过第三方安全网关过滤，可能会修改邮件头部信息，导致Microsoft 365的模拟攻击检测引擎无法正确识别，进而绕过隔离规则。
• 智能豁免机制：微软引擎会自动豁免部分被判定为误判的模拟攻击邮件，你可以在Impersonation Insight报表里查看这些被放行的邮件，手动标记为钓鱼，帮助引擎优化识别逻辑。

额外建议 #

针对icloud.com这类易被滥用的域名，你可以单独创建规则：标记来自该域名且带有模拟攻击特征的邮件，或者将其纳入高风险发件人列表，适当调低隔离阈值，在减少误判的同时提升钓鱼邮件拦截率。另外记得定期查看Impersonation Insight报表，手动调整规则和豁免列表，让防护策略更适配你的组织需求。

备注：内容来源于stack exchange，提问作者Joe Rocksford