背景：Email 安全三大痛點
- 身分偽造：垃圾郵件/釣魚郵件輕易偽造寄件者地址
- 傳輸竊讀：SMTP 明文傳輸，中繼節點可全文檢視
- 附件惡意代碼：病毒、勒索軟體、惡意巨集藏匿於文件中
一、數位簽章與加密 — S/MIME 標準實作
核心概念
- 數位憑證 (Digital ID)： 含公開金鑰、私有金鑰、簽章憑證，由 CA 簽發 (VeriSign/Comodo/DigiCert/政府機關)
- 數位簽章： 寄件者用私鑰簽名 → 收件者用公鑰驗證 → **確認來源真實、內容未竄改**
- 郵件加密： 寄件者用收件者公鑰加密 → 唯有收件者私鑰能解密 → **確保機密性**
Outlook/Outlook Express 實操步驟
- 申請憑證： 工具 → 選項 → 安全性 → 「取得數位 ID」→ 選 VeriSign 免費 60 天試用或企業內部 CA
- 填寫資料，**Challenge Phrase** 為日後撤銷憑證的驗證口令 (勿含標點)
- 收到 PIN 郵件 → 點擊連結或至
https://digitalid.verisign.com/getidoutlook.htm 輸入 PIN 完成安裝
簽名與加密操作
| 需求 | 設定位置 | 圖示 |
|---|
| 所有郵件自動簽名 | 工具/選項/安全性 → 「所有輸出郵件加入數位簽名」 | 🖋️ |
| 單封郵件簽名 | 撰寫視窗 → 「數位簽名」按鈕 | 🖋️ |
| 所有郵件自動加密 | 工具/選項/安全性 → 「加密所有輸出郵件內容與附件」 | 🔒 |
| 單封郵件加密 | 撰寫視窗 → 「加密」按鈕 | 🔒 |
金鑰交換前置條件
**加密郵件前提：收件者已寄送過簽名郵件給你，你已將其憑證存入通訊錄。**
操作：開啟簽名郵件 → 檔案/屬性/安全性 → 「加入通訊錄」。Outlook 會自動檢查通訊錄是否有收件者憑證，無則禁止加密。
二、郵件炸彈與信箱保護
- 根治困難，建議**轉信服務**作為緩衝：申請轉信信箱 (如 163 轉信) → 設定過濾規則刪除大信/黑名單/垃圾郵件 → 僅轉發乾淨郵件至真實信箱
- 最壞情況：棄用被盯上的免費信箱，啟用新信箱並通知核心聯繫人
三、附件鐵律：零信任驗證流程
- 來源驗證： 寄件者是否可信？是否預期收到此附件？
- 格式風險評估： 高風險：`.exe/.msi/.scr/.bat/.cmd/.ps1/.vbs/.js/.jar/.zip/.rar/.iso/.img`；中風險：Office 文件 (啟用巨集)、PDF (內嵌 JavaScript/Launch 動作)
- 多引擎掃毒： 下載至隔離資料夾 → VirusTotal 上傳 (多引擎雲端掃描) / 本機雙引擎掃毒
- 沙箱行為分析： 可疑檔案送交 Cuckoo Sandbox / Hybrid Analysis / ANY.RUN 觀察行為
- 受保護視圖/受限環境開啟： Office 受保護視圖、Adobe Protected Mode、虛擬機快照環境
- 確認無毒後再移至生產環境使用
企業級進階策略
- 部署 **DMARC (p=reject) + SPF + DKIM** 杜絕域名冒充
- 郵件閘道器整合 **ATP (Advanced Threat Protection)**：附件沙箱爆破、URL 重寫與點擊時檢查
- 資料外洩防護 (DLP) 規則：偵測信用卡號、身分證號、機密關鍵字外寄
- 定期進行釣魚郵件社工演練，提升員工辨識能力