在当今复杂的网络环境与日益严峻的攻防对抗中，网络安全不再依赖单一的物理边界防御，而是构建在多层次、相互协同的安全协议栈之上。从端侧强身份认证、传输层端到端加密、动态安全接入控制，到中心化的日志遥测、威胁情报自动化共享及公钥基础设施（PKI）生命周期管理，各大网络安全协议构成了构建现代数字信任体系的基石。
本速查表系统梳理了涵盖六大防御纵深的 58 种核心网络安全协议与技术规范，提供高密度的协议机理、默认端口/载荷、信任模型及工程选型对照，是安全开发、网络运维、系统架构与攻防对抗演练的案头级全景索引。
🔗 相关矩阵速查：基础网络通信协议与标准端口全景速查表 · 加解密与现代密码学算法速查表 · Linux 常用命令速查表 · Docker 常用命令速查表
1. 网络安全防御纵深与协议矩阵总览
现代纵深防御体系（Defense-in-Depth）将协议划分为六大核心功能层：
| 防御纵深层次 | 核心安全目标 | 核心解决问题 | 核心收录协议与标准族 |
|---|---|---|---|
| 1. 身份认证与访问控制 (AAA) | 确认实体身份、建立可信授权边界 | 防范凭据窃取、假冒身份、越权访问与钓鱼攻击 | Kerberos, OAuth 2.0, OIDC, SAML, RADIUS, TACACS+, LDAP, LDAPS, NTLM, FIDO2 |
| 2. 加密传输与安全隧道 | 保护链路保密性、完整性与抗重放 | 防范中间人劫持 (MitM)、窃听抓包与数据篡改 | TLS 1.3, HTTPS, SSH, SFTP, FTPS, IPsec, IKE, WireGuard, OpenVPN, DTLS |
| 3. 安全接入与网络控制 | 细粒度边界隔离、端口准入与安全互联 | 控制终端与非法设备接入，防止内网横向横穿 | 802.1X, WPA2, WPA3, EAP, PEAP, L2TP, SSTP, SOCKS5, 零信任架构 (ZTNA/SDP) |
| 4. 安全日志与可观测监控 | 完整行为留痕、异常洞察与审计追溯 | 确保网络与系统操作不可抵赖，快速排查安全事件 | Syslog, Syslog-TLS, SNMPv3, NetFlow, sFlow, IPFIX, WMI, WinRM, OpenTelemetry |
| 5. 威胁检测与情报响应 | 主动发现攻击、恶意特征匹配与情报交换 | 缩短从威胁发现到全网协同响应的平均响应时间 (MTTD/MTTR) | ICMP (异常探测), DNSSEC, DoT, DoH, STIX, TAXII, YARA, Sigma, SCAP |
| 6. 安全拓展与 PKI / 邮件防伪 | 证书自动化运维、密钥生命周期与抗仿冒 | 消除证书过期断服隐患，终结伪造域名钓鱼邮件 | OCSP, CRL, ACME, CMP, SCEP, KMIP, PKCS#11, DMARC, DKIM, SPF, MTA-STS |
2. 身份认证与访问控制 (IAM / AAA) 协议速查表 (10 项)
| 协议名称 | 英文全称 | 默认端口 / 载荷 | 信任模型与底层机制 | 核心工作原理 | 行业选型与安全实践建议 |
|---|---|---|---|---|---|
| Kerberos | Kerberos Protocol (RFC 4120) | UDP/TCP 88 | 基于可信第三方 KDC（秘钥分发中心）的对称秘钥票据机制 | 客户端向 AS 获取 TGT（票据授权票据），再凭 TGT 向 TGS 换取目标服务 Ticket，全程不在网络中明文传输口令 | Windows Active Directory 域核心认证协议；必须保证客户端与 KDC 时间差不超过 5 分钟 |
| OAuth 2.0 | Open Authorization 2.0 (RFC 6749) | HTTP/HTTPS 443 | 基于 Access Token（访问令牌）的授权委派框架 | 允许第三方客户端在不获取用户凭证的前提下，获得对受保护 HTTP 资源的受限访问权限 | 现代 Web/移动端授权行业事实标准；仅用于授权而非身份认证，生产环境强烈推荐配合 PKCE |
| OIDC | OpenID Connect 1.0 | HTTPS 443 | 基于 OAuth 2.0 构建的轻量级身份认证协议层 | 在 OAuth 2.0 Token 返回基础上，通过规范化 JWT 格式的 id_token 承载用户身份断言与 Profile 属性 | 现代云原生应用、微服务架构与用户统一身份接入 (SSO) 首选标准 |
| SAML | Security Assertion Markup Language 2.0 | HTTPS 443 (XML 载荷) | 基于 XML 签名与公钥基础设施 (PKI) 的联合身份断言 | IdP（身份提供商）生成经数字签名的 XML 断言，由用户浏览器跳转 POST 交付给 SP（服务提供商） | 传统企业级软件、跨机构企业 SaaS (如 Salesforce/Okta) 联合身份认证与 SSO 标准 |
| RADIUS | Remote Authentication Dial-In User Service | UDP 1812 (认证) 1813 (计费) | 基于客户端-服务器架构的集中化 AAA 协议 | 集中网络访问服务器 (NAS) 用户认证与计费；用户密码采用共享密钥与 MD5 散列混淆 | Wi-Fi 802.1X 企业级认证、企业 VPN 拨入认证；明文 MD5 较脆弱，建议配合 EAP-TLS |
| TACACS+ | Terminal Access Controller ACS+ | TCP 49 | Cisco 专有（现开放 RFC 8907）的模块化 AAA 管理协议 | 严格解耦 Authentication、Authorization 与 Accounting 三大功能，报文主体除头部外全量加密 | 网络交换机、路由器核心基础设施管理员命令行登录与按命令权限控制首选 |
| LDAP | Lightweight Directory Access Protocol | TCP 389 | 树状分层命名目录结构（DIT） | 客户端通过绑定（Bind）、搜索（Search）操作查询目录信息树中的用户属性与群组关系 | 局域网集中式身份花名册、员工系统统一认证；传输为明文，生产严禁明文传输凭据 |
| LDAPS | LDAP over SSL/TLS | TCP 636 | 基于 TLS 传输层加密封装的 LDAP 协议 | 在 TCP 连接建立后立即进行 TLS 握手，对整个 LDAP 会话链路进行高强度非对称协商加密 | 涉及跨子网、DMZ 或关键生产环境时替换明文 LDAP 的强制安全规范 |
| NTLM | NT LAN Manager | 跨 SMB / RPC 承载 | 微软历史专有的质询-响应（Challenge-Response）三步认证 | 服务端发出随机 Nonce 质询，客户端使用用户口令的 NTLM Hash 加密 Nonce 并回传验证 | 已被微软正式宣布逐步淘汰；易受 NTLM Relay 中间人重放攻击，企业网应强制迁移至 Kerberos |
| FIDO2 | Fast Identity Online 2 (WebAuthn) | 浏览器/系统原生接口 | 基于公钥非对称密码学与硬件绑定的无密码（Passwordless）体系 | 用户端硬件安全芯片（如 YubiKey/Touch ID）本地签名 Challenge，服务端仅验签公钥，服务端无密码存储 | 彻底免疫钓鱼攻击与凭据爆破；是现代零信任强身份认证的最高级别实践 |
3. 加密传输与安全隧道协议速查表 (10 项)
| 协议名称 | 英文全称 | 承载层级 / 端口 | 核心密码学机制与通道 | 核心工作机制 | 典型工业应用与性能评估 |
|---|---|---|---|---|---|
| TLS | Transport Layer Security (1.3) | TCP 443 等 | ECDHE 密钥交换 + AES-GCM / ChaCha20-Poly1305 | 废除所有不安全密码套件，将标准握手时延缩短至 1-RTT，并支持 0-RTT 预共享密钥早期数据 | 互联网应用层一切安全通信的基石，防嗅探、防篡改 |
| HTTPS | HTTP over TLS | TCP 443 | TLS 加密封装 HTTP 报文 | 在传输层 TLS 隧道之上建立 HTTP/1.1 或 HTTP/2 连接，双向端到端强加密与主机名 SNI 校验 | 全球互联网 Web 访问绝对统一的标准通信通道 |
| SSH | Secure Shell (SSHv2) | TCP 22 | Diffie-Hellman 密钥交换 + RSA/Ed25519 签名 + 对称加密 | 客户端与服务端协商会话密钥并完成主机与用户双向身份鉴权，开启加密终端多路复用信道 | 远程服务器 CLI 管理、安全端口转发隧道、Git 协议传输代码 |
| SFTP | SSH File Transfer Protocol | TCP 22 | 完全复用 SSH 的安全传输通道与会话密钥 | 作为 SSH 协议内部的一个独立应用子系统，在一条加密 TCP 连接中实现文件目录操作与流式传输 | 企业级跨网自动化批量文件分发、安全数据交付首选 |
| FTPS | FTP over TLS/SSL | TCP 990 (隐式) 21 (显式 AUTH TLS) | 采用标准 TLS 协商保护 FTP 控制与数据通道 | 在传统 FTP 协议上增加 SSL/TLS 握手，分为显式协商（Explicit）与隐式端口（Implicit）模式 | 兼容传统企业存储设备的文件安全上传与下载 |
| IPsec | Internet Protocol Security | IP 协议号 50 (ESP) 51 (AH) | 包含认证头 (AH, 完整性) 与封装安全载荷 (ESP, 加密与完整性) | 工作在三层网络层；隧道模式（Tunnel Mode）将原始 IP 报文整体包装进新 IP 头，对网络透明 | 企业总部与分支机构之间构建跨公网 Site-to-Site VPN 专网互通 |
| IKE | Internet Key Exchange (IKEv2) | UDP 500 4500 (NAT-T) | 基于 Diffie-Hellman 的安全关联 (SA) 协商与密钥派生机制 | 分两阶段：Phase 1 协商保护信道建立 IKE SA，Phase 2 派生具体加密 IP 流量的 Child SA (IPsec SA) | IPsec VPN 自动化密钥协商标准，IKEv2 极大改善了移动漫游断线重连体验 |
| WireGuard | WireGuard Protocol | UDP 自定义 (常用 51820) | 固定现代密码套件：Curve25519 + ChaCha20 + Poly1305 + BLAKE2s | 代码仅数千行，运行于 Linux 内核态；采用 Cryptokey Routing（加密密钥路由），无握手状态概念 | 极低系统开销、极高线速吞吐率；现代轻量级安全组网与 SD-WAN 的首选 |
| OpenVPN | OpenVPN Protocol | TCP / UDP 1194 | 借助 OpenSSL 实现完整 TLS 密钥协商与对称数据加密 | 在用户态通过虚拟 TUN/TAP 网卡实现二层/三层网络报文路由封装，支持复杂证书与脚本策略 | 传统开源企业级远程办公接入 VPN 事实标准，配置灵活但内核切换开销较大 |
| DTLS | Datagram TLS (RFC 6347/9147) | 运行于 UDP 之上 | 基于 TLS 协议修改，增加显式序号、重传计时器与重放滑动窗口 | 解决标准 TLS 无法直接运行于不可靠 UDP 数据报环境的问题，提供无延迟累积的安全传输 | 实时音视频通信 (WebRTC)、VoIP (SIP over DTLS) 与物联网 CoAP 安全传输 |
3. 安全接入控制与网络连接协议速查表 (9 项)
| 协议名称 | 适用接入网络 | 运行层级 | 核心认证与控制机制 | 解决的本质安全问题 | 典型企业部署形态 |
|---|---|---|---|---|---|
| 802.1X | 有线局域网 / Wi-Fi | 二层 / 数据链路层 | 基于端口的网络访问控制 (PNAC)，采用 EAPoL（EAP over LAN） | 在物理端口或无线信道未经合法身份鉴权前，严格阻断除 EAP 报文外的一切数据通信 | 企业级内网插网线/连 Wi-Fi 时的强身份准入认证 (NAC) |
| WPA2 | 无线局域网 Wi-Fi | 802.11 物理/链路层 | 采用 AES-CCMP（计数器模式及密码块链消息认证码协议）进行数据加密 | 废除脆弱的 WEP 与 TKIP；提供 4-way Handshake 握手机制派生 PTK/GTK | 传统家庭与企业 Wi-Fi 标配（面临四次握手离线字典破解与 KRACK 漏洞威胁） |
| WPA3 | 新一代无线局域网 | 802.11 物理/链路层 | 引入 SAE（同时对等认证，蜻蜓握手） 与 192 位企业级高强度加密套件 | 彻底防御离线字典爆破攻击，强制提供前向保密（PFS），即使密码被破也无法解密历史流量 | 现代 Wi-Fi 6/7 网络强制推荐的安全接入标准 |
| EAP | 各种访问介质 | 链路层与认证服务器之间 | 可扩展认证协议通用通信框架（RFC 3748），不定义具体算法 | 提供标准化的点对点认证交互包装，支持接入设备透传认证至后端 AAA 服务器 | 802.1X 体系底层承载的核心通用认证框架 |
| PEAP | 企业无线 / 802.1X | 承载于 EAP 之上 | 客户端与认证服务器首先建立一个服务端单向证书认证的 TLS 加密安全隧道 | 在建立的 TLS 安全隧道内部安全传递二阶段弱认证信息（如 MS-CHAPv2 用户名密码） | 企业最广泛使用的无线身份验证方式，免除在每台终端部署个人证书的繁琐流程 |
| L2TP | 远程拨号与公网专线 | 二层隧道协议 (UDP 1701) | 将 PPP 链路层帧直接封装在 UDP 数据包中在 IP 网络上传输 | 本身完全不提供任何数据加密或保密机制；工业上**必须强制与 IPsec 捆绑（L2TP/IPsec）**使用 | 传统移动员工接入企业内部私网的拨号 VPN |
| SSTP | 远程 Windows 接入 | 应用层 / 端口 443 | 微软专有协议，通过标准 HTTPS 443 端口隧道传输 PPP 二层流量 | 天然无阻穿透各类严密企业防火墙与 NAT 代理，利用成熟的标准 SSL/TLS 证书完成双向认证 | 穿透力极强的 Windows 客户端远程接入企业办公网络方案 |
| SOCKS5 | 传输层网络代理 | TCP 1080 | 五层安全套接字协议（RFC 1928），支持无认证、用户名/密码以及 GSS-API 认证 | 具备代理 TCP 流与 UDP 数据报转发能力，可代理域名解析以避免本地 DNS 污染泄漏 | 研发网络隔离穿透、企业受限网络出口代理与流量分流 |
| 零信任架构 | 现代全场景安全接入 | 业务应用与身份层 (ZTNA) | “持续验证，永不信任”；软件定义边界 (SDP) 与微隔离（Micro-segmentation） | 打破传统内网“进入即信任”的物理边界假象；所有请求必须同时基于身份凭据、设备健康态与上下文动态授权 | 现代多云办公、混合研发与防高级持续性威胁 (APT) 核心架构体系 |
4. 安全日志审计与可观测性监控协议速查表 (9 项)
| 协议名称 | 传输层协议与端口 | 遥测与数据模式 | 核心安全与加密机制 | 核心监测数据内容 | 在企业 SOC/SIEM 中的核心作用 |
|---|---|---|---|---|---|
| Syslog | UDP / TCP 514 | 事件驱动推送 (Push) | 原生明文传输，无加密与消息认证，依赖网络隔离保护 | 操作系统系统事件、网络设备接入、权限变更与内核告警 | 传统主机与防火墙设备日志统一汇聚底座 |
| Syslog-TLS | TCP 6514 (RFC 5425) | 安全加密事件推送 | 基于标准 TLS 加密传输，强制验证证书完整性，防篡改与窃听 | 关键基础设施、金融合规系统的重要安全事件明细 | 等保合规与关键节点日志防篡改远端归档 |
| SNMPv3 | UDP 161 / 162 | 轮询 (Pull) + 陷阱 (Trap) | 引入 **USM（用户安全模型）**与 VACM（基于视图的访问控制） | CPU/内存利用率、接口流量、端口抖动状态与硬件篡改 | 网络设备性能监测与全网拓扑异常秒级告警 |
| NetFlow | UDP 2055 / 9995 | 周期性汇总推送 | Cisco 专有报文格式，基于 IP 五元组汇聚记录流统计数据 | 源/目 IP、端口、协议、包数量、字节数、TCP 标志位 | 网络流量基线建模、异常大流量排查与 DDoS 攻击监控 |
| sFlow | UDP 6343 | 硬件接口随机采样 (Sampling) | 交换机硬件 ASIC 芯片级抓取，按固定比例抽取报文并封装 | 数据包完整头部报文镜像抽样与接口物理统计计数器 | 超高带宽数据中心全网流量实时态势感知与可视化 |
| IPFIX | TCP/UDP 4739 / TLS 4740 | 模板化流记录导出 (Push) | IETF 国际标准（RFC 7011），基于 NetFlow v9 演进，支持 TLS/SCTP | 跨厂商、全可自定义模板的任意网络层及应用层流属性信息 | 现代化多厂商混合异构网络的通用网络流量审计 |
| WMI | TCP 135 + 动态高端端口 | Windows 命名空间对象查询 | 基于 DCOM / MS-RPC 协议通信，依赖 NTLM 或 Kerberos 鉴权 | Windows 系统底层硬件、驱动、注册表、服务状态与运行进程 | 内网 IT 资产清查与基于主机的内部威胁取证 |
| WinRM | HTTP 5985 HTTPS 5986 | 基于 SOAP 的 Web 服务调用 | 微软实现 WS-Management 标准，默认支持 Kerberos/NTLM 与 HTTPS | PowerShell 脚本远程执行、系统配置状态轮询与自动化管理 | Windows 自动化运维、Ansible 远控与蓝队威胁态势收集 |
| OpenTelemetry | gRPC 4317 HTTP 4318 (OTLP) | 统一标准化遥测数据流 (Push) | CNCF 事实标准，全面支持 TLS 加密通道与 API Token 鉴权 | 统一融合指标 (Metrics)、分布式追踪 (Traces) 与结构化日志 (Logs) | 现代微服务与云原生系统的全栈深度可观测性与异常追溯 |
5. 威胁检测、DNS 安全与威胁情报共享标准速查表 (9 项)
| 协议 / 规范名称 | 制定机构 / 标准编号 | 运行层级 / 载荷 | 核心工作机制 | 防御的典型攻击手段 | 自动化安全协同定位 |
|---|---|---|---|---|---|
| ICMP 探测 | IETF RFC 792 | 网络层 (IP 协议号 1) | 发送 Echo Request 探测网络端点回显延迟，接收 TTL 超时报文映射全路径 | 发现网络异常抖动、探测隐秘隧道 (ICMP Tunneling) 与排查单点中断 | 基础网络连通性健康探测与异常网络拓扑映射 |
| DNSSEC | IETF RFC 4033-4035 | 应用层 (DNS 扩展) | 基于非对称密码学为 DNS 记录生成数字签名（RRSIG），建立从根域向下的逐级信任链 | 彻底防御 DNS 缓存投毒（Cache Poisoning）与域名解析劫持 | 保护全网域名解析结果的真实性与数据完整性 |
| DoT | IETF RFC 7858 | 专用 TCP 端口 853 | 将 DNS 查询直接置于底层 TLS 会话中，对域名解析全程强加密 | 防止本地局域网中间人与 ISP 窃听查询历史及篡改 DNS 应答 | 移动终端、本地操作系统安全加密 DNS 解析首选 |
| DoH | IETF RFC 8484 | 标准 HTTPS 端口 443 | 将 DNS 报文封装在标准 HTTP/2 或 HTTP/3 请求中混杂在通用 Web 流量中传输 | 防范基于端口分析的深度包检测 (DPI) 审计，规避中间网关审查与阻断 | 现代主流浏览器内置的安全隐私解析默认标准 |
| STIX | OASIS 国际标准 (2.1) | 结构化数据标准 (JSON) | 定义网络攻击者、攻击模式（TTPs）、受害目标、恶意指标（IoC）的图状关系 | 消除各家安全厂商之间威胁情报描述语言不通的“信息孤岛” | 威胁情报标准化存储、建模与威胁图谱构建语言 |
| TAXII | OASIS 国际标准 (2.1) | 基于 HTTPS / RESTful API | 专门为传输 STIX 威胁情报而设计的应用层安全交换协议，支持发布/订阅与查询通道 | 解决各机构、行业联盟之间安全威胁情报如何自动化安全分发 | 现代威胁情报中心 (TIC) 与安全编排系统 (SOAR) 的交换通道 |
| YARA | 开源标准 (VirusTotal) | 文本特征匹配规则引擎 | 允许安全分析师基于字符串、十六进制模式与布尔逻辑编写检测规则 | 快速识别、分类未知恶意软件样本、木马家族与内存代码注入 | 终端检测与响应 (EDR)、沙箱分析与病毒库特征匹配标配 |
| Sigma | 开源通用标准 | 结构化 YAML 规则语法 | “为日志检测编写的通用规则语法”，抽象描述安全事件模式并编译为各大 SIEM 查询语句 | 摆脱单一 SIEM 平台特定查询语言锁定（一处编写，编译运行至 Splunk/ELK/QRadar） | 跨安全厂商与企业通用告警检测逻辑分发基石 |
| SCAP | NIST SP 800-126 | 自动化基线安全套件 | 整合 CVE（漏洞）、CCE（配置）、CPE（资产）、CVSS（评分）与 XCCDF/OVAL 判定逻辑 | 自动化大批量审计主机操作系统的合规性基线、未修补高危漏洞与配置漂移 | 等保合规、网络安全扫描与漏洞全生命周期管理 |
6. 公钥基础设施 (PKI)、密钥管理与邮件防伪拓展协议速查表 (11 项)
| 协议 / 规范名称 | 标准依据 | 适用领域 | 核心机制与运作逻辑 | 达成的核心安全价值 | 部署形态与企业实践 |
|---|---|---|---|---|---|
| OCSP | RFC 6960 | 数字证书有效性 | 客户端携带证书序列号向 CA 的 OCSP 响应服务器发起轻量 HTTP 请求，实时查询吊销状态 | 消除全量下载大体积吊销列表的延迟，实现秒级证书有效性实时核查；现代主流支持 OCSP Stapling | Web 浏览器访问 HTTPS 站点时的证书状态在线校验 |
| CRL | RFC 5280 | 数字证书有效性 | 由 CA 机构周期性发布并签名的一张包含所有已作废未过期证书序列号的静态黑名单文件 | 离线环境下校验证书是否已被提前作废；缺点是文件体积庞大且存在更新时间窗口盲区 | 传统封闭内网、离线工业网或受限环境证书生命周期审计 |
| ACME | RFC 8555 | 证书全自动申请维护 | 客户端通过证明对域名的控制权（HTTP-01 文件校验或 DNS-01 TXT 记录），全自动完成签发与续期 | 彻底终结人工申请、购买、配置与因证书过期导致业务中断的工程灾难 | Let’s Encrypt、Certbot、K8s cert-manager 自动证书管理 |
| CMP | RFC 4210 | 全功能复杂 PKI 交互 | 覆盖证书全生命周期（在线生成、公钥注册、证书吊销更新、交叉认证）的全面网络交互协议 | 支持高度复杂的企业级与电信级分级公钥基础设施全功能交互与证书恢复 | 大型电信基础设施、银行金融机构及跨跨国 CA 系统管理 |
| SCEP | RFC 8894 | 移动网络设备证书注册 | 简化端点设备向企业 CA 申请证书的流程，使用预设一次性 Challenge 密码完成验证颁发 | 解决大批量无线接入点、路由器、员工移动终端无需人工介入的快速证书下发 | 企业移动设备管理 (MDM)、思科网络设备自动化证书注册 |
| KMIP | OASIS 标准 | 统一企业密钥管理系统 | 定义客户端与集中密钥管理服务器之间对对称密钥、公私钥对及证书的存取、轮换标准接口 | 消除各家加密设备（存储阵列、数据库透明加密、磁带库）与密钥管理系统的私有协议锁定 | 企业级透明数据加密 (TDE)、全盘加密 (SED) 与云端 KMS 集中管控 |
| PKCS#11 | RSA / OASIS 标准 | 硬件加密令牌接口 | 独立于硬件实现的 ANSI C 语言 API 抽象层（Cryptoki），定义与安全硬件通信的标准函数 | 确保私钥在物理 HSM / 智能卡芯片内生成且永不出芯，所有计算在硬件防篡改内部完成 | 银行交易硬件加密机 (HSM)、CA 根私钥保护、代码签名硬件 UKey |
| DMARC | RFC 7489 | 电子邮件防钓鱼仿冒 | 依赖 SPF 与 DKIM 的检查结果，由域所有者在 DNS 中发布策略（None/Quarantine/Reject） | 统一指示收信方如何处置仿冒邮件，并让域所有者获取全网冒用发信的监控与汇总报告 | 企业级域名防钓鱼、防 BEC（商业电子邮件欺诈）的最高准则 |
| DKIM | RFC 6376 | 邮件报文防篡改与验签 | 发信服务器在邮件头部插入私钥生成的数字签名，收信服务器从发件域 DNS 拉取公钥验签 | 确保邮件在长途路由传输过程中正文及附件未被任何中间节点篡改 | 现代公网邮件服务（Gmail/Outlook/企业邮箱）通用反垃圾与验签 |
| SPF | RFC 7208 | 发信源 IP 合法性鉴权 | 域名所有者在 DNS 中发布 TXT 记录，明确授权哪些具体公网 IP 具备代表该域发信的资格 | 直接封杀攻击者伪造知名企业发件人域名的明文伪造发信行为 | 任何对外发送业务邮件的企业域名的必备基础防御记录 |
| MTA-STS | RFC 8461 | 邮件服务器传输加密 | 域所有者通过 DNS 记录与 HTTPS 策略文件声明，强制要求外部邮件服务器必须采用 TLS 连接 | 防止降级攻击（STARTTLS 剥离）与中间人监听，杜绝公网邮件在传输中退化为明文 | 金融机构与高安全标准企业保障跨组织邮件端到端强加密的标配 |