直接发送是一种Microsoft 365发送方法，适用于将邮件直接提交到组织的邮件终结点的设备或应用程序。微软将其描述为来自外部电子邮件服务器的未经身份验证的邮件。这使得路由归属变得很重要：不要仅仅因为消息使用内部的发件人地址就推断出可信设备。
区分支持的方法
Microsoft 当前的比较包括客户端SMTP提交、 SMTP中继、直接发送和大容量电子邮件。它们的身份验证和接收范围不同；本次调查的重点是直接发送。 Microsoft 将SMTP中继描述为使用入站连接器，而直接发送未经身份验证，无法通过Microsoft 365中继到外部收件人。直接发送邮件被视为匿名互联网邮件，并应用扫描和保护。 Microsoft 发送方法指南.
内部接收者和端口 25 是线索，而不是特定设备或配置的决定性证据。合法的外部发件人也可以将邮件传递给该收件人。避免仅仅因为入站邮件被接受而将该路由称为开放中继。检查服务接受的内容、涉及哪个接收者范围以及标识路径的可信证据。
收集特定路线的证据
要求授权管理员保留原始邮件并检查相关发件人、收件人和时间窗口的邮件跟踪。追踪记录支持收货、处理和交付的调查；他们的字段应该与原始字段相关，而不是被视为商业意图的证明。 Microsoft 消息跟踪文档.
记录受信任的身份验证结果、接收者可用的源详细信息、连接器或可观察到的规则参与以及最终操作。与其所有者一起检查配置的设备和应用程序。单独的源 IP 可以标识多个系统共享的出口点。如果可用的跟踪或标头未建立负责的应用程序，则保留未知数。
避免错误的补救措施
不要添加未知来源 SPF 只是为了验证可疑消息。 SPF授权是有关预期发件人的安全决策。请勿仅基于显示名称或发件人地址创建广泛的连接器或允许规则。 DMARC 结盟 即使对于传递到内部邮箱的邮件，内容安全仍然是单独的问题。 RFC 9989.
Microsoft 的文档警告说，直接发送需要仔细管理，并建议在合适的情况下考虑其他受支持的方法。产品默认值和控件可能会更改；在应用更改之前验证租户的当前设置和当前的 Microsoft 指南。本指南并未声明跨租户普遍启用或禁用的直接发送设置。
阅读有界调查示例
在书面案例 DEMO-DIRECT-01 中，假设组织中的 From scanner@brand.test和收件人operations@brand.test可见。连接 IP、实际信封身份和 DKIM 不提供签名域。匿名入站交货是一种假设，而不是观察到的跟踪发现。它故意记录未查询的跟踪、未知的连接器和未导出的可信身份验证。其结果是 Direct Send 假设，尚未得到证实。因此，在将消息归因于扫描仪或声明连接器受损之前，该案例请求授权接收方导出和库存关联。
没有访问微软租户，没有发送消息，也没有阻塞路由。经过真实证据审查后，通过负责的邮件所有者的流程进行任何更改。测试合法设备邮件和预期保护、文档回滚并验证观察到的结果。盲目关闭路由可能会中断警报，而不会影响原有的滥用机制。
设置有界证据请求
建议的邮件所有者请求对事件时间和收件人进行授权跟踪，并保留查询时区和报告类型。然后，设备所有者将观察到的路线与批准的设备设置进行比较。在这些记录存在之前，来源归属和连接器参与情况都是未知的。不要仅仅为了获得更方便的报告而扩大权限；使用权限最小的授权角色。此示例中未推断出任何租户默认值。