---
title: แผนปฏิบัติการ
description: สิ่งที่ทำเสร็จแล้ว สิ่งที่รอตามเงื่อนไข และสิ่งที่เสนอให้ทำต่อไป
icon: ListChecks
verified: 2026-08-19
---

แผนงานของระบบป้องกันอีเมล advmfr.net แบ่งเป็นสามส่วน: เสร็จแล้ว,
รอตามเงื่อนไข (gate), และข้อเสนอ ไม่มีขั้นตอนใดเลื่อนไปข้างหน้าโดยที่เงื่อนไข
ยังไม่ครบ และทุกขั้นตอนที่ลงมือทำจะถูกบันทึกพร้อมวันที่ใน
[log](/docs/it/email/log)

## เสร็จแล้ว

- ลบ filter แบบเก่าที่ตีกลับอีเมล (backscatter) ออกทั้งหมด; ตอนนี้มี 4 กฎ
  ที่ส่งเข้า Quarantine เท่านั้น ([การตั้งค่าปัจจุบัน](/docs/it/email/current-configuration))
- โฟลเดอร์ Quarantine กลางเริ่มดักจับอีเมลตั้งแต่ 2026-08-17 และมีการตรวจทุกวัน
- ระบบรายงาน DMARC ใช้งานแล้ว: `rua` → `dmarc@advmfr.net`
  พร้อมสรุปรายสัปดาห์แยกตามโดเมน และเกณฑ์ alignment ≥ 98%
- กฎการส่งออกหลังเหตุการณ์วันที่ 17 สิงหาคม: ห้ามส่งอีเมลจำนวนมากจาก
  mailbox `@advmfr.net` ใด ๆ; การส่งถึงพนักงานทั้งบริษัทให้ใช้ฝั่ง Google
- รับมือคลื่น phishing ที่ปลอมเป็นโดเมนของเราเอง (กฎ `30-self-spoof`
  และประกาศแจ้งพนักงาน)
- Whitelist แบบมีเงื่อนไข `00-04` ใช้งานจริงและตรวจสอบแล้ว 2026-08-24:
  อีเมลภายใน `@advmfr.com` ที่มี `SPF_PASS` ข้ามกฎทั้งหมด (รวมถึงกฎไฟล์แนบ
  ที่เคยเป็นแหล่ง false positive หลัก) ส่วนของปลอมที่ไม่มี `SPF_PASS`
  ยังตกลงไปเจอกฎตามปกติ

## รอตามเงื่อนไข

| ขั้นตอน | เงื่อนไข (gate) | สิ่งที่จะเกิดขึ้น |
|---|---|---|
| กฎข้อ 3 เปลี่ยนเป็นลบถาวร | Quarantine สะอาดติดต่อกัน 7 วัน (เร็วสุด 21 ส.ค. 2026) | `10-quarantine-score10` เปลี่ยน action จาก Deliver to Folder เป็น Discard Message |
| ปรับ SPF ให้เข้มขึ้น | ต้องทำ**พร้อมกับ**กฎคู่หู `SPF_FAIL` (ดูข้อเสนอด้านล่าง) ห้ามทำเดี่ยว | `~all` เปลี่ยนเป็น `-all`; อีเมลปลอมจากภายนอกจะ fail แบบเด็ดขาด |
| Whitelist สำหรับคู่ค้าภายนอก | ยังรอรายชื่อผู้ส่งภายนอกที่สำคัญ | เพิ่มไว้ข้าง whitelist ภายใน พร้อม `Stop Processing Rules` |
| บันได DMARC ของ advmfr.net | รายงานรายสัปดาห์ ≥ 98% สองครั้งติดกัน จากนั้นสัปดาห์สะอาดหนึ่งครั้งต่อขั้น | `p=none` → `p=quarantine` pct 25 → 50 → 100 → `p=reject; sp=reject` |
| แก้ DMARC ของ advmfr.com | ฝ่ายบริหารเลือกแนวทาง (แนะนำแบบรวมศูนย์รายงาน) | ยุบ 3 record ที่ขัดแย้งให้เหลือ 1; เพิ่ม record อนุญาตข้ามโดเมนฝั่ง .net; ล้าง SPF ของ Bluehost |
| โหมดปกติ | หลังกฎข้อ 3 เปลี่ยนเป็นลบถาวร | ลดการตรวจเหลือสัปดาห์ละ 2 ครั้ง; ล้างโฟลเดอร์และทบทวนกฎทุกไตรมาส |

## แบบร่าง whitelist ภายใน (ได้รายชื่อ 2026-08-19)

ผู้ส่งที่ห้ามถูกกรอง ส่วนใหญ่คือที่อยู่ `@advmfr.com` ของบริษัทเอง (ฝั่ง Google)
บวกบัญชี Gmail ที่บริษัทใช้จริงอีก 4 บัญชี การ whitelist ด้วย From เพียงอย่างเดียว
จะเป็นช่องโหว่ตราบใดที่ DMARC ของ advmfr.com ยังพัง ทุกรายการจึง**ผูกเงื่อนไข
`SPF_PASS`**: อีเมล Google ของจริงผ่าน SPF ส่วนของปลอมไม่ผ่าน

| Filter | เงื่อนไข (ทุกข้อบวก **and** `Spam Status` contains `SPF_PASS`) | Action |
|---|---|---|
| `00-wl-advmfr-com` | `From` contains `@advmfr.com` | Stop Processing Rules |
| `01-wl-advance-manufacturers` | `From` contains `advance.manufacturers@gmail.com` | Stop Processing Rules |
| `02-wl-export-advmfr` | `From` contains `export.advmfr@gmail.com` | Stop Processing Rules |
| `03-wl-jiraporn-advmfr` | `From` contains `jiraporn.advmfr@gmail.com` | Stop Processing Rules |
| `04-wl-purchase-advmfr` | `From` contains `purchase.advmfr@gmail.com` | Stop Processing Rules |

ทั้ง 5 ข้ออยู่**เหนือกฎอื่นทั้งหมด** — ลำดับคือหัวใจของ whitelist

ข้อแลกเปลี่ยนที่ยอมรับ (พูดตรง ๆ):
- ไฟล์ `.xls` จากเพื่อนร่วมงานที่ถูก whitelist จะข้ามกฎ macro ไปเลย —
  นั่นคือจุดประสงค์ (มันคือแหล่ง false positive หลัก) แต่แปลว่าถ้าบัญชีจริง
  **ถูกแฮ็ก** อีเมลอันตรายจะถึง inbox ตรง ๆ จึงต้องดูแลสุขอนามัยของ
  advmfr.com (แก้ DMARC, เปิด 2FA บัญชี Google)
- ตราบใดที่ยังไม่ลบ IP ของ Bluehost ออกจาก SPF ของ advmfr.com (ขั้น C)
  ผู้เช่ารายอื่นบน `box574.bluehost.com` ยังผ่าน SPF ของโดเมนนี้ได้ —
  อีกเหตุผลให้รีบทำขั้นนั้น

## Filter ที่เสนอให้เพิ่ม

ทุกข้อใช้หลักเดิม: **เข้า Quarantine ก่อน เฝ้าดู แล้วจึงยกระดับ**
ยังไม่มีข้อใดถูกสร้างจริง

### 31-self-spoof-hardfail: คู่หูบังคับของการปรับ SPF

| | |
|---|---|
| เงื่อนไข | `From` contains `@advmfr.net` **and** `Spam Status` contains `SPF_FAIL` |
| Action | Deliver to Folder `/.Quarantine` |
| ความเสี่ยง false positive | ต่ำมาก, ผู้ส่งจริงผ่าน SPF เสมอ |
| ระยะเฝ้าดู | 7 วัน |

ถ้าไม่มีกฎนี้ การเปลี่ยนเป็น `-all` จะทำให้กฎข้อ 4 (ซึ่งจับ `SPF_SOFTFAIL`)
หยุดทำงานเงียบ ๆ ให้สร้างกฎ 31 ก่อน แล้วค่อยแก้ SPF ส่วนกฎ 30 คงไว้เป็น
ตาข่ายสำรองสำหรับกรณี softfail เช่น forwarder ภายนอก

### 32-lookalike-freemail: รูปแบบ BEC ที่เลียนแบบชื่อบริษัท

| | |
|---|---|
| เงื่อนไข | `From` matches regex `(?i)advmfr[^@]*@(gmail|googlemail|hotmail|outlook|yahoo)\.` |
| Action | Deliver to Folder `/.Quarantine` |
| ความเสี่ยง false positive | จัดการเชิงโครงสร้างแล้ว: บัญชี Gmail ของบริษัททั้ง 4 ถูก whitelist ไว้**เหนือ**กฎนี้ กฎนี้จึงเจอเฉพาะที่อยู่เลียนแบบที่ไม่รู้จัก |
| ระยะเฝ้าดู | 14 วัน |

จับที่อยู่ตระกูล `something.advmfr@gmail.com` ซึ่ง
[watchlist](/docs/it/email/suspicious-indicators) ระบุว่าเป็นรูปแบบมาตรฐานของ
Business Email Compromise

### 33-exec-impersonation: ปลอมชื่อผู้บริหารใน display name

| | |
|---|---|
| เงื่อนไข | `From` contains `Kulisra` **and** `From` does not contain `advmfr` |
| Action | Deliver to Folder `/.Quarantine` |
| ความเสี่ยง false positive | ต่ำ, นามสกุลนี้พบยาก และเงื่อนไขยกเว้นโดเมนบริษัททั้งสอง |
| ระยะเฝ้าดู | 7 วัน |

header From มี display name อยู่ด้วย กฎนี้จึงจับกรณีแบบ
"Narin Kulisra <random@gmail.com>" ซึ่งเคยพบแล้วในรูป
`narinsoda33@gmail.com` ใน watchlist ภายหลังขยายไปยังผู้บริหารท่านอื่นได้
ทีละกฎต่อหนึ่งนามสกุล

### 34-verify-phish-subjects: ตาข่ายกว้าง (ทางเลือก)

| | |
|---|---|
| เงื่อนไข | `Subject` matches regex `(?i)(verify (your )?(account|mailbox|webmail)|account.*(suspended|blocked|deactivat)|password.*(expir|reset))` |
| Action | Deliver to Folder `/.Quarantine` |
| ความเสี่ยง false positive | ปานกลาง, การแจ้งเตือนจากบริการจริงอาจเข้าเงื่อนไขได้ จึงต้องเฝ้าดูนานที่สุดในชุดนี้ |
| ระยะเฝ้าดู | อย่างน้อย 14 วัน และยกระดับเฉพาะเมื่อ Quarantine สะอาด |

เล็งไปที่หัวข้ออีเมล phishing ขโมยรหัสผ่าน
("บัญชีของคุณจะถูกระงับ กรุณายืนยัน") ไม่ว่าผู้ส่งจะพรางตัวอย่างไร

## ประกาศถึงพนักงาน (มีผลถาวร)

จะไม่มีอีเมลใดขอให้ "ยืนยันบัญชี webmail" ของคุณ หากใครเผลอคลิกลิงก์แบบนั้น
ให้แจ้งทันทีโดยไม่มีการตำหนิ และจะเปลี่ยนรหัสผ่านของ mailbox นั้นทันที