นโยบาย SPF SPF ล้มเหลว | การใช้นโยบาย SPF Fail โดยใช้กฎ Exchange Online (จัดการกับการโจมตีทางอีเมล์ปลอมแปลง) | การผลิตระยะที่ 2 | ตอนที่ 3#3 .com

บทความปัจจุบันเป็นบทความสุดท้ายในชุดบทความ ซึ่งเราจะตรวจสอบวิธีการใช้นโยบาย SPF Fail โดยใช้กฎ Exchange Online ขอเตือนไว้ก่อนว่าเป้าหมายหลักของเราคือการตรวจจับและป้องกันเหตุการณ์ที่อาจเกิดขึ้นจากการโจมตีทางเมลหลอกลวง

ชุดบทความนโยบายความล้มเหลวของ SPF

ชุดบทความนโยบายข้อผิดพลาด SPF มีบทความสามบทความต่อไปนี้:

1. การใช้นโยบาย SPF Fail โดยใช้กฎ Exchange Online (จัดการกับการโจมตีทางอีเมล์ปลอมแปลง) | การแนะนำ
2. การใช้นโยบาย SPF Fail โดยใช้กฎ Exchange Online (จัดการกับการโจมตีทางอีเมล์ปลอมแปลง) | ระยะที่ 1 - โหมดการเรียนรู้
3. การใช้นโยบาย SPF Fail โดยใช้กฎ Exchange Online (จัดการกับการโจมตีทางอีเมล์ปลอมแปลง) | การผลิตระยะที่ 2 (บทความนี้)

โหมดการผลิต SPF

เนื่องจากโครงสร้างพื้นฐานอีเมลของเราใช้การตรวจสอบการยืนยันผู้ส่ง SPF ในสถานการณ์ที่องค์ประกอบที่ไม่เป็นมิตรปลอมแปลงข้อมูลประจำตัวของผู้ใช้ในองค์กรที่ถูกต้องตามกฎหมายของเรา ผลลัพธ์จากการทดสอบการยืนยันผู้ส่ง SPF คือ “SPF=ล้มเหลว”

ในบทความก่อนหน้านี้ เราใช้ระยะแรก ซึ่งอธิบายว่าเป็นโหมด "การเรียนรู้" หรือ "การตรวจสอบ" วัตถุประสงค์ของระยะแรกนี้คือ:

1. เพื่อทำความคุ้นเคยกับสถานการณ์ทั่วไปของการโจมตีเมลหลอกซึ่งมุ่งเป้าไปที่ผู้ใช้ในองค์กรของเรา
2. ค้นหาข้อมูลที่ขาดหายไปในบันทึก SPF ของเราเกี่ยวกับเซิร์ฟเวอร์อีเมลที่ได้รับอนุญาต

สมมติฐานพื้นฐานที่ว่าเราได้ทำการปรับเปลี่ยนที่จำเป็นแล้วเพื่อป้องกันเหตุการณ์ผลบวกลวง ซึ่งเกิดจากการกำหนดค่าที่พลาดทางเทคนิคและอื่นๆ

ตอนนี้เราพร้อมที่จะก้าวไปสู่ระยะที่สอง ซึ่งผมเรียกว่า “โหมดการผลิต”

ตัวละครหลักของระยะนี้คือตอนนี้เราต้องการให้มีความหมาย "กระตือรือร้น" มากขึ้น แทรกแซงการรับส่งจดหมาย

ในขั้นตอนนี้ เราต้องการป้องกันไม่ให้ข้อความ E-mail ที่มีโอกาสสูงที่จะเป็นเมล์ปลอมถูกส่งไปยังผู้รับปลายทาง

หากเราต้องการความแม่นยำมากขึ้น เราต้องการตรวจจับและบล็อกข้อความอีเมล โดยที่ผู้ส่งใช้ที่อยู่อีเมลที่มีชื่อโดเมนของเรา และผลการทดสอบการยืนยันผู้ส่ง SPF คือ “ล้มเหลว”

“การดำเนินการ” ที่เราจะดำเนินการเกี่ยวกับเหตุการณ์อีเมลปลอมแปลงจะเป็น “การเปลี่ยนเส้นทาง” ข้อความอีเมลไปยังร้านค้าแยกต่างหาก (กล่องจดหมายที่ใช้ร่วมกัน)

เฉพาะบุคลากรที่ได้รับอนุญาตเท่านั้นที่จะสามารถเข้าถึงกล่องจดหมายนี้ได้ และผู้ใช้ที่ได้รับมอบหมายจะต้องตรวจสอบอีเมลและตัดสินใจว่าจะอนุมัติให้ส่งอีเมลไปยังผู้รับเดิมหรือไม่

นอกจากนี้ การแจ้งเตือนทางอีเมลแบบกำหนดเองจะถูกส่งไปยังผู้รับปลายทาง โดยแจ้งให้ทราบว่าโครงสร้างพื้นฐานเมลของเราระบุอีเมลที่ส่งถึงเขาเป็น - อีเมลปลอม

ความต้องการของธุรกิจ | แนวทางปฏิบัติสำหรับนโยบายการไม่ผ่าน SPF ของเรา

ความต้องการทางธุรกิจและเป้าหมายที่เราจำเป็นต้องบรรลุมีดังนี้:

1. เราต้องการระบุเหตุการณ์ที่ข้อความอีเมลที่ส่งถึงผู้รับในองค์กรของเรามีโอกาสสูงที่จะถูกปลอมแปลงอีเมล (ผู้ส่งปลอม)
   จากมุมมองของเรา คำจำกัดความของ "อีเมลปลอม" คือ สถานการณ์ที่ที่อยู่อีเมลของผู้ส่งมีชื่อโดเมนของเรา (o365info.com) และผลการทดสอบการยืนยันผู้ส่ง SPF คือ "ล้มเหลว"
2. เราต้องการ ป้องกัน จากข้อความอีเมลดังกล่าวที่ส่งถึงกล่องจดหมายของผู้รับปลายทาง
3. เราต้องการแจ้งผู้รับปลายทางว่าข้อความ E-mail ที่ส่งถึงเขาถูกบล็อกโดยนโยบายขององค์กรเราและส่งไปตรวจสอบต่อไป
4. ข้อความอีเมลที่ระบุตามกฎ Exchange Online เป็น "อีเมลปลอม" จะถูกส่งต่อไปยังกล่องจดหมายที่ใช้ร่วมกันที่กำหนดชื่อ - กล่องจดหมายอีเมลปลอม
5. “ผู้รับที่กำหนด” จะถูกนำมาใช้โดยการสร้างกล่องจดหมายที่ใช้ร่วมกันโดยเฉพาะเพื่อจุดประสงค์นี้ซึ่งมีชื่อว่า - กล่องจดหมายอีเมลปลอม
   กล่องจดหมายนี้จะมีรายงานเหตุการณ์ที่จะถูกส่งโดย Exchange Online กฎ.
6. เฉพาะผู้ใช้ที่ได้รับอนุญาต เช่น ผู้ดูแลระบบ Exchange Online เท่านั้นที่จะสามารถเข้าถึงกล่องจดหมายที่ใช้ร่วมกันซึ่งจัดเก็บอีเมลปลอม บุคคลนี้จะต้องตรวจสอบข้อความอีเมลและตัดสินใจว่าเขาอนุมัติให้ "ปล่อย" ข้อความอีเมลและส่งไปยังผู้รับปลายทางเดิมหรือไม่ (ปฏิเสธ)

ตัวละครในสถานการณ์เฉพาะของเรา

เพื่อให้สามารถสาธิตวิธีที่เราใช้กฎ Exchange Online ในการตรวจจับเหตุการณ์ของเมลปลอม ซึ่งผลการทดสอบการตรวจสอบผู้ส่ง SPF เป็น "ล้มเหลว" เราจะใช้สถานการณ์ต่อไปนี้:

ชื่อโดเมนสาธารณะของบริษัทของเราคือ - o365info.com

เงื่อนไข | ระบุเหตุการณ์ของ SPF=ล้มเหลว + โดเมนผู้ส่งคือโดเมนของเรา

กฎ Exchange Online ของเราจะกำหนดค่าให้เป็นเหตุการณ์ "catch" ซึ่งที่อยู่อีเมลของผู้ส่งจะมีชื่อโดเมน - o365info.com นอกจากนี้ ผลการทดสอบการตรวจสอบผู้ส่ง SPF คือความล้มเหลว (SPF=ล้มเหลว)

กฎ Exchange Online “การกระทำ”

“การตอบสนอง” ของกฎ Exchange Online จะมี “ขั้นตอน” สองขั้นตอน:

1. ส่งต่อข้อความอีเมลไปยังกล่องจดหมายที่กำหนด (กล่องจดหมายที่ใช้ร่วมกัน) เพื่อขออนุมัติ

กฎ Exchange Online จะได้รับการกำหนดค่าให้ "กำหนดเส้นทาง" ไปยังข้อความอีเมลปลอมไปยังกล่องจดหมายที่กำหนด ซึ่งจะมี "อีเมลหลอกลวง"
บุคคลที่ได้รับอนุญาต เช่น Brad Exchange Online ของเรา ผู้ดูแลระบบจะตรวจสอบอีเมลนี้

ผู้มีอำนาจจะต้องตรวจสอบอีเมลและตัดสินใจว่าจะอนุมัติหรือปฏิเสธอีเมลนั้น

2. ส่งการแจ้งเตือนข้อความอีเมลไปยังผู้รับปลายทางเดิม

Exchange Online จะสร้างและส่งการแจ้งเตือนทางอีเมลที่กำหนดเองซึ่งจะแจ้งให้ผู้รับเป้าหมายทราบว่าข้อความอีเมลที่ส่งถึงเขาถือเป็นจดหมายหลอกลวง

ตรรกะของกฎการแลกเปลี่ยนแบบออนไลน์

ข้อมูลสรุปของกฎ "ตรรกะ" ของ Exchange Online จะแสดงในไดอะแกรมต่อไปนี้:

กำหนดค่ากฎการแลกเปลี่ยนเพื่อระบุเหตุการณ์ความล้มเหลวของ SPF - กำหนดเส้นทางอีเมลเพื่อขออนุมัติ + ส่งการแจ้งเตือนไปยังผู้รับปลายทาง

ในส่วนต่อไปนี้ เราจะให้คำแนะนำ "ทีละขั้นตอน" เพื่อสร้าง "กฎอีเมลปลอมแปลงออนไลน์ของ Exchange" ที่จะตอบความต้องการทางธุรกิจของเรา

ส่วนที่ 1#2 - กำหนดค่า “ส่วนเงื่อนไข” ของกฎ Exchange SPF Fail

• เข้าสู่ระบบพอร์ทัลผู้ดูแลระบบ Exchange
• บนแถบเมนูด้านซ้าย ให้เลือก - การรับส่งอีเมล
• บนแถบเมนูด้านบน ให้เลือก - rules

• คลิกที่ไอคอน บวก
• เลือก - สร้างกฎใหม่...

• ในช่อง ชื่อ: ให้เพิ่มชื่อที่สื่อความหมายสำหรับกฎใหม่
  ในสถานการณ์เฉพาะของเรา เราจะตั้งชื่อ กฎ - ตรวจหาเหตุการณ์ความล้มเหลวของ SPF | ระยะที่ 2 - โหมดการผลิต
• คลิกที่ลิงก์ -ตัวเลือกเพิ่มเติม…
  (โดยค่าเริ่มต้น อินเทอร์เฟซของ Exchange กฎออนไลน์มีเพียงชุดตัวเลือกที่จำกัด เพื่อให้สามารถแสดงตัวเลือกเพิ่มเติมได้ เราจะต้อง “เปิดใช้งาน ” ตัวเลือกเพิ่มเติม…)

เงื่อนไข 1#2

• ในส่วนชื่อ -ใช้กฎนี้หาก... คลิกบนลูกศรสีดำเล็ก ๆ

• เลือกเมนูหลัก - ผู้ส่ง...
• ในเมนูย่อย เลือกตัวเลือก - โดเมนคือ

• ในหน้าต่าง ระบุโดเมน ให้เพิ่มชื่อโดเมนที่จำเป็นซึ่งแสดงถึงองค์กรของคุณ ในสถานการณ์ของเรา ชื่อโดเมนสาธารณะคือ - o365info.com
• คลิกที่ไอคอน plus เพื่อเพิ่มชื่อโดเมนลงในรายการ

• คลิกที่ตัวเลือก ตกลง เพื่อบันทึกการตั้งค่ากฎ Exchange Online

เงื่อนไข 2#2

ในเงื่อนไขที่สอง เราแนะนำให้ Exchange Online ดูแต่ละส่วนหัวของอีเมล และค้นหาเหตุการณ์ที่การตรวจสอบยืนยันผู้ส่ง SPF คือ "SPF=Fail"

• คลิกที่เพิ่มเงื่อนไข

• ในกล่องชื่อ - และ ให้คลิกที่ลูกศรสีดำเล็กๆ

• เลือกเมนูหลักชื่อ - ส่วนหัวของข้อความ…
• เลือกเมนูย่อยชื่อ - รวมคำเหล่านี้

ข้อมูลทั่วไป - ส่วนหัวของข้อความอีเมลประกอบด้วย “ฟิลด์อีเมล” จำนวนมาก
ฟิลด์อีเมลเฉพาะที่มีผลการตรวจสอบยืนยันผู้ส่ง SPF คือฟิลด์อีเมลชื่อ - ผลการตรวจสอบสิทธิ์

• เลือกเมนู - *ป้อนข้อความ…

• ระบุชื่อของช่องอีเมลที่มีผลการตรวจสอบการยืนยันผู้ส่ง SPF ในสถานการณ์ของเรา ชื่อช่องอีเมลคือ - Authentication-Results
• เลือก ตกลง เพื่อบันทึกข้อมูล

หมายเหตุทั่วไป - ในขั้นตอนนี้ เราจะระบุ "สตริงข้อความ" ที่เราค้นหา

• เลือกเมนู - *ป้อนคำ…

ข้อมูลเกี่ยวกับผลการทดสอบการยืนยันผู้ส่ง SPF อาจปรากฏในตัวเลือกรูปแบบข้อความที่แตกต่างกัน 3 แบบ:

• SPF:ล้มเหลว
• spf=ล้มเหลว
• ได้รับ SPF: ล้มเหลว

เราจะเพิ่มแต่ละตัวเลือกเหล่านี้

• จดตัวเลือกแรก - SPF: Fail แล้วคลิกเครื่องหมาย plus

• ป้อนค่าสตริง SPF เพิ่มเติมอีกสองค่าต่อไป - spf=fail และ Received-SPF: Fail
• เลือก ตกลง เพื่อบันทึกข้อมูลที่ป้อน

ส่วนที่ 2#2 - กำหนดค่า “ส่วนการดำเนินการ” ของกฎ Exchange SPF Fail

ในระยะนี้ เราจะกำหนดค่า "ส่วนที่สอง" ของกฎ Exchange Online
ในส่วนที่สอง เราจะกำหนดการดำเนินการ (การตอบสนอง) ที่กฎ Exchange จะดำเนินการ

การตอบสนองของกฎ Exchange Online จะมีการดำเนินการที่แตกต่างกันสองรายการ:

1. ส่งต่อข้อความอีเมลไปยังกล่องจดหมายที่กำหนด (กล่องจดหมายที่ใช้ร่วมกัน) เพื่อขออนุมัติ
2. ส่งการแจ้งเตือนข้อความอีเมลไปยังผู้รับปลายทางเดิมซึ่งจะแจ้งให้ทราบว่าข้อความอีเมลที่ส่งถึงเขาอาจเป็นอีเมลปลอมและข้อความอีเมลนี้ถูกส่งไปตรวจสอบต่อไป

การดำเนินการ 1#2 - ส่งต่อข้อความอีเมลไปยังกล่องจดหมายที่กำหนด (กล่องจดหมายที่ใช้ร่วมกัน) เพื่อขออนุมัติ

ในสถานการณ์ของเรา เราต้องการป้องกันไม่ให้ข้อความอีเมลถูกส่งไปยังผู้รับปลายทาง

อีเมลที่ทำเครื่องหมายว่าเป็นจดหมายหลอกลวงจะถูกส่งไปยัง "ร้านค้าแยกต่างหาก" ในสถานการณ์สมมติของเรา "ร้านค้าแยกต่างหาก" จะถูกใช้งานโดยใช้กล่องจดหมายที่ใช้ร่วมกันที่ชื่อว่า กล่องจดหมายอีเมลปลอม

ผู้ใช้ที่ได้รับอนุญาตเพียงคนเดียว เช่น Brad ผู้ดูแลระบบ Exchange Online ของเราจะสามารถเข้าถึงกล่องจดหมายที่ใช้ร่วมกันนี้ได้

บุคคลที่ได้รับอนุญาตให้เข้าถึงกล่องจดหมายที่ใช้ร่วมกันจะต้องตรวจสอบแต่ละข้อความอีเมลที่ถูกจัดประเภทเป็นจดหมายปลอม และตัดสินใจว่าอีเมลนั้นเป็นอีเมลที่ถูกต้อง (อนุมัติ) หรือไม่อนุมัติ (ปฏิเสธ ) อิเมล.

• ในส่วนชื่อ - *.ดำเนินการดังต่อไปนี้... คลิกบนลูกศรสีดำเล็กๆ

• เลือกตัวเลือก - เปลี่ยนเส้นทางข้อความไปที่...
• เลือกตัวเลือกเมนูย่อย - สำหรับบุคคลนี้

• เลือกชื่อผู้รับ (กล่องจดหมาย) เฉพาะเจาะจงที่จะส่งต่อข้อความอีเมลไป ในสถานการณ์เฉพาะของเรา ผู้รับที่จะได้รับ รายงานเหตุการณ์ คือ กล่องจดหมายอีเมลปลอม

การดำเนินการ 2#2 - ส่งการแจ้งเตือนทางอีเมลไปยังผู้รับปลายทางเดิม

เราขอแจ้งให้ผู้รับปลายทางทราบว่าข้อความอีเมลที่ส่งถึงเขาระบุว่าเป็น “อีเมลที่มีปัญหา” (Spoof Mail) และอีเมลดังกล่าวส่งเพื่อตรวจสอบโดยเจ้าหน้าที่ผู้มีอำนาจ

• คลิกที่ตัวเลือก เพิ่มการกระทำ

• ในส่วนชื่อ - และ ให้คลิกที่ลูกศรสีดำเล็กๆ

• เลือกตัวเลือก - แจ้งเตือนผู้รับด้วยข้อความ...

ในภาพหน้าจอต่อไปนี้ เราจะเห็นตัวอย่างข้อมูลการแจ้งเตือนทางอีเมลที่จัดรูปแบบโดยใช้ HTML

หากคุณต้องการดาวน์โหลดตัวอย่างข้อความที่จัดรูปแบบดังกล่าว คลิกที่นี่

• ใน กล่องข้อความ ให้เพิ่มข้อความแจ้งเตือนที่จำเป็น
• คลิก ตกลง เพื่อบันทึกการตั้งค่า

ในภาพหน้าจอต่อไปนี้ เราจะเห็นว่า "ผลลัพธ์สุดท้าย" - อีเมล Exchange Online Spoof ที่ประกอบด้วยสองส่วน:

• ส่วนสภาพ
• ส่วนการกระทำ

ตรวจสอบว่ากฎความล้มเหลวของ Exchange Online SPF ทำงานอย่างถูกต้อง

ในระยะนี้ เราต้องการทดสอบกฎ Exchange Online ที่สร้างขึ้นในขั้นตอนก่อนหน้า และตรวจสอบว่ากฎทำงานอย่างถูกต้อง

ผลลัพธ์ที่คาดหวังจากกฎ Exchange Online “SFP=Fail”

ผลลัพธ์ที่เราปรารถนาคือ - กฎการแลกเปลี่ยนจะถูกเปิดใช้งานเมื่อตรงตามเงื่อนไขต่อไปนี้:

• อีเมลขาเข้าที่ต้องส่งถึงผู้รับในองค์กรของเราไม่ผ่านการทดสอบการยืนยันผู้ส่ง SPF ผลลัพธ์ SPF คือ “ล้มเหลว
• ผู้ส่งใช้ที่อยู่อีเมลกับชื่อโดเมนของเรา (ชื่อโดเมน o365info.com)

เพื่อเป็นการตอบสนอง กฎการแลกเปลี่ยนจะดำเนินการตามลำดับของการกระทำต่อไปนี้:

1. ส่งต่อข้อความอีเมลไปยังกล่องจดหมายที่กำหนด (กล่องจดหมายที่ใช้ร่วมกัน) เพื่อขออนุมัติ
2. ส่งข้อความแจ้งเตือนทาง E-mail ไปยังผู้รับปลายทางเดิม โดยจะแจ้งให้ทราบว่า E-mail ที่ส่งถึงเขานั้น น่าจะเป็นเมล์ปลอมที่ส่งไปสอบสวนต่อไป

จำลองการโจมตีอีเมลปลอม | ตัวละครสถานการณ์

เพื่อให้สามารถทดสอบกฎ Exchange Online “SPF=Fail” ทำงานอย่างถูกต้อง เราจะจำลองการโจมตีอีเมลปลอมที่มีอักขระต่อไปนี้:

เราจะส่งข้อความอีเมลไปยังผู้รับในองค์กรของเราโดยใช้โปรแกรมรับส่งเมลที่ใช้ที่อยู่ IP สาธารณะที่ ไม่ถือว่าเป็นที่อยู่ IP ที่ได้รับอนุญาต

เราคาดหวังว่าผลลัพธ์จากการทดสอบการตรวจสอบผู้ส่ง SPF จะเป็น "ล้มเหลว"

ในภาพหน้าจอต่อไปนี้ เราจะดูข้อมูลเกี่ยวกับบันทึก SPF ที่องค์กรใช้ - o365info.com

ในสถานการณ์สมมติของเรา โครงสร้างพื้นฐานเมลขององค์กรโฮสต์อยู่ที่โครงสร้างพื้นฐานเมล Office 365 (Exchange Online)

มีเพียงเซิร์ฟเวอร์อีเมล Office 365 เท่านั้นที่ถือว่าเป็น “เซิร์ฟเวอร์อีเมลที่ได้รับอนุญาต” ที่สามารถส่งข้อความอีเมลในนามของผู้รับ o365info.com

ผู้รับต้นทางและปลายทางที่เราจะใช้มีดังนี้:

• “องค์ประกอบที่ไม่เป็นมิตร” กำลังพยายามปลอมแปลงตัวตนของผู้รับองค์กรที่ถูกต้องตามกฎหมายชื่อ -Jeff ซึ่งใช้ที่อยู่อีเมล - Jeff@o365info.com
• ข้อความอีเมลปลอมจะถูกส่งไปยังผู้ใช้องค์กรที่ถูกต้องตามกฎหมายชื่อ Angelina ซึ่งใช้ที่อยู่อีเมล - angelina@o365info.com

ในภาพหน้าจอต่อไปนี้ เราจะเห็นเมลไคลเอ็นต์ (jbmail) ที่เราใช้สำหรับจำลองการโจมตีเมลปลอม

หากคุณต้องการเรียนรู้เกี่ยวกับวิธีที่เราใช้จำลองการโจมตีด้วยการปลอมแปลงอีเมล คุณสามารถอ่านบทความ - วิธีจำลองการโจมตีด้วยการปลอมแปลงอีเมล |ตอนที่ 11#12

1#2 - ตรวจสอบว่าอีเมลปลอมถูกส่งไปยังผู้รับปลายทาง

ดังที่ได้กล่าวไปแล้ว เราต้องการป้องกันไม่ให้อีเมลหลอกลวงถูกส่งไปยังผู้รับปลายทาง แทนที่จะเป็น "อีเมลต้นฉบับ" กฎ Exchange Online จะสร้างและส่งการแจ้งเตือนทางอีเมลที่กำหนดเองไปยังผู้รับเป้าหมาย (Angelina ในสถานการณ์ของเรา)

ในภาพหน้าจอต่อไปนี้ เราจะเห็นการแจ้งเตือนทางอีเมลที่ส่งถึง Angelina

การแจ้งเตือนทางอีเมลแบบกำหนดเองประกอบด้วยสองส่วนหลัก:

ส่วน A - ในส่วนนี้ เราจะแจ้งให้ผู้รับปลายทางทราบถึงเหตุการณ์ที่ข้อความอีเมลที่ส่งถึงเขาถูกระบุว่าเป็นเมลหลอก นอกจากนี้เรายังจัดเตรียมข้อความอีเมลให้กับทีมงานรักษาความปลอดภัยในกรณีที่เขาต้องการรับข้อมูลเพิ่มเติมเกี่ยวกับข้อความอีเมลนั้น ๆ

ส่วน B - ส่วนนี้ประกอบด้วยรายงานสรุปเกี่ยวกับลักษณะของอีเมล - ผู้ส่ง หัวเรื่อง และอื่นๆ

2#2 - ตรวจสอบว่าอีเมลหลอกลวงถูกส่งไปยังผู้รับที่กำหนดเพื่อขออนุมัติ

ในภาพหน้าจอต่อไปนี้ เราจะเห็นว่าอีเมลปลอมนั้นถูก "จับภาพ" และเปลี่ยนเส้นทางไปยังกล่องจดหมายที่เลือก ในสถานการณ์สมมติของเรา กล่องจดหมายที่ใช้ร่วมกันชื่อ - กล่องจดหมายอีเมลปลอม

ผู้ดูแลระบบ Exchange Online ของเรา Brad มีสิทธิ์เข้าถึงกล่องจดหมายที่ใช้ร่วมกันโดยสมบูรณ์ - "กล่องจดหมายอีเมลปลอม" และสามารถดูเนื้อหาของกล่องจดหมายได้

ในภาพหน้าจอต่อไปนี้ เราจะเห็นตัวอย่างอีเมลปลอม

หลังจากตรวจสอบอีเมลแล้ว แบรดสามารถตัดสินใจได้ว่าต้องการอนุมัติหรือปฏิเสธอีเมลดังกล่าว