ค้นหาเว็บไซต์

การวิเคราะห์ผลลัพธ์ของกฎอีเมลหลอกลวง Exchange | ตอนที่ 9#12

ในบทความปัจจุบัน เราจะตรวจสอบตัวเลือกที่พร้อมใช้งานสำหรับการวิเคราะห์ผลลัพธ์ของกฎอีเมลหลอกลวง Exchange Online ที่เราสร้างขึ้น
คำว่า “วิเคราะห์ ” เกี่ยวข้องกับความสามารถของเราในการตอบคำถามพื้นฐาน เช่น:

  1. กฎ Exchange Online ที่เราสร้างขึ้นถูก "กระตุ้น" กี่ครั้งแล้ว
  2. สถานการณ์สมมติที่กฎ Exchange Online ที่เราสร้างขึ้นถูก "ทริกเกอร์" คืออะไร

ข้อมูลนี้เกี่ยวข้องกับเราเพื่อวัตถุประสงค์ที่แตกต่างกันมากมาย แต่สำหรับฉัน มีเป้าหมายหลักสามประการ:

  1. ความสามารถในการระบุสถานการณ์เชิงบวกที่ผิดพลาด - ความหมายคือฉากที่เมลที่ถูกต้องถูกเข้าใจผิดว่าเป็นอีเมลปลอมและถูกลบหรือบล็อกแทนที่จะเข้าถึงกล่องจดหมายของผู้ใช้ขององค์กร
  2. การตรวจสอบว่ากฎ Exchange Online Spoof E-mail บรรลุวัตถุประสงค์ ซึ่งหมายถึง - จัดการเพื่อระบุเหตุการณ์อีเมล Spoof และจัดการเพื่อดำเนินการตาม "การกระทำ" ที่จำเป็นที่กำหนดค่าไว้
  3. ระบุ “แนวโน้ม” เฉพาะของการโจมตีอีเมลปลอม เช่น การโจมตีอีเมลปลอมที่ส่งจากผู้รับเฉพาะหรือมุ่งเป้าไปที่ผู้รับเฉพาะองค์กร เป็นต้น

คำถามใหญ่คือ Exchange Online มีเครื่องมือการรายงานที่สร้างขึ้นซึ่งสามารถให้ข้อมูลประเภทนี้แก่เราได้หรือไม่

คำตอบคือ “ใช่ ” และ “ไม่ใช่ ”
“ใช่” Exchange Online มีเครื่องมือการรายงานในตัวที่ช่วยให้เราสามารถแสดง “รายงานการใช้งาน ” ของกฎ Exchange Online เฉพาะ เช่น - จำนวนครั้งที่ กฎการแลกเปลี่ยนแบบออนไลน์ในสถานที่ของ Exchange ถูก "ทริกเกอร์ ”

“ไม่” ในขณะนี้ ข้อมูลที่ได้รับจากรายงาน Exchange Online จะไม่รวมข้อมูลเกี่ยวกับแต่ละเหตุการณ์เฉพาะที่กฎ Exchange Online ถูก “ทริกเกอร์” ”

ตัวอย่างเช่น โดยการใช้รายงานที่สร้างขึ้นของ Exchange Online เราสามารถเข้าใจได้ว่ากฎ Exchange Online ใดกฎหนึ่งถูก “ทริกเกอร์” 20 ครั้งในเดือนที่ผ่านมา แต่รายงานไม่ได้บอกเราว่า “ผู้รับต้นทาง” หรือ “ผู้รับปลายทาง” รายใด กฎถูกทริกเกอร์

ข่าวดีก็คือว่า มีวิธีแก้ไขปัญหาชั่วคราวสำหรับความบกพร่องเหล่านี้ของ Exchange Online เพื่อให้รายงานโดยละเอียดเกี่ยวกับแต่ละเหตุการณ์ที่แยกจากกันซึ่งกฎ Exchange Online ถูกทริกเกอร์

เครื่องมือติดตามข้อความออนไลน์และการค้นหาประวัติ

โซลูชันที่เราจะตรวจสอบในบทความปัจจุบันถูกนำมาใช้โดยใช้เครื่องมือ Exchange Online การติดตามข้อความ .

เครื่องมือ การติดตามข้อความ ของ Exchange Online สามารถให้ข้อมูลโดยละเอียดเกี่ยวกับอีเมลขาเข้าแต่ละฉบับและสำหรับแต่ละอีเมล จดหมายขาออกที่ส่งไปยังผู้รับ Office 365 ของเราและจากผู้รับ Office 365 ของเรา

Exchange Online จะเก็บข้อมูลนี้ไว้เป็นเวลา 90 วัน

นอกจากนี้ Exchange Online ยังมีคุณลักษณะที่มีประโยชน์มาก แต่ในขณะเดียวกัน ไม่ทราบ และคุณลักษณะที่ไม่คุ้นเคยซึ่งอธิบายว่าเป็นการค้นหาในอดีต

คุณลักษณะการติดตามข้อความของ Exchange Online - การค้นหาตามประวัติ ช่วยให้เราสามารถส่งออกข้อมูลทั้งหมดไปยัง CSV ไฟล์ (CSV ย่อมาจากค่าที่คั่นด้วยเครื่องหมายจุลภาค)

เมื่อเรามีข้อมูลในไฟล์ CSV เราก็สามารถใช้เครื่องมือต่างๆ เช่น Microsoft Excel ที่มีความสามารถที่จะช่วยให้เราวิเคราะห์ข้อมูลที่จัดเก็บไว้ในไฟล์ CSV ได้

ข้อมูลที่ส่งออก Exchange Online โดยใช้ CSV ถือเป็นข้อมูลที่มีรายละเอียดมาก และข่าวดีก็คือ แต่ละครั้งที่มีการทริกเกอร์กฎ Exchange Online เฉพาะ ข้อมูลจะถูกบันทึกและแสดงในไฟล์ CSV

ข่าวดีน้อยกว่าก็คือ ข้อมูลเกี่ยวกับกฎ Exchange Online ที่ถูกทริกเกอร์นั้นไม่เกี่ยวข้องกับ "ชื่อ" ของกฎ Exchange Online แต่เกี่ยวข้องกับ GUID (ตัวระบุที่ไม่ซ้ำกันทั่วโลก) ของกฎ Exchange Online แทน

GUID นำไปใช้เป็นค่าตัวเลข

กล่าวอีกนัยหนึ่ง เมื่อเราต้องวิเคราะห์ข้อมูลที่จัดเก็บไว้ในไฟล์ CSV เราจะต้องค้นหาหมายเลข GUID ของกฎ Exchange Online โดยเฉพาะ

คำถามคือ เราจะรู้ได้อย่างไรว่าหมายเลข GUID ของกฎ Exchange Online เฉพาะคืออะไร

และคำตอบคือ - โดยใช้คำสั่ง PowerShell ที่จะ “เปิดเผย” ข้อมูลนี้

โดยสรุป - มีตัวเลือกในการวิเคราะห์ข้อมูลเกี่ยวกับกฎ Exchange Online โดยเฉพาะ แต่เราจำเป็นต้องใช้ความพยายามเพียงเล็กน้อยเพื่อเก็บเกี่ยวผลของความสำเร็จ

การใช้เครื่องมือติดตามข้อความ Exchange Online และตัวเลือกการค้นหาในอดีต

  • เข้าสู่ระบบพอร์ทัลผู้ดูแลระบบ Exchange
  • บนแถบเมนูด้านซ้าย ให้เลือก - การรับส่งอีเมล
  • บนแถบเมนูด้านบน ให้เลือก - การติดตามข้อความ

ช่วงวันที่เริ่มต้นคือ 48 ชั่วโมง
เพื่อให้สามารถ "เปิดใช้งาน" ตัวเลือกของการติดตามข้อความ Exchange Online การค้นหาในอดีต< เราจะต้องใช้ช่วงเวลาที่กำหนดเอง (มากกว่า 7 วัน)

ใน *ช่องช่วงวันที่ ให้เลือกตัวเลือก กำหนดเอง

ตามที่กล่าวไว้ เพื่อให้สามารถเปิดใช้งานตัวเลือก การค้นหาตามประวัติ เราจะต้องกำหนดวันที่ ช่วงที่เท่ากับหรือมากกว่า 7 วัน

ในขั้นตอนต่อไปนี้ เราจะต้องกำหนด “ตัวกรองการค้นหา” เช่น - ผู้ส่ง ผู้รับ ฯลฯ

ข้อกำหนดคือการระบุตัวกรองอย่างน้อยหนึ่งรายการ เช่น ผู้ส่ง ผู้รับเป็นข้อกำหนดบังคับ

โปรดทราบว่าในสถานการณ์เฉพาะของเรา “ข้อกำหนดบังคับ” นี้เป็นปัญหาเนื่องจากความปรารถนาของเราคือการได้รับข้อมูลเกี่ยวกับธุรกรรมทางไปรษณีย์ทั้งหมดที่เกิดขึ้นในช่วงวันที่ที่ระบุ ดังนั้นเราจะสามารถค้นหาเหตุการณ์เฉพาะที่ Exchange ของเรา กฎอีเมลปลอมออนไลน์ถูกทริกเกอร์

ในสถานการณ์ของเรา เราไม่ทราบว่าการโจมตีอีเมลปลอมนั้นดำเนินการโดย “ผู้รับต้นทาง” (ผู้ส่ง) หรือไม่ และเราไม่ทราบว่าอีเมลปลอมนั้นถูกส่งไปยังผู้รับปลายทางเฉพาะหรือไม่ (องค์กรของเรา ผู้รับ)

เพื่อเอาชนะอุปสรรคนี้ เราจะใช้เคล็ดลับเล็กๆ น้อยๆ ในการกำหนด "คำค้นหา" ที่เกี่ยวข้องกับชื่อโดเมนใดชื่อหนึ่ง แทนที่จะเป็นชื่อผู้รับปลายทางที่เฉพาะเจาะจง

ในสถานการณ์ของเรา ชื่อโดเมนขององค์กรคือ - o365pilot.com

เพื่อให้สามารถค้นหาข้อความอีเมลทั้งหมดที่ส่งถึงผู้รับในองค์กรของเรา (ผู้รับที่ที่อยู่อีเมลของพวกเขามีชื่อโดเมน o365pilot.com) เราจะ มองหา “ผู้รับไวลด์การ์ด” โดยใช้คำค้นหา - *@<ชื่อโดเมน>

ในตัวอย่างของเรา ข้อความค้นหาคือ *@o365pilot.com

ในภาพหน้าจอต่อไปนี้ เราจะเห็นตัวเลือกเพิ่มเติมที่พร้อมใช้งานสำหรับเรา

ตัวเลือกที่โดดเด่นและสำคัญที่สุดที่อธิบายว่า - รวมเหตุการณ์ข้อความและรายละเอียดไว้ในรายงาน (หมายเลข 2)

เมื่อเลือกตัวเลือกนี้ เราขอให้ Exchange Online จัดทำรายงานโดยละเอียดซึ่งจะรวม "ข้อมูลเพิ่มเติม" ทั้งหมดที่ไม่รวมอยู่ในผลลัพธ์การติดตามข้อความมาตรฐานโดยค่าเริ่มต้น

ตัวเลือกอื่นๆ ได้แก่:

ชื่อรายงาน (หมายเลข 3) Exchange Online จะสร้างชื่อรายงานเริ่มต้นซึ่งจะรวมวันที่และเวลาปัจจุบัน เราสามารถเปลี่ยนชื่อเริ่มต้นนี้เป็นชื่ออื่นที่เหมาะกับความต้องการของเราได้

ที่อยู่อีเมลแจ้งเตือน (หมายเลข 4) - กระบวนการสร้างรายงานและบันทึกข้อมูลลงในไฟล์ CSV อาจใช้เวลา 2 -6~ ชั่วโมง

เพื่อให้ทราบว่าเมื่อใดควรสิ้นสุดกระบวนการ และเพื่อรับการแจ้งเตือนที่แจ้งให้เราทราบว่ารายงาน (ไฟล์ CSV) พร้อมสำหรับเราแล้ว เราสามารถเพิ่มที่อยู่อีเมลของผู้รับที่กำหนด เช่น ที่อยู่อีเมล ของผู้ดูแลระบบ Exchange Online

หลังจากที่เรา "กดปุ่ม" ค้นหาแล้ว ตัวเลือกการติดตามข้อความ Exchange Online - การค้นหาประวัติจะเป็น “ ถูกกระตุ้น”

ข้อความแจ้งเตือนปรากฏขึ้นเพื่อแจ้งให้เราทราบว่าได้ส่งคำขอสร้างรายงานที่ต้องการเรียบร้อยแล้ว และเราจำเป็นต้องตรวจสอบว่ากระบวนการเสร็จสมบูรณ์เมื่อใด

ในภาพหน้าจอต่อไปนี้ เราจะเห็นผลลัพธ์ ซึ่งเป็นไฟล์ CSV ที่มีรายงานโดยละเอียดเกี่ยวกับธุรกรรมทางไปรษณีย์ที่จำเป็นทั้งหมด

หมายเหตุ: โปรดสังเกตว่างานสร้างรายงานนี้อาจใช้เวลานานถึง 2-6~ ชั่วโมง

ในตัวอย่างเฉพาะของเรา เราจะเห็นว่ารายงานมี "แถวข้อมูล" 126 แถว และเราสามารถดาวน์โหลดรายงานได้โดยเลือกลิงก์ชื่อ- ดาวน์โหลดสิ่งนี้ รายงาน

รับ GUID ของกฎ Exchange Online

ในส่วนถัดไป เราจะตรวจสอบวิธีใช้ไฟล์ CSV ที่เราจะได้รับจากการดำเนินการค้นหาประวัติการติดตามข้อความ Exchange Online เพื่อวิเคราะห์ข้อมูลเกี่ยวกับการรับส่งเมลที่เป็นจริงกับกฎ Exchange Online ที่ระบุ

ข้อกำหนดเบื้องต้นสำหรับการดำเนินการนี้คือข้อมูลเกี่ยวกับค่า GUID ถ้ากฎ Exchange Online เฉพาะ

ตามที่กล่าวไว้ ข้อมูลเกี่ยวกับกฎ Exchange Online ไม่ปรากฏโดยใช้ "ชื่อ" ของกฎ Exchange Online แต่ใช้ค่า GUID ของ Exchange Online แทน

ในการรับ GUID กฎ Exchange Online ที่จำเป็น เราจำเป็นต้องใช้คำสั่ง PowerShell

คำสั่ง PowerShell ที่เราใช้เพื่อแสดงค่า GUID ของกฎ Exchange Online ที่มีอยู่คือ

Get-TransportRule |FL name, guid

ในสถานการณ์เฉพาะของเรา เราต้องการรับข้อมูลเกี่ยวกับกฎ Exchange Online เฉพาะที่มีชื่อว่า - ตรวจหาอีเมลปลอมแปลง + ส่งรายงานเหตุการณ์

GUID สำหรับกฎนี้คือ - 41b16365-5e3d-4476-b25b-468772545c01

สำหรับข้อมูลเพิ่มเติมเกี่ยวกับวิธีการใช้ PowerShell ระยะไกลสำหรับการเชื่อมต่อกับ Exchange Online คุณสามารถอ่านบทความ - เชื่อมต่อกับ Exchange Online โดยใช้ PowerShell

การใช้ Microsoft Excel ในการวิเคราะห์ข้อมูลในไฟล์ CSV

ก่อนที่เราจะเริ่มต้นด้วยคำแนะนำเฉพาะเกี่ยวกับวิธี "แยก" ข้อมูลที่จำเป็นเกี่ยวกับการรับส่งอีเมลที่เกี่ยวข้องกับกฎ Exchange Online เฉพาะ สอง "เคล็ดลับ
ที่จะช่วยให้เราจัดการ "ข้อมูลก้อนใหญ่" เมื่อใช้งาน excel เพื่อดูเนื้อหาของไฟล์

ในภาพหน้าจอต่อไปนี้ เราจะเห็นเนื้อหาของ CSV ที่สร้างขึ้นโดยการติดตามข้อความ Exchange Online การค้นหาในอดีต

เห็นได้ชัดเจนว่า “ปริมาณข้อมูล” อาจทำให้เกิดอาการปวดหัวได้ง่ายมาก

ตามค่าเริ่มต้น เมื่อเราเลื่อนลง ส่วนหัวของตารางข้อมูลจะ “หายไป”

งานของเราคือ "แก้ไข" ส่วนหัวของตาราง ดังนั้นเมื่อเราเลื่อนลง จะชัดเจนว่าเซลล์ใด "อยู่ใน" แถวนั้น

หากต้องการ “แก้ไข” ส่วนหัวของตาราง ให้เลือกเมนู ดู และคลิกที่ไอคอน - ตรึงแนว

อีกทางเลือกหนึ่งที่เราควรพิจารณาใช้คือการคัดลอกเนื้อหาในแผ่นงาน Excel ที่รวมรายงานไปยังแผ่นงาน Excel เพิ่มเติม เพื่อที่เราจะสามารถใช้ตัวเลือก Excel ต่างๆ ได้ เช่น การกรอง และอื่นๆ โดยไม่ “ทำลาย” หรือ “ทำให้เสียหาย” ต้นฉบับ ข้อมูล.

เพื่อให้สามารถคัดลอกเนื้อหาของแผ่นงาน Excel เฉพาะได้ ให้คลิกขวาที่ชื่อ TAB และเลือกเมนู ย้ายหรือคัดลอก...< /แข็งแกร่ง>

ในกล่องตัวเลือก ให้เลือกตัวเลือก - สร้างสำเนา

ในภาพหน้าจอต่อไปนี้ เราจะเห็นสำเนาของ "แผ่นงาน Excel ต้นฉบับ" เราสามารถเปลี่ยนชื่อสำเนาเป็นชื่อที่เหมาะสมได้

การใช้ตัวเลือกการค้นหาของ Excel

ในส่วนก่อนหน้านี้ เราได้เรียนรู้วิธีรับ GUID ที่จำเป็นของกฎ Exchange Online เฉพาะที่เราต้องการ

ขั้นตอนที่ง่ายที่สุดที่เราสามารถใช้เพื่อค้นหาข้อมูลเกี่ยวกับ “ธุรกรรมเมล” ที่กำหนดราคาตามกฎ Exchange Online ที่เฉพาะเจาะจงคือการใช้ตัวเลือก “ค้นหาอย่างง่าย”

ใช้คีย์เวิร์ดผสมกัน CTRL + F

ในภาพหน้าจอต่อไปนี้ เราจะเห็นว่าผลลัพธ์ปรากฏเป็น “ruleid=“
กล่าวอีกนัยหนึ่ง Exchange Online ให้ข้อมูลเกี่ยวกับกฎเฉพาะเป็นรหัสกฎ (การระบุ) และเกี่ยวข้องกับกฎโดยใช้ GUID

การใช้ตัวเลือกค้นหาการค้นหาทั้งหมด

ตัวเลือกที่เหมาะกับความต้องการของเรามากกว่าคือการเลือก “ค้นหาทั้งหมด” เนื่องจากข้อมูลเกี่ยวกับข้อมูลเฉพาะ แถวที่มีค่าที่เราค้นหาจะปรากฏขึ้นหลายครั้ง

เมื่อใช้ตัวเลือก "ค้นหา" ให้คลิกที่ปุ่ม - ค้นหาทั้งหมด

ในภาพหน้าจอต่อไปนี้ เราจะเห็นว่า “Find BOX” รวม “อินสแตนซ์” ทั้งหมดที่พบคำหลักเฉพาะ

การใช้ตัวเลือกตัวกรอง Excel

ตัวเลือกเพิ่มเติมที่เราสามารถใช้ได้คือ - ตัวเลือกตัวกรอง Excel

หากต้องการ "กรองออก" แถวเฉพาะที่มีค่าที่เราค้นหา ให้ใช้ขั้นตอนต่อไปนี้:

  • วางเคอร์เซอร์ของเมาส์ไว้ที่ไหนสักแห่งในตารางข้อมูล
  • เลือกเมนู ข้อมูล และคลิกที่ ไอคอน ตัวกรอง

ในภาพหน้าจอต่อไปนี้ เราจะเห็นว่า "ลูกศรเล็ก ๆ " ปรากฏขึ้นที่ด้านขวาของส่วนหัวของคอลัมน์แต่ละคอลัมน์

ข้อมูลเกี่ยวกับกฎ Exchange Online จะปรากฏในคอลัมน์ชื่อ- custom_data

  • เลือกส่วนหัวคอลัมน์ custom_data และคลิกที่ลูกศรสีดำเล็กๆ
  • เลือกเมนู ตัวกรองข้อความ
  • ในเมนูย่อย ให้เลือกเมนู Contains...

ในกล่องข้อความ ให้เพิ่ม ค่า GUID ของกฎ Exchange Online เฉพาะที่คุณกำลังมองหา

ในภาพหน้าจอต่อไปนี้ เราจะเห็นผลลัพธ์
ข้อมูลที่ปรากฏขึ้นคือ "ข้อมูลที่กรอง" ที่รวมเฉพาะความหมายของแถวที่เกี่ยวข้อง แถวข้อมูลที่มีหมายเลข GUID ที่เราค้นหา

การใช้รายงาน Office 365 เพื่อรับข้อมูลเกี่ยวกับกฎ Exchange Online

ในส่วนต่อไปนี้ เราจะตรวจสอบเครื่องมือเพิ่มเติม - รายงาน Office 365 ที่สามารถช่วยให้เราได้รับข้อมูลเพิ่มเติมเกี่ยวกับการรับส่งอีเมลที่เกี่ยวข้องกับกฎ Exchange Online เฉพาะ

ลักษณะหลักของรายงาน Office 365 คือข้อมูลที่ให้ไว้โดยใช้ Graff และวัตถุประสงค์หลักของรายงานนี้คือเพื่อให้มุมมอง "ระดับสูง" ของโครงสร้างพื้นฐาน Office 365 ที่เฉพาะเจาะจง

ในสถานการณ์เฉพาะของเรา เราจะใช้รายงาน Office 365 เฉพาะที่จะช่วยให้เราได้รับข้อมูลเกี่ยวกับกฎอีเมลปลอมแปลง Exchange Online ที่เราสร้างขึ้น

ในปัจจุบัน รายงาน Office 365 ไม่สามารถใช้เพื่อให้ข้อมูลโดยละเอียดเกี่ยวกับธุรกรรมอีเมลแต่ละรายการ แต่ให้สอบถามข้อมูลทั่วไปเกี่ยวกับ "แนวโน้ม" ของกฎ Exchange Online เฉพาะและจำนวนครั้งที่ Exchange Online แทน กฎถูก "กระตุ้น"

ชื่อของรายงาน Exchange Online ที่เราใช้เพื่อรับข้อมูลเกี่ยวกับกฎ Exchange Online โดยเฉพาะคือ - กฎที่ตรงกันสำหรับจดหมายทั้งหมด

เพื่อให้สามารถดูรายงานที่แสดงข้อมูลเกี่ยวกับ "การจับคู่" กับกฎการขนส่ง Exchange Online ที่มีอยู่ ให้ใช้ขั้นตอนต่อไปนี้:

  • เข้าสู่ระบบพอร์ทัลการจัดการ Office 365
  • บนแถบเมนูด้านซ้าย ให้เลือก - รายงาน
  • คลิกที่รายงานชื่อ- กฎที่ตรงกันสำหรับเมล

ในหน้าต่างที่ปรากฏขึ้น เราจะเห็น Graff ที่อธิบายการรับส่งจดหมายที่เกี่ยวข้องกับกฎ Exchange Online ที่มีอยู่ทั้งหมด

ในสถานการณ์ของเรา เราสนใจกฎ Exchange Online โดยเฉพาะ
เพื่อให้สามารถดูข้อมูลเกี่ยวกับกฎ Exchange Online ที่เฉพาะเจาะจงได้ ให้คลิกที่ลูกศรเล็กๆ ใน ส่วนกฎ

ในสถานการณ์เฉพาะของเรา เราจะเลือกข้อมูลที่แสดงเกี่ยวกับกฎการปลอมแปลง Exchange Online ที่เราสร้างชื่อ -
ตรวจจับอีเมลปลอม - ลบอีเมล + ส่งรายงานเหตุการณ์

ในภาพหน้าจอต่อไปนี้ เราจะเห็นผลลัพธ์
เราเลือกช่วงเวลาเริ่มต้นเป็น “เจ็ดวันล่าสุด”

เราจะเห็นว่ากฎการแลกเปลี่ยนนั้น “เปิดใช้งาน” หรือ “ถูกกระตุ้น” ในวันที่ 06/55 ระหว่าง 08/55

ในกรณีที่เราต้องการข้อมูลรายละเอียดเพิ่มเติม เช่น จำนวนครั้งที่เปิดใช้งานกฎ Exchange Online เฉพาะ เราสามารถใช้ตัวเลือกของ - ดู ตาราง

ในภาพหน้าจอต่อไปนี้ เราจะเห็น “มุมมองตาราง“

เราจะเห็นว่ากฎ Exchange Online ทำงานในวันที่ 07/12

ตรวจสอบว่ากฎ Exchange Online ถูกใช้โดยใช้การติดตามข้อความ Exchange Online หรือไม่

เครื่องมือเพิ่มเติมที่เราสามารถใช้เพื่อรับข้อมูลเกี่ยวกับ "ธุรกรรมจดหมาย" เฉพาะคือการใช้ตัวเลือกการติดตามข้อความ Exchange Online

สมมติว่าเราได้กำหนดค่ากฎอีเมล Exchange Online Spoof ที่ควรระบุและลบรายการเมล ที่ดูเหมือนเป็นข้อความอีเมลปลอม

“ปัญหา” คือเมื่อ Exchange Online ระบุอีเมลปลอม เมลจะถูกลบ แต่เราไม่ทราบเกี่ยวกับเหตุการณ์นี้ และเราไม่แน่ใจทั้งหมดว่ากฎ Exchange Online กำลัง “บังคับใช้” นโยบายที่จำเป็น

เพื่อตรวจสอบสิ่งที่เกิดขึ้นกับ “อีเมลปลอมแปลงไม่เพียงพอ” เราจะจำลองการโจมตีอีเมลปลอม จากนั้นใช้ข้อความ Exchange Online เพื่อติดตามเพื่อตรวจสอบว่าข้อความอีเมลปลอมแปลงนั้น “ถูกจับ” โดย Exchange Online Spoof E หรือไม่ -กฎการส่งจดหมาย

ในสถานการณ์เฉพาะของเรา เราได้ส่งข้อความอีเมลปลอมอีกครั้งจากผู้รับที่ไม่ได้รับการรับรองความถูกต้อง ซึ่งจะใช้ข้อมูลประจำตัวของ Suzan@o365pilot.com ที่เราพยายามส่งข้อความอีเมล ถึงผู้รับชื่อบ๊อบที่ใช้ที่อยู่อีเมล - Bob@o365pilot.com

ในสถานการณ์ของเรา เราต้องการทดสอบกฎ Exchange Online ต่อไปนี้:

กฎควรระบุฉากที่โฮสต์พยายามปลอมตัวเป็นผู้รับองค์กรที่ถูกต้องตามกฎหมาย

ในกรณีนี้ควรปฏิบัติตามกฎ

  1. ลบข้อความอีเมล
  2. สร้าง + ส่งรายงานเหตุการณ์ไปยังผู้รับที่กำหนด

ในภาพหน้าจอต่อไปนี้ เราจะเห็นเนื้อหาของกฎอีเมลปลอมของ Exchange Online
เฉพาะของเรา:

เราจะจำลองสถานการณ์อีเมลปลอมที่ Suzan@o365pilot.com จะส่ง และในขั้นตอนถัดไป ให้ใช้การติดตามข้อความ Exchange Online เพื่อรับข้อมูลเพิ่มเติมเกี่ยวกับ การไหลของข้อความอีเมลปลอมที่ส่งไปยังผู้รับปลายทาง - Bob@o365pilot.com

หากคุณต้องการอ่านข้อมูลเพิ่มเติมเกี่ยวกับวิธีจำลองการโจมตีด้วยอีเมลปลอม โปรดอ่านบทความ -วิธีจำลองการโจมตีด้วยอีเมลปลอม |ตอนที่ 11#12

เพื่อให้สามารถ “ติดตาม” การรับส่งอีเมลของข้อความอีเมลปลอมที่เราส่งไปยังผู้รับปลายทาง - Bob@o365pilot.com เราจะใช้ข้อความ Exchange Online ติดตาม

  • เข้าสู่ระบบพอร์ทัลผู้ดูแลระบบ Exchange
  • บนแถบเมนูด้านซ้าย ให้เลือก -การรับส่งอีเมล
  • บนแถบเมนูด้านบน ให้เลือก - การติดตามข้อความ

ในสถานการณ์เฉพาะของเรา เรากำลังมองหาข้อความอีเมลที่ส่งถึงผู้รับ Bob@o365pilot.com

ในภาพหน้าจอต่อไปนี้ เราจะเห็นผลลัพธ์ ผลลัพธ์ให้รายละเอียดข้อความอีเมลทั้งหมดที่ส่งถึง Bob@o365pilot.com

เราสนใจข้อความอีเมลที่ส่งโดย Suzan@o365pilot.com

สถานะของอีเมลคือ “ล้มเหลว“

เมื่อมองแวบแรกดูเหมือนว่าจะเกิดปัญหา แต่การแปลคำว่า “ล้มเหลว” ก็คือ
ข้อความอีเมลไปไม่ถึงปลายทาง กล่องจดหมายของผู้รับ

ในสถานการณ์สมมติของเรา นี่คือผลลัพธ์ที่ต้องการเนื่องจากเราคาดว่ากฎอีเมลปลอมแปลงออนไลน์ของ Exchange จะระบุ บล็อก และลบข้อความอีเมลปลอม

ในกรณีที่เราต้องการทราบรายละเอียดเพิ่มเติมเกี่ยวกับการรับส่งอีเมล เราต้องดับเบิลคลิกที่แถวบันทึก

ตอนนี้เราสามารถเห็น "ห่วงโซ่ของเหตุการณ์" ที่เกิดขึ้นในข้อความอีเมลแล้ว

เราจะเห็นว่า Exchange Online ยอมรับข้อความอีเมลปลอม (ปรากฏเป็น RECEIVE)

เนื่องจาก Exchange Online พบว่า "ตรงกัน" กับกฎเฉพาะที่สร้างขึ้น Exchange Online จะทำตามคำแนะนำที่ปรากฏในกฎ:

  • ข้อความอีเมลปลอมจะถูกลบออก (หมายเลข 1)
  • รายงานเหตุการณ์จะถูกสร้างขึ้นโดย Exchange Online และส่งไปยังผู้รับที่กำหนด (หมายเลข 2)

บทความถัดไปในชุดบทความปัจจุบัน

ในบทความถัดไป - การจำลองการโจมตีด้วยการปลอมแปลงอีเมล | ตอนที่ 10#12 เราจะทบทวนวิธีจำลองการโจมตีด้วยการปลอมแปลงอีเมล

บทความที่เกี่ยวข้อง