ตรวจจับอีเมลปลอมและส่งรายงานเหตุการณ์โดยใช้กฎ Exchange Online (โหมดการเรียนรู้) |ส่วนที่ 2#12

ในบทความปัจจุบัน เราจะทบทวนวิธีจัดการกับสถานการณ์อีเมลปลอมในสภาพแวดล้อม Office 365 โดยการสร้างกฎ Exchange Online ที่จะระบุอีเมลปลอมแปลง (ผู้ส่งปลอม) และจะสร้างและส่งการตอบกลับ รายงานเหตุการณ์ไปยังผู้รับที่กำหนด
ในสถานการณ์ของเรา เราต้องการใช้กฎอีเมลปลอมของ Exchange Online ใน "โหมดการเรียนรู้" หรือ "โหมดการตรวจสอบ"

เราไม่ต้องการแทรกแซงการรับส่งอีเมลเนื่องจากวัตถุประสงค์หลักของเราคือเพียงเพื่อรวบรวมข้อมูลเกี่ยวกับ "เหตุการณ์อีเมลหลอกลวง"

อีเมลที่ระบุว่าเป็น "อีเมลปลอมที่อาจเกิดขึ้น" จะถูกส่งต่อโดย Exchange Online ไปยังกล่องจดหมายของผู้รับองค์กรปลายทาง

ข้อมูลเกี่ยวกับเหตุการณ์อีเมลปลอมที่เป็นไปได้จะถูกบันทึกและรายงานโดยใช้ตัวเลือกกฎ Exchange Online ที่มีชื่อว่า - รายงานเหตุการณ์

หมายเหตุ - แม้ว่าข้อมูลในบทความปัจจุบันที่เขียนเกี่ยวกับสภาพแวดล้อมที่ใช้ Office 365 (Exchange Online) แต่ข้อมูลส่วนใหญ่ยังเกี่ยวข้องกับสภาพแวดล้อมที่ใช้ Exchange on-Premises อีกด้วย

ตัวละครหลักของสถานการณ์เฉพาะของเราคือ:

CIO ของเรา รายงานที่ได้รับข้อความอีเมลซึ่งถูกกล่าวหาว่าส่งโดยผู้รับองค์กรที่ถูกต้องตามกฎหมาย (CFO ของบริษัทของเรา) ซึ่งขอให้เขาโอนเงินจำนวนมากไปยังหมายเลขบัญชีธนาคารที่ระบุ

ในความเป็นจริง ผู้รับองค์กร (CFO ของบริษัทเรา) ไม่ได้ส่งข้อความอีเมลนี้ และมีโอกาสสูงที่อีเมลที่ส่งโดยองค์ประกอบที่ไม่เป็นมิตรซึ่งพยายามโจมตีองค์กรของเรา

ความต้องการทางธุรกิจ

ความต้องการทางธุรกิจและเป้าหมายที่เราจำเป็นต้องบรรลุมีดังนี้:

1. เราต้องการระบุเหตุการณ์ที่ข้อความอีเมลที่ส่งถึงผู้รับในองค์กรของเรามีโอกาสสูงที่จะถูกอีเมลปลอม (ผู้ส่งปลอม)
2. เราไม่ต้องการแทรกแซงการรับส่งอีเมลเนื่องจากวัตถุประสงค์หลักของเราคือเพียงเพื่อรวบรวมข้อมูลเกี่ยวกับ "เหตุการณ์อีเมลปลอม" กล่าวอีกนัยหนึ่ง ให้ใช้กฎ Exchange Online เพื่อรวบรวมข้อมูลเกี่ยวกับเหตุการณ์อีเมลปลอมที่เป็นไปได้ (“โหมดการเรียนรู้ ” หรือ “โหมดการตรวจสอบ”)
3. ข้อความอีเมลที่ระบุตามกฎ Exchange Online เป็น "อีเมลปลอม" จะถูกส่งต่อไปยังกล่องจดหมายของผู้รับองค์กรปลายทาง
4. เราต้องการส่งข้อมูล + ตัวอย่างอีเมลปลอมไปยังกล่องจดหมายที่ใช้ร่วมกันที่กำหนด
5. เราต้องการให้ผู้ใช้ที่เลือก (เช่นผู้ดูแลระบบ Exchange Online) จะสามารถเข้าถึงกล่องจดหมายที่ใช้ร่วมกันซึ่งจัดเก็บรายงานเหตุการณ์ ดังนั้นเขาจึงสามารถตรวจสอบและวิเคราะห์ข้อความอีเมลปลอมได้

การใช้ตัวเลือกของกฎ Exchange Online

เพื่อให้บรรลุข้อกำหนดทางธุรกิจนี้ เราสามารถสร้างกฎ Exchange Online ที่จะตรวจสอบข้อความอีเมลขาเข้าแต่ละข้อความและ "บันทึก" ข้อความอีเมลที่มีอักขระของอีเมลปลอม

เพื่อเป็นการตอบสนอง Exchange Online จะรายงานเหตุการณ์ไปยังผู้รับที่กำหนด\s โดยสร้างรายงานเหตุการณ์

รายงานเหตุการณ์ของ Exchange Online จะรวมข้อมูลสรุปของอักขระข้อความอีเมลเฉพาะ + สำเนาของข้อความอีเมลต้นฉบับ

โครงสร้างกฎและตรรกะอีเมลปลอมแปลงออนไลน์ของ Exchange

“ทริกเกอร์” ที่จะเปิดใช้งาน Exchange Online “กฎอีเมลปลอม” จะขึ้นอยู่กับสองเงื่อนไขต่อไปนี้ (การรวมกันของเงื่อนไข 1 + เงื่อนไข 2):

1. ข้อความอีเมลขาเข้าที่ส่งโดยผู้รับที่ไม่ได้รับการรับรองความถูกต้อง (ผู้รับที่ไม่ได้ให้ข้อมูลประจำตัวผู้ใช้)
2. ผู้รับที่นำเสนอตัวเองโดยใช้ที่อยู่อีเมลที่มีชื่อโดเมนสาธารณะของเรา ในสถานการณ์เฉพาะของเรา ที่อยู่อีเมลที่มีชื่อโดเมน - com

“การดำเนินการ” ที่จะดำเนินการโดย “กฎอีเมลปลอม” ของ Exchange Online ของเราจะมี “ส่วนต่างๆ” ต่อไปนี้:

• การดำเนินการ 1#1 - สร้าง + ส่งรายงานเหตุการณ์ไปยังผู้รับที่กำหนด (กล่องจดหมายที่ใช้ร่วมกันชื่อ - กล่องจดหมายอีเมลปลอม)

ในไดอะแกรมต่อไปนี้ เราจะเห็นลำดับของการดำเนินการที่จะนำไปใช้โดยกฎอีเมลปลอมแปลงออนไลน์ของ Exchange:

เมื่อ Exchange Online ระบุข้อความอีเมลที่ตอบเงื่อนไขของ "อีเมลปลอม" กฎ Exchange จะเปิดใช้งานตามลำดับต่อไปนี้:

อีเมลจะส่งไปยังกล่องจดหมายของผู้รับปลายทางโดยไม่มีการแทรกแซงจากฝั่งเซิร์ฟเวอร์ Exchange Online

Exchange Online จะสร้างรายงานเหตุการณ์ ซึ่งจะส่งไปยังที่อยู่อีเมลของผู้รับที่กำหนด ในสถานการณ์ของเรา เราขอให้ส่งรายงานเหตุการณ์ไปยังผู้รับที่กำหนด (กล่องจดหมายที่ใช้ร่วมกันชื่อ - กล่องจดหมายอีเมลปลอม)

เฉพาะผู้ใช้ที่ได้รับอนุญาตเท่านั้นที่สามารถเข้าถึง "กล่องจดหมายที่ใช้ร่วมกันของอีเมลปลอม" ในสถานการณ์เฉพาะของเรา Brad (Brad คือผู้ดูแลระบบ Exchange Online ของเรา) จะสามารถเข้าถึงกล่องจดหมายที่ใช้ร่วมกันได้

การกำหนดค่ากฎอีเมลปลอมแปลง Exchange ที่ระบุอีเมลปลอมและสร้างรายงานเหตุการณ์

ในส่วนต่อไปนี้ เราจะให้คำแนะนำ "ทีละขั้นตอน" เพื่อสร้าง "กฎอีเมลปลอมแปลงออนไลน์ของ Exchange" ที่จะตอบความต้องการทางธุรกิจของเรา

ส่วนที่ 1#2 - การกำหนดค่า “ส่วนเงื่อนไข” ของกฎอีเมลปลอมแปลง Exchange Online

• เข้าสู่ระบบพอร์ทัลผู้ดูแลระบบ Exchange
• บนแถบเมนูด้านซ้าย ให้เลือก -การรับส่งอีเมล
• บนแถบเมนูด้านบน ให้เลือก -กฎ

• คลิกที่ไอคอน plus
• เลือก - สร้างกฎใหม่...

• ในช่อง ชื่อ: เพิ่มชื่อที่สื่อความหมายสำหรับกฎใหม่
  ในสถานการณ์เฉพาะของเรา เราจะตั้งชื่อกฎ - ตรวจหาอีเมลหลอกลวง & ส่งรายงานเหตุการณ์
• คลิกที่ลิงก์ -ตัวเลือกเพิ่มเติม... (ตามค่าเริ่มต้น อินเทอร์เฟซของกฎ Exchange Online จะรวมอยู่ด้วย มีเพียงชุดตัวเลือกที่จำกัด เพื่อให้สามารถแสดงตัวเลือกเพิ่มเติมได้ เราจะต้อง “เปิดใช้งาน ” ตัวเลือกเพิ่มเติม…)

• ในส่วนชื่อ -ใช้กฎนี้หาก... คลิกบนลูกศรสีดำเล็ก ๆ

เงื่อนไข 1#2

• เลือกเมนูหลัก -ผู้ส่ง...
• ในเมนูย่อย เลือกตัวเลือก -เป็นภายนอก/ภายใน

• ในหน้าต่าง เลือก ตำแหน่งผู้ส่ง เลือกตัวเลือก - ภายนอกองค์กร
  ความหมายของคำว่า “ภายนอกองค์กร ” เกี่ยวข้องกับ ผู้รับที่ไม่ได้รับการรับรองความถูกต้อง หมายถึง - ผู้รับที่ไม่ได้ให้ข้อมูลรับรองผู้ใช้แก่เซิร์ฟเวอร์อีเมล

เงื่อนไข 2#2

ตอนนี้ เราจะเพิ่ม "เลเยอร์" เพิ่มเติมให้กับ "เงื่อนไขกฎ" ซึ่งเราเกี่ยวข้องกับ
ผู้รับที่ใช้ที่อยู่อีเมลที่มีชื่อโดเมนของเรา (o365pilot. com ในสถานการณ์เฉพาะของเรา)

หากคุณต้องการอ่านข้อมูลเพิ่มเติมเกี่ยวกับความหมายของข้อกำหนด Exchange Online - “ผู้ส่งภายนอก ” และ “ภายนอกองค์กร” โปรดอ่านหัวข้อต่อไปนี้: การจัดการกับการโจมตีด้วยการปลอมแปลงอีเมลในสภาพแวดล้อมที่ใช้ Office 365 | บทนำ | ตอนที่ 1#12

• คลิกที่ - เพิ่มเงื่อนไข

• ในส่วนชื่อ - และ คลิกที่ลูกศรสีดำเล็กๆ

• เลือกเมนูหลัก - ผู้ส่ง...
• ในเมนูย่อย เลือกตัวเลือก - โดเมนคือ

ในหน้าต่าง ระบุโดเมน ให้เพิ่มชื่อโดเมนที่จำเป็นซึ่งแสดงถึงองค์กรของคุณ
ในสถานการณ์เฉพาะของเรา ชื่อโดเมนสาธารณะคือ - o365pilot.com

หมายเหตุ - อย่าลืมคลิกไอคอน plus เพื่อเพิ่มชื่อโดเมน

คลิกที่ตัวเลือก ตกลง เพื่อบันทึกการตั้งค่ากฎ Exchange Online

ส่วนที่ 2#2 - การกำหนดค่า “ส่วนการดำเนินการ” ของกฎอีเมลปลอมแปลง Exchange Online

ในระยะนี้ เราจะกำหนดค่า "ส่วนที่สอง" ของกฎ Exchange Online ซึ่งเราจะกำหนดการตอบสนอง (การดำเนินการ) ของ Exchange ที่จำเป็นสำหรับสถานการณ์อีเมลปลอมที่ส่งไปยังผู้รับในองค์กรของเรา

ในสถานการณ์ของเรา เราต้องการสั่งให้ Exchange Online ตอบสนองต่อเหตุการณ์ที่
อีเมลระบุว่าเป็นอีเมลปลอมโดยสร้างรายงานเหตุการณ์และส่งไปยังผู้รับที่กำหนด: กล่องจดหมายที่ใช้ร่วมกันชื่อ - กล่องจดหมายอีเมลปลอม

ในส่วนชื่อ - *.ดำเนินการดังต่อไปนี้... คลิกบนลูกศรสีดำเล็กๆ

• เลือกตัวเลือกเมนู - สร้างรายงานเหตุการณ์และส่งไปที่...

การตั้งค่ารายงานเหตุการณ์ประกอบด้วยพารามิเตอร์สองตัว:

1. ชื่อของ “ผู้รับปลายทาง ” ซึ่งจะได้รับรายงานเหตุการณ์
2. ช่องข้อมูลที่จะรวมอยู่ในรายงานเหตุการณ์

• หากต้องการเพิ่มชื่อ “ผู้รับปลายทาง ” ที่จำเป็น ให้คลิกที่ลิงก์ - เลือกหนึ่งรายการ...

• ในสถานการณ์เฉพาะของเรา ผู้รับที่จะได้รับ รายงานเหตุการณ์ คือ กล่องจดหมายอีเมลปลอม

หากต้องการเลือกข้อมูลที่จะรวมไว้ในรายงานเหตุการณ์ ให้คลิกที่ลิงก์ชื่อ-*รวมคุณสมบัติของข้อความ< /ช่วง>

ในสถานการณ์ของเรา เราจะเลือกที่จะรวมคุณสมบัติข้อความทั้งหมดที่มีอยู่ในรายงานสรุป + สำเนาของ "ข้อความอีเมลปลอมต้นฉบับ"

• เลือกตัวเลือก - เลือกทั้งหมด

ในภาพหน้าจอต่อไปนี้ เราจะดูตัวเลือกที่ใช้ได้:

• ส่วน A - เกี่ยวข้องกับข้อมูลที่จะปรากฏในการสรุปรายงานเหตุการณ์
• ส่วน B - เกี่ยวข้องกับตัวเลือกในการ “แนบ” สำเนาของข้อความอีเมลต้นฉบับไปกับรายงานเหตุการณ์

ในภาพหน้าจอต่อไปนี้ เราจะเห็น “ผลลัพธ์สุดท้าย” - อีเมล Exchange Online Spoof ที่ประกอบด้วยสองส่วน:

• ส่วนสภาพ
• ส่วนการกระทำ

การตรวจสอบว่ากฎอีเมลปลอมแปลงออนไลน์ของ Exchange ทำงานอย่างถูกต้อง

ในระยะนี้ เราต้องการทดสอบกฎอีเมล Exchange Online Spoof ที่สร้างขึ้นในขั้นตอนก่อนหน้า และตรวจสอบว่ากฎทำงานอย่างถูกต้อง

ผลลัพธ์ที่ต้องการจากกฎอีเมลปลอมของ Exchange Online

ความคาดหวังที่เราปรารถนาคือ เมื่อ Exchange Online ระบุเหตุการณ์ที่ข้อความอีเมลที่ส่งถึงผู้รับในองค์กรของเรามีโอกาสสูงที่จะถูกปลอมแปลงอีเมล (ผู้ส่งปลอมแปลง) กฎอีเมลปลอมของ Exchange Online จะดำเนินการตามลำดับต่อไปนี้ ของการกระทำ:

• สร้างและส่งรายงานเหตุการณ์ไปยังผู้รับที่กำหนด ในสถานการณ์สมมติของเรา เราขอให้ส่งรายงานเหตุการณ์ไปยังกล่องจดหมายที่ใช้ร่วมกันชื่อ - กล่องจดหมายอีเมลปลอม

จำลองการโจมตีอีเมลปลอม | ตัวละครของสถานการณ์

เพื่อให้แน่ใจว่ากฎอีเมลปลอมของ Exchange Online ทำงานอย่างถูกต้อง เราจะจำลองการโจมตีอีเมลปลอมที่มีอักขระต่อไปนี้:

• “องค์ประกอบที่ไม่เป็นมิตร” กำลังพยายามปลอมแปลงตัวตนขององค์กรผู้รับที่ถูกต้องตามกฎหมายชื่อ -Suzan โดยใช้ที่อยู่อีเมล - Suzan@o365pilot.com
• ข้อความอีเมลปลอมจะถูกส่งไปยังผู้ใช้องค์กรที่ถูกต้องตามกฎหมายชื่อ Bob ซึ่งใช้ที่อยู่อีเมล - Bob@o365pilot.com

1#2 - ตรวจสอบว่าอีเมลปลอมถูกส่งไปยังผู้รับปลายทาง

ตามที่กล่าวไว้ เราไม่ต้องการแทรกแซงการรับส่งอีเมลเนื่องจากวัตถุประสงค์หลักของเราคือเพียงเพื่อรวบรวมข้อมูลเกี่ยวกับ "เหตุการณ์อีเมลหลอกลวง" ”

อีเมลที่ระบุว่าเป็น "อีเมลปลอม" จะถูกส่งต่อไปยังกล่องจดหมายของผู้รับขององค์กรปลายทาง

2#2 - ตรวจสอบว่ารายงานเหตุการณ์ส่งไปยังผู้รับที่กำหนด

เราจะเห็นว่ากฎ Exchange Online “จับ” เหตุการณ์อีเมลหลอกลวง ด้วยเหตุนี้ รายงานเหตุการณ์จึงถูกส่งไปยังชื่อผู้รับ (กล่องจดหมายอีเมลปลอม) ที่กำหนดค่าไว้ในกฎ Exchange Online

ในภาพหน้าจอต่อไปนี้ เราจะเห็นตัวอย่างอีเมลรายงานเหตุการณ์

เมื่อเราดูรายงานเหตุการณ์ เราจะเห็นว่ารายงานเหตุการณ์ประกอบด้วยสองส่วน:

• สำเนาข้อความอีเมล์ต้นฉบับ (ก)
• สรุปรายงานเหตุการณ์ (B)

สรุปรายงานเหตุการณ์ประกอบด้วยรายละเอียดต่างๆ เช่น:

• ข้อมูลเกี่ยวกับตัวสร้างรายงานเหตุการณ์ ข้อความอีเมล - “อีเมลนี้ถูกสร้างขึ้นโดยอัตโนมัติโดยการดำเนินการสร้างรายงานเหตุการณ์” (หมายเลข 1)
• ผู้ส่ง (“ผู้รับต้นทาง”) ที่อ้างว่าเป็นผู้รับองค์กรที่ถูกต้องตามกฎหมายชื่อ -Suzan@o365pilot.com (หมายเลข 2)
• ผู้รับ (ผู้รับปลายทาง) คือ - Bob@o365pilot.com (หมายเลข 3)
• การเข้าถึงกฎ - กฎ Exchange Online “จับ ” เหตุการณ์อีเมลปลอม และการดำเนินการที่ดำเนินการโดยกฎ Exchange Online -”การกระทำ: GenerateIncidentReport” (หมายเลข 4)

บทความถัดไปในชุดบทความปัจจุบัน

ในบทความถัดไป - การกำหนดค่าข้อยกเว้นสำหรับกฎอีเมล Exchange Online Spoof | ส่วนที่ 3#12 เราจะตรวจสอบวิธีสร้างข้อยกเว้นสำหรับกฎอีเมล Exchange Online Spoof