การจัดการกับการโจมตีด้วยการปลอมแปลงอีเมลในสภาพแวดล้อมที่ใช้ Office 365 บทนำ | ตอนที่ 1#12

ผู้จัดการฝ่ายไอทีขององค์กรโทรหา Office 365 สนับสนุน ทั้งกังวลและไม่พอใจ โดยประกาศว่าเขาผิดหวังมากที่ "Office 365" ทำให้เกิดการโจมตีทางอีเมลปลอมขึ้น!
นอกเหนือจากความจำเป็นเร่งด่วนในการทำความเข้าใจแล้ว สิ่งนี้เกิดขึ้นได้อย่างไร ความจำเป็นเร่งด่วนเพิ่มเติมคือการใช้กลไกรักษาความปลอดภัยบางอย่างซึ่งจะระบุและบล็อกการโจมตีอีเมลปลอมทันที!
ในบทความชุดปัจจุบันนี้ เราจะทบทวนหัวข้อของปรากฏการณ์อีเมลปลอมและเน้นไปที่วิธีการ เพื่อจัดการกับการโจมตีดังกล่าวโดยใช้กฎ Exchange Online

คำถามและคำตอบพื้นฐานเกี่ยวกับหัวข้ออีเมลปลอมและสภาพแวดล้อม Office 365

ไตรมาสที่ 1: ความสามารถในการดำเนินการโจมตีอีเมลปลอมนั้นสามารถทำได้เฉพาะกับแฮกเกอร์มืออาชีพหรือไม่
A1: ไม่ มันง่ายมากที่จะ "ดำเนินการ" กระบวนการที่เรา "ปลอมแปลง" ตัวตนของ "บุคคลอื่น" เราสามารถดำเนินการเซสชัน SMTP กับเซิร์ฟเวอร์เมลเป้าหมายได้อย่างง่ายดายและ "อ้างสิทธิ์" ว่าเราเป็นคนอื่น

ไตรมาสที่ 2: เป็นไปได้อย่างไรที่การแอบอ้างบุคคลอื่นนั้นง่ายและสะดวกมาก

A2: โปรโตคอล SMTP ไม่มีกลไกในตัวที่สามารถป้องกันจากองค์ประกอบที่ไม่เป็นมิตร และดำเนินการ “การดำเนินการที่ไม่ถูกต้องตามกฎหมาย” (เช่น การแสดงตัวตนปลอมของบุคคลอื่น)
กล่าวอีกนัยหนึ่ง โครงสร้างพื้นฐานเมลสาธารณะที่มีอยู่ทั้งหมดจะถูกโจมตีด้วยอีเมลปลอม และบุคลากรทางเทคนิคที่จัดการโครงสร้างพื้นฐานเมลขององค์กรควรจะคุ้นเคยกับตัวเลือกและวิธีแก้ปัญหาที่เป็นไปได้ที่สามารถป้องกันการปลอมแปลงส่วนใหญ่ได้
การโจมตีทางอีเมล

ไตรมาสที่ 3: เป็นไปได้ไหมที่จะดำเนินการโจมตีด้วยการปลอมแปลงหรือฟิชชิ่งใน Office 365 และสภาพแวดล้อมที่ใช้ Exchange Online

A3: และคำตอบคือ: ”ใช่ ”

ไตรมาสที่ 4: หมายความว่าสภาพแวดล้อมที่ใช้ Office 365 และ Exchange Online ต้องเผชิญกับการโจมตีนี้เป็นพิเศษหรือไม่

A4: คำตอบก็คือ โครงสร้างพื้นฐานเมลทุกรายการเสี่ยงต่อการโจมตีนี้ เนื่องจากการโจมตีด้วยการปลอมแปลงหรือฟิชชิ่งใช้ประโยชน์จากช่องโหว่ที่มีอยู่ของโปรโตคอลเมล SMTP มาตรฐาน

คำถามที่ 5: ใครคือ "องค์ประกอบ" ที่ต้องระบุและบล็อกการโจมตีทางอีเมลประเภทต่างๆ เช่น การโจมตีด้วยอีเมลปลอม

A5: ในทางเทคนิคแล้ว “กลไกการป้องกัน ” สามารถนำมาใช้ในฝั่งเมลเซิร์ฟเวอร์ได้ แต่ในขณะเดียวกันก็ใช้กับฝั่งเมลไคลเอ็นต์ด้วย

โดยส่วนใหญ่ เราจะใช้ "โครงสร้างพื้นฐานการป้องกัน" เพื่อป้องกันการโจมตีอีเมลปลอมใน "ฝั่งเซิร์ฟเวอร์อีเมล" ซึ่งหมายถึงเซิร์ฟเวอร์อีเมลหรือเกตเวย์การรักษาความปลอดภัยของอีเมลอื่น ๆ ที่รู้วิธีระบุการโจมตีทางอีเมลและหยุดการโจมตีเหล่านั้น , รายงานต่อบุคคลที่ได้รับมอบหมาย เป็นต้น

คำถามที่ 6: ดังนั้น ฉันสามารถสรุปได้ว่าในสภาพแวดล้อมที่ใช้ Office 365 และ Exchange Online “ฝั่งเซิร์ฟเวอร์” (Exchange Online) ได้รับการกำหนดค่าให้บล็อกโดยอัตโนมัติหรือป้องกันการโจมตีทางอีเมลประเภทต่างๆ

A6: ใช่ และไม่ใช่ โครงสร้างพื้นฐานของ Exchange Online เป็นโครงสร้างพื้นฐานขั้นสูงที่รองรับมาตรฐานความปลอดภัยเมลขั้นสูงทั้งหมด และกลไกอื่นที่สามารถช่วยคุณระบุและบล็อกการโจมตีทางอีเมลต่างๆ

แต่สิ่งสำคัญคือต้องเข้าใจว่า "มาตรฐานการรักษาความปลอดภัยของอีเมล" หรือกลไกการรักษาความปลอดภัยของอีเมลอื่นๆ จะไม่ "เปิดใช้งาน" โดยอัตโนมัติ

Exchange Online จะบล็อกอีเมลที่มีมัลแวร์หรือข้อความอีเมลที่มีปัญหา "ประทับตรา" เป็น "จดหมายขยะ" แต่ความรับผิดชอบในการเปิดใช้งานและกำหนดค่า "กลไกความปลอดภัยของอีเมล" ที่หลากหลายนั้นเป็นความรับผิดชอบของเราในฐานะผู้ดูแลระบบ Exchange Online

ตัวอย่างเช่น - ความสามารถในการจดจำและหยุดการปลอมแปลงอีเมลจะไม่ “เปิดใช้งาน” โดยอัตโนมัติในข้อมูล Exchange Online

เพื่อให้สามารถรับมือกับการโจมตีดังกล่าวได้ เราจะต้องคุ้นเคยกับมาตรฐานเมลรักษาความปลอดภัยต่างๆ ที่สามารถช่วยให้เราจัดการกับอีเมลปลอมหรือสร้างกฎ Exchange Online เฉพาะที่จะระบุเมลที่น่าสงสัยที่ดูเหมือนอีเมลปลอม จดหมาย

ฉันชอบนึกถึง Exchange Online ว่าเป็น "มาเธอร์บอร์ดเปล่า" ซึ่งประกอบด้วยสล็อตที่จำเป็นทั้งหมดสำหรับส่วนประกอบฮาร์ดแวร์ต่างๆ เช่น การ์ดแสดงผล การ์ดเสียง การ์ดหน่วยความจำ และอื่นๆ

เราเป็น "องค์ประกอบ" ที่ต้องตัดสินใจว่า "ส่วนประกอบฮาร์ดแวร์" ใดที่เราต้องการ\ต้องการ และเพิ่มส่วนประกอบฮาร์ดแวร์นี้ลงใน "มาเธอร์บอร์ดเปล่า"

ตรรกะเดียวกันนี้ถูกนำไปใช้เมื่อใช้โครงสร้างพื้นฐาน Exchange Online - เราจำเป็นต้องรู้ว่ามาตรฐานความปลอดภัยของเมล (“ส่วนประกอบฮาร์ดแวร์”) ที่เราต้องการ\จำเป็นคืออะไร และเราจำเป็นต้อง “เสียบปลั๊ก” “ส่วนประกอบฮาร์ดแวร์” เหล่านี้ (ความปลอดภัยของอีเมล มาตรฐาน) ลงในโครงสร้างพื้นฐาน Exchange Online และสร้างการกำหนดค่าที่จำเป็น

Spoof E-mail หรือการปลอมแปลงหมายถึงอะไร?

เราจะไม่ให้ข้อมูลโดยละเอียดเกี่ยวกับความแตกต่างระหว่าง “การโจมตีทางเมล” เหล่านี้ แต่จะตอบสนองด้วยคำอธิบายที่สั้นและพื้นฐานแทน

เวลาส่วนใหญ่ สแปมเมล และการโจมตีแบบฟิชชิ่งนั้นถูกนำไปใช้โดยองค์ประกอบที่ไม่เป็นมิตรซึ่งยืนกรานและสนใจที่จะซ่อนตัวตนของพวกเขาและนำเสนอตัวเองโดยใช้ตัวตนปลอม

ในสภาพแวดล้อมทางไปรษณีย์ ปรากฏการณ์ที่ "ผู้รับต้นทาง" ปลอมแปลงตัวตนของตนและแสดงตนว่าเป็น "บุคคลอื่น" ซึ่งเรียกว่า การปลอมแปลง
ข้อความอีเมลที่ส่งจากองค์ประกอบที่ไม่เป็นมิตรนี้ อธิบายว่าเป็น อีเมลปลอม

สถานการณ์ที่องค์ประกอบดังกล่าวปลอมแปลงตัวตนของเขาถูกรับรู้ในสองรสชาติหลัก:

กรณีที่ 1 - ในสถานการณ์นี้ องค์ประกอบที่ไม่เป็นมิตรแสดงตัวว่าเป็น ผู้รับที่ไม่ใช่องค์กร แต่เป็นผู้รับจากองค์กรที่ถูกต้องตามกฎหมายแทน

ตัวอย่างเช่น - องค์ประกอบที่ไม่เป็นมิตรจะส่งจดหมายขยะไปยังผู้รับจากองค์กรที่ใช้ชื่อโดเมนสาธารณะ - o365pilot.com

องค์ประกอบที่ไม่เป็นมิตรแสดงตนเป็นผู้รับจากองค์กรชื่อ - contoso.com (สมมติว่าชื่อโดเมน “contoso.com > ” หมายถึง ชื่อโดเมนของธนาคารที่มีชื่อเสียงมาก)

อีเมลปลอมประเภทนี้ใช้เมื่อองค์ประกอบที่ไม่เป็นมิตรต้องการสร้างความประทับใจว่าเป็นผู้รับจากสถาบันที่มีชื่อเสียงและเชื่อถือได้ เช่น ธนาคาร บริษัทประกันภัย และอื่นๆ

ในสถานการณ์ประเภทนี้ ผู้รับต้นทางและผู้รับปลายทางที่แสดงโดยใช้ชื่อโดเมนอื่น

กรณีที่ 2 - ในสถานการณ์นี้ องค์ประกอบที่ไม่เป็นมิตรแสดงตนว่าเป็นผู้รับองค์กรที่ถูกต้องตามกฎหมาย

ตัวอย่างเช่น - องค์ประกอบที่ไม่เป็นมิตร ส่งจดหมายขยะไปยังผู้รับจากองค์กรที่ใช้ชื่อโดเมนสาธารณะ - o365pilot.com

ผู้รับปลายทางคือ: Bob@o365pilot.com

องค์ประกอบที่ไม่เป็นมิตรแสดงตนเป็นผู้รับจากองค์กรเดียวกัน โดยปลอมตัวเป็นผู้รับองค์กรชื่อ - Suzan@o365pilot.com

กล่าวอีกนัยหนึ่ง ผู้รับต้นทางและผู้รับปลายทางจะแสดงโดยใช้ชื่อโดเมนเดียวกัน

อีเมลปลอมประเภทนี้ถูกนำมาใช้เมื่อองค์ประกอบที่ไม่เป็นมิตรต้องการสร้างความประทับใจว่าเขาเป็น "ผู้รับองค์กรที่ถูกต้องตามกฎหมายและเชื่อถือได้" เช่น CEO ของบริษัท เป็นต้น

ตัวเลือกที่มีอยู่เพื่อจัดการกับปรากฏการณ์อีเมลปลอม

ในส่วนนี้ ฉันอยากจะทบทวน "เครื่องมือและขั้นตอนที่มีอยู่" สั้นๆ ที่มีอยู่สำหรับการทำสงครามกับปรากฏการณ์อีเมลปลอมแปลง

ในแผนภาพต่อไปนี้ เราจะเห็นการแสดง "เครื่องมือ" ในระดับสูงที่เราสามารถใช้ได้

การจัดการกับอีเมลปลอม | กระบวนการและขั้นตอนต่างๆ

การให้ความรู้แก่ผู้ใช้ของเราเกี่ยวกับภัยคุกคามและช่องโหว่ของโครงสร้างพื้นฐานเมล

เรามาเริ่มด้วยส่วนที่ "ไม่ค่อยมีเทคนิค" ที่เกี่ยวข้องกับหัวข้อนี้หาก "ฉันจะทำอย่างไรในสถานการณ์ที่ผู้ใช้ของเรารายงานเกี่ยวกับอีเมลปลอม"

การให้ความรู้แก่ผู้ใช้ - เนื่องจากหัวข้อของ “การให้ความรู้แก่ผู้ใช้” ไม่ถือเป็น “โซลูชันทางเทคนิค” หรือ “เทคโนโลยีเวทมนตร์” บางอย่าง เราจึงมักจะละเลยปัญหาดังกล่าวเป็นส่วนใหญ่ และหันไปหา “โซลูชันทางเทคนิค” ทันที

นี่เป็นข้อผิดพลาดทั่วไปเพราะในสถานการณ์ที่เรากำลังให้ความรู้แก่ผู้ใช้ของเราเกี่ยวกับภัยคุกคามและอันตรายต่างๆ เช่น อีเมลปลอม เราสามารถป้องกันการโจมตีที่อาจนำไปสู่การขโมยข้อมูลส่วนบุคคล ความเสียหายต่อกิจกรรมทางธุรกิจ และอื่น ๆ

สิ่งที่สำคัญที่สุด - พยายาม "ดำเนินการเชิงรุก" โดยให้ความรู้แก่ผู้ใช้ของคุณเกี่ยวกับวิธีระบุ
อีเมลปลอม เกี่ยวกับความสำคัญของการรายงาน เช่น ประเภทของกิจกรรม ฯลฯ

รายงานอีเมลปลอม

งานสำคัญประการหนึ่งในสถานการณ์การโจมตีด้วยอีเมลปลอมนั้นเกี่ยวข้องกับการรายงาน “บุคคลที่เหมาะสม” เกี่ยวกับการเกิดเหตุการณ์อีเมลปลอมแปลง

เรื่องของ “การรายงาน” หมายถึงส่วนต่างๆ:

1. ความสามารถของผู้ใช้ขององค์กรในการทราบว่าควรติดต่อใครในกรณีที่มีอีเมลปลอมแปลง
2. ความสามารถในการบันทึกสำเนาของอีเมลต้นฉบับปลอมที่จะถูกส่งไปยังผู้รับที่กำหนด เช่น ทีมรักษาความปลอดภัยขององค์กรหรือผู้ดูแลระบบ Exchange Online ในบทความถัดไป เราจะทบทวนวิธีการสร้างรายงานเหตุการณ์ Exchange Online ที่จะส่งสำเนาของอีเมลปลอมไปยังผู้รับที่กำหนดไว้ล่วงหน้า
3. กระบวนการที่เรารายงานเกี่ยวกับอีเมลปลอมไปที่ “ตัวแทน Office 365” ในบทความ - รายงานอีเมลปลอมและส่งอีเมลเพื่อตรวจสอบใน Office 365|ส่วนที่ 12#12 เราจะตรวจสอบว่าเราสามารถใช้โปรแกรมรับส่งอีเมล OWA เพื่อรายงานเกี่ยวกับอีเมลปลอมได้อย่างไร .

การจัดการกับอีเมลปลอม | โซลูชันด้านเทคนิค

1. “มาตรฐานความปลอดภัยของอีเมล” ที่เกี่ยวข้องกับอีเมลปลอม

ในส่วน “มาตรฐานความปลอดภัยของอีเมล” ที่เกี่ยวข้องกับอีเมลปลอม เราสามารถพูดถึงมาตรฐาน เช่น SPF, DKIM และ DMARC< /แข็งแกร่ง>

มาตรฐานแต่ละข้อเหล่านี้สร้างขึ้นเพื่อมอบโซลูชันบางอย่างในการจัดการกับปรากฏการณ์ "อีเมลปลอม"

ตัวหารร่วมสำหรับการนำ "มาตรฐานความปลอดภัยของเมล" ไปใช้ประการหนึ่งคือ ความจำเป็นในการเผยแพร่บันทึก DNS เฉพาะ (บันทึก TXT) ที่ "ประกาศ"

• เราคือใคร "หน่วยงาน" ที่ได้รับอนุญาตซึ่งสามารถเป็นตัวแทนของโครงสร้างพื้นฐานเมลขององค์กรของเรา
• จะทำอย่างไรในกรณีที่ “อีกฝ่าย” พบว่าตนได้รับข้อความ E-mail จากองค์ประกอบที่ไม่ตรงตามเงื่อนไขของ “ข้อความ E-mail ที่ถูกกฎหมาย”

“ข้อเสีย” หลักของ “มาตรฐานความปลอดภัยของเมล” นี้คือมีช่วงการเรียนรู้ ซึ่งเราจำเป็นต้องเรียนรู้และทำความเข้าใจว่ามาตรฐานเมลแต่ละแบบนำเสนอโซลูชันอะไรบ้าง ลักษณะเฉพาะของแต่ละมาตรฐานคืออะไร การตั้งค่าการกำหนดค่าที่จำเป็นที่จำเป็นต้องดำเนินการ วิธีตรวจสอบการรับส่งอีเมลหลังจากใช้มาตรฐานนี้อย่างใดอย่างหนึ่งหรือทั้งหมดและอื่นๆ

ตามที่กล่าวไว้ เราจะไม่ลงรายละเอียดเฉพาะสำหรับ “มาตรฐานความปลอดภัยเมล” แต่ละรายการ แต่เพียงกล่าวถึงสั้นๆ แทน

มาตรฐาน SPF

มาตรฐาน SPF ตามแนวคิด โดยเราพยายามตรวจสอบตัวตนของ “เมลเซิร์ฟเวอร์ที่ได้รับอนุมัติ” ที่มีสิทธิ์ส่งข้อความอีเมลในนามของชื่อโดเมนเฉพาะ

“ข้อมูลประจำตัวของเมลเซิร์ฟเวอร์” จะแสดงด้วยที่อยู่ IP ของเมลเซิร์ฟเวอร์

ดีคิม

มาตรฐาน DKIM มีพื้นฐานมาจากแนวคิด โดยที่เราพยายามตรวจสอบตัวตนของชื่อโดเมนผู้รับต้นทาง เมื่อผู้รับรายใดรายหนึ่งใช้ที่อยู่อีเมลที่มีชื่อโดเมนเฉพาะ มาตรฐาน DKIM จะกำหนดวิธีการที่เราสามารถยืนยันได้ว่าโดเมนนั้น “ได้รับการอนุมัติ” และตรวจสอบแล้ว

DMARC

มาตรฐาน DMARC อิงจากการทดสอบที่ตรวจสอบและตรวจสอบมาตรฐานความปลอดภัยอีเมล SPF + DKIM

สิ่งที่สำคัญที่สุด - ความจำเป็นในการทำความคุ้นเคยกับ “มาตรฐานความปลอดภัยของอีเมล” ที่เกี่ยวข้องกับอีเมลปลอม อาจถือเป็นความจำเป็นที่จำเป็นสำหรับผู้ดูแลระบบโครงสร้างพื้นฐานอีเมลแต่ละคน

ในบทความปัจจุบัน เรา จะทบทวน "มาตรฐานความปลอดภัยของอีเมล" ที่เกี่ยวข้องกับอีเมลปลอม และในอนาคต เราจะเขียนบทความเฉพาะเกี่ยวกับมาตรฐานความปลอดภัยของอีเมลแต่ละฉบับ

การใช้ตัวเลือกของ - กฎ Exchange Online Spoofed E-mail

ชุดบทความปัจจุบันที่เน้นการทบทวนตัวเลือกต่างๆ สำหรับการใช้กฎ Exchange Online ที่จะสร้างเพื่อระบุอีเมลปลอมและตอบกลับตามนั้น

ข้อดีที่ชัดเจนที่สุดประการหนึ่งของการใช้กฎ Exchange Online ในการจัดการกับสถานการณ์อีเมลปลอมคือ เราสามารถสร้างกฎ Exchange ได้ภายในไม่กี่วินาที โดยไม่ต้องมีความรู้ด้านเทคนิคขั้นสูง และไม่จำเป็นต้องตั้งค่าและเผยแพร่ บันทึก DNS ต่างๆ (เช่น เมื่อเราจำเป็นต้องใช้มาตรฐานความปลอดภัยเมลบางอย่าง เช่น - SPF, DKIM และ DMARC)

ตรรกะที่ใช้โดยกฎอีเมล Exchange Online Spoof

คำถามพื้นฐานที่สุดที่ปรากฏอยู่ในใจของเราคือ - กฎของ Exchange Online สามารถระบุสถานการณ์ที่ “ผู้รับต้นทาง” พยายามโจมตีอีเมลปลอมได้อย่างไร

คำตอบก็คือกฎ Exchange Online ที่เราสร้างขึ้นนั้นถูกนำไปใช้โดยใช้สมมติฐานพื้นฐานที่เรากำหนด "ผู้ใช้ในองค์กรที่เชื่อถือได้" ในฐานะผู้ใช้ที่พิสูจน์ตัวตนของเขาโดยการให้ข้อมูลประจำตัวผู้ใช้แก่เซิร์ฟเวอร์ Exchange Online

ตัวอย่างเช่น - ผู้รับบางรายเชื่อมต่อเซิร์ฟเวอร์ Exchange Online และ “อ้างว่า ” เขาเป็นผู้ใช้องค์กรที่ถูกต้องตามกฎหมายชื่อ Suzan ซึ่งใช้ที่อยู่อีเมล
Suzan@ o365pilot.com และต้องการส่งข้อความอีเมลไปที่ Bob@o365pilot.com

ตามค่าเริ่มต้น Exchange Online ไม่สามารถ "รู้" ถ้า Suzan เป็นคนที่อ้างว่าเป็นจริงๆ เนื่องจากจาก "มุมมองของโปรโตคอล SMTP" ตราบใดที่ที่อยู่อีเมลที่ผู้รับใช้ถูกต้องตามหลักไวยากรณ์ ผู้รับคือ “ตกลง ”

เพื่อให้สามารถเพิ่ม "เลเยอร์" อื่นลงในเซิร์ฟเวอร์ Exchange Online ซึ่งจะทำให้เขาสามารถตรวจสอบเพิ่มเติมเกี่ยวกับเรื่องของ "ข้อมูลประจำตัวของผู้รับ" ที่อ้างว่าเป็นผู้ใช้ในองค์กรที่ถูกต้องตามกฎหมาย เราสามารถเพิ่มกฎ Exchange Online ซึ่งจะเป็นไปตาม บนตรรกะต่อไปนี้:

• หากผู้รับต้นทางบอกว่าเขาเป็น "ผู้รับองค์กร" ซึ่งหมายถึงผู้รับที่มีที่อยู่อีเมลของเขารวมชื่อโดเมนองค์กรของเรา ผู้ใช้ควรได้รับการพิจารณาว่าเป็นผู้ใช้ที่ได้รับการรับรองความถูกต้อง
• ถ้าไม่เช่นนั้น สรุปได้ว่าผู้ใช้รายนี้พยายามปลอมแปลงข้อมูลระบุตัวตนของผู้รับที่เป็นองค์กรที่ถูกต้องตามกฎหมาย

กฎการแลกเปลี่ยนคำว่า "ผู้ส่งภายนอก" กับ "ผู้ส่งภายใน"

เมื่อใช้กฎ Exchange Online ซึ่งจะช่วยให้เราแยกแยะระหว่างผู้รับที่เป็นองค์กรที่ถูกต้องตามกฎหมายและผู้รับที่เป็นองค์กรที่ไม่ถูกต้องตามกฎหมาย เราจะใช้คำว่า: ผู้ส่งภายนอก และ ผู้ส่งภายใน

1. คำว่า - ผู้ส่งภายนอก กำหนด "เอนทิตี " (ผู้รับต้นทาง) ที่นำเสนอตัวเองโดยใช้ ที่อยู่อีเมลที่มีชื่อโดเมนของเรา แต่ไม่ได้ ให้ ข้อมูลรับรองผู้ใช้ใด ๆ กล่าวอีกนัยหนึ่ง - ผู้ใช้ที่ไม่ได้รับการรับรองความถูกต้อง\ผู้รับ
   เมื่อใช้วิซาร์ดกฎ Exchange Online ผู้ส่งประเภทนี้จะกำหนดเป็น - “ภายนอกองค์กร“.
2. คำว่า ผู้ส่งภายใน กำหนด "เอนทิตี " (ผู้รับต้นทาง) ที่นำเสนอตัวเองโดยใช้ ที่อยู่อีเมลที่มีชื่อโดเมนของเราและให้ข้อมูลประจำตัวผู้ใช้เพิ่มเติมด้วย กล่าวอีกนัยหนึ่ง - ผู้ใช้ที่ได้รับการรับรองความถูกต้อง\ผู้รับ
   เมื่อใช้วิซาร์ดกฎ Exchange Online ผู้ส่งประเภทนี้จะกำหนดเป็น - “ ภายในองค์กร“.

เป้าหมายหลักของเราคือการสามารถแยกแยะผู้ใช้ในองค์กรที่ถูกต้องตามกฎหมาย (ผู้รับ) ออกจากองค์ประกอบที่ไม่ถูกต้องตามกฎหมายซึ่งอ้างว่าเป็นหนึ่งในผู้ใช้ในองค์กรของเรา

สมมติฐานพื้นฐานของเราคือ “ผู้ใช้ในองค์กรที่ถูกต้องตามกฎหมาย” ที่มีกล่องจดหมาย Exchange Online จะต้องให้ข้อมูลประจำตัวของตน (ชื่อผู้ใช้ + รหัสผ่าน) ก่อนที่จะขอให้ Exchange Online ส่งข้อความอีเมลไปยังผู้รับ Exchange Online รายอื่น

ในสถานการณ์ที่มีองค์ประกอบที่ไม่เป็นมิตรซึ่งพยายามนำเสนอตัวเองว่าเป็นผู้ใช้ในองค์กรที่ถูกต้องตามกฎหมาย องค์ประกอบที่ไม่เป็นมิตรจะไม่สามารถให้ข้อมูลประจำตัวผู้ใช้ที่ถูกต้องได้

ตรรกะที่จะนำไปใช้โดยกฎ Exchange Online จะขึ้นอยู่กับเงื่อนไขต่อไปนี้:

หากโฮสต์ที่อยู่ Exchange Online และนำเสนอตัวเองโดยใช้ที่อยู่อีเมลที่ “เป็นขององค์กร” (โดยใช้ที่อยู่อีเมลที่มีชื่อโดเมน o365pilot.com ในสถานการณ์ของเรา) แต่ไม่มีการให้ข้อมูลประจำตัวผู้ใช้ โฮสต์นี้จะถูกระบุโดย Exchange Online ว่าเป็น ผู้ส่งภายนอก หรือคำคู่ขนาน - ภายนอกองค์กร“.

ในกรณีนี้ กฎ Exchange Online ที่จะสร้างขึ้นจะ "ประทับตรา" โฮสต์นี้เป็น "โฮสต์ที่มีปัญหา" ที่กำลังพยายามดำเนินการโจมตีอีเมลปลอม!

ส่วนที่สองของ Exchange Online จะรวมคำแนะนำเกี่ยวกับ "การดำเนินการคืออะไร" ที่จะดำเนินการโดย Exchange Online ในสถานการณ์ที่ผู้ส่งถูกจัดประเภทเป็น ผู้ส่งภายนอก (ภายนอกองค์กร)

ในกรณีที่คุณสงสัยว่าเซิร์ฟเวอร์ Exchange Online แยกความแตกต่างระหว่างผู้รับการตรวจสอบสิทธิ์กับผู้รับที่ไม่ตรวจสอบสิทธิ์ได้อย่างไร คำตอบคือ - โดยใช้ X-headers

X-headers ช่องข้อมูลที่เติมด้วยค่าเฉพาะ
ฟิลด์ X-headers ที่กำหนดผู้รับที่ได้รับการตรวจสอบสิทธิ์กับผู้รับที่ไม่ผ่านการรับรองความถูกต้อง อธิบายว่า - X-MS-Exchange-Organization-AuthAs

ฟิลด์ X-MS-Exchange-Organization-AuthAs ระบุแหล่งที่มาของการตรวจสอบสิทธิ์ X-header นี้จะปรากฏเสมอเมื่อมีการประเมินความปลอดภัยของข้อความ
ค่าที่เป็นไปได้คือ Anonymous, Internal, External หรือ พันธมิตร

เพื่อให้สามารถสาธิตการใช้ X-headers วันที่ที่ยื่นไว้ ฉันใช้สิ่งต่อไปนี้ สถานการณ์:

ผู้รับองค์กรชื่อ Suzan ที่ใช้ข้อความอีเมล - Suzan@o365pilot.com กำลังส่งข้อความอีเมลไปยังผู้รับองค์กรอื่นชื่อ Bob ที่ ใช้ที่อยู่อีเมล Bob@o365pilot.com

สถานการณ์ที่ 1 - ในสถานการณ์นี้ Suzan ใช้ไคลเอนต์ Outlook ของเธอเพื่อส่งข้อความอีเมลถึง Bob Suzan ต้องระบุข้อมูลรับรองผู้ใช้จึงจะสามารถใช้โปรแกรมรับส่งเมล Outlook ได้ กล่าวอีกนัยหนึ่ง Suzan ถือเป็นผู้รับที่ได้รับการรับรองความถูกต้อง

สถานการณ์ที่ 2- ในสถานการณ์นี้ เราใช้เซสชัน Telnet เพื่อส่งข้อความอีเมลไปยัง Bob@o365pilot.com ในสถานการณ์ของเรา เรานำเสนอตัวเองเป็น Suzan@o365pilot.com และไม่ได้ให้ข้อมูลรับรองผู้ใช้ใดๆ

ในสถานการณ์สมมตินี้ Suzan ถือเป็นผู้รับที่ไม่ได้รับการรับรองความถูกต้อง

เรานำส่วนหัวของข้อความอีเมลที่ส่งถึง Bob และใช้ตัววิเคราะห์ข้อความ ExRCA เพื่อตรวจสอบข้อมูลในส่วนหัวของอีเมล

ในภาพหน้าจอต่อไปนี้ เราจะเห็นส่วนหัวอีเมลของจดหมายที่ส่งจากโปรแกรมรับส่งเมล Outlook (ผู้รับที่ได้รับการรับรองความถูกต้อง)

เราจะเห็นว่าค่าของ X-MS-Exchange-Organization-AuthAs คือ “< span style="color: #008080;">ภายใน ”.
ความหมายของ “ผู้รับภายใน” เป็นผู้รับที่เชื่อถือได้ ซึ่งสามารถพิสูจน์ได้ ข้อมูลระบุตัวตนโดยการให้ข้อมูลประจำตัวผู้ใช้

ในภาพหน้าจอต่อไปนี้ เราจะเห็นส่วนหัวอีเมลของอีเมลที่ส่งจากไคลเอ็นต์เซสชัน Telnet (ผู้รับที่ไม่ได้รับการรับรองความถูกต้อง)

เราจะเห็นว่าค่าของ X-MS-Exchange-Organization-AuthAs คือ “< span style="color: #008080;">Anonymous ”.
ความหมายคือ “ผู้รับที่ไม่ระบุชื่อ ” คือผู้รับที่ไม่น่าเชื่อถือซึ่งไม่ได้' ไม่ได้ให้ข้อมูลรับรองผู้ใช้ใด ๆ (เซสชันไม่ระบุชื่อ)

กฎอีเมลปลอมแปลงออนไลน์ของ Exchange “การกระทำ” (การตอบสนอง)

อีกสิ่งหนึ่งที่ฉันอยากจะพูดถึงเกี่ยวกับกฎ Exchange Online ที่จะถูกสร้างขึ้นเพื่อจัดการกับสถานการณ์อีเมลปลอมคือ - ส่วนหนึ่งของ "การดำเนินการ" ของกฎ Exchange Online

กฎการแลกเปลี่ยนแต่ละข้อหดตัวจากสามส่วนที่แตกต่างกัน:

ส่วนที่ 1#3 - เงื่อนไขกฎการแลกเปลี่ยน

นี่คือส่วนของกฎ Exchange Online ที่กำหนดเงื่อนไขเฉพาะที่ควรปฏิบัติตาม
ในสถานการณ์ของเรา ซึ่งเป็นเงื่อนไขที่ผู้ส่งใช้ที่อยู่อีเมลขององค์กรของเรา แต่ไม่ได้ให้ข้อมูลประจำตัวผู้ใช้ที่สามารถพิสูจน์ตัวตนที่ถูกต้องตามกฎหมายของเขาได้ .

หากเราต้องการใช้คำจากโลกแห่งการพัฒนา นี่คือส่วน "IF"

ส่วนที่ 2#3 - การดำเนินการกฎการแลกเปลี่ยน

นี่คือส่วนที่เราสั่ง Exchange ว่า "ต้องทำอย่างไร" เมื่ออีเมลเฉพาะ "ตอบ" เงื่อนไขที่กำหนดไว้ในส่วนแรก

การกระทำอาจเป็นการกระทำเฉพาะหรือชุดของ "การกระทำหลายอย่าง" ที่จะถูกทริกเกอร์

หากเราต้องการใช้คำจากโลกแห่งการพัฒนา นี่คือส่วน "THEN"

ส่วนที่ 3#3 - ข้อยกเว้นของ Exchange

นี่เป็นส่วนที่เราสั่งให้ Exchange ไม่ดำเนินการ กฎในสถานการณ์เฉพาะ

หากเราต้องการใช้คำจากโลกแห่งการพัฒนา นี่คือส่วน "ELSE IF"

ตัวเลือกที่หลากหลายที่เราสามารถใช้ได้เมื่อใช้กฎ Exchange Online

ในสภาพแวดล้อม Exchange Online แต่ละ "ส่วน" เหล่านี้สามารถกำหนดค่าด้วยตัวเลือกและพารามิเตอร์ที่เป็นไปได้มากมาย และการรวมกันของสามส่วนเหล่านี้และตัวเลือกที่แตกต่างกันที่สามารถเลือกได้คือแต่ละส่วน เช่น เงื่อนไข การดำเนินการ และขั้นตอนการยอมรับ ตัวเลือกจำนวนมหาศาลและรูปแบบกฎที่แตกต่างกัน

บทความชุดปัจจุบันมีตัวอย่างกฎ Exchange Online เวอร์ชันต่างๆ ที่ต้องจัดการกับสถานการณ์อีเมลปลอม

ส่วนแรกของกฎ Exchange Online ซึ่งเป็นส่วน "เงื่อนไข" จะยังคงเหมือนกันในบทความทั้งหมด

ส่วนที่สองของ "การกระทำ" คือส่วนที่เราจะนำเสนอ "การกระทำ" ที่แตกต่างกันมากมาย ซึ่งจะตอบสนองความต้องการทางธุรกิจโดยเฉพาะ

ตัวอย่างเช่น - กฎ Exchange Online ที่จะระบุอีเมลปลอม (อีเมลที่ส่งจากผู้รับที่ไม่ได้รับการรับรองความถูกต้อง) สามารถ “ตอบสนอง” ต่อเหตุการณ์นี้ได้หลายวิธี เช่น:

1. ส่งอีเมลปลอมไปยังกล่องจดหมายของผู้รับปลายทาง + สร้างและส่งรายงานเหตุการณ์ไปยังผู้รับที่กำหนด
2. ส่งอีเมลปลอมไปยังเขตกักกัน + สร้างและส่งรายงานเหตุการณ์ไปยังผู้รับที่กำหนด + อีเมลแจ้งเตือนไปยังผู้รับปลายทาง
3. ส่งอีเมลปลอมไปยังกล่องจดหมายของผู้รับปลายทาง + เพิ่มข้อความที่กำหนดไว้ล่วงหน้าในข้อความอีเมล + สร้างและส่งรายงานเหตุการณ์ไปยังผู้รับที่กำหนด
4. ส่งอีเมลปลอมไปยังกล่องจดหมายของผู้รับปลายทาง + อัปเดตค่า SCL + สร้างและส่งรายงานเหตุการณ์ไปยังผู้รับที่กำหนด

วางแผนการนำกฎ Exchange Online Spoofed E-mail ไปใช้อย่างรอบคอบและถี่ถ้วน

วัตถุประสงค์ของกฎอีเมลปลอมแปลงออนไลน์ของ Exchange คือเพื่อระบุเหตุการณ์ของอีเมลปลอมและ "ตอบกลับตามนั้น" โดยการบล็อกข้อความอีเมล กำหนดเส้นทางข้อความอีเมลไปยังการกักกัน และอื่นๆ

“การตอบสนอง” นี้ตั้งอยู่บนสมมติฐานพื้นฐานที่ว่าข้อความอีเมลที่ระบุว่าเป็นอีเมลปลอมแปลงเป็นอีเมลปลอมแปลงจริงๆ

ปัญหาคือ ในความเป็นจริง ตรรกะของกฎ Exchange Online ยังสามารถระบุข้อความอีเมลที่ถูกต้องว่าเป็นอีเมลปลอมแปลงได้

ตัวอย่างเช่น กฎอีเมลปลอมแปลงออนไลน์ของ Exchange ระบุอีเมลว่าเป็น "อีเมลปลอม" ในกรณีที่ที่อยู่อีเมลของผู้ส่งใช้ที่อยู่อีเมลที่มีชื่อโดเมนองค์กรของเรา และผู้ส่งไม่ได้ ไม่ได้ให้ข้อมูลรับรองผู้ใช้

“พฤติกรรม” นี้อาจเกี่ยวข้องกับองค์ประกอบที่ไม่เป็นมิตร แต่ในขณะเดียวกันก็อาจเกี่ยวข้องกับโฮสต์ขององค์กรที่ถูกต้องตามกฎหมาย

ตัวอย่างเช่น สถานการณ์ที่อุปกรณ์ที่เปิดใช้งานเมล เช่น เครื่องพิมพ์หรือสแกนเนอร์ ใช้ที่อยู่อีเมลขององค์กรแต่ไม่ได้ให้ข้อมูลประจำตัวของผู้ใช้

เพื่อหลีกเลี่ยงสถานการณ์ที่ข้อความอีเมลที่ถูกต้องระบุว่าเป็นอีเมลปลอม เราควรวางแผนอย่างรอบคอบในการสร้างและเปิดใช้งานกฎอีเมลปลอมแปลงออนไลน์ของ Exchange

การวางแผนอย่างรอบคอบในการใช้กฎ Exchange Online อาจรวมถึง:

การสร้างรายชื่อโฮสต์และบริการขององค์กร โดยระบุ Exchange Online เป็นเซิร์ฟเวอร์อีเมล และในระยะถัดไปจะเพิ่มข้อยกเว้นให้กับกฎ Exchange Online

อีกทางเลือกหนึ่งคือการสร้างกฎ Exchange Online ที่จำเป็นซึ่งจะระบุเหตุการณ์ของอีเมลปลอม แต่จะไม่ตอบสนองด้วยการดำเนินการเช่น - การลบอีเมล แต่สั่งให้กฎ Exchange สร้างเฉพาะรายงานเหตุการณ์ที่จะ ถูกส่งไปยังผู้รับที่กำหนดไว้ล่วงหน้า เช่น ผู้ดูแลระบบ Exchange Online

อีกวิธีหนึ่งในการกำหนดสถานการณ์นี้อาจเป็นคำว่า "โหมดการเรียนรู้" ระยะเวลาที่กำหนด ซึ่งเราใช้ในการวิเคราะห์และทำความเข้าใจได้ดีขึ้นว่าเมื่อใดที่กฎ Exchange Online จะถูกทริกเกอร์ เป็นต้น

บทความถัดไปในชุดบทความปัจจุบัน

ในบทความถัดไป - ตรวจหาอีเมลปลอมและส่งรายงานเหตุการณ์โดยใช้กฎ Exchange Online | ส่วนที่ 2#12 เราจะตรวจสอบวิธีสร้างกฎ Exchange Online ที่จะระบุเหตุการณ์ของอีเมลปลอมและสร้างเหตุการณ์ รายงานที่จะถูกส่งไปยังผู้รับที่กำหนด