กลุ่มการจัดส่งที่มีความเสี่ยงสูงและการแลกเปลี่ยนออนไลน์ | ตอนที่ 10#17
บทความปัจจุบันเป็นบทความต่อจากบทความก่อนหน้านี้: High Risk Delivery Pool and Exchange Online | ตอนที่ 9#17
ในบทความนี้ เราจะเน้นในหัวข้อต่อไปนี้:
- Exchange Online “ตัดสินใจ” เพื่อจัดประเภทอีเมลเฉพาะเป็นสแปม\เมลขยะอย่างไร
- คำอธิบายของกระแสข้อความอีเมลขยะภายใน
ใครคือหน่วยงานที่อนุมัติหรือระบุว่าอีเมลเป็นสแปม/เมลขยะ?
เมื่อผู้รับ Office 365 ขอให้ "ส่ง" อีเมลไปยังผู้รับรายอื่น Exchange Online (EOP หากเราต้องการให้แม่นยำยิ่งขึ้น) จะต้องตรวจสอบอีเมลและตรวจสอบว่าอีเมลนั้น "ตกลง" หรือไม่ถือว่าเป็นสแปม \อีเมลขยะ.
“กระบวนการสแกนความปลอดภัย” ของข้อความอีเมลขาออก ถูกนำมาใช้โดยระบุ “โครงสร้างพื้นฐานด้านความปลอดภัย” สองประเภท:
- รายการบล็อกที่เป็นกรรมสิทธิ์ - ที่ไม่ได้ "เปิดเผยต่อสาธารณะ ”
- ผู้ให้บริการรายการบล็อกสาธารณะบุคคลที่สาม (พันธมิตร)
Exchange Online Protection (EOP) ใช้รายการบล็อกที่เป็นกรรมสิทธิ์ของตนเอง เช่นเดียวกับรายการบล็อกของบุคคลที่สาม (พันธมิตร) หากผู้ใช้เพิ่มลงในรายการบล็อกของเราหลังจากส่งข้อความขาออกผ่านบริการ พวกเขาจะได้รับข้อความ 550 5.1.8 Access Denied, Bad Sender
นอกจากนี้ ที่อยู่ผู้ดูแลระบบโดเมนที่กำหนดค่าผ่านการส่งการแจ้งเตือนไปยังสิ่งต่อไปนี้ ที่อยู่อีเมลเมื่อผู้ส่งถูกบล็อก การส่งการตั้งค่าสแปมขาออกในนโยบายสแปมขาออกจะได้รับข้อความที่ผู้ส่งเพิ่มไว้ในรายการบล็อกของเรา
ในแผนภาพต่อไปนี้ เราจะเห็นขั้นตอน "ระดับสูง" ของกระบวนการ ซึ่ง Exchange Online จะสแกนข้อความอีเมลขาออกที่ส่งโดยผู้ใช้ Office 365 โดยใช้ความช่วยเหลือของฐานข้อมูล "บัญชีดำและรายการบล็อก" ”
หมายเหตุ: คำที่นิยมคือผู้ให้บริการ "บัญชีดำ" ในบทความ Office 365 และ Exchange Online คำที่ใช้บ่อยที่สุดคือ: ผู้ให้บริการ "รายการบล็อก"
ถาม: ใครคือผู้ให้บริการรายการบล็อกสาธารณะบุคคลที่สาม (พันธมิตร) ที่ “ลึกลับ” เหล่านี้
ตอบ: ข้อมูลเกี่ยวกับ “ผู้ให้บริการรายการบล็อกสาธารณะ (พันธมิตร) บุคคลที่สาม” นี้ได้รับการเผยแพร่ต่อสาธารณะ
ในบทความเราจะเห็นรายการบล็อกบุคคลที่สาม (พันธมิตร) แสดงรายการผู้ให้บริการที่ใช้โดยโครงสร้างพื้นฐาน Exchange Online
สถานการณ์สมมติสแปมขาออกในสภาพแวดล้อม Office 365
เพื่อสาธิตการไหลของ "อีเมลขยะภายใน" ให้ใช้สถานการณ์ต่อไปนี้:
ผู้ใช้ Office 365 ส่งอีเมลไปยัง “ผู้รับปลายทาง” ข้อความอีเมลจะถูกสแกนและระบุว่าเป็นสแปม\เมลขยะ
ด้วยเหตุผลนี้ อีเมลจึงถูกส่งไปยัง Exchange Online High Risk Delivery Pool และจะถูกส่งโดย Exchange Online High Risk Delivery Pool ไปยัง "ปลายทางของเธอ"
"จุดสิ้นสุด" ของสถานการณ์ไม่เป็นที่รู้จักเนื่องจาก เราไม่สามารถค้นหาได้ว่านโยบายความปลอดภัยคืออะไร และกฎที่โครงสร้างพื้นฐานปลายทางเมลจะนำไปใช้
ขั้นตอนที่ 1 - ผู้รับ Office 365 ส่งอีเมลไปยังผู้รับภายนอก เซิร์ฟเวอร์ Exchange Online ยอมรับคำขอ
ขั้นตอนที่ 2 - Exchange Online ยอมรับอีเมล และส่งต่ออีเมลไปยัง Exchange EOP (Exchange Online Protection) เพื่อการวิเคราะห์เพิ่มเติม
ขั้นตอนที่ 3 - Exchange EOP ยอมรับข้อความอีเมล และส่งต่ออีเมลไปยังรายการบล็อกที่เป็นกรรมสิทธิ์ + รายการบล็อกของบุคคลที่สาม (พันธมิตร)
ขั้นตอนที่ 4 - อีเมลถูกตรวจสอบโดยผู้ให้บริการรายการบล็อก ในสถานการณ์ของเรา อีเมลถูกระบุว่าเป็นสแปม\เมลขยะ
บล็อกแสดงรายการผู้ให้บริการที่ส่งกลับภายใต้ Exchange EOP และ "แจ้ง" EOP ว่าอีเมลนั้นเป็น "ข้อความอีเมลที่มีปัญหา ”
ขั้นตอนที่ 5 - เนื่องจากอีเมลถูกระบุว่าเป็นสแปม\เมลขยะ Exchange EOP จะไม่ “ส่งต่อ ” E- เมลไปยังพูลเซิร์ฟเวอร์ Exchange Online มาตรฐาน แต่อีเมลส่งต่อไปยัง "กลุ่มการจัดส่งที่มีความเสี่ยงสูงของ Exchange Online แทน ”
ขั้นตอนที่ 6 - หนึ่งในสมาชิก "กลุ่มการจัดส่งที่มีความเสี่ยงสูง" จะพยายามส่งข้อความอีเมลไปยังเซิร์ฟเวอร์อีเมลปลายทาง
สมมติฐานพื้นฐานคือ “เซิร์ฟเวอร์เมลปลายทาง” ใช้บริการรักษาความปลอดภัยซึ่งมีการสแกนและตรวจสอบอีเมลขาเข้าผ่านผู้ให้บริการบัญชีดำและกลไกความปลอดภัยอื่น ๆ
ในสถานการณ์ของเรา มีโอกาสสูงที่อีเมลจะถูกจัดประเภทเป็นสแปม\เมลขยะตาม "เซิร์ฟเวอร์เมลปลายทาง" เนื่องจากที่อยู่ IP ของ Exchange Online High Risk Delivery Pool ปรากฏในบัญชีดำที่รู้จักกันดี
หมายเหตุ: สถานการณ์ที่เป็นไปได้อื่นๆ คือข้อความอีเมลจะถูกระบุว่าเป็นสแปม/เมลขยะเนื่องจากเนื้อหาอีเมล และไม่ใช่เนื่องจากอีเมลที่ส่งผ่าน Exchange Online- การจัดส่งที่มีความเสี่ยงสูง สระน้ำ.
ขั้นตอนที่ 7 - โครงสร้างพื้นฐานการรักษาความปลอดภัยของเมลที่ใช้โดย “เซิร์ฟเวอร์เมลปลายทาง”
“โครงสร้างพื้นฐานเมลภายนอก” แต่ละรายการใช้นโยบายและบริการรักษาความปลอดภัยเมลที่แตกต่างกัน
- ในบางสถานการณ์ "เกตเวย์จดหมายความปลอดภัยปลายทาง" จะบล็อกข้อความอีเมลและตอบกลับด้วยข้อความ NDR
- ในบางสถานการณ์ “เกตเวย์เมลการรักษาความปลอดภัยปลายทาง” จะส่งอีเมลไปกักกัน
- ในบางสถานการณ์ “เกตเวย์เมลการรักษาความปลอดภัยปลายทาง” จะเพิ่มค่าของ SCL (ระดับความเชื่อมั่นของสแปม) และส่งต่อข้อความอีเมลไปยังผู้รับเป้าหมาย
ตัวอย่างข้อความ NDR
ในส่วนต่อไปนี้ เราจะเห็นตัวอย่างข้อความ NDR ที่ส่งคืนไปยังผู้รับ Office 365 โดย “เซิร์ฟเวอร์เมลปลายทาง ”
ให้ความสนใจกับที่อยู่ IP ที่ปรากฏในข้อความ NDR นี่คือที่อยู่ IP ที่ "เป็น" ในช่วง IP ของ "กลุ่มการจัดส่งที่มีความเสี่ยงสูง"
เซิร์ฟเวอร์ระยะไกลส่งคืน '550-5.7.1 [157.56.116.102 ] ระบบของเราตรวจพบอัตราผิดปกติของจดหมายไม่พึงประสงค์ 550-5.7.1 ที่มาจากที่อยู่ IP ของคุณ เพื่อปกป้องผู้ใช้ 550-5.7.1 ของเราจากสแปม เมลที่ส่งจากที่อยู่ IP ของคุณจึงถูกบล็อก 550-5.7.1 โปรดไปที่ http://www.google.com/mail/help/bulk_mail.html เพื่อตรวจสอบ 550 5.7.1 หลักเกณฑ์สำหรับผู้ส่งอีเมลจำนวนมากของเรา p10si13699322wje.90 - gsmtp’
สรุปและข้อสรุปสุดท้าย
ในสถานการณ์ที่เราได้รับแจ้ง เมลที่ส่งจากองค์กรของเราถูกจัดประเภทเป็นสแปม\เมลขยะ คำถามหลักในตอนนี้คือ:
สาเหตุ (สาเหตุ) ที่อีเมลที่ส่งจากองค์กรของเราระบุว่าเป็นสแปม\เมลขยะคืออะไร หรือพูดง่ายๆ: เราจะตำหนิใครได้บ้าง?
- เป็นผู้ใช้ Office 365 หรือไม่
- เป็นเนื้อหาข้อความอีเมลเฉพาะหรือไม่
- เป็นเซิร์ฟเวอร์ Exchange Online ที่กำหนดเส้นทางข้อความอีเมลไปยัง “กลุ่มการจัดส่งที่มีความเสี่ยงสูง” หรือไม่
- มันคือ “กลุ่มการส่งมอบที่มีความเสี่ยงสูง” หรือไม่?
- เป็นผู้ให้บริการบัญชีดำของ Office 365 หรือไม่
- เป็นเกตเวย์ความปลอดภัยของเมลปลายทางหรือไม่
โดยส่วนใหญ่แล้วแนวโน้มตามธรรมชาติของเราคือการตำหนิ "อีกฝ่าย" “อีกด้านหนึ่ง” อาจเป็นเซิร์ฟเวอร์อีเมลปลายทางหรือในสถานการณ์ของเรา ซึ่งก็คือเซิร์ฟเวอร์อีเมล Office 365
คำตอบที่แท้จริงคือในสถานการณ์ส่วนใหญ่มีความจริงตรงกันข้าม
องค์ประกอบที่รับผิดชอบ (ความผิด) สำหรับเหตุผลที่ข้อความอีเมลที่ส่งโดยผู้ใช้องค์กรของเราระบุว่าเป็นสแปม\เมลขยะนั้นอยู่ที่ "ฝั่งของเรา"!
หากเราต้องการเจาะจงมาก: ผู้ใช้ Office 365 ที่ “เขียนและส่งข้อความอีเมลเฉพาะ”
“แหล่งที่มาของปัญหา” เริ่มต้นด้วย “ข้อความอีเมลที่มีปัญหา” ที่สร้างขึ้นโดยผู้ใช้ Office 365 “ข้อความอีเมลที่มีปัญหา” คือรากฐานของกระบวนการที่เหลือทั้งหมด
หมายเหตุ: ในสถานการณ์ของมัลแวร์ “ข้อความอีเมลที่มีปัญหา” จะถูกสร้างขึ้นโดยมัลแวร์ ไม่ใช่โดยตัวผู้ใช้เอง
เมื่อ Exchange Online จดจำอีเมลที่ผู้ใช้ Office 365 สร้างขึ้นเป็นสแปม/เมลขยะ เขาจะกำหนดเส้นทางอีเมลไปยัง Exchange Online "กลุ่มการจัดส่งที่มีความเสี่ยงสูง" และอื่นๆ
เมื่ออีเมลถึงปลายทาง มีโอกาสพอสมควรที่ “เซิร์ฟเวอร์เมลปลายทาง” จะบล็อกอีเมลนั้น เนื่องจากอีเมลถูกส่งโดย Exchange Online- High Risk Delivery Pool หรือเพราะเขา “เห็น” ด้วย ไปยังเนื้อหาที่น่าสงสัยในอีเมล
