อีเมลของฉันปรากฏเป็นสแปม | 7 เหตุผลสำคัญ | ตอนที่ 6#17

บทความปัจจุบันเป็นบทความต่อจากบทความที่แล้ว (My E-mail ปรากฏเป็น spam | เหตุผลหลัก 7 ประการ | ตอนที่ 5#17) โดยเราจะทบทวนสาเหตุสำคัญต่อไป ที่อาจนำไปสู่สถานการณ์ที่
อีเมลที่ส่งจากองค์กรของเราถูกระบุว่าเป็นอีเมลขยะ
ในบทความปัจจุบัน เราจะตรวจสอบสาเหตุต่อไปนี้:

• ผลบวกลวง
• มัลแวร์เดสก์ท็อปของผู้ใช้
• เว็บไซต์ “มีปัญหา”

4. ผลบวกลวง

เกี่ยวกับเรื่องของสแปมภายใน\สแปมขาออก คำว่า "ผลบวกลวง" เกี่ยวข้องกับสถานการณ์ที่อีเมลที่ถูกต้องได้รับการยอมรับโดยไม่ได้ตั้งใจว่าเป็นสแปม\เมลขยะ

คำถาม: มีตัวเลือกในการหลีกเลี่ยงสถานการณ์ "ผลบวกลวง" โดยสิ้นเชิงหรือไม่

ก: น่าเศร้า คำตอบคือไม่ มี "องค์ประกอบ" ที่แตกต่างกันซึ่งสามารถระบุอีเมลองค์กรของเราโดยไม่ได้ตั้งใจว่าเป็นสแปม\เมลขยะ

ตัวอย่างเช่น ข้อความอีเมลของคุณอาจถูกจัดประเภทอย่างผิดพลาดว่าเป็นสแปม\เมลขยะ โดยผู้ให้บริการบัญชีดำที่รับรู้ถึงแง่มุมต่าง ๆ ในข้อความอีเมลของคุณที่ "ดูเหมือน" กฎเกณฑ์ของสแปม\เมลขยะ (ไม่มีระบบที่สมบูรณ์แบบ)

อีกตัวอย่างหนึ่งอาจเป็น: ผู้รับปลายทางดูข้อความอีเมลของคุณ และดูเหมือนอีเมลขยะ\ขยะ
ด้วยเหตุนี้ เขาจึงตัดสินใจรายงานข้อความอีเมลดังกล่าวว่าเป็นสแปม\อีเมลขยะ

ในแผนภาพต่อไปนี้ เราจะเห็นว่าอาจมี “องค์ประกอบเพิ่มเติม” ที่สามารถ “ตัดสินใจ” เพื่อระบุ E-mail โดยเฉพาะว่าเป็น spam\junk mail เช่น - แอปพลิเคชันผู้ใช้เมล หรือแอปพลิเคชันความปลอดภัยที่ติดตั้งบนเดสก์ท็อปของผู้ใช้ .

จะหลีกเลี่ยงได้อย่างไร

ไม่มีวิธีการที่แท้จริงในการ "หลีกเลี่ยง" สถานการณ์นี้ ในกรณีที่อีเมลที่ถูกต้องซึ่งส่งโดยผู้ใช้ในองค์กรถูกจัดประเภทเป็นสแปม\อีเมลขยะโดยบัญชีดำเฉพาะ สิ่งที่เราทำได้คือจัดการกับเจ้าของบัญชีดำนั้นและขอให้ลบออกจากบัญชีดำ

แนวทางปฏิบัติที่ดีที่สุดอีกประการหนึ่งอาจเป็น: ดำเนินขั้นตอน โดยเราจะตรวจสอบ "คะแนนสแปม" ของอีเมลเชิงพาณิชย์ ก่อนที่เราจะส่งข้อความอีเมลเฉพาะไปยังผู้รับกลุ่มใหญ่

คุณสามารถอ่านข้อมูลเพิ่มเติมเกี่ยวกับตัวเลือกในการทดสอบคะแนนสแปมของคุณได้ในบทความ: อีเมลของฉันปรากฏเป็นสแปม | 7 เหตุผลสำคัญ | ตอนที่ 5#17

5. มัลแวร์บนเดสก์ท็อปของผู้ใช้

ในกรณีที่เดสก์ท็อปของผู้ใช้ติดมัลแวร์ (ไวรัส สปายแวร์ ฯลฯ) ผลลัพธ์อาจเป็น “ปรากฏการณ์แปลกหน้า” เช่น: เมลที่หายไป สแปมเมลที่ส่งจากผู้รับในองค์กรของเราโดยที่เขาไม่รู้ตัว เป็นต้น

หนึ่งในกฎบัตรที่สำคัญของสถานการณ์ดังกล่าว (สถานการณ์ที่เดสก์ท็อปของผู้ใช้ติดมัลแวร์) ก็คือผู้ใช้ในองค์กรไม่ทราบว่ามีอีเมลขยะที่ส่งโดยชื่อของเขาไปยังผู้รับรายอื่น

“ประเด็น” ที่เราตระหนักถึงปัญหานี้ก็คือเฉพาะในกรณีที่เซิร์ฟเวอร์เมลปลายทางตอบกลับโดยใช้ข้อความ NDR หรือสถานการณ์ที่แย่กว่านั้น ซึ่งองค์กรของเราปรากฏอยู่ในบัญชีดำ

ในฉากของ “NDR ” เป็นเรื่องง่ายที่จะนำกระบวนการวิศวกรรมย้อนกลับไปใช้ โดยเราเข้าใจว่าปัญหาเกี่ยวข้องกับองค์กรผู้รับเฉพาะ

ในสถานการณ์ที่ “เซิร์ฟเวอร์เมลปลายทาง” ไม่ตอบกลับโดยใช้ NDR หรือในสถานการณ์ที่เราพบว่าองค์กรของเราอยู่ในบัญชีดำ ไม่มีเธรดหรือ “ตะคริวขนมปัง” ที่สามารถนำเราไปสู่ “แหล่งที่มาของ ปัญหา. ”

คำถาม: จะทราบสถานการณ์ที่เดสก์ท็อปของผู้ใช้ติดมัลแวร์และส่งข้อความอีเมลในนามของผู้ใช้ได้อย่างไร

ก: ไม่มี "สูตรวิเศษ" ที่จะช่วยให้คุณจับภาพสถานการณ์ประเภทนี้ได้ “อาวุธ” หลักของเราคือการตระหนักรู้ถึงกฎบัตรของสถานการณ์ประเภทนี้ (ซึ่งเดสก์ท็อปของผู้ใช้ถูกโจมตีโดยมัลแวร์ที่ส่งอีเมลขยะในนามของผู้ใช้ในองค์กร)

กฎบัตรหลักประการหนึ่งสำหรับสถานการณ์ประเภทนี้คือ "ขาดการประสานงาน" ระหว่างหลักฐานที่มีอยู่ในกล่องจดหมายของผู้ใช้กับ "หลักฐาน" ที่มีอยู่ในเซิร์ฟเวอร์อีเมล Exchange Online

ตัวอย่างเช่น - ผู้ใช้ขององค์กรรายงานเกี่ยวกับปรากฏการณ์ประหลาดที่เขาได้รับข้อความ NDR สำหรับอีเมลที่เขาไม่ได้ส่ง ข้อความ NDR แจ้งให้เขาทราบว่าอีเมลของเขาถูกปฏิเสธโดยเซิร์ฟเวอร์เมลปลายทาง เพราะเขาระบุว่าเป็นสแปม/เมลขยะ

เมื่อเราเริ่มตรวจสอบปัญหาแปลกๆ นี้โดยดูที่กล่องจดหมายของผู้ใช้ และโดยเฉพาะอย่างยิ่งใน โฟลเดอร์จดหมายที่ส่งแล้ว เราจะไม่เห็นหลักฐานใดๆ ไปยังจดหมายที่ส่งจากกล่องจดหมายของผู้ใช้

สาเหตุของปรากฏการณ์ประหลาดนี้คือ โดยส่วนใหญ่แล้ว มัลแวร์จะชอบที่จะ "ปกปิดเส้นทางของเขา" โดยการลบอีเมลที่เขาส่งจากโฟลเดอร์ของรายการที่ส่ง หรือโดยการเชื่อมต่อเซิร์ฟเวอร์อีเมลโดยตรง และข้ามโปรแกรมรับส่งเมลบนเดสก์ท็อป .

ปรากฏการณ์นี้กลายเป็นเรื่องแปลกเมื่อเราดูบันทึกการติดตามข้อความ Exchange Online และพบว่าบันทึก Exchange Online มีข้อมูลเกี่ยวกับข้อความอีเมลหลายสิบหรือหลายร้อยข้อความที่ส่งโดยผู้ใช้ในองค์กรที่ระบุ

สถานการณ์นี้เป็นหลักฐานที่ชัดเจนของสถานการณ์มัลแวร์ที่เข้าครอบครองเดสก์ท็อปของผู้ใช้และปลอมแปลงเป็นผู้ใช้ในองค์กรที่ถูกต้องตามกฎหมาย

ถาม: จะหลีกเลี่ยงสถานการณ์ที่เดสก์ท็อปของผู้ใช้ในองค์กรอาจถูกบุกรุกได้อย่างไร

ก: ตรวจสอบว่าคุณใช้แนวทางปฏิบัติที่ดีที่สุดด้านความปลอดภัยขั้นพื้นฐานที่เกี่ยวข้องกับความปลอดภัยของผู้ใช้เดสก์ท็อป:

• ตรวจสอบว่าเดสก์ท็อปมีการติดตั้งซอฟต์แวร์ป้องกันไวรัส
• ตรวจสอบว่าซอฟต์แวร์ป้องกันไวรัสมีการอัปเดตล่าสุดทั้งหมด
• ตรวจสอบว่าบริการซอฟต์แวร์ป้องกันไวรัสเปิดอยู่

ตัวเลือกอื่น:

• รีเซ็ตรหัสผ่านผู้ใช้ขององค์กร
• ตรวจสอบกิจกรรม "ผู้ใช้ที่มีปัญหา" โดยใช้บันทึกการติดตามข้อความของ Exchange Online
  ตัวอย่างเช่น ดูที่บันทึกของ Exchange Online และลองค้นหา "ลักษณะการทำงานที่แปลกประหลาด" ซึ่งมีอีเมลจำนวนมากที่ถูกส่ง "โดย ผู้ใช้ ” ไปยังที่อยู่อีเมลที่ไม่รู้จัก

6. เว็บไซต์ “มีปัญหา”

อีกสาเหตุที่น่าสนใจและไม่ทราบสาเหตุในการจัดประเภทอีเมลเป็นสแปม\เมลขยะนั้นเกี่ยวข้องกับที่อยู่เว็บไซต์ (URL) ที่ปรากฏในข้อความอีเมล

Exchange Online และเมลเซิร์ฟเวอร์อื่นๆ กำลังใช้บริการของผู้ให้บริการบัญชีดำพิเศษ เช่น: SURBL ที่เชี่ยวชาญคือ “ขอบเขต” เฉพาะที่เน้นไปที่ที่อยู่ URL ที่พิจารณาว่าเป็น “ที่อยู่ URL ที่มีปัญหา” และที่ปรากฏในผู้ใช้ E- ข้อความเมล

แนบใบเสนอราคาจากเว็บไซต์ surbl:

SURBL คือรายการเว็บไซต์ที่ปรากฏในข้อความที่ไม่พึงประสงค์ SURBL ไม่ใช่รายการของผู้ส่งข้อความ ซึ่งต่างจากรายการส่วนใหญ่

ฉันได้อ่านข้อมูลบนเว็บไซต์ที่อธิบายวิธีการที่ใช้แล้ว และฉันต้องยอมรับว่าฉันแน่ใจว่าฉันเข้าใจแนวคิดทั้งหมดของ “วิธีการ” ที่ใช้โดยบริการ surbl อย่างถ่องแท้

ตามที่ฉันเข้าใจ ขั้นตอนแรกที่บริการ surbl นำมาใช้คือ - สร้างรายชื่อเว็บไซต์สาธารณะที่ชื่อของพวกเขา (ที่อยู่ URL) ปรากฏในอีเมลที่ถูกจัดประเภทหรือระบุว่าเป็นสแปม\เมลขยะ

ความจริงที่ว่าที่อยู่ URL ของเว็บไซต์เฉพาะ "ปรากฏ" ในข้อความอีเมลที่ไม่พึงประสงค์ "ประทับตรา" เว็บไซต์นี้ "น่าสงสัย"

ในกรณีที่ผู้ใช้ส่งอีเมลซึ่งรวมถึงที่อยู่ URL ของเว็บไซต์ที่ปรากฏในรายการ “เว็บไซต์ที่น่าสงสัย” อีเมลนั้นอาจถือเป็นรายการเมลที่มีเนื้อหาสแปม

ปัญหาที่ไม่ใช่ Office 365 และ Exchange Online

ภายใต้หัวข้อ - “ปัจจัยและองค์ประกอบที่สามารถนำไปสู่สถานการณ์ที่อีเมลที่ส่งจากองค์กรของคุณอาจถูกระบุว่าเป็นสแปม\เมลขยะ” อาจมีสาเหตุเพิ่มเติมที่เราไม่ได้ตรวจสอบ

เหตุผลที่เราไม่ได้ตรวจสอบปัจจัยเหล่านี้คือ เนื่องจากใน Office 365 และ Exchange Online องค์ประกอบนี้ไม่สามารถทำได้

ตัวอย่างของสาเหตุดังกล่าวอาจเป็น:

เมลเซิร์ฟเวอร์ที่ถูกแฮ็กโดยผู้ส่งอีเมลขยะ เมลเซิร์ฟเวอร์ที่กำหนดค่าให้เป็นรีเลย์แบบเปิด แอปพลิเคชันเมลที่ไม่ใช้โปรโตคอล SMTP มาตรฐานหรือที่ไม่สอดคล้องกับ RFC ไม่มีบันทึก MX ไม่มีบันทึก PTR โดยใช้ที่อยู่ IP แบบไดนามิกเป็น ที่อยู่ IP ของเมลเซิร์ฟเวอร์และอื่นๆ

แม้ว่าใน Office 365 และ Exchange Online เราไม่ควรกังวลเกี่ยวกับปัญหาข้างต้น แต่ในกรณีที่เราจัดการ "โครงสร้างพื้นฐานเมลส่วนตัว" สิ่งสำคัญคือต้องตระหนักถึงปัญหาที่อาจเกิดขึ้นนี้