SPF politikası SPF Başarısız | Exchange Online kuralını kullanarak SPF Hatası politikasını uygulama (Sahte E-posta saldırısıyla ilgilenme) | Aşama 2 üretimi | bölüm 3#3 .com

Mevcut makalemiz, Exchange Online kuralını kullanarak SPF Arıza politikasının nasıl uygulanacağını incelediğimiz makale serisinin son makalesidir. Kısa bir hatırlatma: Asıl amacımız olası bir Parodi posta saldırısı olayını tespit etmek ve önlemektir.

SPF Başarısızlık politikası makale serisi

SPF Arıza politikası makale serisi aşağıdaki üç makaleyi içeriyordu:

Exchange Online kuralını kullanarak SPF Hatası politikasını uygulama (Sahte E-posta saldırısıyla ilgilenme) | giriiş
Exchange Online kuralını kullanarak SPF Hatası politikasını uygulama (Sahte E-posta saldırısıyla ilgilenme) | Aşama 1 - öğrenme modu
Exchange Online kuralını kullanarak SPF Hatası politikasını uygulama (Sahte E-posta saldırısıyla ilgilenme) | Aşama 2 üretimi (bu makale)

SPF üretim modu

Posta altyapımızın bir SPF gönderen doğrulama kontrolü kullandığı göz önüne alındığında, düşmanca unsurların meşru kuruluş kullanıcılarımızdan birinin kimliğini taklit ettiği bir senaryoda, SPF gönderen doğrulama testinin sonucu “SPF=Başarısız”dır.

Bir önceki yazımızda “öğrenme” veya “denetim” modu olarak tanımlanan ilk aşamayı uyguladık. Bu ilk aşamanın amacı şuydu:

Kuruluşumuzdaki kullanıcıyı hedef alan sahte posta saldırılarının yaygın senaryolarına aşina olmak
Yetkili posta sunucularına ilişkin SPF kaydımızdaki eksik bilgileri bulun

Temel varsayım, teknik olarak kaçırılan konfigürasyon vb. nedeniyle oluşan yanlış pozitif olayları önlemek için gerekli ayarlamayı zaten yapmış olduğumuzdur.

Artık “üretim modu” olarak tanımladığım ikinci aşamaya geçmeye hazırız.

Bu aşamanın ana karakterleri artık daha “aktif” olmak, yani posta akışına müdahale etmek istememizdir.

Bu adımda, Sahte posta olma ihtimali yüksek olan e-posta iletilerinin hedef alıcıya gönderilmesini engellemek istiyoruz.

Daha doğru olmak istiyorsak, gönderenin alan adımızı içeren bir E-posta adresi kullandığı ve SPF gönderen doğrulama testi sonucunun “Başarısız” olduğu E-posta mesajlarını tespit etmek ve engellemek istiyoruz.

Sahte posta olayına ilişkin uygulayacağımız "eylemler", E-posta mesajını yalıtılmış bir depoya (paylaşılan posta kutusu) "yönlendirmek" olacaktır.

Bu posta kutusuna yalnızca yetkili personel erişebilecek ve belirlenen kullanıcının E-postayı incelemesi ve E-postayı asıl alıcısına teslim etmeyi onaylayıp onaylamadığına karar vermesi gerekecektir.

Ayrıca hedef alıcıya, posta altyapımızın kendisine gönderilen bir E-postayı Sahte E-posta olarak tanımladığını bildiren özel bir E-posta bildirimi gönderilecektir.

İşletmenin ihtiyaçları | SPF Başarısızlığı politikamıza ilişkin yönergeler

İş ihtiyacı ve gerçekleştirmemiz gereken hedefler aşağıdaki gibidir:

Kuruluşumuzun alıcısına gönderilen E-posta mesajlarının sahte E-posta (sahtekar gönderen) olma ihtimalinin yüksek olduğu olayları belirlemek istiyoruz.
Bizim açımızdan "Sahte E-posta" tanımı, gönderenin E-posta adresinin bizim alan adımızı (o365info.com) taşıdığı ve ayrıca SPF gönderen doğrulama testi sonucunun "Başarısız" olduğu senaryo.
Böyle bir E-posta mesajının hedef alıcının posta kutusuna ulaşmasını engellemek istiyoruz.
Hedef alıcıya, kendisine gönderilen E-posta mesajının kuruluşumuzun politikası tarafından engellendiğini ve ileri incelemeye gönderildiğini bildirmek istiyoruz.
Exchange Online kuralı tarafından "Sahte E-posta" olarak tanımlanan E-posta mesajı, sahtekar E-posta Posta Kutusu adlı belirlenmiş bir paylaşılan posta kutusuna iletilecektir.
"Atanan alıcı", bu amaç için sahte E-posta Posta Kutusu adında özel bir paylaşılan posta kutusu oluşturularak uygulanacaktır.
Bu posta kutusu, Exchange Online tarafından gönderilecek olay raporlarını içerecektir. kural.
Sahte E-postaların saklandığı paylaşılan posta kutusuna yalnızca Exchange Online yöneticisi gibi yetkili kullanıcılar erişebilir. Bu kişinin E-posta mesajını incelemesi ve E-posta mesajını "serbest bırakmayı" ve orijinal hedef alıcıya göndermeyi (reddetmeyi) onaylayıp onaylamadığına karar vermesi gerekecektir.

Özel senaryo karakterlerimiz

SPF gönderen doğrulama testi sonucunun "Başarısız" olduğu Sahte posta olaylarını yakalamak için Exchange Online kuralını nasıl kullandığımızı gösterebilmek için aşağıdaki senaryoyu kullanacağız:

Şirketimizin genel alan adı - o365info.com

Koşul | SPF=başarısız + gönderenin etki alanı bizim etki alanımızdır şeklinde bir olay belirleyin

Exchange Online kuralımız, gönderenin E-posta adresinin alan adını (o365info.com) ek olarak içerdiği olayı "yakalayacak" şekilde yapılandırılacaktır; SPF gönderen doğrulama testi sonucu bir Hatadır (SPF=Başarısız).

Exchange Online kuralı “eylem”

Exchange Online kuralının "yanıtı" iki "adım" içerecektir:

1. E-posta mesajını onay için belirlenmiş bir posta kutusuna (paylaşılan posta kutusu) iletin.

Exchange Online kuralı, Sahte posta mesajını, "Sahtekarlık E-postalarını" içerecek olan belirlenmiş bir posta kutusuna "yönlendirmek" üzere yapılandırılacaktır.
Exchange Online'ımız Brad gibi yetkili bir kişi yönetici bu E-postaları inceleyecek

Yetkili kişinin E-postayı incelemesi ve E-postayı onaylayıp reddetmediğine karar vermesi gerekecektir.

2. Orijinal hedef alıcıya E-posta mesajı bildirimi gönderin.

Exchange Online, hedef alıcıya, kendisine gönderilen E-posta iletisinin Sahte posta olarak kabul edildiğini bildirecek özel bir E-posta bildirimi oluşturacak ve gönderecektir.

Exchange Online kuralının mantığı

Exchange Online kuralı “mantığının” bir özeti aşağıdaki şemada sunulmaktadır:

SPF Arıza Olayını tanımlamak için Exchange kuralını yapılandırın - E-postayı onay için yönlendirin + hedef alıcıya bildirim gönderin

Bir sonraki bölümde iş ihtiyaçlarımıza cevap verecek gerekli “Exchange Online Sahte E-posta kuralı”nın oluşturulması için “adım adım” talimatlar sunacağız.

Bölüm 1#2 - Exchange SPF Başarısız kuralının "koşul bölümünü" yapılandırın

Exchange yönetici portalında oturum açın
Sol menü çubuğunda - posta akışı'nı seçin
Üst menü çubuğunda - kurallar'ı seçin

artı simgesini tıklayın
Seçin - Yeni bir kural oluştur…

Ad: kutusuna yeni kural için açıklayıcı bir ad ekleyin.
Özel senaryomuzda, kuralı - SPF Hatası olaylarını algılama | 2. Aşama - Üretim modu.
-Diğer Seçenekler… bağlantısını tıklayın
(varsayılan olarak Exchange'in arayüzü) Çevrimiçi kural yalnızca sınırlı sayıda seçenek içerir. Ek seçenekleri görüntüleyebilmek için Diğer Seçenekler… 'i "etkinleştirmemiz" gerekir. ).

Durum 1#2

-Şu durumda bu kuralı uygulayın: küçük siyah oku tıklayın

Birincil menüyü seçin - Gönderen…
Alt menüde - etki alanı seçeneğini seçin

Alan adını belirtin penceresinde kuruluşunuzu temsil eden gerekli alan adını ekleyin. Senaryomuzda genel alan adı şu şekildedir: o365info.com
Alan adını listeye eklemek için artı simgesini tıklayın

Exchange Online kural ayarlarını kaydetmek için Tamam seçeneğini tıklayın.

Durum 2#2

İkinci durumda, Exchange Online'a her E-posta başlığına bakmasını ve SPF gönderen doğrulama kontrolünün "SPF=Başarısız" olduğu bir olayı aramasını söyleriz.

Koşul ekle'yi tıklayın

- ve adlı kutuda küçük siyah oku tıklayın

- Bir ileti başlığı… adlı ana menüyü seçin.
- bu kelimelerden herhangi birini içerir adlı alt menüyü seçin.

Genel bilgi - E-posta mesajı başlığı birçok “posta alanı” içerir.
SPF gönderen doğrulama kontrolünün sonucunu içeren özel posta alanı - Kimlik Doğrulama Sonuçları

Menüyü seçin - *Metni girin…

SPF gönderen doğrulama kontrolünün sonucunu içeren posta alanının adını girin; senaryomuzda posta alanı adı şu şekildedir: Kimlik Doğrulama-Sonuçları
Bilgileri kaydetmek için Tamam 'ı seçin

Genel not - bu adımda aradığımız “metin dizesini” sağlıyoruz.

Menüyü seçin - *Kelimeleri girin…

SPF gönderici doğrulama testi sonucuna ilişkin bilgiler, üç farklı metin stili seçeneğiyle görüntülenebilir:

SPF:Başarısız
spf=başarısız
Alınan-SPF:Başarısız

Bu seçeneklerin her birini ekleyeceğiz

İlk seçeneği yazın - SPF: Başarısız ve artı işaretini tıklayın

Ek iki SPF dizesi değerini girmeye devam edin - spf=fail ve Received-SPF: Fail
Girilen bilgileri kaydetmek için Tamam 'ı seçin

Bölüm 2#2 - Exchange SPF Arıza kuralının "eylem bölümünü" yapılandırın

Bu aşamada Exchange Online kuralının “ikinci bölümünü” yapılandıracağız.
İkinci bölümde Exchange kuralının yürüteceği eylemleri (yanıtı) tanımlayacağız.

Exchange Online kural yanıtı iki farklı eylemi içerecektir:

E-posta mesajını onay için belirlenmiş bir posta kutusuna (paylaşılan posta kutusu) iletin.
Orijinal hedef alıcıya, kendisine gönderilen bir E-posta mesajının muhtemelen Sahte posta olduğu ve bu E-posta mesajının daha fazla araştırma için gönderildiği konusunda bilgi verecek olan E-posta mesajı bildirimi gönderin.

Eylem 1#2 - E-posta mesajını onay için belirlenmiş bir posta kutusuna (paylaşılan posta kutusu) iletin.

Senaryomuzda, E-posta mesajının hedef alıcıya gönderilmesini engellemek istiyoruz.

Sahte posta olarak işaretlenen bir E-posta “ayrı bir mağazaya” gönderilecektir. Senaryomuzda “ayrı depolama”, Spoof E-mail Mailbox adında kararlaştırılmış bir paylaşımlı posta kutusu kullanılarak gerçekleştirilmektedir.

Exchange Online yöneticimiz Brad gibi tek yetkili kullanıcı bu paylaşılan posta kutusuna erişim sahibi olacaktır.

Paylaşılan posta kutusuna erişmesine izin verilen kişinin Sahte posta olarak sınıflandırılan E-posta mesajlarının her birini incelemesi ve E-postanın meşru bir E-posta olup olmadığına (onayla) veya onaylamadığına (reddet) karar vermesi gerekir. ) E-posta.

- * adlı bölümde. Aşağıdakileri yapın… küçük siyah oku tıklayın.

Şu seçeneği seçin - Mesajı şuraya yönlendir…
Alt menü seçeneğini belirleyin -bu kişilere

E-posta iletisinin iletileceği belirli alıcı adını (posta kutusu) seçin. Özel senaryomuzda, olay raporunu alacak olan alıcı Sahte E-posta Posta Kutusu'dur.

Eylem 2#2 - orijinal hedef alıcıya e-posta bildirimi gönderildi

Hedef alıcıya, kendisine gönderilen E-posta mesajının “sorunlu posta” (Sahte posta) olarak tanımlandığını ve E-postanın yetkili personel tarafından incelenmek üzere gönderildiğini bildirmek isteriz.

Eylem ekle seçeneğini tıklayın

- ve adlı bölümde küçük siyah oku tıklayın

Şu seçeneği belirleyin: alıcıya bir mesajla bilgi ver…

Aşağıdaki ekran görüntüsünde HTML kullanılarak biçimlendirilmiş bir E-posta bildirim bilgisi örneği görebiliriz.

Bu tür biçimlendirilmiş metnin bir örneğini indirmek istiyorsanız burayı tıklayın

Metin kutusuna gerekli bildirim metnini ekleyin.
Ayarları kaydetmek için Tamam 'ı tıklayın.

Aşağıdaki ekran görüntüsünde "nihai sonucu" - iki bölümü içeren Exchange Online Spoof e-postasını - görebiliriz:

Koşul kısmı
Aksiyon kısmı

Exchange Online SPF başarısız kuralının düzgün çalıştığını doğrulayın

Bu aşamada, önceki adımda oluşturulan Exchange Online kuralını test etmek ve kuralın düzgün çalıştığını doğrulamak istiyoruz.

Exchange Online "SFP=Başarısız" kuralından beklenen sonuçlar

Arzuladığımız sonuçlar şunlardır: Aşağıdaki koşul yerine getirildiğinde Exchange kuralının etkinleştirilmesi:

Kuruluşumuz alıcılarından birine gönderilmesi gereken gelen posta, SPF gönderen doğrulama testini geçemedi; SPF sonucu “Başarısız.
Gönderen, alan adımızı içeren E-posta adresini kullanıyor (alan adı o365info.com)

Yanıt olarak Exchange kuralı aşağıdaki eylem dizisini yürütecektir:

E-posta mesajını onay için belirlenmiş bir posta kutusuna (paylaşılan posta kutusu) iletin.
Orijinal hedef alıcıya, kendisine gönderilen E-postanın muhtemelen daha fazla araştırma için gönderilen Sahte posta olduğunu bildirecek bir E-posta mesajı bildirimi gönderin.

Sahte E-posta saldırısını simüle edin | Senaryo karakterleri

Exchange Online "SPF=Başarısız" kuralının düzgün çalışıp çalışmadığını test edebilmek için, aşağıdaki karakterlere sahip bir sahte E-posta saldırısı simülasyonu yapacağız:

Yetkili IP adresi olarak kabul edilmeyen genel bir IP adresi kullanan bir posta istemcisini kullanarak kuruluşumuzun alıcılarından birine bir E-posta iletisi göndereceğiz.

Beklentimiz, SPF gönderici doğrulama testi sonucunun “Başarısız” olması.

Aşağıdaki ekran görüntüsünde kuruluş tarafından kullanılan SPF kaydı hakkındaki bilgileri görebiliriz - o365info.com

Senaryomuzda kurumsal mail altyapısı Office 365 (Exchange Online) mail altyapısında barındırılmaktadır.

Yalnızca Office 365 posta sunucusu, o365info.com alıcıları adına E-posta iletisi gönderebilen "yetkili posta sunucuları" olarak kabul edilir.

Kullanacağımız kaynak ve hedef alıcı aşağıdaki gibidir:

"Düşman bir unsur", e-posta adresini kullanan -Jeff adlı meşru bir kuruluş alıcısının kimliğini taklit etmeye çalışıyor - Jeff@o365info.com
Sahte E-posta mesajı, angelina@o365info.com E-posta adresini kullanan Angelina adlı meşru bir kuruluş kullanıcısına gönderilecek.

Aşağıdaki ekran görüntüsünde sahte posta saldırısını simüle etmek için kullandığımız posta istemcisini (jbmail) görebiliriz.

E-posta sahtekarlığı saldırısını simüle etmek için kullandığımız yolu öğrenmek isterseniz - E-posta Sahtekarlığı Saldırısı Nasıl Simüle Edilir |Bölüm 11#12 makalesini okuyabilirsiniz.

1#2 - Sahte E-postanın hedef alıcıya gönderildiğini doğrulayın

Belirtildiği gibi, Sahte postaların hedef alıcıya gönderilmesini engellemek istiyoruz. Exchange Online kuralı, "orijinal E-posta" yerine özel bir E-posta bildirimi oluşturur ve hedef alıcıya (senaryomuzda Angelina) gönderir.

Aşağıdaki ekran görüntüsünde Angelina.'ye gönderilen E-posta bildirimini görebiliriz.

Özel E-posta bildirimi iki ana bölümden oluşur:

Bölüm A - bu bölümde, hedef alıcıya, kendisine gönderilen E-posta mesajının Sahte posta olarak tanımlandığı olay hakkında bilgi veriyoruz. Ayrıca, belirli bir E-posta mesajı hakkında daha fazla bilgi almak istemesi durumunda güvenlik ekibine E-posta mesajını da sağlıyoruz.

Bölüm B - bu bölüm, E-postanın karakterleri (gönderen, konu vb.) hakkında bir özet rapor içerir.

2#2 - Sahte postanın onay için belirlenen alıcıya gönderildiğini doğrulayın

Aşağıdaki ekran görüntüsünde sahte E-postanın “yakalandığını” ve seçilen posta kutusuna yönlendirildiğini görebiliriz. Senaryomuzda, Spoof E-posta Posta Kutusu adında paylaşılan bir posta kutusu var.

Exchange Online yöneticimiz - Brad, paylaşılan posta kutusuna (sahte e-posta posta kutusu) tam erişime sahiptir ve posta kutusunun içeriğini görüntüleyebilir.

Aşağıdaki ekran görüntüsünde sahte e-posta örneğini görebiliriz.

Brad, E-postayı inceledikten sonra E-postayı onaylamak mı yoksa reddetmek mi istediğine karar verebilir.