Exchange Online kuralını kullanarak SPF Hatası politikasını uygulama (Sahte E-posta saldırısıyla ilgilenme) | Aşama 1 - öğrenme modu | Bölüm 2#3

Bu yazıda, Exchange kuralını kullanarak gelen postalar için SPF Politikasının nasıl uygulanacağını inceleyeceğiz. Senaryomuzda, düşmanca bir unsurun, kendisini alan adımızı içeren bir E-posta adresini kullanan meşru bir alıcı olarak sunarak Parodi posta saldırısı gerçekleştirmeye çalıştığı bir olayı tanımlamak istiyoruz.

Bu durumda SPF gönderen doğrulama testinin sonucu "başarısız" olacaktır (SPF=Başarısız). Exchange kuralını kullanarak bu tür olayları "yakalayabileceğiz" ve uygun şekilde yanıt verebileceğiz. Kuruluşumuzun yetkili postası hakkındaki bilgileri içeren SPF kaydını zaten yapılandırdığımızı varsayıyoruz; bu, posta sunucusunun alan adımız adına bir E-posta mesajı göndermesine izin verildiği anlamına gelir.

SPF Başarısızlık politikası makale serisi

SPF Arıza politikası makale serisi aşağıdaki üç makaleyi içeriyordu:

1. Exchange Online kuralını kullanarak SPF Hatası politikasını uygulama (Sahte E-posta saldırısıyla ilgilenme) | giriiş
2. Exchange Online kuralını kullanarak SPF Hatası politikasını uygulama (Sahte E-posta saldırısıyla ilgilenme) | Aşama 1 - öğrenme modu (bu makale)
3. Exchange Online kuralını kullanarak SPF Hatası politikasını uygulama (Sahte E-posta saldırısıyla ilgilenme) | Aşama 2 üretimi

SPF Politikası | İlk aşamanın uygulanması - öğrenme/denetleme modu

Önceki makalede de belirtildiği gibi, istediğimiz "SPF Başarısız politikasını" uygulamak için Exchange Online kuralını kullanacağımız "proje" iki farklı aşamada uygulanacaktır:

Aşama 1. Öğrenme/inceleme modu

Bu aşamadaki öncelikli hedefimiz, sahte olma olasılığı yüksek olan e-posta iletileriyle ilgili olaylar hakkında bilgi toplamaktır. E-posta (sahte gönderen), yani başlığın içerdiği e-posta iletileri. değeri “SPF=Başarısız” ve gönderenin E-posta adresinin alan adımızı içermesi.

Topladığımız bilgiler aşağıdakileri öğrenmemize yardımcı olacaktır:

• Düşman unsurlar tarafından gerçekleştirilen Sahte posta saldırısının karakterleri.
• SPF Kaydına kayıtlı olmayan alan adımız adına E-posta mesajı gönderen ve “SPF=Başarısız” senaryosuna yol açan “varlıklar” hakkında.

Bu aşamada, E-posta mesajını engellemeyeceğiz, bunun yerine orijinal E-posta mesajının bir kopyasını belirlenmiş bir alıcıya göndereceğiz. Ayrıca Exchange kuralı tarafından "yakalanan" her E-posta mesajına bir "uyarı" ekleyeceğiz.

Uyarı, kullanıcı posta kutusuna gönderilen e-postanın konusuna önceden tanımlanmış bir metin eklenerek uygulanır.

2. Aşama. Üretim modu

Bir sonraki yazımızda, Sahte posta olarak tanımlanan e-posta iletisinin kullanıcı posta kutusuna ulaşmasını engellediğimiz “Aşama 2”yi nasıl uygulayacağımızı inceleyeceğiz. Sahte E-posta mesajı, E-postayı incelemesi ve E-postanın meşru bir E-posta mesajı olup olmadığına karar vermesi gereken belirlenmiş bir alıcıya iletilecektir.

İşletmenin ihtiyaçları | SPF Başarısızlığı politikamıza ilişkin yönergeler

İş ihtiyaçları ve gerçekleştirmemiz gereken hedefler aşağıdaki gibidir:

1. Kuruluşumuzun alıcısına gönderilen E-posta mesajlarının sahte E-posta (sahtekar gönderen) olma ihtimalinin yüksek olduğu olayları belirlemek istiyoruz. Gönderenin E-posta adresinin alan adımızı (o365info.com) ve ayrıca SPF gönderen doğrulama testi sonucunu kullanması durumunda, E-posta Sahte posta olarak kabul edilecektir. "Başarısız"dır.
2. Posta akışına müdahale etmek istemiyoruz çünkü asıl amacımız yalnızca “Sahte E-posta olayları” hakkında bilgi toplamaktır. Başka bir deyişle, olası bir Sahte E-posta olayı hakkında bilgi toplamak için Exchange Online kuralını kullanın ("öğrenme modu" veya "denetim modu").
3. Exchange Online kuralının Sahte posta olayını "yakaladığı" her seferde, Exchange kuralı E-posta konusuna (E-posta konusunu başına ekle) bir uyarı metni ekleyecektir.
4. Exchange Online kuralının belirli bir olayı "yakaladığı" her seferde, Exchange bir olay raporu oluşturup belirlenen alıcıya gönderecektir. Olay raporu bir özet raporu + orijinal E-posta mesajının bir kopyasını içerecektir.
5. "Atanan alıcı", bu amaç için sahte E-posta Posta Kutusu adlı özel bir paylaşılan posta kutusu oluşturularak uygulanacaktır. Bu posta kutusu, Exchange Online kuralı tarafından gönderilecek olay raporlarını içerecektir.
6. Olay raporlarını saklayan paylaşılan posta kutusuna yalnızca yetkili bir kişinin (Exchange Online yöneticisi gibi) erişebilmesini, böylece sahte E-posta iletisini inceleyip analiz edebilmesini istiyoruz.

Özel senaryo karakterlerimiz

SPF gönderen doğrulama testi sonucunun "Başarısız" olduğu Sahte posta olaylarını yakalamak için Exchange Online kuralını nasıl kullandığımızı gösterebilmek için aşağıdaki senaryoyu kullanacağız:

Şirketimizin genel alan adı - o365info.com

Koşul | SPF=başarısız + gönderenin etki alanı bizim etki alanımızdır şeklinde bir olay belirleyin

Exchange Online kuralımız, gönderenin E-posta adresinin o365info.com alan adını ve ayrıca; SPF gönderen doğrulama testi sonucu bir Hatadır (SPF=Başarısız).

Exchange Online kuralı “eylem”

Exchange Online kuralının "yanıtı" iki "adım" içerecektir:

1. E-posta konusunun başına ekleyin

Exchange Online kuralı, E-posta başlığına (Sahte posta olarak tanımlanan E-posta) bir "metin uyarı mesajı" ekleyecek şekilde yapılandırılacaktır.

2. Olay raporu gönderin

Exchange Online, bir olay raporu oluşturup belirlenmiş bir posta kutusuna gönderecektir.
Senaryomuzda, paylaşılan bir posta kutusu adı oluşturduk - sahte E-posta Posta Kutusu.

Olay raporu, Sahte posta + orijinal E-posta mesajı olarak kabul edilen E-posta mesajının bir özetini içerecektir.

Exchange Online kuralının mantığı

Exchange Online kuralı “mantığının” bir özeti aşağıdaki şemada sunulmaktadır:

SPF Başarısız Olayını tanımlamak için Exchange kuralını yapılandırma - Bir Olay Raporu Oluşturur + e-posta konusunu başa ekler

Bir sonraki bölümde iş ihtiyaçlarımıza cevap verecek gerekli “Exchange Online Sahte E-posta kuralı”nın oluşturulması için “adım adım” talimatlar sunacağız.

Bölüm 1. Exchange SPF Başarısız kuralının "koşul bölümünü" yapılandırma

1. Exchange yönetici portalında oturum açın
2. Sol menü çubuğunda posta akışı'nı seçin
3. Üst menü çubuğunda kurallar'ı seçin

4. Artı simgesini tıklayın
5. Yeni bir kural oluştur…'u seçin

6. Ad kutusuna yeni kural için açıklayıcı bir ad ekleyin.
   
   Özel senaryomuzda, kuralı şu şekilde adlandıracağız: SPF Hatası olaylarını tespit et | Aşama 1 - öğrenme modu.

7. Diğer seçenekler… bağlantısını tıklayın
   
   Varsayılan olarak, Exchange Online kuralının arayüzü yalnızca sınırlı sayıda seçenek içerir. Ek seçenekleri görüntülemek için "etkinleştirmemiz" ve Diğer Seçenekler…'i tıklamamız gerekir.

Durum 1

1. Bu kuralı şu durumda uygula: başlıklı bölümde küçük siyah oku tıklayın.

2. Birincil menüyü seçin - Gönderen…
3. Alt menüde - etki alanı seçeneğini seçin

4. Alan adını belirtin penceresinde kuruluşunuzu temsil eden gerekli alan adını ekleyin. Özel senaryomuzda, genel alan adı şu şekildedir: o365info.com
5. Alan adını listeye eklemek için artı simgesini tıklayın

6. Exchange Online kural ayarlarını kaydetmek için Tamam seçeneğini tıklayın.

Durum 2

İkinci durumda, Exchange Online'a her E-posta başlığına bakmasını ve SPF gönderen doğrulama kontrolünün "SPF=Başarısız" olduğu bir olayı aramasını söyleriz. ”

1. İşlem ekle'yi tıklayın

2. ve adlı kutuda küçük siyah oku tıklayın

3. Bir mesaj başlığı… adlı ana menüyü seçin.
4. Bu kelimelerden herhangi birini içerir adlı alt menüyü seçin

E-posta mesajı başlığı birçok “posta alanı” içerir. SPF gönderen doğrulama testinin sonucunu içeren özel posta alanı, Kimlik Doğrulama Sonuçları adlı bir posta alanıdır.

5. Menüyü seçin - *Metin girin…

6. SPF gönderen doğrulama testinin sonucunu içeren posta alanının adını girin; senaryomuzda posta alanı adı Kimlik Doğrulama-Sonuçlar'dır.
7. Bilgileri kaydetmek için Tamam'ı seçin

Bu adımda bilgi aradığımız “metin dizesini” ekliyoruz

8. *Kelimeleri girin… menüsünü seçin

SPF gönderen doğrulama testi sonucuna ilişkin bilgiler dört farklı metin stili seçeneğiyle görüntülenebilir:

• SPF:Başarısız
• spf=başarısız
• Alınan-SPF: Başarısız
• spf=yok

9. İlk seçeneği SPF:Başarısız yazın ve artı işaretini tıklayın

10. Ek üç SPF dizesi değerini spf=fail, Received-SPF: Fail ve spf=none girmeye devam edin
11. Girilen bilgileri kaydetmek için Tamam'ı seçin

Bölüm 2. Exchange SPF Başarısız kuralının "eylem bölümünü" yapılandırma

Bu aşamada Exchange Online kuralının “ikinci kısmını” yapılandıracağız. İkinci bölüm, Exchange kuralı tarafından yürütülen belirli yanıtı (eylemleri) tanımlamak için kullanılır.

Exchange Online kural yanıtı iki farklı adımı içerecektir:

1. Belirlenen bir alıcıya olay raporu oluşturun ve gönderin
2. E-posta mesajı konusunun başına ekle

Eylem 1. Bir olay raporu oluşturun ve belirlenen alıcıya gönderin

Senaryomuzda, Exchange Online'a, E-posta mesajının Sahte E-posta olarak tanımlandığı olaya bir olay raporu oluşturarak yanıt vermesini ve bunu belirlenmiş bir alıcıya, yani - Spoof adlı paylaşılan bir posta kutusuna göndermesini sağlamak istiyoruz. E-posta posta kutusu.

1. - * adlı bölümde. Aşağıdakileri yapın… küçük siyah oku tıklayın.

2. Menü seçeneğini seçin -Olay raporu oluştur ve şu adrese gönder:

Olay raporunun ayarları iki parametre içerir:

• Olay raporunu alacak olan "hedef alıcının" adı.
• Olay raporuna dahil edilecek bilgi alanları.

3. Gerekli “hedef alıcı” adını eklemek için -Birini seçin… bağlantısını tıklayın.

4. Senaryomuzda olay raporunu alacak alıcı Sahte E-posta Posta Kutusu'dur.

5. Olay raporuna dahil edilecek bilgileri seçmek için-*mesaj özelliklerini dahil et< adlı bağlantıya tıklayın. /açıklık>

6. -Tümünü seç seçeneğini seçin

Senaryomuzda, mevcut tüm mesaj özelliklerini özet raporuna + “orijinal Sahte E-posta mesajının” bir kopyasını dahil etmeyi seçeceğiz.

Aşağıdaki ekran görüntüsünde mevcut seçenekleri görebiliriz:

• Bölüm A - olay raporu özetinde görünecek bilgilerle ilgilidir.
• Bölüm B - orijinal E-posta mesajının kopyasının olay raporuna “eklenmesi” seçeneğiyle ilgilidir.

Eylem 2. E-posta iletisinin konusunun başına ekleyin

Belirtildiği gibi, “SPF=Başarısız” değerine sahip E-posta mesajını engellemek istemiyoruz, bunun yerine hedef alıcıya, E-postanın “sorunlu E-posta” olarak değerlendirildiğini bildirmek istiyoruz. posta mesajı.”

Uyarı, E-posta konusuna önceden tanımlanmış bir metin eklenerek uygulanır.

1. Eylem ekle seçeneğini tıklayın

2. Şu seçeneği seçin - Mesajın konusunun başına şunu ekle:

3. Metin kutusuna gerekli bildirim metnini ekleyin. Başına eklenen metin için kullanabileceğimiz karakter sayısının sınırlı olduğuna dikkat edin.
4. Ayarları kaydetmek için Tamam 'ı tıklayın.

5. Aşağıdaki ekran görüntüsünde, iki bölümü içeren Exchange Online "SPF Başarısızlık kuralı" olan "nihai sonucu" görebiliriz:

• Koşul kısmı
• Aksiyon kısmı

6. Kaydet'i tıklayın

Exchange Online SPF Hatası kuralının düzgün çalıştığını doğrulama

Bu aşamada, önceki adımda oluşturulan Exchange Online kuralını test etmek ve kuralın düzgün çalıştığını doğrulamak istiyoruz.

Exchange Online "SPF=Başarısız" kuralından beklenen sonuçlar

Arzuladığımız sonuçlar aşağıdaki koşul yerine getirildiğinde Exchange kuralının aktif hale gelmesidir:

• Kuruluşumuz alıcılarından birine gönderilmesi gereken gelen posta, SPF gönderen doğrulama testini geçemedi; SPF sonucu “Başarısız.
• Gönderen, alan adımızı içeren E-posta adresini kullanır (alan adı o365info.com)

Yanıt olarak Exchange kuralı aşağıdaki eylem dizisini yürütecektir:

1. Bir olay raporu oluşturun ve belirlenen alıcıya gönderin. Senaryomuzda, olay raporunu Spoof E-mail Mailbox adlı paylaşılan posta kutusuna göndermemizi istiyoruz.
2. E-posta mesajı konusunun başına önceden tanımlanmış bir uyarı bildirim mesajı ekleyin.

Sahte E-posta saldırısını simüle edin | Senaryo karakterleri

Exchange Online "SPF=Başarısız" kuralının düzgün çalışıp çalışmadığını test edebilmek için, aşağıdaki karakterlere sahip bir sahte E-posta saldırısı simülasyonu yapacağız:

Yetkili IP adresi olarak kabul edilmeyen genel bir IP adresi kullanan bir posta istemcisini kullanarak kuruluşumuzun alıcılarından birine bir E-posta iletisi göndereceğiz.

SPF gönderen doğrulama testi sonucunun "Başarısız" olmasını bekliyoruz.

Aşağıdaki ekran görüntüsünde kuruluş tarafından kullanılan SPF kaydı hakkındaki bilgileri görebiliriz - o365info.com

Senaryomuzda kurumsal mail altyapısı Office 365 (Exchange Online) mail altyapısında barındırılmaktadır.

Yalnızca Office 365 posta sunucusu, o365info.com alıcıları adına E-posta iletisi gönderebilen "yetkili posta sunucuları" olarak kabul edilir.

Kullanacağımız kaynak ve hedef alıcı aşağıdaki gibidir:

• "Düşman bir unsur", jeff@o365info.com e-posta adresini kullanan -Jeff adlı meşru bir kuruluş alıcısının kimliğini taklit etmeye çalışıyor.
• Sahte E-posta mesajı, angelina@o365info.com E-posta adresini kullanan Angelina adlı meşru bir kuruluş kullanıcısına gönderilecek.

Aşağıdaki ekran görüntüsünde sahte posta saldırısını simüle etmek için kullandığımız posta istemcisini (jbmail) görebiliriz.

E-posta sahteciliği saldırısını simüle etmek için kullandığımız yöntemi öğrenmek ister misiniz? E-posta Sahtekarlığı Saldırısı Nasıl Simüle Edilir |Bölüm 11#12 makalesini okuyun.

1. Sahte E-postanın hedef alıcıya gönderildiğini doğrulayın

Belirtildiği gibi mail akışına müdahale etmek istemiyoruz. Birincil amacımız yalnızca SPF gönderen doğrulama testi sonucunun "Başarısız" olduğu ve gönderenin E-posta adresinin alan adımızı içerdiği bir olay hakkında bilgi toplamaktır.

“SPF=Başarısız” değerini içeren E-posta mesajı, orijinal hedef kuruluşun alıcı posta kutusuna gönderilecektir (senaryomuzda angelina@o365info.com).

Aşağıdaki ekran görüntüsünde E-postanın Angelina'nın posta kutusuna ulaştığını görüyoruz.

Senaryomuzda, Exchange Online (EOP) E-postada bir sorun olduğunu fark ettiğinden, E-posta önemsiz posta klasörüne gönderildi, ancak kullanıcı açısından (Angelina) bu soruna dair hiçbir belirti yok gönderen kimliğini taklit etti.

Senaryomuzda Exchange Online kuralı “E-posta konusunu başına ekle” seçeneğini uyguluyor ve aşağıdaki ekran görüntüsünde Angelina'ya gönderilen E-posta konusunun bir uyarı mesajı içerdiğini görebiliyoruz - “Dikkatli olun!! Muhtemelen sahte posta.“

2. Belirlenen alıcıya bir olay raporunun gönderildiğini doğrulayın

Kısa bir hatırlatma: Exchange Online kuralı "SPF=Başarısız" olayını yakaladığında, Exchange "sahte E-posta Posta Kutusu" adlı bir olay raporu oluşturacak ve alıcıya gönderecektir.

Exchange Online yöneticimiz Brad, paylaşılan posta kutusuna (sahte E-posta Posta Kutusu) tam erişime sahiptir ve posta kutusunun içeriğini görüntüleyebilir.

Aşağıdaki ekran görüntüsünde Exchange Online kuralının olay raporunu oluşturduğunu ve bunu hedef alıcıya gönderdiğini görüyoruz.

Aşağıdaki ekran görüntüsünde olay raporu e-postasının bir örneğini görebiliriz.

Olay tutanağına baktığımızda olay tutanağının iki bölümden oluştuğunu görebiliriz:

• Orijinal E-posta mesajının kopyası (A)
• Olay raporu özeti (B)

Olay raporu özeti aşağıdaki gibi ayrıntıları içerir:

1. Olay raporunu oluşturucu hakkında bilgi E-posta mesajı - “Bu e-posta, Olay Raporu Oluştur eylemiyle otomatik olarak oluşturuldu”
2. Meşru bir kuruluş alıcısı olduğunu iddia eden gönderen ("kaynak alıcı") - jeff@o365info.com
3. Alıcılar (hedef alıcı) - angelina@o365info.com
4. Kural İsabeti - Exchange Online kuralı sahte E-posta olayını ve Exchange Online kuralı tarafından yürütülen eylemi “yakalar” - ”İsabet: SPF Hatası olaylarını tespit et | Aşama 1 - öğrenme modu, Eylem: PrependSubject, GenerateIncidentReport ”

E-posta mesajı başlık içeriğini inceleme

Exchange Online kuralı, E-posta mesajının, sonucunun "Başarısız" olduğunu belirten bir SPF gönderen doğrulama testi içerdiği bir olay nedeniyle "etkinleştirilir" veya "tetiklenir".

Bir sonraki bölümde, E-posta mesajının anlamının “perde arkasını”, E-posta başlığının içeriğini nasıl görebileceğimizi kısaca göstermek istiyorum.

Teknik olarak konuşursak, posta başlığı analitiği olarak hizmet veren birkaç ücretsiz web tabanlı araç vardır.

Favori posta analiz aracım, ExRCA (Exchange uzaktan bağlantı analizörü) aracı adlı Microsoft Web tabanlı araçtır.

Özel senaryomuzda Angelina'ya gönderilen E-posta mesajı başlığını analiz edeceğiz.

1. E-posta mesajı başlığını kontrol etmek istediğiniz belirli E-posta mesajını seçin
2. Dosya menüsünü seçin
3. Özellikler seçeneğini seçin

- İnternet başlıkları adlı bölümde E-posta başlığının içeriğini görebiliriz.

Verileri analiz edebilmek için bilgileri kopyalayacağız.

4. Klavye tuş kombinasyonunu kullanarak tüm bilgileri seçin - CTRL + A
5. Bilgileri Klavye tuş kombinasyonunu kullanarak kopyalayın - CTRL + C

6. ExRCA (Exchange uzaktan bağlantı analizörü) aracına erişin.
7. Sekmeyi seçin - Mesaj Analizcisi
8. Beyaz alana, önceki adımda kopyalanan bilgileri Klavye tuş kombinasyonunu kullanarak yapıştırın - CTRL + V veya Sağ boş beyaz alana tıklayın ve yapıştır seçeneğini seçin

9. Şu seçeneği belirleyin - Başlıkları analiz et

Aşağıdaki ekran görüntüsünde sonuçları görebiliriz.

- Kimlik Doğrulama Sonuçları adlı bölümde SPF gönderen doğrulama testinin sonucunu görebiliriz. .

Sonuç - spf=fail

Görüntülenen bilgi (gönderen IP'si 212.25.80.226), alıcıya E-posta mesajını gönderen "varlığın" IP adresi ile ilgilidir. SPF gönderen doğrulama testiyle ilgili tüm ek bilgiler başarısız olan postada görünüyor - Received-SPF

Bilgi şu: "Başarısız (protection.outlook.com: o365info.com etki alanı, 212.25.80.226'yı izin verilen gönderen olarak belirtmiyor)"

Senaryomuzda alıcı Office 365 (Exchange Online posta altyapısı) üzerinde barındırılmaktadır. Office 365 posta güvenliği ağ geçidi, EOP sunucusu (ana bilgisayar adı - koruma.outlook.com ile temsil edilir), gönderenin posta sunucusunun yetkili bir posta sunucusu olarak görünmediğini bize bildirir.

Yani e-postayı gönderen mail sunucusunun o365info.com alan adı adına e-posta gönderme “iznine” sahip değildir.

Sonraki makalede, Exchange Online kuralını kullanarak SPF Başarısız politikasını uygulama (Sahte E-posta saldırısıyla ilgilenme) | Aşama 2 üretimi | Bölüm 3#3'te "üretim moduna" geçtiğimiz ikinci aşamanın uygulanmasını inceleyeceğiz.