Sahte E-postayı tespit edin, spam olarak işaretleyin, SCL | Sahte E-postayı tespit edin ve Exchange Online kuralını kullanarak E-postayı spam olarak işaretleyin |Bölüm 4#12 .com

Bu makalede, gelen Sahte E-postayı (sahte gönderen) tanımlayacak bir Exchange kuralı oluşturarak Sahte postayla nasıl başa çıkılacağını inceleyeceğiz.

Böyle bir senaryoda aşağıdaki eylem sırasını uygulamak istiyoruz:

1. SCL (spam güven düzeyi) değerini 5 olarak ayarlayarak E-postayı spam olarak işaretleyin.
2. Belirlenen bir alıcıya bir olay raporu oluşturun ve gönderin.

Sahte posta saldırısı senaryosunun karakterleri

Özel senaryomuzun ana karakterleri şunlardır:

CIO'muz, meşru bir kuruluş alıcısı (şirketimizin CFO'su) tarafından gönderildiği iddia edilen ve kendisinden belirli bir banka hesap numarasına önemli miktarda para aktarmasını isteyen bir E-posta mesajı aldığını bildirdi.

Gerçekte, organizasyonun alıcısı (şirketimizin CFO'su) bu E-posta mesajını göndermemiştir ve E-postanın organizasyonumuza saldırmaya çalışan düşman bir unsur tarafından gönderilme ihtimali yüksektir.

Gerçekleştirmemiz gereken iş ihtiyaçları

Asıl amacımız sadece “Sahte E-posta olayları” hakkında bilgi toplamak olduğu için mail akışına müdahale etmek istemiyoruz.

"Potansiyel Sahte E-posta" olarak tanımlanacak E-posta mesajı, Exchange Online tarafından hedef kuruluşun alıcı posta kutusuna iletilecektir.

Olası Sahte E-posta olayıyla ilgili bilgiler, olay raporu adlı Exchange Online kuralı seçeneği kullanılarak günlüğe kaydedilecek ve raporlanacaktır.

Senaryomuzda, Sahte E-posta karakterlerini içeren ve eklenen E-posta mesajını silmemeyi veya engellememeyi tercih ediyoruz; Belirli bir posta öğesinin Sahte E-posta olup olmadığına "son kullanıcının" karar vermesine izin vermeyi tercih ederiz.

Sahte E-postaya benzeyen posta öğeleriyle ilgili uygulamak istediğimiz eylem, E-postayı 5 SCL değeri kullanarak "damgalamaktır".

E-posta kullanıcı posta kutusuna ulaştığında, E-posta otomatik olarak önemsiz posta klasörüne gönderilecektir.

İş ihtiyacı ve gerçekleştirmemiz gereken hedefler aşağıdaki gibidir:

1. Kuruluşumuzun alıcısına gönderilen E-posta mesajlarının sahte E-posta (sahtekar gönderen) olma ihtimalinin yüksek olduğu olayları belirlemek istiyoruz.
2. Mail akışına müdahale etmek istemiyoruz. Gönderenin kimliğini taklit etme ihtimalinin yüksek olduğu e-posta mesajıyla ilgili "ne yapılması gerektiği" kararı, "kullanıcı kararı" olarak değerlendirilecektir.
3. Temel amacımız, alıcıya kendisine gönderilen E-posta mesajının “sorunlu E-posta” olarak değerlendirildiğini bildirmektir. Organizasyonun alıcısını, e-postaya “spam mail” damgasını vurarak “uyarmak” istiyoruz. ”
4. Belirlenmiş bir paylaşılan posta kutusuna bilgi + Sahte E-posta örneğini göndermek istiyoruz.
5. Belirlenen bir kullanıcının (Exchange Online yöneticisi gibi), olay raporlarını saklayan paylaşılan posta kutusuna erişebilmesini, böylece sahte E-posta mesajını inceleyip analiz edebilmesini istiyoruz.

SCL'nin anlamı nedir?

Belirli bir E-posta mesajını "damgalama" veya "spam E-posta" olarak sınıflandırma işlemi, SCL'nin değeri ayarlanarak uygulanır.
SCL, - Spam Güven Düzeyi anlamına gelir.
Yeteneği Exchange sunucusunun bir e-posta mesajını “güvenli E-posta” veya “spam E-posta” olarak işaretlemesi, SCL değeri için belirli bir numara kullanılmasıdır.

Örneğin:

• "-1" SCL değeri - "-1" SCL değerinin anlamı, "belirli bir E-posta iletisi tamamen güvenli ve güvenilirdir" anlamına gelir.
• SCL değeri “5” - SCL değerinin anlamı “5”, “spam posta olarak değerlendirilen belirli E-posta iletisi” olarak çevrilir.

Exchange Online kuralı seçeneğini kullanma

Bu iş gereksinimini yerine getirebilmek için, gelen posta mesajlarının her birini inceleyecek ve Sahte E-posta karakterlerini taşıyan E-posta mesajını "yakalayacak" bir Exchange Online kuralı oluşturabiliriz.

Yanıt olarak Exchange Online şunları yapacaktır:

1. E-posta mesajının SCL değerini “5” olarak ayarlayın.
2. Bir olay raporu oluşturarak olayı belirlenen alıcılara bildirin. Exchange Online olay raporu, belirli E-posta mesajı karakterlerinin bir özetini + orijinal E-posta mesajının bir kopyasını içerecektir.

Exchange Online Sahte E-posta kuralının yapısı ve mantığı

Exchange Online "Sahte E-posta kuralını" etkinleştirecek "tetikleyici" aşağıdaki iki koşula dayalı olacaktır (koşul 1 + koşul 2'nin birleşimi):

1. Kimliği doğrulanmamış bir alıcı (kullanıcı kimlik bilgilerini sağlamayan alıcı) tarafından gönderilen gelen E-posta iletisi.
2. Genel alan adımızı içeren bir E-posta adresini kullanarak kendisini tanıtan bir alıcı. Özel senaryomuzda -com alan adını içeren bir E-posta adresi

Exchange Online "Sahte E-posta kuralımız" tarafından gerçekleştirilecek "eylem" aşağıdaki "bölümleri" içerecektir:

• Eylem 1#2 - “5” SCL değerini kullanarak E-posta mesajını spam E-posta olarak damgalayın.
• Eylem 2#2 - Belirlenen alıcıya (paylaşılan posta kutusu - Sahte E-posta posta kutusu) bir olay raporu oluşturun ve gönderin.

Aşağıdaki diyagramda Exchange Online Sahte E-posta kuralı tarafından uygulanacak eylemlerin sırasını görebiliriz:

Exchange Online, -
“Sahte E-posta” açıklamasına yanıt veren E-posta iletilerini belirlediğinde, Exchange kuralı aşağıdaki sırayı etkinleştirir:

1. Exchange Online - E-postanın SCL değerini “5” olarak ayarlayacaktır.

2. Exchange Online, E-posta mesajını, Exchange Online sunucusu tarafından herhangi bir müdahale olmadan hedef alıcının posta kutusuna iletecektir.

3. Exchange Online, belirlenen alıcıların E-posta adresine gönderilecek bir olay raporu oluşturacaktır. Senaryomuzda, olay raporunu belirlenmiş bir alıcıya (-Spoof E-posta posta kutusu adlı paylaşılan posta kutusu) göndermemizi istiyoruz.

“Spoof E-posta paylaşımlı posta kutusuna” yalnızca yetkili kullanıcılar erişebilir. Özel senaryomuzda, Brad (Brad bizim Exchange Online yöneticimizdir) paylaşılan posta kutusuna erişime sahip olacaktır.

Sahte E-Posta Mesajını Algılayacak ve SCL Değerini “5”e Yükseltecek Exchange Online Kuralını Yapılandırma

Bir sonraki bölümde iş ihtiyaçlarımıza cevap verecek gerekli “Exchange Online Sahte E-posta kuralı”nın oluşturulması için “adım adım” talimatlar sunacağız.

Bölüm 1#2 - Exchange Online Sahte E-posta kuralının "koşul kısmını" yapılandırma

• Exchange yönetici portalında oturum açın
• Soldaki menü çubuğunda -posta akışı'nı seçin
• Üst menü çubuğunda -kurallar'ı seçin

• artı simgesini tıklayın
• Seçin - Yeni bir kural oluşturun…

• Ad: kutusunda, yeni kural için açıklayıcı bir ad ekleyin.
  Özel senaryomuzda, kuralı şu şekilde adlandıracağız: Sahte E-postayı Algıla ve spam olarak işaretle
• -Diğer Seçenekler… bağlantısını tıklayın (varsayılan olarak Exchange Online kuralının arayüzü şunları içerir: yalnızca sınırlı sayıda seçenek var. Ek seçenekleri görüntüleyebilmek için Diğer Seçenekler… 'i "etkinleştirmemiz" gerekecek. ).

• -Şu durumda bu kuralı uygulayın: küçük siyah oku tıklayın

Durum 1#2

• Birincil menüyü seçin -Gönderen…
• Alt menüde -Harici/dahili seçeneğini seçin.

• Seçingönderenin konumunu penceresinde, - Kuruluş dışında.
  Kuruluş dışında teriminin anlamı, bir ile ilgilidir. kimliği doğrulanmamış alıcı, yani posta sunucusuna kullanıcı kimlik bilgilerini sağlamayan alıcı.

Durum 2#2

Şimdi, alan adımızı içeren bir E-posta adresini kullanan
alıcıyla ilişki kurduğumuz "kural koşuluna" ek bir "katman" ekleyeceğiz (o365pilot. com özel senaryomuzda).

Exchange Online terimlerinin anlamı hakkında daha fazla bilgi edinmek istiyorsanız - “Harici gönderen” ve “kuruluş dışında”, aşağıdaki bölümü okuyun: Office 365 tabanlı ortamda E-posta Sahtekarlığı Saldırısıyla Başa Çıkma | Giriş | Bölüm 1#12

• - Koşul ekle'yi tıklayın.

• - ve adlı bölümde küçük siyah oku tıklayın.

• Birincil menüyü seçin - Gönderen…
• Alt menüde - etki alanı seçeneğini seçin

Alan adını belirtin penceresinde, kuruluşunuzu temsil eden gerekli alan adını ekleyin.
Özel senaryomuzda, genel alan adı - o365pilot.com

Not - Alan adını eklemek için artı simgesine tıklamayı unutmayın.

Exchange Online kural ayarlarını kaydetmek için Tamam seçeneğini tıklayın.

Bölüm 2#2 - Exchange Online Sahte E-posta kuralının "eylem bölümünü" yapılandırma

Bu aşamada, kuruluşumuzun alıcılarından birine gönderilen sahte E-posta senaryosuna karşı gerekli Exchange yanıtını (eylem) tanımladığımız Exchange Online kuralının "ikinci bölümünü" yapılandıracağız.

Senaryomuzda, Exchange Online'a,
E-postanın Sahte E-posta olarak tanımlandığı olaya yanıt vermesi talimatını vermek istiyoruz.

1. E-posta mesajının SCL değerini “5” olarak ayarlayın
2. Bir olay raporu oluşturma ve bunu belirlenmiş bir alıcıya gönderme: -Spoof E-posta posta kutusu adlı paylaşılan bir posta kutusu.

• - * adlı bölümde. Aşağıdakileri yapın… küçük siyah oku tıklayın.

• Menü seçeneğini seçin - Mesaj özelliklerini değiştirin…
• Alt menüde menü seçeneğini seçin - spam konferans düzeyini (SCL) ayarlayın

• - SCL'yi belirtin adlı pencerede, varsayılan değer olan “5'i seçeceğiz. ”

• -Eylem ekle seçeneğine tıklayın

• - * adlı bölümde. Aşağıdakileri yapın… küçük siyah oku tıklayın.

• Menü seçeneğini seçin -Olay raporu oluştur ve şu adrese gönder:

Olay raporunun ayarları iki parametre içerir:

1. Olay raporunu alacak olan "hedef alıcının" adı.
2. Olay raporuna dahil edilecek bilgi alanları.

• Gerekli “hedef alıcı” adını eklemek için -Birini seçin… bağlantısını tıklayın.

• Özel senaryomuzda, olay raporunu alacak alıcı Sahte E-posta posta kutusu.

Olay raporuna dahil edilecek bilgileri seçmek için-*mesaj özelliklerini dahil et< adlı bağlantıya tıklayın. /açıklık>

Senaryomuzda, mevcut tüm mesaj özelliklerini özet raporuna + “orijinal Sahte E-posta mesajının” bir kopyasını dahil etmeyi seçeceğiz.

• -Tümünü seç seçeneğini seçin

Aşağıdaki ekran görüntüsünde mevcut seçenekleri görebiliriz:

• Bölüm A - olay raporu özetinde görünecek bilgilerle ilgilidir.
• Bölüm B - orijinal E-posta mesajının kopyasının olay raporuna “eklenmesi” seçeneğiyle ilgilidir.

Aşağıdaki ekran görüntüsünde, iki bölümü içeren Exchange Online Spoof e-postası olan "nihai sonucu" görebiliriz:

• Koşul kısmı
• Aksiyon kısmı

Exchange Online Sahte E-Posta Kuralının Düzgün Çalıştığını Doğrulama |Sahte postalar SCL 5 kullanılarak damgalanır

Bu aşamada, bir önceki adımda oluşturduğumuz Exchange Online Spoof E-posta kuralını test etmek ve kuralın düzgün çalıştığını doğrulamak istiyoruz.

Exchange Online Sahte E-posta kuralından gerekli sonuçlar

Arzu ettiğimiz beklentiler şunlardır: Exchange Online, kuruluşumuzdaki alıcıya gönderilen E-posta mesajlarının sahte E-posta (sahtekarlık gönderen) olma ihtimalinin yüksek olduğu olayları tanımladığında, Exchange Online Sahte E-posta kuralı aşağıdaki sırayı yürütecektir eylemler:

1. E-posta mesajının SCL değerini “5” olarak ayarlayın
2. Exchange Online sunucusu tarafından herhangi bir müdahale olmadan E-posta mesajını hedef alıcının posta kutusuna iletin.
3. Belirlenen alıcıların E-posta adresine gönderilen bir olay raporu oluşturun. Özel senaryomuzda, olay raporunu belirlenen bir alıcıya (paylaşılan posta kutusu - Sahte E-posta posta kutusu) göndermemizi istiyoruz.

Sahte E-posta saldırısını simüle edin | Senaryo karakterleri

Exchange Online Sahte E-posta kuralının düzgün çalıştığından emin olmak için aşağıdaki karakterlere sahip bir sahte E-posta saldırısının simülasyonunu yapacağız:

• Bir “düşman unsur”, -Suzan adlı meşru bir kuruluş alıcısının kimliğini - Bob@o365pilot.com E-posta adresini kullanan Bob adlı meşru bir kuruluş kullanıcısına gönderilecek.

E-posta sahtekarlığı saldırısını simüle etmek için kullandığımız yolu öğrenmek isterseniz - E-posta Sahtekarlığı Saldırısı Nasıl Simüle Edilir |Bölüm 11#12 makalesini okuyabilirsiniz.

1#3 - Sahte E-postanın hedef alıcıya gönderildiğini doğrulamak.

Belirtildiği gibi, posta akışına müdahale etmek istemiyoruz.
Gönderenin kimliğini taklit etme ihtimalinin yüksek olduğu e-posta mesajıyla ilgili "ne yapılması gerektiği" kararı, "kullanıcı" olarak değerlendirilecektir. karar. ”

Aşağıdaki ekran görüntüsünde Suzan tarafından Bob'a gönderilen bir E-posta mesajını görüyoruz.
Exchange nedeniyle Önemsiz posta klasörüne gönderilen e-posta “5” SCL değerini kullanarak E-postayı “damgalayın”.

Önemsiz posta klasörüne gönderilen e-postaya baktığımızda aşağıdaki bilgileri görebiliriz:

Bu ileti, Outlook önemsiz e-posta filtresi dışında bir önemsiz filtre kullanılarak spam olarak işaretlendi
E-posta filtresi

Bunun anlamı, “diğer Önemsiz E-posta filtresinin” Exchange Online sunucusu olmasıdır.

2#3 - E-posta mesajının SCL değerinin “5” olduğunu doğrulama

Exchange Online'ın E-postayı 5 SCL değeri kullanarak damgaladığı süreci doğrulamak istersek, E-posta başlığının içeriğini analiz edebiliriz.

SCL değerini (spam güven düzeyi) görüntüleyebilmek için E-posta başlığına bakabiliriz.

Bir sonraki bölümde E-posta başlığındaki bilgilere nasıl ulaşacağımızı göreceğiz ve ardından ExRCA (Exchange uzaktan bağlantı analizörü) aracını kullanarak verileri analiz edeceğiz.

• SCL değerini kontrol etmek istediğiniz belirli E-posta mesajını açın

• Dosya menüsünü seçin
• özellik seçeneğini seçin

- İnternet başlıkları adlı bölümde E-posta başlığının içeriğini görebiliriz.

Verileri analiz edebilmek için bilgileri kopyalayacağız.

• Klavye tuş kombinasyonunu kullanarak tüm bilgileri seçin - CTRL + A
• Bilgileri Klavye tuş kombinasyonunu kullanarak kopyalayın - CTRL + C

Şimdi ExRCA (Exchange uzaktan bağlantı analizörü) aracına erişeceğiz.

• Sekmeyi seçin - Mesaj Analizcisi
• Beyaz alana, önceki adımda kopyalanan bilgileri Klavye tuş kombinasyonunu kullanarak yapıştırın - CTRL + V
• -Başlıkları analiz et seçeneğini belirleyin

Aşağıdaki ekran görüntüsünde sonuçları görebiliriz.

- X-MS-Exchange-Organization-SCL isimli bilgi alanının değeri “5”dir.
Yani diğer bir deyişle, SCL değeri “5” e eşittir.

3#3 - olay raporunun belirlenen alıcıya gönderildiğini doğrulama

Exchange Online kuralının bir Sahte E-posta olayını “yakaladığını” görebiliriz. Sonuç olarak, Exchange Online kuralında yapılandırılan alıcı adına (Sahte E-postalar posta kutusu) bir olay raporu gönderildi.

Aşağıdaki ekran görüntüsünde olay raporu e-postasının bir örneğini görebiliriz.

Olay tutanağını incelediğimizde olay tutanağının iki bölümden oluştuğunu görebiliriz:

• Orijinal E-posta mesajının kopyası (A).
• Olay raporu özeti (B).

Olay raporu özeti aşağıdaki gibi ayrıntıları içerir:

• Olay raporunu oluşturucu hakkında bilgi E-posta mesajı - “Bu e-posta, Olay Raporu Oluştur işlemi tarafından otomatik olarak oluşturuldu ” (sayı1).
• -Suzan@o365pilot.com (sayı 2) adlı meşru bir kuruluş alıcısı olduğunu iddia eden gönderen ("kaynak alıcı").
• Alıcılar (hedef alıcı) -Bob@o365pilot.com (sayı 3)
• Kural İsabeti - Exchange Online kuralı, sahte E-posta olayını ve Exchange Online kuralı tarafından yürütülen eylemi “yakalar” - “Sahte E-postayı algıla ve spam olarak işaretle, Eylem: SetHeader, GenerateIncidentReport ” (sayı 4).

Videomuza göz atın: https://www.youtube.com/watch?v=8_O4_OhQjjk

Güncel makale serisinin bir sonraki makalesi

Sonraki makaleyi okuyun - Sahte E-postayı Algılama ve Exchange Online Kuralını Kullanarak Sahte E-postayı Silme |Bölüm 5#12