使用 Exchange Online 规则检测欺骗电子邮件并将欺骗电子邮件发送至 - 用户隔离 |第 8 部分#12
在本文中，我们将回顾如何在 Office 365 环境中处理欺骗电子邮件场景，方法是创建一个 Exchange Online 规则，该规则将识别欺骗电子邮件（欺骗发件人）并作为响应 - “路由”此电子邮件- 发送到 Exchange Online 用户隔离区的邮件。
在我们的方案中，我们不希望将电子邮件发送到组织用户邮箱。
相反，我们希望将具有欺骗电子邮件特征的电子邮件路由到用户本人以及授权代表（例如交易所）可以访问的“安全区域”或“隔离区域”在线管理员。
除了将欺骗性电子邮件“路由”到 Exchange Online 隔离区之外，我们还希望实施一个通知程序，通知“目标收件人”和我们的代表，欺骗性电子邮件已发送到隔离区。
- “收件人通知”将通过我们将创建并由 Exchange Online 规则使用的自定义电子邮件来实现。
- 有关可能的欺骗电子邮件事件的信息将使用名为“事件报告”的 Exchange Online 规则选项进行记录和报告。
欺骗电子邮件攻击场景的主要特征：
我们的首席信息官报告收到一封电子邮件，据称该电子邮件是由合法组织收件人（我们公司的首席财务官）发送的，要求他将大量资金转入特定的银行帐号。
事实上，组织收件人（我们公司的 CFO）并未发送此电子邮件，并且该电子邮件很有可能是由试图攻击我们组织的敌对分子发送的。
业务需求
我们的业务需求和需要实现的目标如下：
- 我们想要识别发送给我们组织收件人的电子邮件很可能是欺骗性电子邮件（欺骗性发件人）的事件。
- 我们希望阻止欺骗性电子邮件到达组织用户的邮箱。
- 我们不想删除看起来像欺骗电子邮件的电子邮件。相反，我们希望将欺骗性电子邮件发送到“限制区域”，即 Exchange Online 用户隔离区。
- 我们希望使“目标收件人”（在电子邮件被发送到隔离区之前应该收到电子邮件的收件人）能够访问“他的隔离空间”，查看电子邮件并决定如何处理该电子邮件。
- Exchange Online 用户隔离区可由
电子邮件发送给他并路由到 Exchange Online 隔离区的特定收件人访问 + 授权代表（例如 Exchange Online 管理员）将能够访问 Exchange Online 隔离区。 - 我们想要通知目标收件人，发送给他的电子邮件被归类为欺骗电子邮件，并发送到 Exchange Online 隔离区。
- 我们希望使用事件报告的 Exchange Online 选项将有关欺骗电子邮件的信息 + 欺骗电子邮件的示例发送到指定的共享邮箱。
- 我们希望选定的用户（例如 Exchange Online 管理员）能够访问存储事件报告的共享邮箱，以便他可以检查和分析欺骗性电子邮件。
Exchange Online - 用户隔离与管理隔离
Exchange Online 提供两种类型的“隔离”。
- 只有具有所需权限（例如 Exchange Online 管理员）的用户才能访问 Exchange Online 管理隔离区。只有 Exchange Online 管理员才有权访问隔离区并决定是否要将特定电子邮件从隔离区释放回用户邮箱。
- Exchange Online 用户隔离区只能由发送给他的电子邮件路由到隔离空间的用户 + 具有所需权限的用户（例如 Exchange Online 管理员）访问。使用 Exchange Online 用户隔离区时，用户可以自行决定是否要将隔离区中的特定邮件项目“释放”回其邮箱。
问：对于发送到 Exchange Online 用户隔离区和管理隔离区的电子邮件，Exchange Online 实施的过程有何不同？
A：
- 电子邮件可以通过 Exchange Online 组件“发送”到用户隔离区，描述为：Exchange Online 垃圾邮件筛选器。
- 可以使用 Exchange Online 规则将电子邮件“发送”到管理隔离区。
Exchange Online 垃圾邮件筛选器的简短说明
Exchange Online 垃圾邮件过滤器组件可被视为 EOP（Exchange Online 保护）的一部分
Exchange Online 垃圾邮件过滤器使我们能够针对具有特定 SCL 的电子邮件定义所需的策略价值。
尽管术语 SCL 代表垃圾邮件置信度，但 SCL 的目的是对特定电子邮件项目的“风险级别”进行分类。
特定电子邮件项目可能被视为有问题或危险，不仅因为该电子邮件被视为垃圾邮件，还因为许多其他原因，例如 - 被识别为欺骗电子邮件的电子邮件、电子邮件可以视为网络钓鱼电子邮件的邮件消息、通过信誉不良的服务器发送的电子邮件等。
Exchange Online 使用的 SCL 值范围是 -1 到 9。
- SCL 值 2 -5 分配给具有低或中风险级别的电子邮件。
- SCL 值 6 -9 分配给具有高风险的电子邮件
不要假设 Exchange Online（或者 EOP，如果我们想要更准确的话）决定使用 2-9 之间的特定 SCL 值“标记”
电子邮件。
问：Exchange Online 配置为对此类电子邮件“执行什么操作”？
A：Exchange Online 垃圾邮件筛选器的默认设置是将电子邮件转发到目标收件人邮箱，无论其 SCL 值如何。
例如，即使特定电子邮件的 SCL 值高于 1 (2-9)，
电子邮件也将被发送到收件人，而无需 Exchange Online 服务器的任何干预。
Exchange Online 服务器被视为“中立”。他的主要工作是用特定的“风险级别值”（SCL 值）“标记”电子邮件，而对有问题或危险的电子邮件“做什么”的决定是“用户决定”。
大多数时候，当邮件用户应用程序（例如Outlook或OWA）识别出电子邮件具有高SCL值（2-9）时，邮件应用程序会将电子邮件发送到垃圾邮件文件夹。
更改默认 Exchange Online 垃圾邮件筛选器策略
Exchange Online 管理员可以更改 Exchange Online 垃圾邮件筛选器的默认设置，并“指示”Exchange Online 垃圾邮件筛选器对具有特定 SCL 值的电子邮件实施其他操作。
例如，我们可以定义一个配置设置，其中 Exchange Online 垃圾邮件筛选器会将其 SCL 值在 6-9 之间的电子邮件发送到 Exchange Online 隔离区，而不是将电子邮件传递到用户邮箱。
Exchange Online 规则 + Exchange Online 垃圾邮件筛选器的组合
如前所述，只有更改 Exchange Online 垃圾邮件筛选器的默认响应并指示 Exchange Online，才能实现将电子邮件发送到 Exchange Online 用户隔离区（收件人可以访问的隔离空间）的功能。垃圾邮件过滤器将具有特定 SCL 值的电子邮件发送到隔离区。
为了能够实现我们想要的将欺骗电子邮件发送到 Exchange Online 用户隔离区的方案，我们将使用一些小技巧。
第一阶段是 - 更改 Exchange Online 垃圾邮件筛选器的默认设置，以便具有高 SCL 值（即 6-9 之间的值）的电子邮件将自动发送到 Exchange Online 用户隔离区，而不是转发到收件人邮箱。
在下一阶段，我们将创建一个 Exchange Online 规则，该规则将使用 SCL 值“9”“标记”欺骗电子邮件。
将实施的流程将是：
- 根据 Exchange Online 规则，电子邮件被归类为欺骗电子邮件。
- Exchange Online 使用 SCL 值“9”来标记电子邮件消息。
- Exchange Online 垃圾邮件筛选器识别出特定电子邮件的 SCL 值为“9”，因此，他将该电子邮件发送到 Exchange Online 用户隔离区。
Exchange Online 欺骗电子邮件规则结构和逻辑
Exchange Online 规则触发器
激活 Exchange Online“欺骗电子邮件规则”的“触发器”将基于以下两个条件（条件 1 + 条件 2 的组合）：
- 由未经身份验证的收件人（不提供用户凭据的收件人）发送的传入电子邮件。
- 使用包含我们的公共域名的电子邮件地址展示自己的收件人。在我们的特定场景中，包含域名的电子邮件地址 - com
Exchange Online 规则响应
在开始描述 Exchange Online 规则流之前，我们先从第一步开始，即更改 Exchange Online 垃圾邮件筛选器的默认设置。
在我们的场景中，我们将更改名为“高可信度垃圾邮件”部分的默认设置，该设置对于电子邮件来说，其 SCL 值在 6 到 9 之间。
我们将指示 Exchange Online 垃圾邮件筛选器将此类电子邮件发送到 Exchange Online 用户隔离区。
Exchange Online 用户隔离区是一个“隔离空间”，可供 Exchange Online 收件人访问（每个 Exchange Online 收件人都有自己的私有隔离空间），而且 Exchange Online 管理员也可以访问该隔离空间。
Exchange Online 用户隔离
我们的 Exchange Online“欺骗电子邮件规则”将执行的“操作”将包括以下“部分”：
1. 识别具有欺骗性电子邮件特征的电子邮件
2. Exchange Online 规则会将欺骗电子邮件的 SCL 值更改\更新为“9”。
请注意，电子邮件的 SCL 值为“9”，这将导致 Exchange Online 垃圾邮件筛选器将电子邮件路由到 Exchange Online 用户隔离区，而不是将电子邮件发送到收件人邮箱。
3. 向目标收件人发送自定义电子邮件通知
通知目标收件人，发送给他的电子邮件被识别为欺骗电子邮件并发送至管理隔离区。
Exchange Online 规则将生成自定义电子邮件通知，该通知将发送到应该接收电子邮件的目标收件人（被识别为欺骗电子邮件并发送到隔离区的电子邮件）。
在我们的特定场景中，我们将创建自定义电子邮件通知并使用 HTML 代码使通知消息易于理解并对我们的组织收件人有用。
4. 生成事件报告
Exchange Online 规则将生成事件报告，并将其发送到指定收件人的电子邮件地址。在我们的场景中，我们要求将事件报告发送给指定的收件人（名为 - 欺骗电子邮件邮箱的共享邮箱）。
只有授权用户才能访问“欺骗电子邮件共享邮箱”。在我们的特定场景中，Brad（Brad 是我们的 Exchange Online 管理员）将有权访问共享邮箱。
在下图中，我们可以看到 Exchange Online 欺骗电子邮件规则实施的操作顺序：
图表图像即将推出：发送欺骗电子邮件的 Exchange 欺骗电子邮件规则的逻辑 - 用户隔离
注意：虽然当前文章中的信息是关于基于 Office 365 (Exchange Online) 的环境，但大多数信息也与基于 Exchange 本地的环境相关。前置主题并添加
配置 Exchange Online 垃圾邮件筛选器的默认设置
在下面的部分中，我们将更改 Exchange Online 垃圾邮件筛选器的默认设置，通过将垃圾邮件筛选器设置为将具有高 SCL 值的电子邮件发送到隔离区。
- 登录 Exchange 管理门户
- 在左侧菜单栏上，选择 -保护
- 在顶部菜单栏上，选择 - 垃圾邮件过滤器
- 选择菜单 - 垃圾邮件和批量操作
- 在名为 - 高可信度垃圾邮件的部分中，单击黑色小箭头
- 选择选项 - 隔离消息
在下面的截图中，我们可以看到结果
- 带有“低 SCL”(2-5) 的电子邮件将被发送到目标收件人邮箱。
- 带有“高 SCL”(6-9) 的电子邮件将被发送到 Exchange Online 隔离区。
配置 Exchange Online 欺骗电子邮件规则 |发送至用户 隔离 |向最终用户发送自定义电子邮件通知 |生成事件报告
在以下部分中，我们将提供创建所需的“Exchange Online 欺骗电子邮件规则”的“分步”说明，以满足我们的业务需求。
第 1#2 部分 - 配置 Exchange Online 欺骗电子邮件规则的“条件部分”
- 登录 Exchange 管理门户
- 在左侧菜单栏上，选择 -邮件流
- 在顶部菜单栏上，选择 -规则
- 单击加号图标
- 选择 - 创建新规则...
- 在名称：框中，为新规则添加描述性名称。
在我们的具体场景中，我们将命名该规则 - 检测欺骗电子邮件 - 发送给用户隔离区 - 单击 -更多选项... 链接（默认情况下，Exchange Online 规则的界面包括只有一组有限的选项。为了能够显示其他选项，我们需要“激活”更多选项...）。
- 在名为 -如果...应用此规则的部分中，单击黑色小箭头
条件1#2
- 选择主菜单 -发件人...
- 在子菜单中，选择选项 -是外部/内部
- 在选择发件人位置窗口中，选择选项 - 组织外部。
术语“组织外部”的含义与未经身份验证的收件人，意思是 - 不向邮件服务器提供用户凭据的收件人。
条件2#2
现在，我们将在“规则条件”中添加一个额外的“层”，其中我们与
使用包含我们域名的电子邮件地址的收件人相关（o365pilot. com 在我们的特定场景中）。
如果您想了解有关 Exchange Online 术语“外部发件人”和“组织外部”含义的更多信息，请阅读以下部分：在基于 Office 365 的环境中处理电子邮件欺骗攻击 |简介 |第 1 部分#12
- 点击 - 添加条件。
- 在名为 - 和 的部分中，单击黑色小箭头。
- 选择主菜单 - 发件人...
- 在子菜单中，选择选项 - 域名是
在指定域窗口中，添加代表您的组织的所需域名。
在我们的具体场景中，公共域名是 - o365pilot.com
注意 - 不要忘记点击加号 图标添加域名。
单击确定 选项保存 Exchange Online 规则设置。
第 2#2 部分 - 配置 Exchange Online 欺骗电子邮件规则的“操作部分”
在此阶段，我们将配置 Exchange Online 规则的“第二部分”，其中我们定义针对发送到我们的组织收件人之一的欺骗电子邮件的场景所需的 Exchange 响应（操作）。
在我们的情况下，我们希望指示 Exchange Online 通过执行以下操作来响应
电子邮件被识别为欺骗电子邮件的事件：
1#3 - 使用 SCL 值“9”标记识别为欺骗电子邮件的电子邮件。 ”
- 在名为 -执行以下操作...的部分中，单击黑色小箭头
- 选择菜单选项 -修改消息属性...
- 在子菜单中选择菜单选项 -设置垃圾邮件会议级别 (SCL)
在名为 - 指定 SCL 的窗口中，我们将选择默认值“9 ”
- 选择确定保存配置设置
3#3 - 创建发送给目标收件人的电子邮件通知。
在此步骤中，我们将定义向应该接收电子邮件的 Exchange Online 收件人发送邮件通知的操作。
- 单击选项 -添加操作
- 在和部分，点击黑色小箭头
- 选择菜单选项 -通过消息通知收件人...
这是自定义电子邮件消息内容的内容示例。
在“提供消息文本”窗口中，添加所需的电子邮件通知文本。
从技术上讲，电子邮件通知的内容可以是简单的文本消息。
在我们的场景中，我使用 HTML 格式准备了“电子邮件通知”。
如果您想下载我使用过的 HTML 格式的示例，您可以从以下链接下载该示例
3#3 - 创建事件报告并将其发送给指定收件人。
在此步骤中，我们将定义“最后操作”，其中指示 Exchange Online 生成并向指定收件人发送事件报告。
- 单击选项 - 添加操作
- 在名为 - * 的部分中。然后... 单击黑色小箭头。
- 选择菜单选项 - 生成事件报告并将其发送至...
事件报告的设置包括两个参数：
- 将获取事件报告的“目标收件人”的名称。
- 将包含在事件报告中的信息字段。
- 要添加所需的“目标收件人”名称，请单击链接 - 选择一个...
- 在我们的特定场景中，收到事件报告的收件人是欺骗电子邮件邮箱。
要选择将包含在事件报告中的信息，请单击名为-*包括消息属性< /跨度>
在我们的场景中，我们将选择在摘要报告+“原始欺骗电子邮件”的副本中包含所有可用的邮件属性。
- 选择选项 - 全选
在下面的屏幕截图中，我们可以查看可用的选项：
- A 部分 - 与事件报告摘要中显示的信息相关。
- B 部分 - 涉及将原始电子邮件的副本“附加”到事件报告的选项。
在下面的屏幕截图中，我们可以看到“最终结果”——Exchange Online 欺骗电子邮件，其中包括两部分：
- 条件部分
- 动作部分
验证 Exchange Online 欺骗电子邮件规则是否正常工作
在此阶段，我们将测试上一步中创建的 Exchange Online 欺骗电子邮件规则并验证该规则是否正常工作。
Exchange Online 欺骗电子邮件规则所需的结果
我们期望的期望是 - 当 Exchange Online 识别出发送给我们组织收件人的电子邮件很可能是欺骗性电子邮件（欺骗性发件人）的事件时，Exchange Online 欺骗性电子邮件规则将执行以下序列行动次数：
- 识别以下事件： - 具有
欺骗电子邮件特征的传入电子邮件。 - 使用 SCL 值“9”标记电子邮件消息。
- 向目标收件人（在我们的特定场景中为 Bob）发送自定义电子邮件通知消息，通知他收到了一封欺骗性电子邮件。该电子邮件将包含指向 Exchange Online 用户隔离区的链接。
- 生成事件报告，该报告将发送到指定收件人的电子邮件地址。在我们的具体场景中，我们要求将事件报告发送给指定的收件人（名为-欺骗电子邮件邮箱的共享邮箱）。
模拟欺骗电子邮件攻击 |场景人物
为了能够确保 Exchange Online 欺骗电子邮件规则正常工作，我们将模拟具有以下特征的欺骗电子邮件攻击：
- “敌对分子”试图使用电子邮件地址 - Suzan@o365pilot.com 来欺骗名为 -Suzan 的合法组织收件人的身份
- 欺骗性电子邮件将发送给名为 Bob 的合法组织用户，该用户使用电子邮件地址 - Bob@o365pilot.com
如果您想了解我们用于模拟电子邮件欺骗攻击的方式，您可以阅读文章 - 如何模拟电子邮件欺骗攻击 |第 11#12 部分
1#6 - 验证是否向目标收件人发送自定义电子邮件通知消息
在下面的屏幕截图中，我们可以看到通过 Exchange Online 规则发送到目标收件人的自定义电子邮件通知的示例。
图片即将推出
自定义电子邮件通知包括几个“部分”。
- 上部（A 部分）包括“警告通知”，通知收件人发送给他的电子邮件可能是欺骗电子邮件。
- 第二部分（B 部分）包含指向“个人隔离区”的链接，因此收件人可以更轻松地访问其个人隔离区。个人隔离的URL地址为：https://admin.protection.outlook.com/quarantine
- 第三部分（C 部分）包括电子邮件的报告摘要。
- 底部部分（D 部分）包括有关“联系人”的信息，如果收件人需要有关特定事件的更多信息，可以联系这些信息。
图片即将推出
2#6 - 验证发送到用户隔离区的欺骗性电子邮件以及收件人是否可以访问用户隔离区。
为了能够查看 Exchange Online 用户隔离区的内容，用户可以使用以下链接：https://admin.protection.outlook.com/quarantine
收件人可以决定将特定电子邮件视为合法电子邮件，并将该电子邮件发送到他的邮箱或将该电子邮件保留在隔离区中。
图片即将推出
3#6 - 验证 Exchange Online 垃圾邮件过滤器是否向收件人发送了电子邮件通知
如果 Exchange Online 垃圾邮件筛选器将电子邮件发送到 Exchange Online 隔离区，则 Exchange Online 垃圾邮件筛选器负责生成电子邮件通知并将其发送给收件人，其中包含指向存储在 Exchange Online 隔离区中的电子邮件项目的链接。 Exchange Online 用户隔离区。
在下面的屏幕截图中，我们可以看到此类电子邮件的示例。
图片即将推出
4#6 - 验证发送到隔离区的欺骗电子邮件以及 Exchange Online 管理员是否可以查看该电子邮件。
为了能够查看 Exchange Online 隔离区的内容，我们将登录 Exchange Online 管理门户。
- 在左侧边栏菜单上，选择菜单 - 保护
- 在顶部栏菜单上，选择菜单 - 隔离
在下面的屏幕截图中，我们可以看到Exchange Online管理隔离的内容。
我们可以看到从 Suzan@o365pilot.com （收件人，我们用于模拟欺骗性电子邮件攻击）发送的电子邮件被“Exchange 捕获”在线欺骗电子邮件规则并发送到 Exchange Online 管理隔离区。
图片即将推出
Exchange Online 管理员可以查看发送到管理隔离区的电子邮件，并决定是否要将电子邮件发送到“原始目的地”（即收件人邮箱）。
图片即将推出
5#6 - 验证 Exchange Online 规则是否使用 SCL 值“9”标记电子邮件。
如果我们想要检查 Exchange Online 规则使用 SCL 值“9”标记电子邮件的过程，我们可以分析电子邮件标头的内容。
在下面的部分中，我们将了解如何访问电子邮件标头中的信息，然后我们将使用 ExRCA（Exchange 远程连接分析器）工具来分析数据。
- 打开您要检查其 SCL 值的特定电子邮件
图片即将推出
- 选择文件菜单
- 选择属性选项
图片即将推出
在名为- internet headers的部分中，我们可以看到电子邮件标头的内容。
为了能够分析数据，我们将复制信息。
- 使用键盘组合键选择所有信息 - CTRL + A
- 使用键盘组合键复制信息 - CTRL + C
图片即将推出
现在，我们将访问 ExRCA（Exchange 远程连接分析器）工具。
- 选择选项卡 - 消息分析器
- 在空白处，使用键盘组合键粘贴上一步中复制的信息 - CTRL + V
- 选择选项 - 分析标头
图片即将推出
在下面的屏幕截图中，我们可以看到结果。
名为 - X-MS-Exchange-Organization-SCL 的信息字段的值为“9”。
换句话说， SCL 值等于“9”。
图片即将推出
6#6 - 验证事件报告是否已发送至指定收件人。
我们可以看到，Exchange Online 规则“捕获”了欺骗电子邮件事件。
结果，事件报告被发送到在 Exchange Online 规则中配置的收件人名称（欺骗电子邮件邮箱）。
图片即将推出
在下面的屏幕截图中，我们可以看到事件报告电子邮件的示例。
当我们查看事件报告时，我们可以看到事件报告包括两个部分：
- 原始电子邮件的副本 (A)。
- 事故报告摘要（B）。
事件报告摘要包括以下详细信息：
- 有关事件报告电子邮件消息生成器的信息 - “此电子邮件是由生成事件报告操作自动生成的”（编号 1）。
- 声称是合法组织收件人的发件人（“源收件人”）名为 -Suzan@o365pilot.com （编号 2）。
- 收件人（目标收件人）是 - Bob@o365pilot.com （编号3）
- 规则命中 - Exchange Online 规则“捕获”欺骗电子邮件事件，以及 Exchange Online 规则执行的操作 - ”检测欺骗电子邮件并发送到用户隔离区，操作：SetHeader、GenerateNotification ，GenerateIncidentReport”（编号4）。
图片即将推出
观看我们的 YouTube 视频：使用 Exchange Online 规则检测欺骗电子邮件并将电子邮件发送到用户隔离区 | 6#7
当前文章系列的下一篇文章
在下一篇文章 - 分析 Exchange 欺骗电子邮件规则的结果 |第 9#12 部分中，我们将回顾如何通过将有关 Exchange Online 邮件流的信息导出到 CSV 来分析 Exchange 欺骗电子邮件规则的结果使用 Exchange 消息跟踪的文件。