使用 Exchange Online 规则检测欺骗电子邮件并将欺骗电子邮件发送到管理隔离区 |第 7 部分#12

在本文中，我们将回顾如何在 Office 365 环境中处理欺骗电子邮件场景，方法是创建一个 Exchange Online 规则，该规则将识别欺骗电子邮件（欺骗发件人）并作为响应 - “路由”此电子邮件- 邮件发送至 Exchange Online 管理隔离区。

在我们的特定场景中，我们不希望将电子邮件发送到组织用户邮箱。相反，我们希望将具有欺骗电子邮件特征的电子邮件路由到只有授权代表（例如 Exchange Online 管理员）才能访问的“安全区域”或“隔离区域”。

另一个需要是通知“目的地收件人”发送给他的电子邮件被阻止，并且如果他想要获得有关特定电子邮件的附加信息，或者要求释放他需要的电子邮件联系具体的技术代表。

有关可能的欺骗电子邮件事件的信息将通过使用名为 -事件报告 的 Exchange Online 规则选项进行记录和报告。

欺骗电子邮件攻击场景的主要特征：

我们的首席信息官报告收到一封电子邮件，据称该电子邮件是由合法组织收件人（我们公司的首席财务官）发送的，要求他将大量资金转入特定的银行帐号。

事实上，组织收件人（我们公司的 CFO）并未发送此电子邮件，并且该电子邮件很可能是由试图攻击我们组织的敌对分子发送的。

业务需求

我们的业务需求和需要实现的目标如下：

1. 我们想要识别发送给我们组织收件人的电子邮件很可能是欺骗性电子邮件（欺骗性发件人）的事件。
2. 我们希望防止欺骗性电子邮件到达组织用户的邮箱。
3. 我们不想删除看起来像欺骗电子邮件的电子邮件。相反，我们希望将欺骗性电子邮件发送到“限制区域”，即 Exchange Online 管理隔离区。
4. 只有授权代表（例如 Exchange Online 管理员）才能访问 Exchange Online 隔离区。
5. 我们想要通知目标收件人，发送给他的电子邮件被归类为欺骗电子邮件并发送到管理隔离区。我们希望将信息+欺骗电子邮件样本发送到指定的共享邮箱。
6. 我们希望指定用户（例如 Exchange Online 管理员）能够访问存储事件报告的共享邮箱，以便他可以检查和分析欺骗性电子邮件。

Exchange Online 欺骗电子邮件规则结构和逻辑

Exchange Online 规则触发器

激活 Exchange Online“欺骗电子邮件规则”的“触发器”将基于以下两个条件（条件 1 + 条件 2 的组合）：

1. 由未经身份验证的收件人（不提供用户凭据的收件人）发送的传入电子邮件。
2. 使用包含我们的公共域名的电子邮件地址展示自己的收件人。在我们的特定场景中，包含域名的电子邮件地址 - com

Exchange Online 规则响应

我们的 Exchange Online“欺骗电子邮件规则”将执行的“操作”将包括以下“部分”：

1. 识别具有欺骗性电子邮件特征的电子邮件

2. 将电子邮件“路由”至行政隔离区（将欺骗电子邮件路由至隔离区域）

当 Exchange Online 识别出符合“欺骗电子邮件”条件的电子邮件时，Exchange 规则将激活以下序列：

电子邮件将不会发送到目标收件人邮箱，而是“路由”到管理隔离区（术语管理隔离区描述了只能由 Exchange Online 访问的存储空间）管理员而不是用户）。

Exchange Online 将生成电子邮件通知，该通知将电子邮件（被识别为欺骗电子邮件并发送到隔离区的电子邮件）发送到应该接收该电子邮件的目标收件人。

在我们的场景中，我们将创建自定义电子邮件通知并使用 HTML 代码使通知消息易于理解并对我们的组织收件人有用。

3. 向目标收件人发送自定义电子邮件通知

通知目标收件人，发送给他的电子邮件被识别为欺骗电子邮件并发送至管理隔离区。

4. 生成事件报告，发送到指定收件人的电子邮件地址。
在我们的场景中，我们要求将事件报告发送到指定收件人（名为 - 欺骗电子邮件邮箱的共享邮箱） 。

只有授权用户才能访问“欺骗电子邮件共享邮箱”。在我们的特定场景中，Brad（Brad 是我们的 Exchange Online 管理员）将有权访问共享邮箱。

在下图中，我们可以看到 Exchange Online 欺骗电子邮件规则实施的操作顺序：

配置 Exchange Online 欺骗电子邮件规则 |送行政检疫|生成事故报告 |向最终用户发送自定义电子邮件通知

在以下部分中，我们将提供创建所需的“Exchange Online 欺骗电子邮件规则”的“分步”说明，以满足我们的业务需求。

第 1#2 部分 - 配置 Exchange Online 欺骗电子邮件规则的“条件部分”

• 登录 Exchange 管理门户
• 在左侧菜单栏上，选择 -邮件流
• 在顶部菜单栏上，选择 -规则

• 单击加号图标
• 选择 - 创建新规则...

• 在名称：框中，为新规则添加描述性名称。
  在我们的特定场景中，我们将命名该规则 - 检测欺骗电子邮件 - 前置主题并发送到管理隔离区
• 单击 -更多选项... 链接（默认情况下，Exchange Online 规则的界面包括只有一组有限的选项。为了能够显示其他选项，我们需要“激活”更多选项...）。

• 在名为 -如果...应用此规则的部分中，单击黑色小箭头

条件1#2

• 选择主菜单 -发件人...
• 在子菜单中，选择选项 -是外部/内部

• 在选择发件人位置窗口中，选择选项 - 组织外部。
  术语“组织外部”的含义与未经身份验证的收件人，意思是 - 不向邮件服务器提供用户凭据的收件人。

条件2#2

现在，我们将在“规则条件”中添加一个额外的“层”，其中我们与
使用包含我们域名的电子邮件地址的收件人相关（o365pilot. com 在我们的特定场景中）。

如果您想了解有关 Exchange Online 术语“外部发件人”和“组织外部”含义的更多信息，请阅读以下部分：在基于 Office 365 的环境中处理电子邮件欺骗攻击 |简介 |第 1 部分#12

• 点击 - 添加条件。

• 在名为 - 和 的部分中，单击黑色小箭头。

• 选择主菜单 - 发件人...
• 在子菜单中，选择选项 - 域名是

在指定域窗口中，添加代表您的组织的所需域名。
在我们的具体场景中，公共域名是 - o365pilot.com

注意 - 不要忘记点击加号 图标添加域名。

单击确定 选项保存 Exchange Online 规则设置。

第 2#2 部分 - 配置 Exchange Online 欺骗电子邮件规则的“操作部分”

在此阶段，我们将配置 Exchange Online 规则的“第二部分”，其中我们定义针对发送到我们的组织收件人之一的欺骗电子邮件的场景所需的 Exchange 响应（操作）。

在我们的场景中，我们希望指示 Exchange Online 通过执行以下操作来响应电子邮件被识别为欺骗电子邮件的事件：

1#3 - 将欺骗性电子邮件发送到隔离区。

• 在名为 -执行以下操作...的部分中，单击黑色小箭头

• 选择菜单选项 -将消息重定向至...
• 在子菜单中选择菜单选项 -托管隔离

2#3 - 创建将发送给目标收件人的电子邮件通知。

在此步骤中，我们将定义向应该收到电子邮件的 Exchange Online 收件人发送邮件通知的操作。

• 单击选项 -添加操作

• 在名为 - * 的部分中。然后...单击黑色小箭头。

• 选择菜单选项 -通过消息通知收件人...

在“提供消息文本”窗口中，添加所需的电子邮件通知文本。

从技术上讲，电子邮件通知的内容可以是简单的文本消息。
在我们的场景中，我使用 HTML 格式准备了“样式电子邮件通知”。

这是自定义电子邮件消息内容的内容示例。

如果您想下载我使用过的 HTML 格式的示例，您可以从以下链接下载该示例

3#3 - 创建事件报告并将其发送给指定收件人。

在此步骤中，我们将定义“最后操作”，其中指示 Exchange Online 生成并向指定收件人发送事件报告。

• 单击选项 - 添加操作

• 在名为 - * 的部分中。然后...单击黑色小箭头。

• 选择菜单选项 - 生成事件报告并将其发送至...

事件报告的设置包括两个参数：

1. 将获取事件报告的“目标收件人”的名称。
2. 将包含在事件报告中的信息字段。

• 要添加所需的“目标收件人”名称，请单击链接 - 选择一个...

• 在我们的特定场景中，收到事件报告的收件人是欺骗电子邮件邮箱。

要选择将包含在事件报告中的信息，请单击名为-*包括消息属性< /跨度>

在我们的场景中，我们将选择在摘要报告+“原始欺骗电子邮件”的副本中包含所有可用的邮件属性。

• 选择选项 - 全选

在下面的屏幕截图中，我们可以查看可用的选项：

• A 部分 - 与事件报告摘要中显示的信息相关。
• B 部分 - 涉及将原始电子邮件的副本“附加”到事件报告的选项。

在下面的屏幕截图中，我们可以看到“最终结果”——Exchange Online 欺骗电子邮件，其中包括两部分：

• 条件部分
• 动作部分

验证 Exchange Online 欺骗电子邮件规则是否正常工作

在此阶段，我们将测试上一步中创建的 Exchange Online 欺骗电子邮件规则并验证该规则是否正常工作。

Exchange Online 欺骗电子邮件规则所需的结果

我们期望的期望是 - 当 Exchange Online 识别出发送给我们组织收件人的电子邮件很可能是欺骗性电子邮件（欺骗性发件人）的事件时，Exchange Online 欺骗性电子邮件规则将执行以下序列行动次数：

1. 识别具有欺骗电子邮件特征的传入电子邮件事件。
2. 将欺骗性电子邮件发送至管理隔离区。
3. 向目标收件人（在我们的特定场景中为 Bob）发送自定义电子邮件通知消息，通知他已向他发送了一封欺骗电子邮件，并且如果需要，他可以联系 Exchange Online 管理员检查特定的电子邮件消息。
4. 生成事件报告，该报告将发送到指定收件人的电子邮件地址。在我们的具体场景中，我们要求将事件报告发送给指定的收件人（名为-欺骗电子邮件邮箱的共享邮箱）。

模拟欺骗电子邮件攻击 |场景人物

为了能够确保 Exchange Online 欺骗电子邮件规则正常工作，我们将模拟具有以下特征的欺骗电子邮件攻击：

• “敌对分子”试图使用电子邮件地址 - Suzan@o365pilot.com 来欺骗名为 -Suzan 的合法组织收件人的身份
• 欺骗性电子邮件将发送给名为 Bob 的合法组织用户，该用户使用电子邮件地址 - Bob@o365pilot.com

如果您想了解我们用于模拟电子邮件欺骗攻击的方式，您可以阅读文章 - 如何模拟电子邮件欺骗攻击 |第 11#12 部分

1#3 - 验证是否向目标收件人发送了自定义电子邮件通知消息

在下面的屏幕截图中，我们可以看到通过 Exchange Online 规则发送到目标收件人的自定义电子邮件通知的示例。

自定义电子邮件通知包括几个“部分”。

1. 上部（A 部分）包括“警告通知”，通知收件人发送给他的电子邮件可能是欺骗电子邮件。
2. 第二部分（B 部分）包括有关电子邮件消息的报告摘要。
3. 底部（B 部分）包括有关“联系人”的信息，收件人可以在需要有关特定事件的更多信息时联系这些信息。

2#3 - 验证欺骗性电子邮件是否已发送至管理隔离区。

为了能够查看 Exchange Online 管理隔离区的内容，我们将登录 Exchange Online 管理门户。

• 在左侧边栏菜单上，选择菜单 -保护
• 在顶部栏菜单上，选择菜单 -隔离

在下面的屏幕截图中，我们可以看到Exchange Online管理隔离的内容。

我们可以看到，从 Suzan@o365pilot.com （我们用来模拟欺骗电子邮件攻击的收件人）发送的电子邮件“被 Exchange Online 捕获”欺骗电子邮件规则并发送到 Exchange Online 管理隔离区。

Exchange Online 管理员可以查看发送到管理隔离区的特定电子邮件，并决定是否要将电子邮件发送到其“原始目的地”（即收件人邮箱）。

3#3 - 验证事件报告是否已发送至指定收件人。

我们可以看到，Exchange Online 规则“捕获”了欺骗电子邮件事件。

结果，事件报告被发送到在 Exchange Online 规则中配置的收件人名称（欺骗电子邮件邮箱）。

在下面的屏幕截图中，我们可以看到事件报告电子邮件的示例。

当我们查看事件报告时，我们可以看到事件报告包括两个部分：

• 原始电子邮件的副本 (A)。
• 事故报告摘要（B）。

事件报告摘要包括以下详细信息：

• 有关事件报告电子邮件消息生成者的信息 - “此电子邮件由生成事件报告操作自动生成”（编号 1）。
• 声称是合法组织收件人的发件人（“源收件人”）名为 -Suzan@o365pilot.com （编号 2）。
• 收件人（目标收件人）是 - Bob@o365pilot.com （编号3）
• 规则命中 - Exchange Online 规则“捕获”欺骗电子邮件事件，以及 Exchange Online 规则执行的操作 - ”检测欺骗电子邮件并发送到管理隔离区，操作：GenerateNotification、隔离区，GenerateIncidentReport”（编号4）。

观看我们的 YouTube 视频：检测欺骗电子邮件 - 使用 Exchange Online 规则将电子邮件发送到管理隔离区 | 5#7

当前文章系列的下一篇文章

在下一篇文章 - 使用 Exchange Online 规则检测欺骗电子邮件并将欺骗电子邮件发送至 — 用户隔离区 |第 8#12 部分中，我们将回顾如何创建可识别欺骗电子邮件事件的 Exchange Online 规则作为响应，Exchange Online 垃圾邮件筛选器会将欺骗电子邮件发送到用户隔离区，并且 Exchange Online 规则将向收件人发送自定义电子邮件通知。