检测欺骗电子邮件、标记垃圾邮件、SCL |使用 Exchange Online 规则检测欺骗电子邮件并将电子邮件标记为垃圾邮件 |第 4 部分#12 .com
在本文中，我们将回顾如何通过创建可识别传入欺骗电子邮件（欺骗发件人）的 Exchange 规则来处理欺骗邮件。
在这种情况下，我们希望实施以下一系列操作：
- 通过将 SCL（垃圾邮件可信度）值设置为 5，将电子邮件标记为垃圾邮件。
- 生成事件报告并将其发送给指定收件人。
欺骗邮件攻击场景的特征
我们具体场景的主要特征是：
我们的 CIO 报告收到一封电子邮件，据称该电子邮件是由合法组织收件人（我们公司的 CFO）发送的，要求他将大量资金转入特定的银行帐号。
事实上，组织收件人（我们公司的 CFO）并未发送此电子邮件，并且该电子邮件很可能是由试图攻击我们组织的敌对分子发送的。
我们需要完成的业务需求
我们不想干预邮件流，因为我们的主要目的只是收集有关“欺骗电子邮件事件”的信息。
被识别为“潜在欺骗电子邮件”的电子邮件将由 Exchange Online 转发到目标组织收件人邮箱。
有关可能的欺骗电子邮件事件的信息将通过使用名为 -事件报告 的 Exchange Online 规则选项进行记录和报告。
在我们的场景中，我们不希望删除或阻止带有欺骗电子邮件字符并插入的电子邮件；我们更愿意让“最终用户”决定特定邮件项目是否是欺骗电子邮件。
对于看起来像欺骗电子邮件的邮件项目，我们要执行的操作是使用 SCL 值 5 对电子邮件进行“标记”。
当电子邮件到达用户邮箱时，该电子邮件将被自动发送到垃圾邮件文件夹。
注意：虽然当前文章中的信息是关于基于 Office 365 (Exchange Online) 的环境，但大多数信息也与基于 Exchange 本地的环境相关。
我们的业务需求和需要实现的目标如下：
- 我们想要识别发送给我们组织收件人的电子邮件很可能是欺骗性电子邮件（欺骗性发件人）的事件。
- 我们不想干预邮件流程。对于发件人很有可能欺骗其身份的电子邮件消息“做什么”的决定将被视为“用户决定”。
- 我们的主要目的是 - 通知收件人发送给他的电子邮件被视为“有问题的电子邮件”。我们希望通过将电子邮件标记为“垃圾邮件”来“警告”组织收件人。 ”
- 我们希望将信息+欺骗电子邮件样本发送到指定的共享邮箱。
- 我们希望指定用户（例如 Exchange Online 管理员）能够访问存储事件报告的共享邮箱，以便他可以检查和分析欺骗性电子邮件。
SCL是什么意思？
“标记”或将特定电子邮件分类为“垃圾邮件”的过程是通过设置 SCL 的值来实现的。
SCL 代表 - 垃圾邮件置信度。
Exchange 服务器通过使用特定数字的 SCL 值来将电子邮件标记为“安全电子邮件”或“垃圾邮件”。
例如：
- SCL 值“-1”——SCL 值“-1”的含义被翻译为“特定电子邮件消息是完全安全且可信的”。
- SCL 值“5”——SCL 值“5”的含义被翻译为——“被视为垃圾邮件的特定电子邮件”。
注意：SCL 值范围为 -1 到 9。
在我们的特定场景中，我们将使用 SCL 值 5。从技术上讲，我们可以使用其他 SCL 值，例如 6、7 等。
使用 Exchange Online 规则选项
为了能够完成此业务需求，我们可以创建一个 Exchange Online 规则，该规则将检查每封传入的邮件消息并“捕获”具有欺骗电子邮件特征的电子邮件消息。
作为回应，Exchange Online 将：
- 将电子邮件消息的 SCL 值设置为“5”。
- 通过生成事件报告将事件报告给指定的接收者。 Exchange Online 事件报告将包括特定电子邮件字符的摘要 + 原始电子邮件的副本。
Exchange Online 欺骗电子邮件规则结构和逻辑
激活 Exchange Online“欺骗电子邮件规则”的“触发器”将基于以下两个条件（条件 1 + 条件 2 的组合）：
- 由未经身份验证的收件人（不提供用户凭据的收件人）发送的传入电子邮件。
- 使用包含我们的公共域名的电子邮件地址展示自己的收件人。在我们的特定场景中，包含域名的电子邮件地址 -com
我们的 Exchange Online“欺骗电子邮件规则”将执行的“操作”将包括以下“部分”：
- 操作 1#2 - 使用 SCL 值“5”将电子邮件消息标记为垃圾邮件。
- 操作 2#2 - 生成 + 向指定收件人发送事件报告（共享邮箱名为 - 欺骗电子邮件邮箱）。
在下图中，我们可以看到 Exchange Online 欺骗电子邮件规则将实施的操作顺序：
当 Exchange Online 识别出响应“欺骗电子邮件”描述的电子邮件时，Exchange 规则将激活以下序列：
1. Exchange Online 将 - 将电子邮件的 SCL 值设置为“5”。
2. Exchange Online 将 - 将电子邮件转发到目标收件人邮箱，无需 Exchange Online 服务器端的任何干预。
3. Exchange Online 将生成事件报告，该报告将发送到指定收件人的电子邮件地址。在我们的场景中，我们要求将事件报告发送给指定的收件人（名为 -欺骗电子邮件邮箱的共享邮箱）。
只有授权用户才能访问“欺骗电子邮件共享邮箱”。在我们的特定场景中，Brad（Brad 是我们的 Exchange Online 管理员）将有权访问共享邮箱。
配置 Exchange Online 规则，该规则将检测欺骗电子邮件并将 SCL 值提高到“5”
在以下部分中，我们将提供创建所需的“Exchange Online 欺骗电子邮件规则”的“分步”说明，以满足我们的业务需求。
第 1#2 部分 - 配置 Exchange Online 欺骗电子邮件规则的“条件部分”
- 登录 Exchange 管理门户
- 在左侧菜单栏上，选择 -邮件流
- 在顶部菜单栏上，选择 -规则
- 单击加号图标
- 选择 - 创建新规则...
- 在名称：框中，为新规则添加描述性名称。
在我们的具体场景中，我们将命名该规则 - 检测欺骗电子邮件并标记为垃圾邮件 - 单击 -更多选项... 链接（默认情况下，Exchange Online 规则的界面包括只有一组有限的选项。为了能够显示其他选项，我们需要“激活”更多选项...）。
- 在名为 -如果...应用此规则的部分中，单击黑色小箭头
条件1#2
- 选择主菜单 -发件人...
- 在子菜单中，选择选项 -是外部/内部
- 在选择发件人位置窗口中，选择选项 - 组织外部。
术语“组织外部”的含义与未经身份验证的收件人，意思是 - 不向邮件服务器提供用户凭据的收件人。
条件2#2
现在，我们将在“规则条件”中添加一个额外的“层”，其中我们与
使用包含我们域名的电子邮件地址的收件人相关（o365pilot. com 在我们的特定场景中）。
如果您想了解有关 Exchange Online 术语“外部发件人”和“组织外部”含义的更多信息，请阅读以下部分：在基于 Office 365 的环境中处理电子邮件欺骗攻击 |简介 |第 1 部分#12
- 点击 - 添加条件。
- 在名为 - 和 的部分中，单击黑色小箭头。
- 选择主菜单 - 发件人...
- 在子菜单中，选择选项 - 域名是
在指定域窗口中，添加代表您的组织的所需域名。
在我们的特定场景中，公共域名是 - o365pilot.com
注意 - 不要忘记点击加号 图标添加域名。
单击确定 选项保存 Exchange Online 规则设置。
第 2#2 部分 - 配置 Exchange Online 欺骗电子邮件规则的“操作部分”
在此阶段，我们将配置 Exchange Online 规则的“第二部分”，其中我们定义针对发送给我们组织收件人之一的欺骗电子邮件的场景所需的 Exchange 响应（操作）。
在我们的场景中，我们希望指示 Exchange Online 响应以下事件：
电子邮件被识别为欺骗电子邮件
- 将电子邮件消息的 SCL 值设置为“5”
- 创建事件报告并将其发送给指定收件人：名为 -欺骗电子邮件邮箱的共享邮箱。
- 在名为 - *.执行以下操作... 的部分中，单击黑色小箭头。
- 选择菜单选项 - 修改消息属性...
- 在子菜单中选择菜单选项 - 设置垃圾邮件会议级别 (SCL)
- 在名为 - 指定 SCL 的窗口中，我们将选择默认值“5” ”
- 单击选项 -添加操作
- 在名为 - *.执行以下操作... 的部分中，单击黑色小箭头。
- 选择菜单选项 -生成事件报告并将其发送至...
事件报告的设置包括两个参数：
- 将获取事件报告的“目标收件人”的名称。
- 将包含在事件报告中的信息字段。
- 要添加所需的“目标收件人”名称，请单击链接 -选择一个...
- 在我们的具体场景中，收到事件报告的收件人是欺骗电子邮件邮箱。
要选择将包含在事件报告中的信息，请单击名为-*包括消息属性< /跨度>
在我们的场景中，我们将选择在摘要报告+“原始欺骗电子邮件”的副本中包含所有可用的邮件属性。
- 选择选项 -全选
在下面的屏幕截图中，我们可以查看可用的选项：
- A 部分 - 与事件报告摘要中显示的信息相关。
- B 部分 - 涉及将原始电子邮件的副本“附加”到事件报告的选项。
在下面的屏幕截图中，我们可以看到“最终结果”——Exchange Online 欺骗电子邮件，其中包括两部分：
- 条件部分
- 动作部分
验证 Exchange Online 欺骗电子邮件规则是否正常工作 |使用 SCL 5 对欺骗邮件进行标记
在此阶段，我们要测试在上一步中创建的 Exchange Online 欺骗电子邮件规则，并验证该规则是否正常工作。
Exchange Online 欺骗电子邮件规则所需的结果
我们期望的期望是 - 当 Exchange Online 识别出发送给我们组织收件人的电子邮件很可能是欺骗性电子邮件（欺骗性发件人）的事件时，Exchange Online 欺骗性电子邮件规则将执行以下序列行动次数：
- 将电子邮件消息的 SCL 值设置为“5”
- 将电子邮件转发到目标收件人邮箱，无需 Exchange Online 服务器端的任何干预。
- 生成事件报告，并将其发送到指定收件人的电子邮件地址。在我们的具体场景中，我们要求将事件报告发送给指定的收件人（名为-欺骗电子邮件邮箱的共享邮箱）。
模拟欺骗电子邮件攻击 |场景人物
为了能够确保 Exchange Online 欺骗电子邮件规则正常工作，我们将模拟具有以下特征的欺骗电子邮件攻击：
- “敌对分子”试图使用电子邮件地址 - Suzan@o365pilot.com 来欺骗名为 -Suzan 的合法组织收件人的身份
- 欺骗性电子邮件将发送给名为 Bob 的合法组织用户，该用户使用电子邮件地址 - Bob@o365pilot.com
如果您想了解我们用于模拟电子邮件欺骗攻击的方式，您可以阅读文章 - 如何模拟电子邮件欺骗攻击 |第 11#12 部分
1#3 - 验证欺骗电子邮件是否已发送至目标收件人。
如前所述，我们不想干预邮件流。
对于发件人很可能欺骗其身份的电子邮件消息“做什么”的决定将被视为“用户”决定。 ”
在下面的屏幕截图中，我们可以看到 Suzan 发送给 Bob 的一封电子邮件。
由于 Exchange 的原因，该电子邮件被发送到垃圾邮件文件夹使用 SCL 值“5”对电子邮件进行“标记”。
当查看发送到垃圾邮件文件夹的电子邮件时，我们可以看到以下信息 -
此邮件使用 Outlook 垃圾邮件过滤器以外的垃圾邮件过滤器标记为垃圾邮件
电子邮件过滤器
意思是“其他垃圾邮件过滤器”是 Exchange Online 服务器
2#3 - 验证电子邮件的 SCL 值为“5”
如果我们想要验证 Exchange Online 使用 SCL 值 5 标记电子邮件的过程，我们可以分析电子邮件标头的内容
为了能够查看 SCL（垃圾邮件可信度）的值，我们可以查看电子邮件标头。
在下面的部分中，我们将了解如何访问电子邮件标头中的信息，然后我们将使用 ExRCA（Exchange 远程连接分析器）工具分析数据。
- 打开您要检查其 SCL 值的特定电子邮件
- 选择文件菜单
- 选择属性选项
在名为- internet headers的部分中，我们可以看到电子邮件标头的内容。
为了能够分析数据，我们将复制信息。
- 使用键盘组合键选择所有信息 - CTRL + A
- 使用键盘组合键复制信息 - CTRL + C
现在，我们将访问 ExRCA（Exchange 远程连接分析器）工具。
- 选择选项卡 - 消息分析器
- 在空白处，使用键盘组合键粘贴上一步中复制的信息 - CTRL + V
- 选择选项 -分析标头
在下面的屏幕截图中，我们可以看到结果。
名为 - X-MS-Exchange-Organization-SCL 的信息字段的值为“5”。
换句话说， SCL 值等于“5”。
3#3 - 验证事件报告是否已发送至指定收件人
我们可以看到，Exchange Online 规则“捕获”了欺骗电子邮件事件。结果，事件报告被发送到在 Exchange Online 规则中配置的收件人名称（欺骗电子邮件邮箱）。
在下面的屏幕截图中，我们可以看到事件报告电子邮件的示例。
当我们查看事件报告时，我们可以看到事件报告包括两个部分：
- 原始电子邮件的副本 (A)。
- 事故报告摘要（B）。
事件报告摘要包括以下详细信息：
- 有关事件报告电子邮件消息生成者的信息 - “此电子邮件由生成事件报告操作自动生成”（编号1）。
- 声称是合法组织收件人的发件人（“源收件人”）名为 -Suzan@o365pilot.com （编号 2）。
- 收件人（目标收件人）是 -Bob@o365pilot.com （编号3）
- 规则命中 - Exchange Online 规则“捕获”欺骗电子邮件事件以及 Exchange Online 规则执行的操作 - ”检测欺骗电子邮件并标记为垃圾邮件，操作：SetHeader、GenerateIncidentReport”（数字4）。
观看我们的视频：https://www.youtube.com/watch?v=8_O4_OhQjjk
当前文章系列的下一篇文章
阅读下一篇文章 - 使用 Exchange Online 规则检测欺骗电子邮件并删除欺骗电子邮件 |第 5 部分#12