使用 Exchange Online 规则检测欺骗电子邮件并发送事件报告（学习模式）|第 2 部分#12
在本文中，我们将回顾如何在 Office 365 环境中处理欺骗电子邮件场景，方法是创建一个 Exchange Online 规则，该规则将识别欺骗电子邮件（欺骗发件人）并作为响应，生成并发送向指定收件人报告事件。
在我们的方案中，我们希望在“学习模式”或“检查模式”下使用 Exchange Online 欺骗电子邮件规则。
我们不想干预邮件流，因为我们的主要目的只是收集有关“欺骗电子邮件事件”的信息。
标识为“潜在欺骗电子邮件”的电子邮件将由 Exchange Online 转发到目标组织收件人邮箱。
有关可能的欺骗电子邮件事件的信息将通过使用名为 - 事件报告的 Exchange Online 规则选项进行记录和报告。
注意 - 虽然当前文章中的信息是关于基于 Office 365 (Exchange Online) 的环境，但大多数信息也与基于 Exchange 本地的环境相关。
我们具体场景的主要特征是：
我们的 CIO 报告收到一封电子邮件，据称该电子邮件是由合法组织收件人（我们公司的 CFO）发送的，要求他将大量资金转入特定的银行帐号。
事实上，组织收件人（我们公司的 CFO）并未发送此电子邮件，并且该电子邮件很有可能是由试图攻击我们组织的敌对分子发送的。
业务需求
我们的业务需求和需要实现的目标如下：
- 我们想要识别发送给我们组织收件人的电子邮件很可能是欺骗性电子邮件（欺骗性发件人）的事件。
- 我们不想干预邮件流，因为我们的主要目的只是收集有关“欺骗电子邮件事件”的信息。换句话说，使用 Exchange Online 规则收集有关可能的欺骗电子邮件事件的信息（“学习模式”或“检查模式”）。
- 被 Exchange Online 规则识别为“欺骗电子邮件”的电子邮件将被转发到目标组织收件人邮箱。
- 我们希望将信息+欺骗电子邮件样本发送到指定的共享邮箱。
- 我们希望选定的用户（例如 Exchange Online 管理员）能够访问存储事件报告的共享邮箱，以便他可以检查和分析欺骗性电子邮件。
使用 Exchange Online 规则选项
为了能够完成此业务需求，我们可以创建一个 Exchange Online 规则，该规则将检查每封传入的邮件消息并“捕获”具有欺骗电子邮件字符的电子邮件消息。
作为响应，Exchange Online 将通过生成事件报告向指定收件人报告该事件。
Exchange Online 事件报告将包括特定电子邮件字符的摘要 + 原始电子邮件的副本。
Exchange Online 欺骗电子邮件规则结构和逻辑
激活 Exchange Online“欺骗电子邮件规则”的“触发器”将基于以下两个条件（条件 1 + 条件 2 的组合）：
- 由未经身份验证的收件人（不提供用户凭据的收件人）发送的传入电子邮件。
- 使用包含我们的公共域名的电子邮件地址展示自己的收件人。在我们的特定场景中，包含域名的电子邮件地址 - com
我们的 Exchange Online“欺骗电子邮件规则”将执行的“操作”将包括以下“部分”：
- 操作 1#1 - 生成 + 向指定收件人发送事件报告（名为 -欺骗电子邮件邮箱的共享邮箱）。
在下图中，我们可以看到 Exchange Online 欺骗电子邮件规则将实施的操作顺序：
当 Exchange Online 识别出符合“欺骗电子邮件”条件的电子邮件时，Exchange 规则将激活以下序列：
电子邮件将发送到目标收件人邮箱，无需 Exchange Online 服务器端的任何干预。
Exchange Online 将生成事件报告，该报告将发送到指定收件人的电子邮件地址。在我们的场景中，我们要求将事件报告发送给指定的收件人（名为 - 欺骗电子邮件邮箱的共享邮箱）。
只有授权用户才能访问“欺骗电子邮件共享邮箱”。在我们的特定场景中，Brad（Brad 是我们的 Exchange Online 管理员）将有权访问共享邮箱。
配置 Exchange 欺骗电子邮件规则，识别欺骗电子邮件并生成事件报告
在以下部分中，我们将提供创建所需的“Exchange Online 欺骗电子邮件规则”的“分步”说明，以满足我们的业务需求。
第 1#2 部分 - 配置 Exchange Online 欺骗电子邮件规则的“条件部分”
- 登录 Exchange 管理门户
- 在左侧菜单栏上，选择 -邮件流
- 在顶部菜单栏上，选择 -规则
- 单击加号图标
- 选择 - 创建新规则...
- 在名称：框中，为新规则添加描述性名称。
在我们的特定场景中，我们将为规则命名 - 检测欺骗电子邮件并发送事件报告 - 单击 -更多选项... 链接（默认情况下，Exchange Online 规则的界面包括只有一组有限的选项。为了能够显示其他选项，我们需要“激活”更多选项...）。
- 在名为 -如果...应用此规则的部分中，单击黑色小箭头
条件1#2
- 选择主菜单 -发件人...
- 在子菜单中，选择选项 -是外部/内部
- 在选择发件人位置窗口中，选择选项 - 组织外部。
术语“组织外部”的含义与未经身份验证的收件人，意思是 - 不向邮件服务器提供用户凭据的收件人。
条件2#2
现在，我们将在“规则条件”中添加一个额外的“层”，其中我们与
使用包含我们域名的电子邮件地址的收件人相关（o365pilot. com 在我们的特定场景中）。
如果您想了解有关 Exchange Online 术语“外部发件人”和“组织外部”含义的更多信息，请阅读以下部分：在基于 Office 365 的环境中处理电子邮件欺骗攻击 |简介 |第 1 部分#12
- 点击 - 添加条件。
- 在名为 - 和 的部分中，单击黑色小箭头。
- 选择主菜单 - 发件人...
- 在子菜单中，选择选项 - 域名是
在指定域窗口中，添加代表您的组织的所需域名。
在我们的特定场景中，公共域名是 - o365pilot.com
注意 - 不要忘记点击加号 图标添加域名。
单击确定 选项保存 Exchange Online 规则设置。
第 2#2 部分 - 配置 Exchange Online 欺骗电子邮件规则的“操作部分”
在此阶段，我们将配置 Exchange Online 规则的“第二部分”，其中我们定义针对发送给我们组织收件人之一的欺骗电子邮件的场景所需的 Exchange 响应（操作）。
在我们的场景中，我们希望指示 Exchange Online 通过创建事件报告来响应被识别为欺骗电子邮件的事件，并将其发送到指定收件人：名为 - 欺骗电子邮件邮箱。
在名为 - *.执行以下操作... 的部分中，单击黑色小箭头。
- 选择菜单选项 - 生成事件报告并将其发送至...
事件报告的设置包括两个参数：
- 将获取事件报告的“目标收件人”的名称。
- 将包含在事件报告中的信息字段。
- 要添加所需的“目标收件人”名称，请单击链接 - 选择一个...
- 在我们的特定场景中，收到事件报告的收件人是欺骗电子邮件邮箱。
要选择将包含在事件报告中的信息，请单击名为 -*包括消息属性< /跨度>
在我们的场景中，我们将选择在摘要报告中包含所有可用的邮件属性+“原始欺骗电子邮件”的副本。
- 选择选项 - 全选
在下面的屏幕截图中，我们可以查看可用的选项：
- A 部分 - 与事件报告摘要中显示的信息相关。
- B 部分 - 涉及将原始电子邮件的副本“附加”到事件报告的选项。
在下面的屏幕截图中，我们可以看到“最终结果”——Exchange Online 欺骗电子邮件，其中包括两部分：
- 条件部分
- 动作部分
验证 Exchange Online 欺骗电子邮件规则是否正常工作
在此阶段，我们要测试在上一步中创建的 Exchange Online 欺骗电子邮件规则，并验证该规则是否正常工作。
Exchange Online 欺骗电子邮件规则所需的结果
我们期望的期望是 - 当 Exchange Online 识别出发送给我们组织收件人的电子邮件很可能是欺骗性电子邮件（欺骗性发件人）的事件时，Exchange Online 欺骗性电子邮件规则将执行以下序列行动次数：
- 生成事件报告并将其发送给指定的收件人。在我们的场景中，我们要求将事件报告发送到名为 - Spoof E-mails 邮箱的共享邮箱。
模拟欺骗电子邮件攻击 |场景人物
为了能够确保 Exchange Online 欺骗电子邮件规则正常工作，我们将模拟具有以下特征的欺骗电子邮件攻击：
- “敌对分子”试图使用电子邮件地址 - Suzan@o365pilot.com 来欺骗名为 -Suzan 的合法组织收件人的身份
- 欺骗性电子邮件将发送给名为 Bob 的合法组织用户，该用户使用电子邮件地址 - Bob@o365pilot.com
注意：如果您想了解我们用于模拟电子邮件欺骗攻击的方式，您可以阅读文章 - 如何模拟电子邮件欺骗攻击 |第 11#12 部分
1#2 - 验证欺骗电子邮件是否已发送至目标收件人。
如前所述，我们不想干预邮件流，因为我们的主要目的只是收集有关“欺骗电子邮件事件”的信息。 ”
标识为“欺骗电子邮件”的电子邮件将被转发到目标组织收件人邮箱。
2#2 - 验证事件报告是否已发送至指定收件人
我们可以看到，Exchange Online 规则“捕获”了欺骗电子邮件事件。结果，事件报告被发送到在 Exchange Online 规则中配置的收件人名称（欺骗电子邮件邮箱）。
在下面的屏幕截图中，我们可以看到事件报告电子邮件的示例。
当我们查看事件报告时，我们可以看到事件报告包括两个部分：
- 原始电子邮件的副本 (A)。
- 事故报告摘要（B）。
事件报告摘要包括以下详细信息：
- 有关事件报告电子邮件消息生成者的信息 - “此电子邮件是通过生成事件报告操作自动生成的”（编号 1）。
- 发件人（“源收件人”）声称自己是合法组织收件人，名为 -Suzan@o365pilot.com（编号 2）。
- 收件人（目标收件人）是 - Bob@o365pilot.com （编号3）
- 规则命中 - Exchange Online 规则“捕获”欺骗电子邮件事件，以及 Exchange Online 规则执行的操作 - “操作：GenerateIncidentReport”（编号4）。
当前文章系列的下一篇文章
在下一篇文章 - 配置 Exchange Online 欺骗电子邮件规则的例外 |第 3 部分#12 中，我们将回顾如何创建 Exchange Online 欺骗电子邮件规则的例外。