Política SPF Fallo SPF | Implementación de la política SPF Fail usando la regla Exchange Online (que se ocupa del ataque de correo electrónico falso) | Producción fase 2 | parte 3#3 .com

El artículo actual es el último de la serie de artículos, en el que revisamos cómo implementar la política de error de SPF mediante la regla de Exchange Online. Sólo un recordatorio rápido: nuestro objetivo principal es detectar y prevenir un posible evento de ataque de correo falso.

Serie de artículos sobre políticas de fallas del SPF

La serie de artículos sobre la política SPF Fail incluyó los siguientes tres artículos:

Implementación de la política SPF Fail usando la regla Exchange Online (que se ocupa del ataque de correo electrónico falso) | Introducción
Implementación de la política SPF Fail usando la regla Exchange Online (que se ocupa del ataque de correo electrónico falso) | Fase 1 - modo de aprendizaje
Implementación de la política SPF Fail usando la regla Exchange Online (que se ocupa del ataque de correo electrónico falso) | Producción de la fase 2 (este artículo)

Modo de producción SPF

Dado que nuestra infraestructura de correo utiliza una verificación de verificación del remitente SPF, en un escenario en el que un elemento hostil falsifica la identidad de uno de los usuarios legítimos de nuestra organización, el resultado de la prueba de verificación del remitente SPF es: “SPF=Fallo”.

En el artículo anterior, implementamos la primera fase, que se describió como modo "aprendizaje" o "inspección". El objetivo de esta primera fase fue:

Familiarizarnos con los escenarios comunes de ataques de correo Spoof, que estaban dirigidos al usuario de nuestra organización.
Localice la información faltante en nuestro registro SPF sobre servidores de correo autorizados

La suposición básica es que ya hemos realizado el ajuste necesario para evitar eventos falsos positivos, causados por una configuración técnicamente omitida, etc.

Ahora estamos listos para pasar a la segunda fase, que describí como “modo de producción”.

Los protagonistas de esta fase son que ahora queremos ser más “activos”, es decir, intervenir en el flujo de correo.

En este paso, queremos evitar que se envíen al destinatario de destino mensajes de correo electrónico que tienen una alta probabilidad de ser correos falsos.

Si queremos ser más precisos, queremos detectar y bloquear mensajes de correo electrónico, en los que el remitente utiliza una dirección de correo electrónico que incluye nuestro nombre de dominio y el resultado de la prueba de verificación del remitente SPF es: "Fallo".

Las “acciones” que implementaremos con respecto al evento de correo falso serán: “redireccionar” el mensaje de correo electrónico a un almacén aislado (buzón compartido).

Sólo el personal autorizado tendrá acceso a este buzón, y el usuario designado deberá examinar el correo electrónico y decidir si aprueba entregar el correo electrónico a su destinatario original o no.

Además, se enviará una notificación de correo electrónico personalizada al destinatario de destino, informándole que nuestra infraestructura de correo identificó un correo electrónico que se le envió como correo electrónico falso.

Las necesidades del negocio | Directrices para nuestra política SPF Fail

La necesidad empresarial y los objetivos que debemos alcanzar son los siguientes:

Queremos identificar eventos en los que los mensajes de correo electrónico enviados al destinatario de nuestra organización tienen una alta probabilidad de ser correo electrónico falsificado (remitente falsificado).
Desde nuestra perspectiva, la definición de "correo electrónico falso" es una escenario en el que la dirección de correo electrónico del remitente tiene nuestro nombre de dominio (o365info.com) y además, el resultado de la prueba de verificación del remitente SPF es "Fallo".
Queremos evitar que dicho mensaje de correo electrónico llegue al buzón del destinatario de destino.
Queremos notificar al destinatario de destino que el mensaje de correo electrónico que se le envió fue bloqueado por la política de nuestra organización y enviado para una inspección adicional.
El mensaje de correo electrónico identificado por la regla de Exchange Online como "correo electrónico falso" se reenviará a un buzón compartido designado llamado buzón de correo electrónico falso.
El "destinatario designado" se implementará mediante la creación de un buzón compartido dedicado para este propósito denominado buzón de correo electrónico falso.
Este buzón contendrá los informes de incidentes que enviará Exchange Online. regla.
Sólo los usuarios autorizados, como el administrador de Exchange Online, podrán acceder al buzón compartido que almacena los correos electrónicos falsos. Esta persona deberá examinar el mensaje de correo electrónico y decidir si aprueba “liberar” el mensaje de correo electrónico y enviarlo al destinatario de destino original o no (rechazar).

Nuestros personajes de escenarios específicos.

Para poder demostrar la forma en que utilizamos la regla de Exchange Online para capturar los eventos de correo falso, en los que el resultado de la prueba de verificación del remitente SPF es "Fallo", utilizaremos el siguiente escenario:

El nombre de dominio público de nuestra empresa es: o365info.com

La condición | Identificar un evento de SPF=falla + dominio remitente es nuestro dominio

Nuestra regla de Exchange Online se configurará para "captar" el evento, en el que la dirección de correo electrónico del remitente incluye el nombre de dominio - o365info.com además; el resultado de la prueba de verificación del remitente SPF es un error (SPF=error).

La “acción” de la regla Exchange Online

La “respuesta” de la regla Exchange Online incluirá dos “pasos”:

1. Reenvíe el mensaje de correo electrónico a un buzón designado (buzón compartido) para su aprobación.

La regla de Exchange Online se configurará para "enrutar" el mensaje de correo falso a un buzón designado, que contendrá los "correos electrónicos falsos".
Una persona autorizada como Brad nuestro Exchange Online El administrador examinará estos correos electrónicos.

La persona autorizada deberá revisar el correo electrónico y decidir si lo aprueba o lo rechaza.

2. Envíe una notificación por mensaje de correo electrónico al destinatario de destino original.

Exchange Online generará y enviará una notificación de correo electrónico personalizada que informará al destinatario de destino que el mensaje de correo electrónico que se le envió se considera correo falso.

La lógica de la regla de Exchange Online

En el siguiente diagrama se presenta un resumen de la “lógica” de la regla de Exchange Online:

Configure la regla de Exchange para identificar el evento de falla de SPF: enrute el correo electrónico para su aprobación + envíe una notificación al destinatario de destino

En la siguiente sección, proporcionaremos instrucciones "paso a paso" para crear la "regla de correo electrónico falsificado de Exchange Online" requerida que responderá a nuestras necesidades comerciales.

Parte 1#2: Configurar la "parte de condición" de la regla de error SPF de Exchange

Inicie sesión en el portal de administración de Exchange
En la barra de menú de la izquierda, elija - flujo de correo
En la barra de menú superior, elija - reglas

Haga clic en el ícono más
Elija - Crear una nueva regla…

En el cuadro Nombre:, agregue un nombre descriptivo para la nueva regla.
En nuestro escenario específico, nombraremos la regla - Detectar eventos de falla de SPF | Fase 2 - Modo de producción.
Haga clic en el enlace -Más opciones…
(de forma predeterminada, la interfaz de Exchange La regla en línea incluye solo un conjunto limitado de opciones. Para poder mostrar las opciones adicionales, necesitaremos “activar” la opción Más opciones…).

Condición 1#2

En la sección denominada -Aplicar esta regla si… haga clic en la pequeña flecha negra

Elija el menú principal: El remitente…
En el submenú, seleccione la opción - el dominio es

En la ventana especificar dominio, agregue el nombre de dominio requerido que represente su organización. En nuestro escenario, el nombre de dominio público es: o365info.com
Haga clic en el icono más para agregar el nombre de dominio a la lista.

Haga clic en la opción Aceptar para guardar la configuración de la regla de Exchange Online.

Condición 2#2

En la segunda condición, le indicamos a Exchange Online que mire cada encabezado de correo electrónico y busque un evento en el que la verificación de verificación del remitente SPF sea "SPF=Fallo".

Haga clic en añadir condición

En el cuadro llamado - y, haga clic en la pequeña flecha negra

Seleccione el menú principal llamado - Un encabezado de mensaje…
Seleccione el submenú llamado - incluye cualquiera de estas palabras

Información general: el encabezado del mensaje de correo electrónico incluye muchos “campos de correo”.
El campo de correo específico que contiene el resultado de la verificación del remitente del SPF es un campo de correo llamado - Resultados de autenticación

Seleccione el menú - *Ingrese texto…

Proporcione el nombre del campo de correo que contiene el resultado de la verificación del remitente SPF; en nuestro escenario, el nombre del campo de correo es - Resultados de autenticación
Seleccione Aceptar para guardar la información.

Nota general: en este paso, proporcionamos la "cadena de texto" que buscamos.

Seleccione el menú - *Ingrese palabras…

La información sobre el resultado de la prueba de verificación del remitente SPF puede aparecer en tres opciones de estilo de texto diferentes:

FPS: Fallo
spf=falla
Recibido-SPF: Fallo

Agregaremos cada una de estas opciones.

Escriba la primera opción: SPF: Fallo y haga clic en el signo más

Continúe ingresando los dos valores de cadena SPF adicionales: spf=fail y Received-SPF: Fail
Seleccione Aceptar para guardar la información que se ingresó.

Parte 2#2: Configurar la “parte de acción” de la regla de error SPF de Exchange

En esta fase configuraremos la “segunda parte” de la regla de Exchange Online.
En la segunda parte definimos las acciones (respuesta) que ejecutará la regla de Exchange.

La respuesta de la regla de Exchange Online incluirá dos acciones distintas:

Reenvíe el mensaje de correo electrónico a un buzón designado (buzón compartido) para su aprobación.
Envíe una notificación de mensaje de correo electrónico al destinatario de destino original, quien le informará que un mensaje de correo electrónico que se le envió probablemente sea un correo falso y que este mensaje de correo electrónico se envió para una mayor investigación.

Acción 1#2: reenviar el mensaje de correo electrónico a un buzón designado (buzón compartido) para su aprobación.

En nuestro escenario, deseamos evitar que el mensaje de correo electrónico se envíe al destinatario de destino.

Un correo electrónico marcado como correo falso se enviará a una “tienda separada”. En nuestro escenario, el "almacenamiento separado" se implementa mediante el uso de un buzón compartido llamado Buzón de correo electrónico falso.

Un único usuario autorizado como Brad, nuestro administrador de Exchange Online, tendrá acceso a este buzón compartido.

La persona a la que se le permite acceder al buzón compartido deberá inspeccionar cada uno de los mensajes de correo electrónico que fueron clasificados como correo falso y decidir si el correo electrónico es legítimo (aprobar) o no aprueba (rechazar). ) el correo electrónico.

En la sección denominada - *.Haga lo siguiente… haga clic en la pequeña flecha negra.

Seleccione la opción - Redirigir el mensaje a…
Seleccione la opción del submenú - a esta gente

Seleccione el nombre del destinatario (buzón) específico al que se reenviará el mensaje de correo electrónico. En nuestro escenario específico, el destinatario que recibirá el informe de incidente es el buzón de correo electrónico falso.

Acción 2#2: enviar notificación por correo electrónico al destinatario de destino original

Nos gustaría informar al destinatario de destino que un mensaje de correo electrónico que se le envió se identificó como un "correo problemático" (correo falso) y que el correo electrónico se envió para que lo examine personal autorizado.

Haga clic en la opción añadir acción

En la sección denominada - y, haga clic en la pequeña flecha negra

Elija la opción - notificar al destinatario con un mensaje…

En la siguiente captura de pantalla, podemos ver un ejemplo de información de notificación por correo electrónico formateada con HTML.

Si desea descargar un ejemplo de dicho texto formateado, haga clic aquí

En el cuadro de texto, agregue el texto de notificación requerido.
Haga clic en Aceptar para guardar la configuración.

En la siguiente captura de pantalla, podemos ver el "resultado final": el correo electrónico falso de Exchange Online que incluye las dos partes:

La parte de la condición.
la parte de acción

Verifique que la regla de error SPF de Exchange Online funcione correctamente

En esta fase, nos gustaría probar la regla de Exchange Online que se creó en el paso anterior y verificar que funcione correctamente.

Los resultados esperados de la regla "SFP=Fail" de Exchange Online

Nuestros resultados deseados son: que la regla de Exchange se active cuando se cumpla la siguiente condición:

El correo entrante que debe enviarse a uno de los destinatarios de nuestra organización no pasó la prueba de verificación del remitente SPF; el resultado del SPF es “Fallo”.
El remitente utiliza una dirección de correo electrónico con nuestro nombre de dominio (el nombre de dominio o365info.com)

Como respuesta, la regla Exchange ejecutará la siguiente secuencia de acciones:

Reenvíe el mensaje de correo electrónico a un buzón designado (buzón compartido) para su aprobación.
Envíe una notificación de mensaje de correo electrónico al destinatario de destino original que le informará que el correo electrónico que se le envió probablemente sea un correo falso que se envió para una mayor investigación.

Simular un ataque de correo electrónico falso | Personajes del escenario

Para poder probar que la regla “SPF=Fail” de Exchange Online funciona correctamente, simularemos un ataque de correo electrónico falso que tiene los siguientes caracteres:

Enviaremos un mensaje de correo electrónico a uno de los destinatarios de nuestra organización, utilizando un cliente de correo que utiliza una dirección IP pública que no considera una dirección IP autorizada.

Nuestra expectativa es que el resultado de la prueba de verificación del remitente del SPF sea "Fallo".

En la siguiente captura de pantalla, podemos ver la información sobre el registro SPF que utiliza la organización: o365info.com

En nuestro escenario, la infraestructura de correo de la organización está alojada en la infraestructura de correo de Office 365 (Exchange Online).

Solo el servidor de correo de Office 365 se considera "servidores de correo autorizados" que pueden enviar un mensaje de correo electrónico en nombre de los destinatarios de o365info.com.

El destinatario de origen y destino que utilizaremos son los siguientes:

Un "elemento hostil" intenta falsificar la identidad de un destinatario de una organización legítima llamado -Jeff, que utiliza la dirección de correo electrónico - Jeff@o365info.com
El mensaje de correo electrónico falsificado se enviará a un usuario legítimo de la organización llamado Angelina, que utiliza la dirección de correo electrónico: angelina@o365info.com

En la siguiente captura de pantalla, podemos ver el cliente de correo (jbmail) que utilizamos para simular el ataque de correo falso.

Si desea conocer la forma que utilizamos para simular el ataque de suplantación de correo electrónico, puede leer el artículo: Cómo simular un ataque de suplantación de correo electrónico |Parte 11#12

1#2: Verifique que el correo electrónico falso se haya enviado al destinatario de destino

Como se mencionó, queremos evitar que el correo falso se envíe al destinatario de destino. En lugar del "correo electrónico original", la regla de Exchange Online genera y envía una notificación de correo electrónico personalizada al destinatario de destino (Angelina en nuestro escenario).

En la siguiente captura de pantalla, podemos ver la notificación por correo electrónico que se envió a Angelina.

La notificación por correo electrónico personalizada incluye dos partes principales:

Parte A: en esta parte, informamos al destinatario de destino sobre el evento en el que el mensaje de correo electrónico que se le envió fue identificado como correo falso. Además, proporcionamos el mensaje de correo electrónico al equipo de seguridad en caso de que desee obtener más información sobre el mensaje de correo electrónico en particular.

Parte B: esta parte incluye un informe resumido sobre los caracteres del correo electrónico: el remitente, el asunto, etc.

2#2 - Verificar que el correo falso enviado al destinatario designado para su aprobación

En la siguiente captura de pantalla, podemos ver que el correo electrónico falsificado fue "capturado" y redirigido al buzón seleccionado. En nuestro escenario, un buzón compartido llamado - Buzón de correo electrónico falso.

Nuestro administrador de Exchange Online, Brad, tiene acceso completo al buzón compartido, “buzón de correo electrónico falsificado”, y puede ver el contenido del buzón.

En la siguiente captura de pantalla podemos ver un ejemplo de correo electrónico falsificado.

Después de inspeccionar el correo electrónico, Brad puede decidir si quiere aprobarlo o rechazarlo.