Análisis de los resultados de la regla de correo electrónico falso de Exchange |Parte 9#12

En el artículo actual, revisaremos las opciones que están disponibles para analizar el resultado de la regla de correo electrónico falso de Exchange Online que hemos creado.
El término "analizar" se relaciona con nuestra capacidad para responder preguntas fundamentales como:

1. ¿Cuántas veces se “activó” la regla de Exchange Online que hemos creado?
2. ¿Cuál es el escenario en el que se “activó” la regla de Exchange Online que hemos creado?

Esta información es relevante para nosotros para muchos propósitos diferentes, pero para mí tiene tres objetivos principales:

1. Ser capaz de identificar escenarios de falsos positivos: el significado es una escena en la que un correo legítimo se identifica erróneamente como correo electrónico falso y se elimina o bloquea en lugar de llegar al buzón del usuario de la organización.
2. Verificar que la regla de correo electrónico falso de Exchange Online cumpla su propósito, es decir, lograr identificar un evento de correo electrónico falso y ejecutar las "acciones" requeridas que se configuraron.
3. Identifique una "tendencia" particular de ataque de correo electrónico falso, como un ataque de correo electrónico falso que se envía desde un destinatario específico o está dirigido a un destinatario de una organización específica, etc.

La gran pregunta es: ¿Exchange Online incluye herramientas de generación de informes integradas que puedan proporcionarnos este tipo de información?

La respuesta es "Sí" y "No".
"Sí", Exchange Online incluye una herramienta de informes integrada que nos permite mostrar un "informe de uso" de una regla particular de Exchange Online, como por ejemplo: el número de veces que se “activó” la regla Exchange Online local de Exchange. "

“No”, en este momento, la información que proporcionan los informes de Exchange Online no incluye información sobre cada uno de los eventos específicos en los que se “activó” la regla de Exchange Online. "

Por ejemplo, al utilizar el informe creado de Exchange Online, podemos entender que una regla particular de Exchange Online se "activó" 20 veces en el último mes, pero el informe no nos dice para qué "destinatario de origen" o "destinatario de destino". la regla fue activada.

La buena noticia es que existe una solución para estas incapacidades de Exchange Online que proporciona un informe detallado sobre cada evento separado en el que se activó la regla de Exchange Online.

La herramienta de rastreo de mensajes en línea y la búsqueda histórica

La solución que revisaremos en el artículo actual se implementa mediante la herramienta seguimiento de mensajes de Exchange Online. .

La herramienta Exchange Online rastreo de mensajes, puede proporcionarnos información muy detallada sobre cada correo entrante y para cada correo saliente que se envió a nuestros destinatarios de Office 365 y desde nuestros destinatarios de Office 365.

Exchange Online conservará esta información durante 90 días.

Además, Exchange Online incluye una característica muy útil, pero al mismo tiempo desconocida y desconocida que se describe como búsqueda histórica.

La función de seguimiento de mensajes de Exchange Online - búsqueda histórica, nos permite exportar toda la información a un CSV archivo (CSV significa valores separados por comas).

Cuando tenemos la información en un archivo CSV, podemos utilizar herramientas como Microsoft Excel que tienen capacidades que nos ayudarán a analizar los datos almacenados en el archivo CSV.

La información que Exchange Online exporta mediante CSV puede considerarse información muy detallada y la buena noticia es que cada vez que se activa una regla particular de Exchange Online, la información se guardará y se mostrará en el archivo CSV.

La noticia menos buena es que la información sobre la regla de Exchange Online que se activó no se relaciona con el "nombre" de la regla de Exchange Online, sino con el GUID (identificador único global) de la regla de Exchange Online.

El GUID implementado como un valor numérico.

En otras palabras, cuando necesitemos analizar los datos almacenados en el archivo CSV, necesitaremos buscar el número GUID de la regla particular de Exchange Online.

La pregunta ahora es: ¿cómo podemos saber cuál es el número GUID de una regla específica de Exchange Online?

Y la respuesta es: mediante el uso del comando PowerShell que “revelará” esta información

En resumen: existe la opción de analizar información sobre una regla particular de Exchange Online, pero necesitaremos un poco de esfuerzo para cosechar los frutos del éxito.

Uso de la herramienta de seguimiento de mensajes de Exchange Online y la opción de búsqueda histórica

• Inicie sesión en el portal de administración de Exchange
• En la barra de menú de la izquierda, elija - flujo de correo
• En la barra de menú superior, elija - rastreo de mensaje

El rango de fechas predeterminado es 48 horas.
Para poder “activar” la opción de seguimiento de mensajes de Exchange Online búsqueda histórica< necesitaremos utilizar un rango de tiempo personalizado (más de 7 días).

En el *cuadro Intervalo de fechas, elija la opción de Personalizado

Como mencionamos, para poder activar la opción de búsqueda histórica, necesitaremos definir fecha rango igual o mayor a 7 días.

En los siguientes pasos, necesitaremos definir el "filtro de búsqueda", como remitente, destinatario, etc.

El requisito es especificar al menos un filtro, como remitente; el destinatario es un requisito obligatorio.

Atención que en nuestro escenario particular, este “requisito obligatorio” es un problema porque nuestro deseo es obtener información sobre todas las transacciones de correo que ocurren en un rango de fechas específico, así podremos ubicar un evento específico en el que nuestro Exchange Se activó la regla de correo electrónico falsificado en línea.

En nuestro escenario, no sabemos si el ataque de correo electrónico falsificado realizado por un "destinatario de origen" específico (el remitente), y no sabemos si el correo electrónico falsificado enviado a un destinatario de destino específico (nuestra organización recipiente).

Para superar este obstáculo, utilizaremos un pequeño truco en el que definimos un "término de búsqueda" que se relaciona con un nombre de dominio particular en lugar de un nombre de destinatario de destino específico.

En nuestro escenario, el nombre de dominio de la organización es: o365pilot.com

Para poder buscar todos los mensajes de correo electrónico que se enviaron a los destinatarios de nuestra organización (destinatarios cuya dirección de correo electrónico incluye el nombre de dominio o365pilot.com), busque un “destinatario comodín” utilizando el término de búsqueda: *@

En nuestro ejemplo, el término de búsqueda es *@o365pilot.com

En la siguiente captura de pantalla podemos ver opciones adicionales que están disponibles para nosotros.

La opción más destacada e importante se describe como: Incluir eventos de mensajes y detalles en el informe (número 2).

Al marcar esta opción, solicitamos a Exchange Online que nos proporcione un informe detallado que incluirá toda la "información adicional" que no se incluye de forma predeterminada en los resultados de seguimiento de mensajes estándar.

Otras opciones son:

Título del informe (número 3). Exchange Online generará un nombre de informe predeterminado que incluirá la fecha y hora actuales; Podemos cambiar este nombre predeterminado por otro que se adapte a nuestras necesidades.

Dirección de correo electrónico de notificación (número 4): el proceso de generar el informe y guardar la información en un archivo CSV puede tardar entre 2 y 6 ~ horas.

Para poder saber cuándo finalizar el proceso y recibir una notificación que nos informe que el informe (el archivo CSV) está listo para nosotros, podemos agregar una dirección de correo electrónico de un destinatario designado, como la dirección de correo electrónico. del administrador de Exchange Online.

Después de “presionar” el botón de búsqueda, la opción de seguimiento de mensajes de Exchange Online - búsqueda histórica es “ motivado".

Aparece un mensaje de notificación que nos informa que la solicitud para generar el informe requerido se envió correctamente y que debemos verificar cuando se completó el proceso.

En la siguiente captura de pantalla, podemos ver el resultado: el archivo CSV que incluía un informe detallado sobre todas las transacciones de correo requeridas.

En nuestro ejemplo específico, podemos ver que el informe incluye 126 “filas de información” y podemos descargar el informe eligiendo el enlace llamado- Descargar esto informe

Obtener el GUID de la regla de Exchange Online

En las siguientes secciones, revisaremos cómo usar el archivo CSV que obtendremos al realizar la búsqueda histórica de seguimiento de mensajes de Exchange Online para analizar los datos sobre un flujo de correo que se aplica a una regla específica de Exchange Online.

El requisito previo para esta operación es la información sobre el valor GUID de la regla particular de Exchange Online.

Como se mencionó, la información sobre la regla de Exchange Online no aparece usando el "nombre" de la regla de Exchange Online, sino mediante el valor GUID de Exchange Online.

Para obtener el GUID de la regla de Exchange Online requerida, debemos usar el comando PowerShell

El comando de PowerShell que utilizamos para mostrar el valor GUID de las reglas de Exchange Online existentes es

Get-TransportRule |FL name, guid

En nuestro escenario específico, queremos obtener información sobre una regla específica de Exchange Online denominada: Detectar correo electrónico falsificado + Enviar un informe de incidente

El GUID de esta regla es: 41b16365-5e3d-4476-b25b-468772545c01

Para obtener más información sobre cómo usar PowerShell remoto para conectarse a Exchange Online, puede leer el artículo: Conectarse a Exchange Online usando PowerShell

Usando Microsoft Excel para analizar los datos en el archivo CSV

Antes de comenzar con las instrucciones específicas sobre cómo "extraer" la información requerida sobre un flujo de correo relacionado con una regla específica de Exchange Online, dos "consejos
que nos permitirán administrar "una gran cantidad de datos" al usar excel para ver el contenido de un archivo.

En la siguiente captura de pantalla, podemos ver el contenido del CSV creado por el seguimiento de mensajes de Exchange Online búsqueda histórica

Está claro que la “cantidad de datos” puede causar dolores de cabeza muy fácilmente.

De forma predeterminada, cuando nos desplazamos hacia abajo, los encabezados de la tabla de datos "desaparecerán".

Nuestra tarea es "fijar" los encabezados de la tabla, de modo que cuando nos desplacemos hacia abajo, quedará claro a qué fila "pertenece" la celda en particular.

Para “fijar” los encabezados de las tablas, elija el menú Ver y haga clic en el icono - Congelar paneles

Otra opción que deberíamos considerar es copiar el contenido de la hoja de Excel que incluye el informe a una hoja de Excel adicional para que podamos ejecutar diferentes opciones de Excel como filtrado y más sin “dañar” o “corromper” el original. datos.

Para poder copiar el contenido de una hoja de Excel específica, haga clic derecho en el nombre de la TAB y elija el menú Mover o Copiar…

En el cuadro de opciones, elija la opción: Crear una copia

En la siguiente captura de pantalla podemos ver la copia de la “hoja de Excel original”. Podemos cambiar el nombre de la copia a cualquier nombre adecuado.

Usando la opción de búsqueda de Excel

En la sección anterior, aprendimos cómo obtener el GUID requerido de la regla de Exchange Online específica que estamos buscando.

El procedimiento más simple que podemos utilizar para buscar información sobre "transacciones de correo" cuyo precio se rige por la regla particular de Exchange Online es utilizar una opción de "búsqueda simple".

Utilice la combinación de palabras clave CTRL + F

En la siguiente captura de pantalla, podemos ver que el resultado aparece como “ruleid=“
en otras palabras, Exchange Online proporciona información sobre una regla específica como ID de regla (identificación) y se relaciona con la regla mediante un GUID.

Utilizando la opción de búsqueda Buscar todo

Una opción más adecuada a nuestras necesidades es optar por “Buscar todo” porque la información sobre el tema específico Las filas que incluyen el valor que buscamos aparecerán muchas veces.

Cuando utilice la opción “Buscar”, haga clic en el botón - Buscar todo

En la siguiente captura de pantalla, podemos ver que el "Cuadro de búsqueda" incluye todas las "instancias" en las que se encontró la palabra clave en particular.

Usando la opción de filtro de Excel

Una opción adicional que podemos utilizar es la opción Filtro de Excel.

Para poder “filtrar” las filas específicas que incluyen el valor que buscamos, siga los siguientes pasos:

• Coloque el cursor del mouse en algún lugar de la tabla de datos.
• Elija el menú Datos y haga clic en Icono de Filtro

En la siguiente captura de pantalla, podemos ver que aparece una “pequeña flecha” en el lado derecho del encabezado de cada columna.

La información sobre la regla de Exchange Online aparece en la columna denominada- custom_data

• Elija el encabezado de la columna custom_data y haga clic en la pequeña flecha negra.
• Elija el menú Filtros de texto
• En el submenú elija el menú Contiene…

En el cuadro de texto, agregue el valor GUID de la regla de Exchange Online específica que está buscando.

En la siguiente captura de pantalla, podemos ver el resultado.
La información que aparece es una “información filtrada” que incluye solo las filas relevantes, es decir, filas de información que incluyen el número GUID que buscamos.

Uso del informe de Office 365 para obtener información sobre la regla de Exchange Online

En la siguiente sección, revisaremos una herramienta adicional: el informe de Office 365 que puede ayudarnos a obtener más información sobre el flujo de correo relacionado con una regla específica de Exchange Online.

El carácter principal del informe de Office 365 es la información proporcionada mediante el uso de Graff, y el objetivo principal de este informe es proporcionar una vista de "alto nivel" de una infraestructura específica de Office 365.

En nuestro escenario particular, usaremos un informe específico de Office 365 que nos ayudará a obtener información sobre una regla de correo electrónico falsificado de Exchange Online que hemos creado.

En este momento, el informe de Office 365 no se puede utilizar para proporcionar información detallada sobre cada transacción de correo específica, sino que nos brinda consultas generales sobre la "tendencia" de la regla particular de Exchange Online y la cantidad de tiempo en que Exchange Online La regla fue “activada”.

El nombre del informe de Exchange Online que utilizamos para obtener información sobre una regla particular de Exchange Online es: Coincidencia de reglas para todo el correo

Para poder ver el informe que muestra información sobre la "coincidencia" con las reglas de transporte existentes de Exchange Online, siga los siguientes pasos:

• Inicie sesión en el portal de administración de Office 365
• En la barra de menú de la izquierda, elija - informes
• Haga clic en el informe denominado: Coincidencias de reglas para correo

En la ventana que aparece, podemos ver un Graff que describe el flujo de correo relacionado con todas las reglas de Exchange Online existentes.

En nuestro escenario, estamos interesados en una regla particular de Exchange Online.
Para poder ver información sobre una regla específica de Exchange Online, haga clic en la flecha pequeña en < cuadroSección de reglas

En nuestro escenario específico, elegiremos mostrar información sobre la regla de suplantación de Exchange Online que hemos creado llamada -
Detectar correo electrónico falsificado - Eliminar el correo electrónico + Enviar un informe de incidente

En la siguiente captura de pantalla, podemos ver el resultado.
Elegimos el rango de tiempo predeterminado de "últimos siete días".

Podemos ver que la regla Exchange fue “activada” o “disparada” en las fechas 06/12 entre 08/12

En caso de que necesitemos información más detallada como el número de veces en que se activó la regla específica de Exchange Online, podemos usar la opción de - Ver mesa

En la siguiente captura de pantalla, podemos ver la “vista de tabla“.

Podemos ver que la regla Exchange Online se activó en la fecha 12/07

Verificar si se usó la regla de Exchange Online mediante el seguimiento de mensajes de Exchange Online

Una herramienta adicional que podemos utilizar para obtener información sobre una “transacción de correo” específica es utilizar la opción de seguimiento de mensajes de Exchange Online.

Supongamos que hemos configurado una regla de correo electrónico falso de Exchange Online que debería identificar y eliminar elementos de correo; que parecen ser mensajes de correo electrónico falsificados.

El "problema" es que cuando Exchange Online identifica un correo electrónico falsificado, el correo se eliminará, pero no podemos saber acerca de este evento y no estamos completamente seguros de que la regla de Exchange Online esté "forzando" la política requerida.

Para verificar qué sucedió con un "correo electrónico falso escaso", simularemos un ataque de correo electrónico falso y luego usaremos el mensaje de Exchange Online para rastrear y verificar si el mensaje de correo electrónico falsificado fue "capturado" por Exchange Online Spoof E. -regla de correo.

En nuestro escenario específico, hemos enviado nuevamente un mensaje de correo electrónico falso de un destinatario no autenticado que utilizará la identidad de Suzan@o365pilot.com al que intentamos enviar mensajes de correo electrónico. al destinatario llamado bob que utiliza la dirección de correo electrónico: Bob@o365pilot.com

En nuestro escenario, queremos probar la siguiente regla de Exchange Online:

La regla debe identificar una escena en la que el anfitrión intenta hacerse pasar por un destinatario legítimo de la organización.

En este caso, la regla debe

1. Eliminar el mensaje de correo electrónico
2. Generar + enviar un informe de incidente a un destinatario designado

En la siguiente captura de pantalla, podemos ver el contenido de nuestra regla específica de correo electrónico falsificado
de Exchange Online:

Simularemos el escenario de correo electrónico falso que será enviado por Suzan@o365pilot.com y en el siguiente paso, usaremos el seguimiento de mensajes de Exchange Online para obtener más información sobre el flujo del mensaje de correo electrónico falsificado específico que se envió al destinatario de destino: Bob@o365pilot.com

Si desea leer más información sobre cómo simular un ataque de correo electrónico falsificado, lea el artículo -Cómo simular un ataque de correo electrónico falsificado |Parte 11#12

Para poder “rastrear” el flujo de correo del mensaje de correo electrónico falsificado que enviamos al destinatario de destino: Bob@o365pilot.com, usaremos el mensaje de Exchange Online. rastro

• Inicie sesión en el portal de administración de Exchange
• En la barra de menú de la izquierda, elija -flujo de correo
• En la barra de menú superior, elija - rastreo de mensaje

En nuestro escenario específico, buscamos el mensaje de correo electrónico que se envió al destinatario Bob@o365pilot.com

En la siguiente captura de pantalla podemos ver el resultado. El resultado detalla todos los mensajes de correo electrónico que se enviaron a Bob@o365pilot.com

Estamos interesados en un mensaje de correo electrónico enviado por Suzan@o365pilot.com

El estado del correo electrónico es “Error“

A primera vista, parece un problema, pero la traducción del término “Error” es que el
mensaje de correo electrónico no llegó al destino. buzón del destinatario.

En nuestro escenario, este es el resultado deseado porque esperamos que la regla de correo electrónico falsificado de Exchange Online identifique, bloquee y elimine el mensaje de correo electrónico falsificado.

En caso de que queramos obtener más detalles sobre el flujo de correo, debemos hacer doble clic en la fila de registro.

Ahora podemos ver la “cadena de eventos” que ocurrió en el mensaje de correo electrónico.

Podemos ver que Exchange Online acepta el mensaje de correo electrónico falsificado (aparece como RECIBIR)

Debido a que Exchange Online encontró una "coincidencia" con la regla particular que creó, Exchange Online seguirá las instrucciones que aparecen en la regla:

• El mensaje de correo electrónico falsificado se eliminará (número 1).
• Exchange Online creará un informe de incidente y lo enviará al destinatario designado (número 2).

El próximo artículo de la serie de artículos actual.

En el próximo artículo: Simulación de un ataque de suplantación de correo electrónico | Parte 10#12, revisaremos cómo simular un ataque de suplantación de correo electrónico.