Detectar correos electrónicos falsos y enviarlos a: Cuarentena del USUARIO mediante la regla de Exchange Online |Parte 8#12

En el artículo actual, revisaremos cómo lidiar con el escenario de correo electrónico falsificado en un entorno de Office 365, mediante la creación de una regla de Exchange Online que identificará el correo electrónico falsificado (remitente falso) y como respuesta: "enrutar" este correo electrónico. -mail a la cuarentena del usuario de Exchange Online.
En nuestro escenario, no queremos permitir que el correo electrónico se envíe al buzón del usuario de la organización.

En su lugar, nos gustaría enrutar el correo electrónico que tiene los caracteres de correo electrónico falso a un "área segura" o un "área aislada" a la que pueda acceder el propio usuario y también un representante autorizado, como Exchange. Administrador en línea.

Además de "enrutar" el correo electrónico falso a la cuarentena de Exchange Online, nos gustaría implementar un procedimiento de notificación en el que notifiquemos al "destinatario de destino" y a nuestro representante sobre el hecho de que se envió un correo electrónico falso a cuarentena.

1. La "notificación del destinatario" se implementará mediante un mensaje de correo electrónico personalizado que crearemos y será utilizado por la regla de Exchange Online.
2. La información sobre el posible evento de correo electrónico falso se registrará y reportará mediante la opción de regla de Exchange Online denominada informe de incidente.

Los personajes principales del escenario de ataque de correo electrónico falso:

Nuestro CIO, informa que recibe un correo electrónico, supuestamente enviado por un destinatario legítimo de la organización (el director financiero de nuestra empresa) que le solicita que transfiera una cantidad sustancial de dinero a un número de cuenta bancaria específico.

En realidad, el destinatario de la organización (el director financiero de nuestra empresa) no envió este mensaje de correo electrónico y existe una alta probabilidad de que el correo electrónico sea enviado por un elemento hostil que intenta atacar nuestra organización.

Las necesidades del negocio

La necesidad empresarial y los objetivos que debemos alcanzar son los siguientes:

1. Queremos identificar eventos en los que los mensajes de correo electrónico enviados al destinatario de nuestra organización tienen una alta probabilidad de ser correos electrónicos falsificados (remitente falsificado).
2. Deseamos evitar que el correo electrónico falsificado llegue al buzón del usuario de la organización.
3. No queremos eliminar el mensaje de correo electrónico que parece un correo electrónico falsificado. En su lugar, queremos enviar el correo electrónico falsificado a un "área restringida", es decir, la cuarentena de usuario de Exchange Online.
4. Queremos permitir que el "destinatario de destino" (el destinatario que debería haber recibido el mensaje de correo electrónico antes de que el mensaje de correo electrónico fuera enviado a cuarentena) pueda acceder a "su espacio de cuarentena", ver el mensaje de correo electrónico y decidir qué hacer con el mensaje de correo electrónico.
5. La cuarentena de usuario de Exchange Online es accesible para el destinatario específico a quien le envió el correo electrónico y se enruta a la cuarentena de Exchange Online + un representante autorizado, como el administrador de Exchange Online, podrá acceder a la cuarentena de Exchange Online.
6. Queremos notificar al destinatario de destino que un mensaje de correo electrónico que se le envió fue clasificado como correo electrónico falsificado y enviado a la cuarentena de Exchange Online.
7. Queremos enviar información sobre el correo electrónico falsificado + una muestra del correo electrónico falsificado a un buzón compartido designado mediante la opción Exchange Online del informe de incidente.
8. Queremos que el usuario seleccionado (como el administrador de Exchange Online) pueda acceder al buzón compartido que almacena los informes de incidentes, para que pueda inspeccionar y analizar el mensaje de correo electrónico falsificado.

Exchange Online: cuarentena de usuarios versus cuarentena administrativa

Exchange Online ofrece dos tipos de “cuarentena”.

• Solo se puede acceder a la cuarentena administrativa de Exchange Online si se cuenta con el permiso requerido, como el administrador de Exchange Online. Sólo el administrador de Exchange Online tiene el "derecho" a acceder a la cuarentena y decidir si desea liberar un mensaje de correo electrónico particular desde el espacio de cuarentena al buzón del usuario.
• Solo el usuario a quien el mensaje de correo electrónico que le envió se enruta al espacio de cuarentena + el usuario con el permiso requerido, como el administrador de Exchange Online, puede acceder a la cuarentena de usuarios de Exchange Online. Al utilizar la cuarentena de usuario de Exchange Online, el usuario puede decidir por sí mismo si desea "liberar" un elemento de correo en particular de la cuarentena a su buzón.

P: ¿Cuál es el proceso diferente que implementa Exchange Online con respecto a un mensaje de correo electrónico enviado a la cuarentena de usuario de Exchange Online frente a la cuarentena administrativa?

Un:

• El mensaje de correo electrónico se puede "enviar" al usuario en cuarentena mediante el componente de Exchange Online descrito como: Filtro de spam de Exchange Online.
• El mensaje de correo electrónico se puede "enviar" a la cuarentena administrativa mediante una regla de Exchange Online.

Una breve descripción del filtro de spam de Exchange Online

El componente Exchange Online filtro de spam puede considerarse parte del EOP (protección de Exchange Online).

El Exchange Online filtro de spam nos permite definir nuestra política deseada con respecto a los mensajes de correo electrónico que tienen un SCL específico. valor.

Aunque el término SCL significa nivel de confianza de spam, el propósito del SCL es clasificar el "nivel de riesgo" de un elemento de correo electrónico en particular.

Un elemento de correo electrónico específico puede considerarse problemático o peligroso, no solo porque el correo electrónico se considera spam sino por muchas otras razones, como: mensaje de correo electrónico que se reconoce como correo electrónico falso, mensaje de correo que puede considerarse un correo electrónico de phishing, mensaje de correo electrónico que se envía por correo al servidor que tiene mala reputación, etc.

El rango de valores de SCL que utiliza Exchange Online es de -1 a 9.

• El valor SCL de 2 -5 se asigna a mensajes de correo electrónico con un nivel de riesgo bajo o medio.
• Se asigna un valor SCL de 6 -9 a un mensaje de correo electrónico de alto riesgo.

No supongamos que Exchange Online (o EOP si queremos ser más precisos) decide “sellar”
mensaje de correo electrónico con un valor SCL específico que oscila entre 2 y 9.

P: ¿Qué está configurado para "hacer" Exchange Online con dichos mensajes de correo electrónico?

A: La configuración predeterminada del filtro de spam de Exchange Online es reenviar mensajes de correo electrónico al buzón del destinatario de destino independientemente de su valor SCL.

Por ejemplo, incluso cuando el valor SCL de un mensaje de correo electrónico específico sea superior a 1 (2-9), el
mensaje de correo electrónico se enviará al destinatario sin ninguna intervención del servidor Exchange Online.

El servidor Exchange Online considerado como “Neutral”. Su trabajo principal es "sellar" el mensaje de correo electrónico con un "valor de nivel de riesgo" específico (el valor SCL) y la decisión de "qué hacer" con un mensaje de correo electrónico problemático o peligroso es una "decisión del usuario".

La mayoría de las veces, cuando la aplicación de usuario de correo, como Outlook u OWA, reconoce que el correo electrónico tiene un valor SCL alto (2-9), la aplicación de correo enviará el correo electrónico a la carpeta de correo no deseado.

Cambiar la política predeterminada de filtro de spam de Exchange Online

El administrador de Exchange Online puede cambiar la configuración predeterminada del filtro de spam de Exchange Online e "instruir" al filtro de spam de Exchange Online que implemente otras acciones para un correo electrónico que tenga un valor SCL específico.

Por ejemplo, podemos definir una configuración en la que el filtro de spam de Exchange Online enviará un mensaje de correo electrónico indicando que su valor SCL está entre 6 y 9 a la cuarentena de Exchange Online en lugar de entregar el correo electrónico al buzón del usuario.

La combinación de regla de Exchange Online + filtro de spam de Exchange Online

Como se mencionó, la capacidad de enviar mensajes de correo electrónico a la cuarentena del usuario de Exchange Online (el espacio de cuarentena al que puede acceder el destinatario) se puede implementar solo si cambiamos la respuesta predeterminada del filtro de spam de Exchange Online e instruimos a Exchange Online. Filtro de spam para enviar mensajes de correo electrónico con un valor SCL específico a la cuarentena.

Para poder implementar nuestro escenario deseado en el que el correo electrónico falso se enviará al usuario de Exchange Online en cuarentena, usaremos un pequeño truco.

La primera fase será: cambiar la configuración predeterminada del filtro de spam de Exchange Online para que los mensajes de correo electrónico que tengan un valor SCL alto, es decir, un valor entre 6 y 9, se envíen automáticamente al usuario de cuarentena de Exchange Online en lugar de reenviarse a el buzón del destinatario.

En la siguiente fase, crearemos una regla de Exchange Online, que “sellará” el correo electrónico falso utilizando el valor SCL de “9”.

El flujo que se implementará será:

1. El mensaje de correo electrónico se clasifica como correo electrónico falso según la regla de Exchange Online.
2. Exchange Online sella el mensaje de correo electrónico utilizando el valor SCL de "9".
3. El filtro de spam de Exchange Online reconoce que un mensaje de correo electrónico específico tiene el valor SCL de "9" y, por este motivo, envía el mensaje de correo electrónico al usuario de Exchange Online en cuarentena.

La estructura y la lógica de las reglas de correo electrónico falsificado de Exchange Online

El activador de regla de Exchange Online

El "desencadenante" que activará la "regla de correo electrónico falsificado" de Exchange Online se basará en las dos condiciones siguientes (una combinación de la condición 1 + la condición 2):

1. Un mensaje de correo electrónico entrante enviado por un destinatario no autenticado (destinatario que no proporciona credenciales de usuario).
2. Un destinatario que se presenta utilizando una dirección de correo electrónico que incluye nuestro nombre de dominio público. En nuestro escenario específico, una dirección de correo electrónico que incluya el nombre de dominio - com

La respuesta de la regla de Exchange Online

Antes de comenzar con la descripción del flujo de reglas de Exchange Online, comencemos con el primer paso en el que cambiamos la configuración predeterminada del filtro de spam de Exchange Online.

En nuestro escenario, cambiaremos la configuración predeterminada de la sección denominada "Spam de alta confianza", que muestra un mensaje de correo electrónico con un valor SCL entre 6 y 9.

Le indicaremos al filtro de spam de Exchange Online que envíe este tipo de mensajes de correo electrónico a la cuarentena de usuarios de Exchange Online.

La cuarentena de usuario de Exchange Online es un "espacio aislado" al que puede acceder el destinatario de Exchange Online (cada destinatario de Exchange Online tiene su propio espacio de cuarentena privado) y, además, el administrador de Exchange Online puede acceder al espacio de cuarentena.

Cuarentena de usuarios de Exchange Online

La "acción" que ejecutará nuestra "regla de correo electrónico falsificado" de Exchange Online incluirá las siguientes "partes":

1. Identifique el correo electrónico que tenga caracteres de correo electrónico falsificado

2. La regla de Exchange Online cambiará/actualizará el valor SCL del correo electrónico falso a "9".

Tenga en cuenta que el hecho de que el valor SCL del correo electrónico sea "9" hará que el filtro de spam de Exchange Online dirija el correo electrónico a la cuarentena de usuario de Exchange Online en lugar de enviarlo al buzón del destinatario.

3. Envíe una notificación por correo electrónico personalizada al destinatario de destino.

Informar al destinatario de destino que un correo electrónico que se le envió fue identificado como correo electrónico falso y enviado a cuarentena administrativa.

La regla de Exchange Online generará una notificación de mensaje de correo electrónico personalizada, que se enviará al destinatario de destino que debía recibir el correo electrónico (el correo electrónico que se identificó como correo electrónico falsificado y se envió a cuarentena).

En nuestro escenario particular, crearemos una notificación de correo electrónico personalizada y usaremos un código HTML para que el mensaje de notificación sea fácil de entender y útil para los destinatarios de nuestra organización.

4. Generar un informe de incidente

La regla de Exchange Online generará un informe de incidente que se enviará a la dirección de correo electrónico del destinatario designado. En nuestro escenario, solicitamos enviar el informe de incidente a un destinatario designado (buzón de correo compartido llamado - buzón de correo electrónico falso).

Sólo los usuarios autorizados pueden acceder al “buzón compartido de correo electrónico falso”. En nuestro escenario específico, Brad (Brad es nuestro administrador de Exchange Online) tendrá acceso al buzón compartido.

En el siguiente diagrama, podemos ver la secuencia de acciones implementadas por la regla de correo electrónico falsificado de Exchange Online:

Imagen del diagrama próximamente: La lógica de la regla de correo electrónico falsificado de Exchange que envía correos electrónicos falsificados: cuarentena del USUARIO

Configuración de la configuración predeterminada del filtro de spam de Exchange Online

En la siguiente sección, cambiaremos la configuración predeterminada del filtro de spam de Exchange Online, configurando el filtro de spam para enviar un mensaje de correo electrónico con un valor SCL alto a cuarentena.

• Inicie sesión en el portal de administración de Exchange
• En la barra de menú de la izquierda, elija -protección
• En la barra de menú superior, elija - filtro de spam

• Elija el menú: spam y acción masiva
• En la sección denominada Spam de alta confianza, haga clic en la pequeña flecha negra.

• Elija la opción de - Mensaje de cuarentena

En la siguiente captura de pantalla podemos ver el resultado.

• Se enviará un mensaje de correo electrónico con “SCL bajo” (2-5) al buzón del destinatario de destino.
• Se enviará un mensaje de correo electrónico con "SCL alto" (6-9) a la cuarentena de Exchange Online.

Configuración de la regla de correo electrónico falsificado de Exchange Online | Enviar al usuario Cuarentena | Enviar notificación por correo electrónico personalizada al usuario final | Generar un informe de incidente

En la siguiente sección, proporcionaremos instrucciones "paso a paso" para crear la "regla de correo electrónico falsificado de Exchange Online" requerida que responderá a nuestras necesidades comerciales.

Parte 1#2: configurar la "parte de condición" de la regla de correo electrónico falsificado de Exchange Online

• Inicie sesión en el portal de administración de Exchange
• En la barra de menú de la izquierda, elija -flujo de correo
• En la barra de menú superior, elija -reglas

• Haga clic en el icono más
• Elija - Crear una nueva regla…

• En el cuadro Nombre:, agregue un nombre descriptivo para la nueva regla.
  En nuestro escenario específico, nombraremos la regla - Detectar correo electrónico falso - Enviar al usuario Cuarentena
• Haga clic en el enlace -Más opciones… (de forma predeterminada, la interfaz de la regla de Exchange Online incluye solo un conjunto limitado de opciones. Para poder mostrar las opciones adicionales, necesitaremos “activar” la opción Más opciones…).

• En la sección denominada -Aplica esta regla si… haz clic en la pequeña flecha negra

Condición 1#2

• Elija el menú principal -El remitente…
• En el submenú, seleccione la opción -Es externo/interno

• En la ventana seleccionar ubicación del remitente, elija la opción - Fuera de la organización.
  El significado del término “fuera de la organización”, se relaciona con un destinatario no autenticado, es decir, un destinatario que no proporciona credenciales de usuario al servidor de correo.

Condición 2#2

Ahora, agregaremos una “capa” adicional a la “condición de regla”, en la que nos relacionamos con
el destinatario que utiliza una dirección de correo electrónico que incluye nuestro nombre de dominio (o365pilot. com en nuestro escenario específico).

Si desea obtener más información sobre el significado de los términos de Exchange Online: "Remitente externo" y "fuera de la organización", lea la siguiente sección: Cómo lidiar con un ataque de suplantación de correo electrónico en un entorno basado en Office 365 | Introducción | Parte 1#12

• Haga clic en - añadir condición.

• En la sección denominada - y haga clic en la pequeña flecha negra.

• Elija el menú principal: El remitente…
• En el submenú, seleccione la opción - el dominio es

En la ventana especificar dominio, agregue el nombre de dominio requerido que represente su organización.
En nuestro escenario específico, el nombre de dominio público es: o365pilot.com

Nota: No olvide hacer clic en el icono más para agregar el nombre de dominio.

Haga clic en la opción Aceptar para guardar la configuración de la regla de Exchange Online.

Parte 2#2: Configuración de la “parte de acción” de la regla de correo electrónico falsificado de Exchange Online

En esta fase, configuraremos la "segunda parte" de la regla de Exchange Online, en la que definimos la respuesta (acción) requerida de Exchange ante un escenario de correo electrónico falsificado que se envió a uno de los destinatarios de nuestra organización.

En nuestra situación, deseamos indicarle a Exchange Online que responda al evento en el que
un correo electrónico se identifique como correo electrónico falso implementando las siguientes acciones:

1#3: selle el mensaje de correo electrónico que se identificó como un correo electrónico falso utilizando el valor SCL de “9. ”

• En la sección denominada -Haz lo siguiente… haz clic en la pequeña flecha negra

• Elija la opción de menú -Modificar las propiedades del mensaje…
• En el submenú, elija la opción de menú -establecer el nivel de conferencia de spam (SCL)

En la ventana denominada - especificar SCL, elegiremos el valor predeterminado de “9 ”

• Elija Aceptar para guardar los ajustes de configuración.

3#3: crear una notificación por correo electrónico que se envíe al destinatario de destino.

En este paso, definiremos la acción que enviará una notificación por correo al destinatario de Exchange Online que se suponía que debía recibir el mensaje de correo electrónico.

• Haga clic en la opción -añadir acción

• En la sección y , haga clic en la pequeña flecha negra

• Elija la opción de menú -Notificar al destinatario con un mensaje…

Este es un ejemplo del contenido del mensaje de correo electrónico personalizado.

En la ventana "proporcionar el texto del mensaje", agregue el texto de notificación por correo electrónico requerido.

Técnicamente, el contenido de la notificación por correo electrónico puede ser un simple mensaje de texto.
En nuestro escenario, he preparado una notificación por correo electrónico utilizando un formato HTML.

Si quieres descargar un ejemplo al formato HTML que he utilizado, puedes descargar el ejemplo desde el siguiente enlace

3#3: cree un informe de incidente y envíelo a un destinatario designado.

En este paso, definiremos la "última acción", en la que le indicamos a Exchange Online que genere y envíe un informe de incidente a un destinatario designado.

• Haga clic en la opción - añadir acción

• En la sección denominada - *. y… haga clic en la pequeña flecha negra.

• Elija la opción de menú - Generar informe de incidente y enviarlo a…

La configuración del informe de incidentes incluye dos parámetros:

1. El nombre del "destinatario de destino" que recibirá el informe de incidente.
2. Los campos de información que se incluirán dentro del informe de incidente.

• Para agregar el nombre del “destinatario de destino” requerido, haga clic en el enlace - Seleccione uno…

• En nuestro escenario específico, el destinatario que recibirá el informe de incidente es el buzón de correo electrónico falso.

Para seleccionar la información que se incluirá en el informe de incidente, haga clic en el enlace denominado-*incluir propiedades del mensaje< /lapso>

En nuestro escenario, elegiremos incluir todas las propiedades de mensaje disponibles en el informe resumido + una copia del "mensaje de correo electrónico falso original".

• Seleccione la opción - Seleccionar todo

En la siguiente captura de pantalla podemos visualizar las opciones disponibles:

• Parte A: se relaciona con la información que aparecerá en el resumen del informe de incidente.
• Parte B: se relaciona con la opción de “adjuntar” una copia del mensaje de correo electrónico original al informe de incidente.

En la siguiente captura de pantalla, podemos ver el "resultado final": el correo electrónico falso de Exchange Online que incluye las dos partes:

• La parte de la condición.
• la parte de acción

Verificación de que la regla de correo electrónico falsificado de Exchange Online esté funcionando correctamente

En esta fase, nos gustaría probar la regla de correo electrónico falso de Exchange Online creada en el paso anterior y verificar que funcione correctamente.

Los resultados requeridos de la regla de correo electrónico falsificado de Exchange Online

Nuestras expectativas deseadas son: cuando Exchange Online identifica eventos en los que los mensajes de correo electrónico enviados al destinatario de nuestra organización tienen una alta probabilidad de ser correo electrónico falsificado (remitente falsificado), la regla de correo electrónico falso de Exchange Online ejecutará la siguiente secuencia de acciones:

1. Identifique el evento de: mensajes de correo electrónico entrantes que tengan los caracteres de
   correo electrónico falso.
2. Selle el mensaje de correo electrónico utilizando el valor SCL de “9”.
3. Envíe un mensaje de notificación por correo electrónico personalizado al destinatario de destino (Bob en nuestro escenario específico) notificándole que se le envió un correo electrónico falso. El mensaje de correo electrónico incluirá un vínculo a la cuarentena del usuario de Exchange Online.
4. Generar un reporte de incidente, que será enviado a la dirección de correo electrónico del destinatario designado. En nuestro escenario específico, solicitamos enviar el informe de incidente a un destinatario designado (buzón compartido llamado - buzón de correo electrónico falso).

Simular un ataque de correo electrónico falso | Personajes del escenario

Para poder garantizar que la regla de correo electrónico falso de Exchange Online funcione correctamente, simularemos un ataque de correo electrónico falso que tiene los siguientes caracteres:

• Un "elemento hostil" está intentando falsificar la identidad de un destinatario de una organización legítima llamado -Suzan utilizando la dirección de correo electrónico - Suzan@o365pilot.com
• El mensaje de correo electrónico falsificado se enviará a un usuario legítimo de la organización llamado Bob, que utiliza la dirección de correo electrónico: Bob@o365pilot.com

Si desea conocer la forma que utilizamos para simular el ataque de suplantación de correo electrónico, puede leer el artículo: Cómo simular un ataque de suplantación de correo electrónico |Parte 11#12

1#6 - Verificar que se envíe un mensaje de notificación por correo electrónico personalizado al destinatario de destino

En la siguiente captura de pantalla, podemos ver un ejemplo de la notificación de correo electrónico personalizada que se envía al destinatario de destino mediante la regla de Exchange Online.

Imagen próximamente

La notificación por correo electrónico personalizada incluye un par de "partes".

1. La parte superior (parte A) incluye la “notificación de advertencia” que informa al destinatario que un mensaje de correo electrónico que se le envió probablemente sea un correo electrónico falso.
2. La segunda parte (parte B) incluye un enlace a la “cuarentena personal” para que sea más fácil para el destinatario acceder a su cuarentena personal. La dirección URL de la cuarentena personal es: https://admin.protection.outlook.com/quarantine
3. La tercera parte (parte C) incluye un resumen del informe del mensaje de correo electrónico.
4. La parte inferior (parte D) incluye información sobre las “personas de contacto” con las que el destinatario puede contactar en caso de que necesite más información sobre el evento específico.

Imagen próximamente

2#6: verificar que el correo electrónico falsificado se envíe a la cuarentena del usuario y que el destinatario pueda acceder a la cuarentena del usuario.

Para poder ver el contenido de la cuarentena de usuario de Exchange Online, el usuario puede utilizar el siguiente enlace: https://admin.protection.outlook.com/quarantine

El destinatario puede decidir qué correo electrónico determinado considera legítimo y enviarlo a su buzón o dejarlo en cuarentena.

Imagen próximamente

3#6: Verificar que el filtro de spam de Exchange Online envió una notificación por correo electrónico al destinatario

En caso de que el correo electrónico enviado a Exchange Online esté en cuarentena mediante el filtro de spam de Exchange Online, el filtro de spam de Exchange Online es responsable de generar y enviar una notificación de correo electrónico al destinatario que incluya enlaces a los elementos de correo electrónico almacenados en la cuarentena de usuarios de Exchange Online.

En la siguiente captura de pantalla, podemos ver un ejemplo de dicho mensaje de correo electrónico.

Imagen próximamente

4#6: verificar que el correo electrónico falsificado se envió a la cuarentena y que el administrador de Exchange Online pueda ver el correo electrónico.

Para poder ver el contenido de la cuarentena de Exchange Online, iniciaremos sesión en el portal administrativo de Exchange Online.

• En el menú de la barra lateral izquierda, elija el menú - protección
• En el menú de la barra superior, elija el menú - cuarentena

En la siguiente captura de pantalla podemos ver el contenido de la cuarentena administrativa de Exchange Online.

Podemos ver que el mensaje de correo electrónico que se envió desde Suzan@o365pilot.com (el destinatario que utilizamos para simular el ataque de correo electrónico falsificado) fue “capturado por Exchange Regla de correo electrónico falsificado en línea y enviado a la cuarentena administrativa de Exchange Online.

Imagen próximamente

El administrador de Exchange Online puede ver el mensaje de correo electrónico que se envió a la cuarentena administrativa y decidir si desea enviar el correo electrónico a su "destino original", es decir, el buzón del destinatario.

Imagen próximamente

5#6: verificar que la regla de Exchange Online selle el mensaje de correo electrónico utilizando el valor SCL de "9".

En caso de que queramos comprobar el proceso en el que la regla de Exchange Online marca el mensaje de correo electrónico utilizando un valor SCL de “9”, podemos analizar el contenido del encabezado del correo electrónico.

En la siguiente sección veremos cómo acceder a la información del encabezado del correo electrónico y luego analizaremos los datos utilizando la herramienta ExRCA (Analizador de conectividad remota de Exchange).

• Abra el mensaje de correo electrónico específico en el que desea verificar su valor SCL

Imagen próximamente

• Elija el menú Archivo
• Elija la opción propiedad

Imagen próximamente

En la sección denominada encabezados de Internet, podemos ver el contenido del encabezado del correo electrónico.

Para poder analizar los datos copiaremos la información.

• Seleccione toda la información usando la combinación de teclas del teclado - CTRL + A
• Copie la información utilizando la combinación de teclas del teclado: CTRL + C

Imagen próximamente

Ahora, accederemos a la herramienta ExRCA (Analizador de conectividad remota de Exchange).

• Elija la pestaña - Analizador de mensajes
• En el espacio en blanco, pegue la información que se copió en el paso anterior usando la combinación de teclas del teclado: CTRL + V
• Elija la opción - Analizar encabezados

Imagen próximamente

En la siguiente captura de pantalla podemos ver los resultados.

El valor del campo de información denominado X-MS-Exchange-Organization-SCL es “9”.
En otras palabras, el valor SCL es igual a “9”.

Imagen próximamente

6#6: verificar que se envió un informe de incidente al destinatario designado.

Podemos ver que la regla de Exchange Online "captura" un evento de correo electrónico falso.

Como resultado, se envió un informe de incidente al nombre del destinatario (buzón de correo electrónico falso) que se configuró en la regla de Exchange Online.

Imagen próximamente

En la siguiente captura de pantalla podemos ver un ejemplo del correo electrónico de informe de incidencias.

Cuando miramos el informe de incidente, podemos ver que el informe de incidente incluye dos partes:

• La copia del mensaje de correo electrónico original (A).
• El resumen del informe del incidente (B).

El resumen del informe de incidentes incluye detalles como:

• Información sobre el generador del mensaje de correo electrónico del informe de incidente: “Este correo electrónico fue generado automáticamente por la acción Generar informe de incidente” (número 1).
• El remitente (el "destinatario de origen") que afirma ser un destinatario legítimo de la organización llamado -Suzan@o365pilot.com (número 2).
• Los destinatarios (el destinatario de destino) es: Bob@o365pilot.com (número 3)
• Golpe de regla: la regla de Exchange Online “captura” el evento de correo electrónico falso y la acción ejecutada por la regla de Exchange Online: “Detectar correo electrónico falso y enviar al usuario Cuarentena, Acción: Establecer encabezado, Generar notificación , GenerarInformeIncidente” (número 4).

Imagen próximamente

Mire nuestro vídeo de YouTube: Detecte correos electrónicos falsos y envíe correos electrónicos a usuarios en cuarentena mediante la regla de Exchange Online | 6#7

El próximo artículo de la serie de artículos actual.

En el próximo artículo: Análisis de los resultados de la regla de correo electrónico falso de Exchange | Parte 9#12, revisaremos cómo analizar los resultados de la regla de correo electrónico falso de Exchange exportando la información sobre el flujo de correo de Exchange Online a CSV. archivo utilizando el seguimiento de mensajes de Exchange.