Detectar correos electrónicos falsos y enviarlos a cuarentena administrativa utilizando la regla de Exchange Online |Parte 7#12

En el artículo actual, revisaremos cómo lidiar con el escenario de correo electrónico falsificado en un entorno de Office 365, mediante la creación de una regla de Exchange Online que identificará el correo electrónico falsificado (remitente falso) y como respuesta: "enrutar" este correo electrónico. -correo a la cuarentena administrativa de Exchange Online.

En nuestro escenario particular, no queremos permitir que el correo electrónico se envíe al buzón del usuario de la organización. En su lugar, nos gustaría enrutar el correo electrónico que tiene los caracteres de correo electrónico falso a un "área segura" o un "área aislada" a la que sólo puede acceder un representante autorizado, como el administrador de Exchange Online.

Una necesidad adicional es el requisito de notificar al "destinatario de destino" que el mensaje de correo electrónico que se le envió se bloqueó y, si desea obtener información adicional sobre ese correo electrónico en particular, o solicitar que se le libere el correo electrónico que necesitará. para contactar con un representante técnico específico.

La información sobre el posible evento de correo electrónico falso se registrará y reportará mediante la opción de regla de Exchange Online denominada informe de incidente.

Los personajes principales del escenario de ataque de correo electrónico falso:

Nuestro CIO, informa que recibe un correo electrónico, supuestamente enviado por un destinatario legítimo de la organización (el director financiero de nuestra empresa) que le solicita que transfiera una cantidad sustancial de dinero a un número de cuenta bancaria específico.

En realidad, el destinatario de la organización (el director financiero de nuestra empresa) no envió este mensaje de correo electrónico y existe una alta probabilidad de que el correo electrónico sea enviado por un elemento hostil que intenta atacar nuestra organización.

Las necesidades del negocio

La necesidad empresarial y los objetivos que debemos alcanzar son los siguientes:

1. Queremos identificar eventos en los que los mensajes de correo electrónico enviados al destinatario de nuestra organización tienen una alta probabilidad de ser correos electrónicos falsificados (remitente falsificado).
2. Deseamos evitar que el correo electrónico falsificado llegue al buzón del usuario de la organización.
3. No queremos eliminar el correo electrónico que parece un correo electrónico falsificado. En su lugar, queremos enviar el correo electrónico falsificado a un "área restringida", es decir, la cuarentena administrativa de Exchange Online.
4. Sólo un representante autorizado, como el administrador de Exchange Online, podrá acceder a la cuarentena de Exchange Online.
5. Queremos notificar al destinatario de destino que un mensaje de correo electrónico que se le envió fue clasificado como correo electrónico falsificado y enviado a cuarentena administrativa. Queremos enviar información + una muestra del correo electrónico falsificado a un buzón compartido designado.
6. Queremos que un usuario designado (como el administrador de Exchange Online) pueda acceder al buzón compartido que almacena los informes de incidentes, para que pueda inspeccionar y analizar el mensaje de correo electrónico falsificado.

La estructura y la lógica de las reglas de correo electrónico falsificado de Exchange Online

El activador de regla de Exchange Online

El "desencadenante" que activará la "regla de correo electrónico falsificado" de Exchange Online se basará en las dos condiciones siguientes (una combinación de la condición 1 + la condición 2):

1. Un mensaje de correo electrónico entrante enviado por un destinatario no autenticado (destinatario que no proporciona credenciales de usuario).
2. Un destinatario que se presenta utilizando una dirección de correo electrónico que incluye nuestro nombre de dominio público. En nuestro escenario específico, una dirección de correo electrónico que incluya el nombre de dominio - com

La respuesta de la regla de Exchange Online

La "acción" que ejecutará nuestra "regla de correo electrónico falsificado" de Exchange Online incluirá las siguientes "partes":

1. Identifique el correo electrónico que tenga caracteres de correo electrónico falsificado

2. “Enrutar” el correo electrónico a cuarentena administrativa (enrutar el correo electrónico falso al área aislada)

Cuando Exchange Online identifica mensajes de correo electrónico que responden a las condiciones de
“Correo electrónico falsificado”, la regla de Exchange activará la siguiente secuencia:

El correo electrónico no se enviará al buzón del destinatario de destino sino que se “enrutará” a la cuarentena administrativa (el término cuarentena administrativa describe un espacio de almacenamiento al que solo puede acceder Exchange Online). administrador y no por el usuario).

Exchange Online generará una notificación de mensaje de correo electrónico, que se enviará al destinatario de destino que se suponía que iba a recibir el correo electrónico (el correo electrónico que se identificó como correo electrónico falsificado y se envió a cuarentena).

En nuestro escenario, crearemos una notificación de correo electrónico personalizada y usaremos un código HTML para que el mensaje de notificación sea fácil de entender y útil para los destinatarios de nuestra organización.

3. Enviar notificación personalizada por correo electrónico al destinatario de destino

Informar al destinatario de destino que un correo electrónico que se le envió fue identificado como correo electrónico falso y enviado a cuarentena administrativa.

4. Genere un informe de incidente que se envíe a la dirección de correo electrónico del destinatario designado.
En nuestro escenario, solicitamos enviar el informe de incidente a un destinatario designado (buzón compartido llamado - Buzón de correo electrónico falso). .

Sólo los usuarios autorizados pueden acceder al “buzón compartido de correo electrónico falso”. En nuestro escenario específico, Brad (Brad es nuestro administrador de Exchange Online) tendrá acceso al buzón compartido.

En el siguiente diagrama, podemos ver la secuencia de acciones implementadas por la regla de correo electrónico falsificado de Exchange Online:

Configuración de la regla de correo electrónico falsificado de Exchange Online | Enviar A Cuarentena Administrativa | Generar un informe de incidente | Enviar notificación por correo electrónico personalizada al usuario final

En la siguiente sección, proporcionaremos instrucciones "paso a paso" para crear la "regla de correo electrónico falsificado de Exchange Online" requerida que responderá a nuestras necesidades comerciales.

Parte 1#2: configurar la "parte de condición" de la regla de correo electrónico falsificado de Exchange Online

• Inicie sesión en el portal de administración de Exchange
• En la barra de menú de la izquierda, elija -flujo de correo
• En la barra de menú superior, elija -reglas

• Haga clic en el icono más
• Elija - Crear una nueva regla…

• En el cuadro Nombre:, agregue un nombre descriptivo para la nueva regla.
  En nuestro escenario específico, nombraremos la regla: Detectar correo electrónico falso: anteponer asunto y enviar a cuarentena administrativa
• Haga clic en el enlace -Más opciones… (de forma predeterminada, la interfaz de la regla de Exchange Online incluye solo un conjunto limitado de opciones. Para poder mostrar las opciones adicionales, necesitaremos “activar” la opción Más opciones…).

• En la sección denominada -Aplica esta regla si… haz clic en la pequeña flecha negra

Condición 1#2

• Elija el menú principal -El remitente…
• En el submenú, seleccione la opción -Es externo/interno

• En la ventana seleccionar ubicación del remitente, elija la opción - Fuera de la organización.
  El significado del término “fuera de la organización”, se relaciona con un destinatario no autenticado, es decir, un destinatario que no proporciona credenciales de usuario al servidor de correo.

Condición 2#2

Ahora, agregaremos una “capa” adicional a la “condición de regla”, en la que nos relacionamos con
el destinatario que utiliza una dirección de correo electrónico que incluye nuestro nombre de dominio (o365pilot. com en nuestro escenario específico).

Si desea leer más información sobre el significado de los términos de Exchange Online: "Remitente externo" y "fuera de la organización", lea la siguiente sección: Cómo lidiar con un ataque de suplantación de correo electrónico en un entorno basado en Office 365 | Introducción | Parte 1#12

• Haga clic en - añadir condición.

• En la sección denominada - y haga clic en la pequeña flecha negra.

• Elija el menú principal: El remitente…
• En el submenú, seleccione la opción - el dominio es

En la ventana especificar dominio, agregue el nombre de dominio requerido que represente su organización.
En nuestro escenario específico, el nombre de dominio público es: o365pilot.com

Nota: No olvide hacer clic en el icono más para agregar el nombre de dominio.

Haga clic en la opción Aceptar para guardar la configuración de la regla de Exchange Online.

Parte 2#2: Configuración de la “parte de acción” de la regla de correo electrónico falsificado de Exchange Online

En esta fase, configuraremos la "segunda parte" de la regla de Exchange Online, en la que definimos la respuesta (acción) requerida de Exchange ante un escenario de correo electrónico falsificado que se envió a uno de los destinatarios de nuestra organización.

En nuestro escenario, deseamos indicarle a Exchange Online que responda al evento en el que el mensaje de correo electrónico se identificó como correo electrónico falso implementando las siguientes acciones:

1#3 - Enviar el correo electrónico falsificado a cuarentena.

• En la sección denominada -Haz lo siguiente… haz clic en la pequeña flecha negra

• Elija la opción de menú -Redirigir el mensaje a…
• En el submenú, elija la opción de menú -cuarentena alojada

2#3: cree una notificación por correo electrónico que se enviará al destinatario de destino.

En este paso, definiremos la acción que enviará una notificación por correo al destinatario de Exchange Online que se suponía que debía recibir el mensaje de correo electrónico.

• Haga clic en la opción -añadir acción

• En la sección denominada - *. y… haz clic en la pequeña flecha negra.

• Elija la opción de menú -Notificar al destinatario con un mensaje…

En la ventana "proporcionar el texto del mensaje", agregue el texto de notificación por correo electrónico requerido.

Técnicamente, el contenido de la notificación por correo electrónico puede ser un simple mensaje de texto.
En nuestro escenario, he preparado una "notificación por correo electrónico de estilo" utilizando un formato HTML.

Este es un ejemplo del contenido del mensaje de correo electrónico personalizado.

Si quieres descargar un ejemplo al formato HTML que he utilizado, puedes descargar el ejemplo desde el siguiente enlace

3#3: cree un informe de incidente y envíelo a un destinatario designado.

En este paso, definiremos la "última acción", en la que le indicamos a Exchange Online que genere y envíe un informe de incidente a un destinatario designado.

• Haga clic en la opción - añadir acción

• En la sección denominada - *. y… haz clic en la pequeña flecha negra.

• Elija la opción de menú - Generar informe de incidente y enviarlo a…

La configuración del informe de incidentes incluye dos parámetros:

1. El nombre del "destinatario de destino" que recibirá el informe de incidente.
2. Los campos de información que se incluirán en el informe de incidente.

• Para agregar el nombre del “destinatario de destino” requerido, haga clic en el enlace - Seleccione uno…

• En nuestro escenario específico, el destinatario que recibirá el informe de incidente es el buzón de correo electrónico falso.

Para seleccionar la información que se incluirá en el informe de incidente, haga clic en el enlace denominado-*incluir propiedades del mensaje< /lapso>

En nuestro escenario, elegiremos incluir todas las propiedades de mensaje disponibles en el informe resumido + una copia del "mensaje de correo electrónico falso original".

• Seleccione la opción - Seleccionar todo

En la siguiente captura de pantalla podemos visualizar las opciones disponibles:

• Parte A: se relaciona con la información que aparecerá en el resumen del informe de incidente.
• Parte B: se relaciona con la opción de “adjuntar” una copia del mensaje de correo electrónico original al informe de incidente.

En la siguiente captura de pantalla, podemos ver el "resultado final": el correo electrónico falso de Exchange Online que incluye las dos partes:

• La parte de la condición.
• la parte de acción

Verificación de que la regla de correo electrónico falsificado de Exchange Online esté funcionando correctamente

En esta fase, nos gustaría probar la regla de correo electrónico falso de Exchange Online creada en el paso anterior y verificar que funcione correctamente.

Los resultados requeridos de la regla de correo electrónico falsificado de Exchange Online

Nuestras expectativas deseadas son: cuando Exchange Online identifica eventos en los que los mensajes de correo electrónico enviados al destinatario de nuestra organización tienen una alta probabilidad de ser correo electrónico falsificado (remitente falsificado), la regla de correo electrónico falso de Exchange Online ejecutará la siguiente secuencia de acciones:

1. Identifique el evento de: mensajes de correo electrónico entrantes que tengan caracteres de correo electrónico falso.
2. Envíe el correo electrónico falsificado a cuarentena administrativa.
3. Envíe un mensaje de notificación por correo electrónico personalizado al destinatario de destino (Bob en nuestro escenario específico) notificándole que se le envió un correo electrónico falso y podrá comunicarse con el administrador de Exchange Online si lo necesita. para comprobar el mensaje de correo electrónico específico.
4. Generar un reporte de incidente, que será enviado a la dirección de correo electrónico del destinatario designado. En nuestro escenario específico, solicitamos enviar el informe de incidente a un destinatario designado (buzón compartido llamado - buzón de correo electrónico falso).

Simular un ataque de correo electrónico falso | Personajes del escenario

Para poder garantizar que la regla de correo electrónico falso de Exchange Online funcione correctamente, simularemos un ataque de correo electrónico falso que tiene los siguientes caracteres:

• Un "elemento hostil" está intentando falsificar la identidad de un destinatario de una organización legítima llamado -Suzan utilizando la dirección de correo electrónico - Suzan@o365pilot.com
• El mensaje de correo electrónico falsificado se enviará a un usuario legítimo de la organización llamado Bob, que utiliza la dirección de correo electrónico: Bob@o365pilot.com

Si desea conocer la forma que utilizamos para simular el ataque de suplantación de correo electrónico, puede leer el artículo: Cómo simular un ataque de suplantación de correo electrónico |Parte 11#12

1#3 - Verificar que se envíe un mensaje de notificación por correo electrónico personalizado al destinatario de destino

En la siguiente captura de pantalla, podemos ver un ejemplo de la notificación de correo electrónico personalizada que se envía al destinatario de destino mediante la regla de Exchange Online.

La notificación por correo electrónico personalizada incluye un par de "partes".

1. La parte superior (parte A) incluye la “notificación de advertencia” que informa al destinatario que un mensaje de correo electrónico que se le envió probablemente sea un correo electrónico falso.
2. La segunda parte (parte B) incluye un resumen del informe sobre el mensaje de correo electrónico.
3. La parte inferior (parte B) incluye información sobre las “personas de contacto” con las que el destinatario puede contactar en caso de que necesite más información sobre el evento específico.

2#3 - Verificar que el correo electrónico falsificado se envió a cuarentena administrativa.

Para poder ver el contenido de la cuarentena administrativa de Exchange Online, iniciaremos sesión en el portal administrativo de Exchange Online.

• En el menú de la barra lateral izquierda, elija el menú -protección
• En el menú de la barra superior, elija el menú -cuarentena

En la siguiente captura de pantalla podemos ver el contenido de la cuarentena administrativa de Exchange Online.

Podemos ver que el correo electrónico que se envió desde Suzan@o365pilot.com (el destinatario que utilizamos para simular el ataque de correo electrónico falsificado) fue “capturado por Exchange Online”. Regla de correo electrónico falsificada y enviada a la cuarentena administrativa de Exchange Online.

El administrador de Exchange Online puede ver el mensaje de correo electrónico particular que se envió a la cuarentena administrativa y decidir si desea enviar el correo electrónico a su "destino original", es decir, el buzón del destinatario.

3#3: verificar que el informe de incidente se haya enviado al destinatario designado.

Podemos ver que la regla de Exchange Online "captura" un evento de correo electrónico falso.

Como resultado, se envió un informe de incidente al nombre del destinatario (buzón de correo electrónico falso) que se configuró en la regla de Exchange Online.

En la siguiente captura de pantalla podemos ver un ejemplo del correo electrónico de informe de incidencias.

Cuando miramos el informe de incidente, podemos ver que el informe de incidente incluye dos partes:

• La copia del mensaje de correo electrónico original (A).
• El resumen del informe del incidente (B).

El resumen del informe de incidentes incluye detalles como:

• Información sobre el generador del mensaje de correo electrónico del informe de incidente: “Este correo electrónico fue generado automáticamente por la acción Generar informe de incidente” (número 1).
• El remitente (el "destinatario de origen") que afirma ser un destinatario legítimo de la organización llamado -Suzan@o365pilot.com (número 2).
• Los destinatarios (el destinatario de destino) es: Bob@o365pilot.com (número 3)
• Acierto de regla: la regla de Exchange Online “captura” el evento de correo electrónico falso y la acción ejecutada por la regla de Exchange Online: “Detectar correo electrónico falso y enviar a cuarentena administrativa, Acción: Generar notificación, Cuarentena , GenerarInformeIncidente” (número 4).

Mire nuestro vídeo de YouTube: Detectar correo electrónico falso: envíe el correo electrónico a cuarentena administrativa utilizando la regla de Exchange Online | 5#7

El próximo artículo de la serie de artículos actual.

En el próximo artículo: Detectar correos electrónicos falsos y enviarlos a: Cuarentena de USUARIO usando la regla de Exchange Online | Parte 8#12, revisaremos cómo crear una regla de Exchange Online que identificará eventos de correo electrónico falsificado y como respuesta, el filtro de spam de Exchange Online enviará el correo electrónico falso a la cuarentena del usuario y la regla de Exchange Online enviará una notificación de correo electrónico personalizada al destinatario.