Detectar correo electrónico falso, marcar como spam, SCL | Detecte correos electrónicos falsos y márquelos como spam usando la regla de Exchange Online |Parte 4#12 .com

En el artículo actual, revisaremos cómo lidiar con el correo falso creando una regla de Exchange que identificará el correo electrónico falso entrante (remitente falsificado).

En tal escenario, nos gustaría implementar la siguiente secuencia de acciones:

1. Marque el correo electrónico como spam estableciendo el valor SCL (nivel de confianza de spam) en 5.
2. Generar + enviar un informe de incidente a un destinatario designado.

Los personajes del escenario del ataque por correo Spoof.

Los personajes principales de nuestro escenario específico son:

Nuestro CIO informa que recibe un mensaje de correo electrónico supuestamente enviado por un destinatario legítimo de la organización (el director financiero de nuestra empresa) que le solicita que transfiera una cantidad sustancial de dinero a un número de cuenta bancaria específico.

En realidad, el destinatario de la organización (el director financiero de nuestra empresa) no envió este mensaje de correo electrónico y existe una alta probabilidad de que el correo electrónico sea enviado por un elemento hostil que intenta atacar nuestra organización.

Las necesidades empresariales que debemos cumplir

No queremos intervenir en el flujo de correo porque nuestro objetivo principal es simplemente recopilar información sobre "eventos de correo electrónico falso".

Exchange Online reenviará el mensaje de correo electrónico que se identificará como un "posible correo electrónico falso" al buzón del destinatario de la organización de destino.

La información sobre el posible evento de correo electrónico falso se registrará y reportará mediante la opción de regla de Exchange Online denominada informe de incidente.

En nuestro escenario, preferimos no eliminar ni bloquear mensajes de correo electrónico que tengan los caracteres de correo electrónico falso e insertados; Preferimos dejar que el “usuario final” decida si el elemento de correo en particular es un correo electrónico falso o no.

La acción que queremos implementar con respecto a los elementos de correo que parecen un correo electrónico falso es "sellar" el correo electrónico usando un valor SCL de 5.

Cuando el correo electrónico llegue al buzón del usuario, se enviará automáticamente a la carpeta de correo no deseado.

La necesidad empresarial y los objetivos que debemos alcanzar son los siguientes:

1. Queremos identificar eventos en los que los mensajes de correo electrónico enviados al destinatario de nuestra organización tienen una alta probabilidad de ser correos electrónicos falsificados (remitente falsificado).
2. No queremos intervenir en el flujo de correo. La decisión de “qué hacer” con el mensaje de correo electrónico de que existe una alta probabilidad de que el remitente suplante su identidad, se considerará “decisión del usuario”.
3. Nuestro objetivo principal es informar al destinatario que el mensaje de correo electrónico que le envió se considera “correo electrónico problemático”. Queremos “advertir” al destinatario de la organización, sellando el correo electrónico como “correo no deseado”. "
4. Queremos enviar información + una muestra del correo electrónico falsificado a un buzón compartido designado.
5. Queremos que un usuario designado (como el administrador de Exchange Online) pueda acceder al buzón compartido que almacena los informes de incidentes, para que pueda inspeccionar y analizar el mensaje de correo electrónico falsificado.

¿Cuál es el significado de SCL?

El proceso de “sellar” o clasificar un mensaje de correo electrónico específico como “correo electrónico no deseado” se implementa estableciendo el valor de SCL.
SCL significa - Nivel de confianza de spam.
La capacidad del Servidor Exchange para marcar un mensaje de correo electrónico como "correo electrónico seguro" o "correo electrónico no deseado", utilizando un número específico para el valor SCL.

Por ejemplo:

• Un valor SCL de “-1” - el significado del valor SCL “-1” se traduce como “el mensaje de correo electrónico específico es totalmente seguro y confiable”.
• El valor SCL de “5” - el significado del valor SCL “5” se traduce como - “el mensaje de correo electrónico específico considerado como correo no deseado”.

Usando la opción de regla de Exchange Online

Para poder cumplir con este requisito comercial, podemos crear una regla de Exchange Online que inspeccionará cada uno de los mensajes de correo entrante y “capturará” los mensajes de correo electrónico que tengan los caracteres de correo electrónico falso.

Como respuesta, Exchange Online:

1. Establezca el valor SCL del mensaje de correo electrónico en "5".
2. Informe el evento a un destinatario designado generando un informe de incidente. El informe de incidentes de Exchange Online incluirá un resumen de los caracteres específicos del mensaje de correo electrónico + una copia del mensaje de correo electrónico original.

La estructura y la lógica de las reglas de correo electrónico falsificado de Exchange Online

El "desencadenante" que activará la "regla de correo electrónico falsificado" de Exchange Online se basará en las dos condiciones siguientes (una combinación de la condición 1 + la condición 2):

1. Un mensaje de correo electrónico entrante enviado por un destinatario no autenticado (destinatario que no proporciona credenciales de usuario).
2. Un destinatario que se presenta utilizando una dirección de correo electrónico que incluye nuestro nombre de dominio público. En nuestro escenario específico, una dirección de correo electrónico que incluya el nombre de dominio -com

La "acción" que ejecutará nuestra "regla de correo electrónico falsificado" de Exchange Online incluirá las siguientes "partes":

• Acción 1#2: marque el mensaje de correo electrónico como correo electrónico no deseado utilizando el valor SCL de “5”.
• Acción 2#2 - Generar + Enviar un informe de incidente al destinatario designado (buzón compartido llamado - Buzón de correo electrónico falso).

En el siguiente diagrama podemos ver la secuencia de acciones que implementará la regla de correo electrónico falsificado de Exchange Online:

Cuando Exchange Online identifica mensajes de correo electrónico que responden a la descripción de -
“Correo electrónico falsificado”, la regla de Exchange activará la siguiente secuencia:

1. Exchange Online: establecerá el valor SCL del correo electrónico en "5".

2. Exchange Online: reenviará el mensaje de correo electrónico al buzón del destinatario de destino sin ninguna intervención del lado del servidor de Exchange Online.

3. Exchange Online generará un informe de incidente, que se enviará a la dirección de correo electrónico del destinatario designado. En nuestro escenario, solicitamos enviar el informe de incidente a un destinatario designado (buzón compartido llamado -buzón de correo electrónico falso).

Sólo los usuarios autorizados pueden acceder al “buzón compartido de correo electrónico falso”. En nuestro escenario específico, Brad (Brad es nuestro administrador de Exchange Online) tendrá acceso al buzón compartido.

Configuración de una regla de Exchange Online que detectará mensajes de correo electrónico falsos y aumentará el valor SCL a "5"

En la siguiente sección, proporcionaremos instrucciones "paso a paso" para crear la "regla de correo electrónico falsificado de Exchange Online" requerida que responderá a nuestras necesidades comerciales.

Parte 1#2: configurar la "parte de condición" de la regla de correo electrónico falsificado de Exchange Online

• Inicie sesión en el portal de administración de Exchange
• En la barra de menú de la izquierda, elija -flujo de correo
• En la barra de menú superior, elija -reglas

• Haga clic en el icono más
• Elija - Crear una nueva regla…

• En el cuadro Nombre:, agregue un nombre descriptivo para la nueva regla.
  En nuestro escenario específico, nombraremos la regla: Detectar correo electrónico falso y marcarlo como spam
• Haga clic en el enlace -Más opciones… (de forma predeterminada, la interfaz de la regla de Exchange Online incluye solo un conjunto limitado de opciones. Para poder mostrar las opciones adicionales, necesitaremos “activar” la opción Más opciones…).

• En la sección denominada -Aplica esta regla si… haz clic en la pequeña flecha negra

Condición 1#2

• Elija el menú principal -El remitente…
• En el submenú, seleccione la opción -Es externo/interno

• En la ventana seleccionar ubicación del remitente, elija la opción - Fuera de la organización.
  El significado del término “fuera de la organización”, se relaciona con un destinatario no autenticado, es decir, un destinatario que no proporciona credenciales de usuario al servidor de correo.

Condición 2#2

Ahora, agregaremos una “capa” adicional a la “condición de regla”, en la que nos relacionamos con
el destinatario que utiliza una dirección de correo electrónico que incluye nuestro nombre de dominio (o365pilot. com en nuestro escenario específico).

Si desea obtener más información sobre el significado de los términos de Exchange Online: "Remitente externo" y "fuera de la organización", lea la siguiente sección: Cómo lidiar con un ataque de suplantación de correo electrónico en un entorno basado en Office 365 | Introducción | Parte 1#12

• Haga clic en - añadir condición.

• En la sección denominada - y haga clic en la pequeña flecha negra.

• Elija el menú principal: El remitente…
• En el submenú, seleccione la opción - el dominio es

En la ventana especificar dominio, agregue el nombre de dominio requerido que represente su organización.
En nuestro escenario específico, el nombre de dominio público es - o365pilot.com

Nota: No olvide hacer clic en el icono más para agregar el nombre de dominio.

Haga clic en la opción Aceptar para guardar la configuración de la regla de Exchange Online.

Parte 2#2: Configuración de la “parte de acción” de la regla de correo electrónico falsificado de Exchange Online

En esta fase, configuraremos la "segunda parte" de la regla de Exchange Online, en la que definimos la respuesta (acción) requerida de Exchange ante un escenario de correo electrónico falsificado que se envía a uno de los destinatarios de nuestra organización.

En nuestro escenario, deseamos indicarle a Exchange Online que responda al evento en el que
El correo electrónico identificado como correo electrónico falso por

1. Establezca el valor SCL del mensaje de correo electrónico en "5"
2. Crear un informe de incidente y enviarlo a un destinatario designado: un buzón de correo compartido denominado -buzón de correo electrónico falso.

• En la sección denominada - *.Haga lo siguiente… haga clic en la pequeña flecha negra.

• Elija la opción de menú - Modificar las propiedades del mensaje…
• En el submenú, elija la opción de menú: establecer el nivel de conferencia de spam (SCL)

• En la ventana denominada - especificar SCL, elegiremos el valor predeterminado de “5 ”

• Haga clic en la opción -añadir acción

• En la sección denominada - *.Haga lo siguiente... haga clic en la pequeña flecha negra.

• Elija la opción de menú -Generar informe de incidente y enviarlo a…

La configuración del informe de incidentes incluye dos parámetros:

1. El nombre del "destinatario de destino" que recibirá el informe de incidente.
2. Los campos de información que se incluirán en el informe de incidente.

• Para agregar el nombre del “destinatario de destino” requerido, haga clic en el enlace -Seleccione uno…

• En nuestro escenario específico, el destinatario que recibirá el informe de incidente es buzón de correo electrónico falso.

Para seleccionar la información que se incluirá en el informe de incidente, haga clic en el enlace denominado-*incluir propiedades del mensaje< /lapso>

En nuestro escenario, elegiremos incluir todas las propiedades de mensaje disponibles en el informe resumido + una copia del "mensaje de correo electrónico falso original".

• Seleccione la opción -Seleccionar todo

En la siguiente captura de pantalla podemos visualizar las opciones disponibles:

• Parte A: se relaciona con la información que aparecerá en el resumen del informe de incidente.
• Parte B: se relaciona con la opción de “adjuntar” una copia del mensaje de correo electrónico original al informe de incidente.

En la siguiente captura de pantalla, podemos ver el "resultado final": el correo electrónico falso de Exchange Online que incluye las dos partes:

• La parte de la condición.
• la parte de acción

Verificación de que la regla de correo electrónico falsificado de Exchange Online funciona correctamente | El correo falso se sella mediante SCL 5

En esta fase, nos gustaría probar la regla de correo electrónico falso de Exchange Online que se creó en el paso anterior y verificar que funcione correctamente.

Los resultados requeridos de la regla de correo electrónico falsificado de Exchange Online

Nuestras expectativas deseadas son: cuando Exchange Online identifica eventos en los que los mensajes de correo electrónico enviados al destinatario de nuestra organización tienen una alta probabilidad de ser correo electrónico falsificado (remitente falsificado), la regla de correo electrónico falso de Exchange Online ejecutará la siguiente secuencia de acciones:

1. Establezca el valor SCL del mensaje de correo electrónico en "5"
2. Reenvíe el mensaje de correo electrónico al buzón del destinatario de destino sin ninguna intervención del lado del servidor de Exchange Online.
3. Generar un informe de incidente, que se envía a la dirección de correo electrónico del destinatario designado. En nuestro escenario específico, solicitamos enviar el informe de incidente a un destinatario designado (buzón compartido llamado - Buzón de correo electrónico falso).

Simular un ataque de correo electrónico falso | Personajes del escenario

Para poder garantizar que la regla de correo electrónico falso de Exchange Online funcione correctamente, simularemos un ataque de correo electrónico falso que tiene los siguientes caracteres:

• Un "elemento hostil" está intentando falsificar la identidad de un destinatario de una organización legítima llamado -Suzan utilizando la dirección de correo electrónico - Suzan@o365pilot.com
• El mensaje de correo electrónico falsificado se enviará a un usuario legítimo de la organización llamado Bob, que utiliza la dirección de correo electrónico: Bob@o365pilot.com

Si desea conocer la forma que utilizamos para simular el ataque de suplantación de correo electrónico, puede leer el artículo: Cómo simular un ataque de suplantación de correo electrónico |Parte 11#12

1#3: verificar que el correo electrónico falso se envió al destinatario de destino.

Como se mencionó, no queremos intervenir en el flujo de correo.
La decisión "qué hacer" con el mensaje de correo electrónico de que existe una alta probabilidad de que el remitente falsifique su identidad, se considerará como "usuario". decisión. "

En la siguiente captura de pantalla, podemos ver un mensaje de correo electrónico que fue enviado por Suzan a Bob.
El correo electrónico enviado a la carpeta de correo no deseado porque Exchange “selle” el correo electrónico utilizando el valor SCL de “5”.

Al mirar el correo electrónico que se envió a la carpeta de correo no deseado, podemos ver la siguiente información:

Este mensaje se marcó como spam usando un filtro de correo no deseado distinto al filtro de correo no deseado de Outlook

El significado es que el "otro filtro de correo electrónico no deseado" es el servidor de Exchange Online.

2#3 - verificar que el valor SCL del mensaje de correo electrónico sea “5”

En caso de que queramos verificar el proceso en el que Exchange Online sella el correo electrónico usando un valor SCL de 5, podemos analizar el contenido del encabezado del correo electrónico.

Para poder ver el valor del SCL (nivel de confianza del spam), podemos mirar el encabezado del correo electrónico.

En la siguiente sección veremos cómo acceder a la información del encabezado del correo electrónico y luego analizaremos los datos utilizando la herramienta ExRCA (Analizador de conectividad remota de Exchange).

• Abra el mensaje de correo electrónico específico en el que desea verificar su valor SCL

• Elija el menú Archivo
• Elija la opción propiedad

En la sección denominada encabezados de Internet, podemos ver el contenido del encabezado del correo electrónico.

Para poder analizar los datos copiaremos la información.

• Seleccione toda la información utilizando la combinación de teclas del teclado - CTRL + A
• Copie la información utilizando la combinación de teclas del teclado: CTRL + C

Ahora, accederemos a la herramienta ExRCA (Analizador de conectividad remota de Exchange).

• Elija la pestaña - Analizador de mensajes
• En el espacio en blanco, pegue la información que se copió en el paso anterior usando la combinación de teclas del teclado: CTRL + V
• Elija la opción -Analizar encabezados

En la siguiente captura de pantalla podemos ver los resultados.

El valor del campo de información denominado X-MS-Exchange-Organization-SCL es “5”.
En otras palabras, el valor SCL es igual a “5”.

3#3 - verificar que un informe de incidente se envió al destinatario designado

Podemos ver que la regla de Exchange Online "captura" un evento de correo electrónico falso. Como resultado, se envió un informe de incidente al nombre del destinatario (buzón de correo electrónico falso) que se configuró en la regla de Exchange Online.

En la siguiente captura de pantalla podemos ver un ejemplo del correo electrónico de informe de incidencias.

Cuando miramos el informe de incidente, podemos ver que el informe de incidente incluye dos partes:

• La copia del mensaje de correo electrónico original (A).
• El resumen del informe del incidente (B).

El resumen del informe de incidentes incluye detalles como:

• Información sobre el generador del mensaje de correo electrónico del informe de incidente: “Este correo electrónico fue generado automáticamente por la acción Generar informe de incidente” (número1).
• El remitente (el "destinatario de origen") que afirma ser un destinatario legítimo de la organización llamado -Suzan@o365pilot.com (número 2).
• Los destinatarios (el destinatario de destino) es -Bob@o365pilot.com (número 3)
• Acierto de regla: la regla de Exchange Online "captura" el evento de correo electrónico falso y la acción ejecutada por la regla de Exchange Online: "Detectar correo electrónico falso y marcar como spam, Acción: SetHeader, GenerateIncidentReport” (número 4).

Mira nuestro vídeo: https://www.youtube.com/watch?v=8_O4_OhQjjk

El próximo artículo de la serie de artículos actual.

Lea el siguiente artículo: Detectar correos electrónicos falsos y eliminarlos mediante la regla de Exchange Online |Parte 5#12