Detectar correos electrónicos falsos y enviar un informe de incidente usando la regla de Exchange Online (modo de aprendizaje) |Parte 2#12

En el artículo actual, revisaremos cómo lidiar con el escenario de correo electrónico falsificado en un entorno de Office 365, mediante la creación de una regla de Exchange Online que identificará el correo electrónico falsificado (remitente falso) y, como respuesta, generará y enviará un informe de incidente a un destinatario designado.
En nuestro escenario, queremos utilizar la regla de correo electrónico falso de Exchange Online en un “modo de aprendizaje” o “modo de inspección”.

No queremos intervenir en el flujo de correo porque nuestro objetivo principal es simplemente recopilar información sobre "eventos de correo electrónico falso".

Exchange Online reenviará el correo electrónico identificado como "posible correo electrónico falso" al buzón del destinatario de la organización de destino.

La información sobre el posible evento de correo electrónico falso se registrará y reportará mediante la opción de regla de Exchange Online denominada informe de incidente.

Nota: aunque la información del artículo actual está escrita sobre el entorno basado en Office 365 (Exchange Online), la mayor parte de la información también es relevante para el entorno basado en Exchange local.

Los personajes principales de nuestro escenario específico son:

Nuestro CIO informa que recibe un mensaje de correo electrónico supuestamente enviado por un destinatario de una organización legítima (el director financiero de nuestra empresa) que le solicita que transfiera una cantidad sustancial de dinero a un número de cuenta bancaria específico.

En realidad, el destinatario de la organización (el director financiero de nuestra empresa) no envió este mensaje de correo electrónico y existe una alta probabilidad de que el correo electrónico sea enviado por un elemento hostil que intenta atacar nuestra organización.

Las necesidades del negocio

La necesidad empresarial y los objetivos que debemos alcanzar son los siguientes:

1. Queremos identificar eventos en los que los mensajes de correo electrónico enviados al destinatario de nuestra organización tienen una alta probabilidad de ser correos electrónicos falsificados (remitente falsificado).
2. No queremos intervenir en el flujo de correo porque nuestro objetivo principal es simplemente recopilar información sobre "eventos de correo electrónico falso". En otras palabras, utilice la regla de Exchange Online para recopilar información sobre un posible evento de correo electrónico falso (“modo de aprendizaje” o “modo de inspección”).
3. El mensaje de correo electrónico identificado por la regla de Exchange Online como "correo electrónico falso" se reenviará al buzón del destinatario de la organización de destino.
4. Queremos enviar información + una muestra del correo electrónico falsificado a un buzón compartido designado.
5. Queremos que el usuario seleccionado (como el administrador de Exchange Online) pueda acceder al buzón compartido que almacena los informes de incidentes, para que pueda inspeccionar y analizar el mensaje de correo electrónico falsificado.

Usando la opción de regla de Exchange Online

Para poder cumplir con este requisito comercial, podemos crear una regla de Exchange Online que inspeccionará cada uno de los mensajes de correo entrante y “capturará” los mensajes de correo electrónico que tengan los caracteres de correo electrónico falso.

Como respuesta, Exchange Online informará del evento a un destinatario designado generando un informe de incidente.

El informe de incidentes de Exchange Online incluirá un resumen de los caracteres específicos del mensaje de correo electrónico + una copia del mensaje de correo electrónico original.

La estructura y la lógica de las reglas de correo electrónico falsificado de Exchange Online

El "desencadenante" que activará la "regla de correo electrónico falsificado" de Exchange Online se basará en las dos condiciones siguientes (una combinación de la condición 1 + la condición 2):

1. Un mensaje de correo electrónico entrante enviado por un destinatario no autenticado (destinatario que no proporciona credenciales de usuario).
2. Un destinatario que se presenta utilizando una dirección de correo electrónico que incluye nuestro nombre de dominio público. En nuestro escenario específico, una dirección de correo electrónico que incluya el nombre de dominio - com

La "acción" que ejecutará nuestra "regla de correo electrónico falsificado" de Exchange Online incluirá las siguientes "partes":

• Acción 1#1 - Generar + Enviar un informe de incidente al destinatario designado (buzón compartido llamado - buzón de correo electrónico falso).

En el siguiente diagrama podemos ver la secuencia de acciones que implementará la regla de correo electrónico falsificado de Exchange Online:

Cuando Exchange Online identifica mensajes de correo electrónico que responden a las condiciones de "correo electrónico falsificado", la regla de Exchange activará la siguiente secuencia:

El correo electrónico se enviará al buzón del destinatario de destino sin ninguna intervención del lado del servidor de Exchange Online.

Exchange Online generará un informe de incidente, que se enviará a la dirección de correo electrónico del destinatario designado. En nuestro escenario, solicitamos enviar el informe de incidente a un destinatario designado (buzón compartido llamado - buzón de correo electrónico falso).

Sólo los usuarios autorizados pueden acceder al “buzón compartido de correo electrónico falso”. En nuestro escenario específico, Brad (Brad es nuestro administrador de Exchange Online) tendrá acceso al buzón compartido.

Configuración de la regla de correo electrónico falsificado de Exchange, que identifica el correo electrónico falsificado y genera un informe de incidente

En la siguiente sección, proporcionaremos instrucciones "paso a paso" para crear la "regla de correo electrónico falsificado de Exchange Online" requerida que responderá a nuestras necesidades comerciales.

Parte 1#2: configurar la "parte de condición" de la regla de correo electrónico falsificado de Exchange Online

• Inicie sesión en el portal de administración de Exchange
• En la barra de menú de la izquierda, elija -flujo de correo
• En la barra de menú superior, elija -reglas

• Haga clic en el icono más
• Elija - Crear una nueva regla…

• En el cuadro Nombre:, agregue un nombre descriptivo para la nueva regla.
  En nuestro escenario específico, nombraremos la regla: detectar correo electrónico falso y enviar el informe del incidente
• Haga clic en el enlace -Más opciones… (de forma predeterminada, la interfaz de la regla de Exchange Online incluye solo un conjunto limitado de opciones. Para poder mostrar las opciones adicionales, necesitaremos “activar” la opción Más opciones…).

• En la sección denominada -Aplica esta regla si… haz clic en la pequeña flecha negra

Condición 1#2

• Elija el menú principal -El remitente…
• En el submenú, seleccione la opción -Es externo/interno

• En la ventana seleccionar ubicación del remitente, elija la opción - Fuera de la organización.
  El significado del término “fuera de la organización”, se relaciona con un destinatario no autenticado, es decir, un destinatario que no proporciona credenciales de usuario al servidor de correo.

Condición 2#2

Ahora, agregaremos una “capa” adicional a la “condición de regla”, en la que nos relacionamos con
el destinatario que utiliza una dirección de correo electrónico que incluye nuestro nombre de dominio (o365pilot. com en nuestro escenario específico).

Si desea obtener más información sobre el significado de los términos de Exchange Online: "Remitente externo" y "fuera de la organización", lea la siguiente sección: Cómo lidiar con un ataque de suplantación de correo electrónico en un entorno basado en Office 365 | Introducción | Parte 1#12

• Haga clic en - añadir condición.

• En la sección denominada - y haga clic en la pequeña flecha negra.

• Elija el menú principal: El remitente…
• En el submenú, seleccione la opción - el dominio es

En la ventana especificar dominio, agregue el nombre de dominio requerido que represente su organización.
En nuestro escenario específico, el nombre de dominio público es: o365pilot.com

Nota: No olvide hacer clic en el icono más para agregar el nombre de dominio.

Haga clic en la opción Aceptar para guardar la configuración de la regla de Exchange Online.

Parte 2#2: Configuración de la “parte de acción” de la regla de correo electrónico falsificado de Exchange Online

En esta fase, configuraremos la "segunda parte" de la regla de Exchange Online, en la que definimos la respuesta (acción) requerida de Exchange ante un escenario de correo electrónico falsificado que se envía a uno de los destinatarios de nuestra organización.

En nuestro escenario, deseamos indicarle a Exchange Online que responda al evento en el que
El correo electrónico identificado como correo electrónico falso creando un informe de incidente y enviándolo a un destinatario designado: un buzón de correo compartido llamado - Buzón de correo electrónico falso.

En la sección denominada - *.Haga lo siguiente… haga clic en la pequeña flecha negra.

• Elija la opción de menú - Generar informe de incidente y enviarlo a…

La configuración del informe de incidentes incluye dos parámetros:

1. El nombre del "destinatario de destino" que recibirá el informe de incidente.
2. Los campos de información que se incluirán dentro del informe de incidente.

• Para agregar el nombre del “destinatario de destino” requerido, haga clic en el enlace - Seleccione uno…

• En nuestro escenario específico, el destinatario que recibirá el informe de incidente es el buzón de correo electrónico falso.

Para seleccionar la información que se incluirá en el informe de incidente, haga clic en el enlace denominado-*incluir propiedades del mensaje< /lapso>

En nuestro escenario, elegiremos incluir todas las propiedades de mensaje disponibles en el informe resumido + una copia del "mensaje de correo electrónico falso original".

• Seleccione la opción - Seleccionar todo

En la siguiente captura de pantalla podemos visualizar las opciones disponibles:

• Parte A: se relaciona con la información que aparecerá en el resumen del informe de incidente.
• Parte B: se relaciona con la opción de “adjuntar” una copia del mensaje de correo electrónico original al informe de incidente.

En la siguiente captura de pantalla, podemos ver el "resultado final": el correo electrónico falso de Exchange Online que incluye las dos partes:

• La parte de la condición.
• la parte de acción

Verificación de que la regla de correo electrónico falsificado de Exchange Online esté funcionando correctamente

En esta fase, nos gustaría probar la regla de correo electrónico falso de Exchange Online que se creó en el paso anterior y verificar que funcione correctamente.

Los resultados requeridos de la regla de correo electrónico falsificado de Exchange Online

Nuestras expectativas deseadas son: cuando Exchange Online identifica eventos en los que los mensajes de correo electrónico enviados al destinatario de nuestra organización tienen una alta probabilidad de ser correo electrónico falsificado (remitente falsificado), la regla de correo electrónico falso de Exchange Online ejecutará la siguiente secuencia de acciones:

• Generar y enviar un informe de incidente al destinatario designado. En nuestro escenario, solicitamos enviar el informe del incidente al buzón compartido denominado buzón de correo electrónico falso.

Simular un ataque de correo electrónico falso | Personajes del escenario

Para poder garantizar que la regla de correo electrónico falso de Exchange Online funcione correctamente, simularemos un ataque de correo electrónico falso que tiene los siguientes caracteres:

• Un "elemento hostil" está intentando falsificar la identidad de un destinatario de una organización legítima llamado -Suzan utilizando la dirección de correo electrónico - Suzan@o365pilot.com
• El mensaje de correo electrónico falsificado se enviará a un usuario legítimo de la organización llamado Bob, que utiliza la dirección de correo electrónico: Bob@o365pilot.com

1#2: verificar que el correo electrónico falso se envió al destinatario de destino.

Como se mencionó, no queremos intervenir en el flujo de correo porque nuestro objetivo principal es simplemente recopilar información sobre “eventos de correo electrónico falsos”. "

El correo electrónico identificado como "correo electrónico falso" se reenviará al buzón del destinatario de la organización de destino.

2#2 - verificar que un informe de incidente se envió al destinatario designado

Podemos ver que la regla de Exchange Online "captura" un evento de correo electrónico falso. Como resultado, se envió un informe de incidente al nombre del destinatario (buzón de correo electrónico falso) que se configuró en la regla de Exchange Online.

En la siguiente captura de pantalla podemos ver un ejemplo del correo electrónico de informe de incidencias.

Cuando miramos el informe de incidente, podemos ver que el informe de incidente incluye dos partes:

• La copia del mensaje de correo electrónico original (A).
• El resumen del informe del incidente (B).

El resumen del informe de incidentes incluye detalles como:

• Información sobre el generador del mensaje de correo electrónico del informe de incidente - “Este correo electrónico fue generado automáticamente por la acción Generar informe de incidente” (número 1).
• El remitente (el "destinatario de origen") que afirma ser un destinatario legítimo de la organización llamado -Suzan@o365pilot.com (número 2).
• Los destinatarios (el destinatario de destino) es: Bob@o365pilot.com (número 3)
• Golpe de regla: la regla de Exchange Online “captura” el evento de correo electrónico falso y la acción ejecutada por la regla de Exchange Online: “acción: GenerarIncidentReport” (número 4).

El próximo artículo de la serie de artículos actual.

En el siguiente artículo: Configuración de excepciones para la regla de correo electrónico falso de Exchange Online | Parte 3#12, revisaremos cómo crear una excepción a la regla de correo electrónico falso de Exchange Online.