Administración de listas de permisos/bloqueos de inquilinos de Exchange Online
Como sabemos, Microsoft no permite que lleguen a la bandeja de entrada correos electrónicos identificados como malware o phishing de alta confianza para mantener segura su organización. De forma predeterminada, Microsoft utiliza Exchange Online Protection (EOP) para proteger su entorno M365 contra spam, malware y más amenazas de correo electrónico. Los veredictos del filtrado EOP a veces pueden terminar de manera incorrecta, lo que hace que el mensaje incorrecto (un falso negativo) llegue a los usuarios, mientras que el mensaje bueno (un falso positivo) no. Para superar esto, Microsoft creó una lista de inquilinos permitidos/bloqueados para anular los veredictos de filtrado.
¿Dónde crear una lista de inquilinos permitidos/bloqueados?
Hay dos formas de crear listas de inquilinos permitidos o bloqueados, una a través del portal de Microsoft 365 Defender y otra a través de PowerShell.
Para acceder a la lista de inquilinos permitidos/bloqueados desde el portal de Microsoft 365 Defender,
Paso 1: abra el centro de administración de Microsoft 365.
Paso 2: seleccione Seguridad en la lista de centros de administración.
Paso 3: Elija Políticas y reglas en la sección Correo electrónico y colaboración.
Paso 4: Vaya a Políticas de amenazas -> Listas de inquilinos permitidos/bloqueados en la categoría Reglas .
Nota: Las entradas para permitir/bloquear inquilinos también se pueden realizar en la página Envíos del portal del defensor. En la lista de inquilinos permitidos/bloqueados, puede incluir,
- Dominio y direcciones de correo electrónico
- Remitentes falsificados
- URL
- Archivos
Nota Tan pronto como se crea una entrada, se activará en 30 minutos. En casos raros, puede tardar hasta 24 horas en activarse.
¿Quién puede crear una lista de inquilinos permitidos/bloqueados?
Encuentre los requisitos de licencia para implementar una lista de inquilinos permitidos/bloqueados dentro de una organización.
- Protección de Exchange en línea
- Microsoft Defender para Office 365 plan 1 y plan 2
- Defensor de Microsoft 365
Debe ser miembro de uno de los siguientes grupos de funciones para agregar o eliminar valores de la lista de inquilinos permitidos/bloqueados.
- Grupo de roles de gestión de organización
- Grupo de roles de administrador de seguridad
- Grupo de roles de operador de seguridad
Los miembros de los grupos de funciones de lector global, lector de seguridad y configuración de solo vista tendrán acceso de lectura a la lista de permitidos/bloqueados de inquilinos.
Límites de creación de listas de permisos/bloqueos de inquilinos
Encuentre los nuevos planes de licencia para las entradas de la lista de inquilinos permitidos/bloqueados.
Para clientes de Microsoft Defender para Office 365 Plan 2:
- Desde principios de octubre de 2023, los suscriptores del plan 2 de Microsoft Defender para Office 365 tendrán la capacidad de generar la impresionante cantidad de 10 000 entradas de bloqueo y 5000 entradas permitidas dentro de la Lista de bloqueo permitido de inquilinos para cada categoría (como dominios y direcciones, archivos y URL). mediante escritos administrativos.
Para clientes de Microsoft Defender para Office 365 Plan 1:
- Los clientes que utilicen Microsoft Defender para Office 365 plan 1 tendrán la opción de crear hasta 1000 entradas de bloqueo y 1000 entradas permitidas dentro de la Lista de bloqueo permitido de inquilinos para cada categoría mediante envíos administrativos.
Para clientes de Exchange Online Protection:
- Los suscriptores de Exchange Online Protection conservarán un límite de 500 entradas bloqueadas y 500 entradas permitidas dentro de la Lista de bloqueos permitidos para inquilinos para cada categoría a través de envíos administrativos.
Para todos los planes de servicio (con respecto a remitentes falsificados):
- Es importante tener en cuenta que el límite para remitentes falsificados se mantendrá constante en un total de 1024 entradas, abarcando tanto entradas bloqueadas como permitidas, independientemente del plan de servicio elegido.
Este ajuste no tendrá ningún impacto en sus entradas actuales dentro de la Lista de bloqueo permitido para inquilinos. Si tus límites existentes ya son mayores, seguirás disfrutando de estos límites y esta modificación no los alterará. Si tiene una combinación de licencias, se considerarán los límites del plan de servicio más alto para toda la Lista de bloqueo permitido de inquilinos de su inquilino.
El inquilino permite/bloquea entradas para dominios y correos electrónicos
Puede agregar dominios y direcciones de correo electrónico, hasta un máximo de 20 caracteres. Además, después de agregar dominios y direcciones, puede establecer cuándo eliminar la entrada de bloqueo. El valor predeterminado es 30 días, aunque puede configurarlo hasta 90 días. Sin embargo, las entradas permitidas de dominio y dirección de correo electrónico caducarán después de 30 días.
Creación de entradas de bloque
Usando el Portal Defender:
- Página Lista de permisos/bloqueos de inquilinos: puede agregar los dominios y las direcciones de correo electrónico que desea bloquear.
- Página de envíos: en el tipo de envío Correo electrónico , puede agregar el ID de mensaje de red de correo electrónico válido o cargar el archivo de correo electrónico en formato .msg o .eml e indicar el motivo como "Debería haber sido bloqueado". '.
Usando PowerShell:
En primer lugar, conéctese a Exchange Online PowerShell y ejecute el siguiente cmdlet.
New-TenantAllowBlockListItems -ListType Sender -Block -Entries test@spammingdomain.com -ExpirationDate 10/30/2022Puede proporcionar un nombre de dominio válido o una dirección de correo electrónico al parámetro "Entradas" para crear entradas en bloque.
Creación de entradas permitidas
- Puede utilizar la página de envíos para informar las direcciones de correo electrónico que mencionan que no deberían haber sido bloqueadas (falso positivo).
No puede crear entradas de permiso directamente en el portal de lista de permisos/bloqueos de inquilinos o en PowerShell.
El inquilino permite/bloquea entradas para remitentes falsificados
Como se mencionó anteriormente, es posible tener 1024 entradas para remitentes falsificados. Debe asegurarse de que las entradas de remitente falsificadas agregadas tengan la sintaxis adecuada.
Sintaxis del remitente falsificado: Los pares de dominios con comodines incluyen
De forma predeterminada, tanto permitir como bloquear entradas para remitentes falsificados nunca caducan. Si el remitente falsificado pertenece a su organización, seleccione el tipo de falsificación como Interno. Seleccione Externo si el remitente es de un dominio externo.
Creación de entradas de bloque
Uso del Portal de Defender:
- Página Lista de permisos/bloqueos de inquilinos: puede agregar remitentes falsificados en esta página y especificar un tipo de falsificación. Luego elija la acción como Bloquear.
- Página de envío: puede bloquear todos los correos electrónicos de destinatarios específicos para agregar una entrada de bloqueo para remitentes falsificados.
Usando PowerShell:
Puede conectarse a Exchange Online PowerShell y ejecutar el siguiente cmdlet para crear entradas de bloqueo para remitentes falsificados en la lista de permitidos/bloqueados de inquilinos.
New-TenantAllowBlockListSpoofItems -Identity Default -Action Block -SpoofedUser jonathan@lakedale.com -SendingInfrastructure 172.17.17.17/24 -SpoofType ExternalCreación de entradas permitidas
Usando el Portal Defender:
- Página de lista de permisos/bloqueos de inquilinos: puede agregar remitentes falsificados y especificar un tipo de falsificación. Luego elija la acción como Permitir.
Usando PowerShell:
Después de conectarse a Exchange Online, ejecute el cmdlet que se menciona a continuación para agregar una entrada de permiso para remitentes falsificados.
New-TenantAllowBlockListSpoofItems -Identity Default -Action Allow -SpoofedUser lara@lakedale.com -SendingInfrastructure 182.19.19.19/24 -SpoofType InternalEn la sintaxis anterior, reemplace el usuario falsificado y envíe la infraestructura con entradas válidas.
El inquilino permite/bloquea entradas para URL
Una entrada de URL puede tener un máximo de 250 caracteres. Los mensajes de correo electrónico que contienen URL bloqueadas se consideran phishing de alta confianza.
A partir de finales de septiembre de 2023, los usuarios también podrán bloquear las URL de sitios web según su dominio de nivel superior (TLD). Los usuarios pueden especificar TLD usando el formato “*.
Sintaxis de URL: admindroid.com, xyz.abc.admindroid.com, admindroid.com/a, xyz.abc.admindroid.com/a/b/c, etc.
Como se mencionó para las entradas de dominio y dirección, las entradas de URL bloqueadas se pueden retener por hasta 90 días y las entradas permitidas se pueden retener por hasta 30 días.
Manejo de URL mejorado en mensajes de correo electrónico : Es cierto que a veces los correos electrónicos legítimos que contienen una URL válida pueden bloquearse, ya que se comparan con una subruta o parte de la URL. . Para resolver este problema, Microsoft ha mejorado el sistema de bloqueo de correo electrónico al permitir un comportamiento de coincidencia parcial para las URL, eliminando la necesidad de comodines o envíos múltiples de URL.
Por ejemplo, si recibe un correo electrónico con una URL http://www.admindroid.com/abc que ha sido bloqueada, todo lo que necesita hacer es enviar la URL falsa positiva bloqueada a Microsoft para su análisis. . Echarán un vistazo y crearán una entrada "permitir" en la lista de inquilinos permitidos/bloqueados. . Una vez que se haya creado esta entrada, no se bloquearán los correos electrónicos futuros que contengan URL relacionadas con ella, como www.admindroid.com/abc?id=1 o www.admindroid.com/. abc/def/gty/uyt?id=5.
Creación de entradas de bloque
Usando el Portal Defender:
- Página Lista de permisos/bloqueos de inquilinos: puede agregar las URL que desea bloquear para que nadie acceda a ellas.
- Página de envío: en el tipo de envío URL , puede agregar la URL que desea bloquear. Indique el motivo como "Debería haber sido bloqueado" y envíelo después de la categorización.
Usando PowerShell:
Para agregar una entrada de bloqueo de URL, ejecute el siguiente cmdlet después de conectarse a Exchange Online PowerShell.
New-TenantAllowBlockListItems -ListType Url -Block -Entries givemeyourpassword.com -NoExpirationCreación de entradas permitidas
- En la página Envíos, puedes agregar las URL pensando que no deberían haber sido bloqueadas y enviarlas.
No es posible crear entradas de URL permitidas directamente en la página de lista de bloqueo/mostración de inquilinos ni a través de PowerShell.
El inquilino permite/bloquea entradas de archivos
Se permite un máximo de 64 caracteres en una entrada de archivo. Los archivos bloqueados en mensajes de correo electrónico se denominan Malware.
Debe agregar el valor hash del archivo por línea, hasta un máximo de 20. Además, puede limitar la entrada del bloque después de agregar archivos. El valor predeterminado es 30 días, pero se puede configurar hasta 90 días.
Creación de entradas de bloque
Usando el Portal de Microsoft Defender:
- Página Lista de permisos/bloqueos de inquilinos: puede agregar archivos que deben bloquearse separando cada hash por línea.
- Página de envío: en el tipo de envío Adjunto de correo electrónico , puede subir el archivo que desea bloquear. Indique el motivo como "Debería haber sido bloqueado" y envíelo.
Usando PowerShell:
New-TenantAllowBlockListItems -ListType FileHash -Block -Entries "768a813668695ef2483b2bde7cf5d1b2db0423a0d3e63e498f3ab6f2eb13ea3" -NoExpirationPuede agregar una entrada de bloque para los archivos especificados que nunca caducará utilizando la sintaxis anterior.
Creación de entradas permitidas
- Para informar un falso positivo, cargue el archivo respectivo en el portal de envíos.
En este caso tampoco puede crear entradas permitidas directamente en la página de lista de permisos/bloqueos de inquilinos ni a través de PowerShell.
Espero que este blog le haya brindado algunas ideas sobre el proceso de creación de una lista de permitidos/bloqueados para inquilinos en Microsoft 365. Para más consultas, comuníquese con nosotros en la sección de comentarios. Estaríamos encantados de ayudarle.