Õngitsuse simulatsioonid Microsoft 365-s ja Google Workspace’is

E-posti turvasüsteemid kontrollivad linke enne, kui inimene sõnumit näeb. Microsoft Defender Safe Links, Gmail ja teised filtrid avavad sissetulevates kirjades olevad lingid, et veenduda nende ohutuses. Õngitsuse simulatsiooni puhul tähendab see, et platvorm salvestab kliki, mida ükski töötaja ei teinud, ja aruannet ei saa enam usaldada. Lahendus on ühekordne seadistus, mis ütleb teie postisüsteemile, millised kirjad on lubatud simulatsioonid.

See juhend on mõeldud ettevõtte IT-administraatorile, kes korraldab simulatsioone Opsineliga. Microsoft 365 ja Google Workspace’i sammud järgivad tootjate endi dokumentatsiooni (lingid lõpus), seega sobivad need ka teistele õngitsuse simulatsioonide platvormidele. Menüüde nimed on toodud inglise keeles, nagu enamik halduskonsoole neid näitab.

Mis ilma selleta valesti läheb

• Safe Links või muu filter avab sõnumit kontrollides lingi ja töötaja salvestatakse klikkinuna.
• Töötaja teatab kirjast Outlooki nupuga Report, teadet analüüsitakse automaatselt ja ka see salvestub klikina.
• Sõnum teisaldatakse karantiini või rämpspostikausta või eemaldatakse pärast kohaletoimetamist funktsiooniga zero-hour auto purge (ZAP), nii et töötaja ei näe seda kunagi.
• Gmail näitab kahtlase sõnumi hoiatust ja töötaja saab kohe aru, et tegu on testiga.

1. samm: koguge kolm väärtust

Enne millegi muutmist tehke kindlaks, kust simulatsioonikirjad tulevad:

Saatja IP

Simulatsioone saatva serveri avalik IP-aadress.

Saatja domeen

Domeen MAIL FROM (ümbriku saatja) aadressis või domeen, mis allkirjastab kirja DKIM-iga.

Linkide domeen

Domeen, mille kaudu simulatsioonilingid ja õppetundide lehed töötavad. Opsineli puhul on see opsinel.com.

Opsinel näitab iga kampaania täpset saatja domeeni ja IP-d aknas „Check before sending“, mis avaneb simulatsiooni käivitamisel. Kui saadate oma postiserveri (SMTP) kaudu, saate need lugeda ka testkirja päisest (Outlook: View → View message source; Gmail: ⋮ → Kuva originaal), realt Authentication-Results:

• „sender IP is …“ on saatja IP;
• „smtp.mailfrom=“ on MAIL FROM domeen;
• „header.d=“ on DKIM-domeen.

Igal saatjal on oma IP ja domeen. Kui lisate hiljem veel ühe saatja, lisage ka selle väärtused.

2. samm: Microsoft 365 Advanced delivery poliitika

Advanced delivery poliitika on Microsofti toetatud viis lasta läbi muude tootjate õngitsuse simulatsioone. Teil on vaja Defenderi portaalis rolli Security Administrator ja Exchange Online’is rolli Organization Management või Microsoft Entras rolli Security Administrator.

• Avage Microsoft Defenderi portaal aadressil security.microsoft.com ja minge Email & collaboration → Policies & rules → Threat policies → Advanced delivery (jaotises Rules).
• Valige vahekaart Phishing simulation, seejärel Add (või Edit, kui kirjed on juba olemas).
• Väljale Domain sisestage saatja domeen. Saate lisada kuni 50 domeeni.
• Väljale Sending IP sisestage saatja IP: üks aadress, vahemik või CIDR-plokk. Saate lisada kuni 10 kirjet.
• Jätke „Simulation URLs to allow“ tühjaks. Seda on vaja ainult väljaspool e-posti toimuvate simulatsioonide jaoks, näiteks Teamsi sõnumite või Office’i dokumentide puhul.
• Valige Add, seejärel Close.

Sõnumit käsitletakse simulatsioonina, kui see vastab vähemalt ühele loendis olevale domeenile ja ühele IP-le. Siis ei tee Microsoft 365 filtrid ega ZAP sellega midagi, Safe Links mähib lingid endiselt, kuid ei blokeeri ega ava neid kliki hetkel, ja Outlooki nupp Report ei ava linke ega tekita hoiatust.

Kui eelistate PowerShelli

Looge Exchange Online PowerShellis poliitika käsuga New-PhishSimOverridePolicy -Name PhishSimOverridePolicy ja seejärel reegel käsuga New-ExoPhishSimOverrideRule -Policy PhishSimOverridePolicy -Domains <domeen> -SenderIpRanges <IP>. Praegu saab IPv6-aadresse lisada ainult PowerShelli kaudu.

Juhtumid, mida kontrollida

• Teie MX-kirje ei osuta Microsoft 365-le (post läbib esmalt teise filtri): Authentication-Results päises olev IP peab ühtima poliitikas olevaga. Vaja võib olla funktsiooni Enhanced Filtering for Connectors.
• Saadate simulatsioone oma domeenilt oma Microsoft 365 rentnikule: Microsoft ei toeta praegu seda sisemist (DIR:INT) juhtumit. Microsoft soovitab eraldi Receive-konnektorit, mis neid sõnumeid sisemisteks ei pea, või saatmist otse teie Microsoft 365 MX-hostile. Organisatsioonisisese skannimise seadistamist väärtusele None Microsoft ei soovita.
• Ärge lisage simulatsioonilinke Safe Linksi poliitikate loendisse „Do not rewrite the following URLs in email“: Microsofti sõnul võib see tekitada soovimatuid hoiatusi ja Advanced delivery poliitika juba lubab neid.
• Kui kohandatud Safe Linksi poliitika kasutab seadet „Do not rewrite URLs, do checks via SafeLinks API only“, võivad vanemad Outlooki versioonid simulatsioonilinke endiselt ohuks pidada; sel juhul soovitab Microsoft selle seadistuse välja lülitada.
• Kui teatatud kirjad lähevad eraldi turvapostkasti, lisage see sama lehe vahekaardil SecOps mailbox.

3. samm: Google Workspace’i Gmaili seaded

Teil on vaja administraatori õigust Gmail Settings. Kõik seaded on Google’i halduskonsoolis jaotises Apps → Google Workspace → Gmail → Spam, Phishing and Malware. Google’i sõnul võivad muudatused jõustuda kuni 24 tunni jooksul, kuigi tavaliselt rakenduvad need varem.

• Email allowlist: lisage saatja IP. Sellelt tulevad sõnumid ei lähe enam rämpsposti, kuid Gmail võib endiselt näidata hoiatusriba.
• Spam: valige Configure või Add another rule, märkige „Bypass spam filters and hide warnings for messages from senders or domains in selected lists“ ja valige aadressiloend, milles on saatja domeen (vajaduse korral looge see). Ilma valitud loendita ei ole valikul mõju.

Lisage Email allowlisti ainult see IP-aadress, mis simulatsioone saadab. Kui teie postiserveri IP-d kasutavad ka teised saatjad, pääseks iga sellelt IP-lt tulev sõnum rämpspostikontrollist mööda.

Inbound gateway: ainult siis, kui hoiatused jäävad

Mõni platvorm soovitab lisada saatja IP ka seadesse Inbound gateway. See muudab seda, kuidas Gmail kogu sellelt IP-lt tulevat posti käsitleb: Google’i sõnul ei rakenda see lüüsi kaudu saabuvatele sõnumitele saatja DMARC-poliitikat. Kasutage seda ainult siis, kui pärast kahte eelmist sammu hoiatused jäävad, ja ärge kunagi märkige valikut „Reject all mail not from gateway IPs“: sellega lükkab Gmail tagasi kõigi teiste saatjate posti.

Muud filtrid ja süsteemikirjad

• Kui kasutate eraldi e-posti lüüsi, URL-filtrit või DNS-filtrit, lubage opsinel.com: selle kaudu töötavad klikkide jälgimine ja õppetundide lehed.
• Opsineli süsteemikirjad (kutsed, koolituste määramised, meeldetuletused) saadetakse domeenilt mail.opsinel.com. Lubage see domeen, et töötajad need kätte saaksid.
• Töötajad ei pea nendest seadetest teadma: need ei reeda, millal test toimub.

4. samm: test enne esimest kampaaniat

• Saatke testsimulatsioon oma organisatsiooni postkasti.
• Kontrollige, et see jõuab postkasti ilma hoiatusribata ja pildid laaditakse.
• Leidke Microsoft 365-s sõnum Threat Exploreris ja filtreerige System override source = Phishing simulation järgi.
• Klõpsake Outlookis nuppu Report. Aruandesse ei tohi klikki tekkida.
• Seejärel klõpsake lingil ise. Alles siis peaks klikk aruandes ilmuma.

Kui nupp Report tekitab endiselt klikki, ei vasta Advanced delivery poliitika sõnumile. Võrrelge poliitikas olevat domeeni ja IP-d testkirja Authentication-Results päisega.

Et näha kogu simulatsiooni e-kirjast aruandeni, minge lehele kuidas Opsinel toimib.