Phishing simuliacijų įleidimas: Microsoft 365 ir Google Workspace

Pašto saugumo sistemos tikrina nuorodas anksčiau, nei laišką pamato žmogus. Microsoft Defender Safe Links, Gmail ir kiti filtrai patys atidaro gaunamų laiškų nuorodas, kad įsitikintų, jog jos saugios. Phishing simuliacijai tai reiškia, kad platforma užfiksuoja paspaudimą, kurio nepadarė joks darbuotojas, ir ataskaita tampa nepatikima. Sprendimas – vienkartinis nustatymas, kuriuo pašto sistemai nurodote, kurie laiškai yra suderintos simuliacijos dalis.

Gidas skirtas įmonės, kuri simuliacijas siunčia su Opsinel, IT administratoriui. Microsoft 365 ir Google Workspace žingsniai paremti pačių gamintojų dokumentacija (nuorodos straipsnio pabaigoje), todėl tinka ir kitoms phishing simuliacijų platformoms.

Kas nutinka be įleidimo

• Safe Links ar kitas filtras, tikrindamas laišką, atidaro nuorodą, ir darbuotojas pažymimas kaip paspaudęs.
• Darbuotojas praneša apie laišką Outlook mygtuku „Report“, pranešimas tikrinamas automatiškai, ir tai irgi atrodo kaip paspaudimas.
• Laiškas perkeliamas į karantiną ar šlamštą arba po pristatymo pašalinamas (zero-hour auto purge, ZAP), todėl darbuotojas jo nepamato.
• Gmail rodo įspėjimą apie įtartiną laišką, ir darbuotojas iškart supranta, kad tai testas.

1 žingsnis: surinkite tris reikšmes

Prieš ką nors keisdami, išsiaiškinkite, iš kur ateina simuliacijų laiškai:

Siuntimo IP

Viešas serverio, siunčiančio simuliacijas, IP adresas.

Siuntimo domenas

Domenas iš MAIL FROM (voko siuntėjo) adreso arba domenas, kuriuo laiškas pasirašomas DKIM parašu.

Nuorodų domenas

Domenas, per kurį veikia simuliacijos nuorodos ir pamokų puslapiai. Opsinel atveju tai opsinel.com.

Opsinel kiekvienos kampanijos tikslų siuntimo domeną ir IP rodo lange „Patikrinimas prieš siuntimą“, kuris atsiveria paleidžiant simuliaciją. Jei siunčiate per savo pašto serverį (SMTP), šias reikšmes rasite ir bandomojo laiško antraštėje (Outlook: View → View message source; Gmail: ⋮ → Show original), eilutėje Authentication-Results:

• „sender IP is …“ – siuntimo IP;
• „smtp.mailfrom=“ – MAIL FROM domenas;
• „header.d=“ – DKIM domenas.

Kiekvienas siuntėjas turi savo IP ir domeną. Jei vėliau pridėsite kitą siuntėją, įrašykite ir jo reikšmes.

2 žingsnis: Microsoft 365 – „Advanced delivery“ politika

„Advanced delivery“ politika yra Microsoft numatytas būdas įleisti ne Microsoft phishing simuliacijas. Reikia Security Administrator rolės Defender portale ir Organization Management rolės Exchange Online, arba Security Administrator rolės Microsoft Entra.

• Atidarykite Microsoft Defender portalą security.microsoft.com ir eikite į Email & collaboration → Policies & rules → Threat policies → Advanced delivery (skiltyje Rules).
• Pasirinkite skirtuką „Phishing simulation“ ir spauskite Add (arba Edit, jei įrašų jau yra).
• Laukelyje Domain įrašykite siuntimo domeną. Galima pridėti iki 50 domenų.
• Laukelyje Sending IP įrašykite siuntimo IP: vieną adresą, intervalą arba CIDR bloką. Galima pridėti iki 10 įrašų.
• Laukelį „Simulation URLs to allow“ palikite tuščią. Jo reikia tik ne el. pašto simuliacijoms, pavyzdžiui, Teams žinutėms ar Office dokumentams.
• Spauskite Add, tada Close.

Laiškas laikomas simuliacija, kai sutampa bent vienas domenas ir bent vienas IP iš sąrašo. Tada Microsoft 365 filtrai ir ZAP jo nebeliečia, Safe Links nuorodas vis dar apgaubia, bet jų neblokuoja ir neatidaro paspaudimo metu, o Outlook „Report“ mygtukas nuorodų neatidaro ir įspėjimo nesukuria.

Jei patogiau per PowerShell

Exchange Online PowerShell aplinkoje politiką sukurkite komanda New-PhishSimOverridePolicy -Name PhishSimOverridePolicy, o taisyklę – New-ExoPhishSimOverrideRule -Policy PhishSimOverridePolicy -Domains <domenas> -SenderIpRanges <IP>. IPv6 adresus kol kas galima įrašyti tik per PowerShell.

Ką dar patikrinti

• Jūsų MX įrašas nukreiptas ne į Microsoft 365 (laiškai pirmiau pereina kitą filtrą): IP adresas Authentication-Results antraštėje turi sutapti su politikoje įrašytu. Gali prireikti „Enhanced Filtering for Connectors“.
• Simuliacijas siunčiate iš savo domeno į savo paties Microsoft 365 aplinką: šio vidinio (DIR:INT) atvejo Microsoft šiuo metu nepalaiko. Microsoft siūlo atskirą Receive connector, kuris tokių laiškų nelaiko vidiniais, arba siuntimą tiesiai į jūsų Microsoft 365 MX adresą. Vidinio skenavimo išjungti (intra-organization scanning = None) Microsoft nerekomenduoja.
• Simuliacijos nuorodų nedėkite į Safe Links sąrašą „Do not rewrite the following URLs in email“: pasak Microsoft, tai gali sukelti nereikalingus įspėjimus, o „Advanced delivery“ jas jau leidžia.
• Jei custom Safe Links politikoje įjungta „Do not rewrite URLs, do checks via SafeLinks API only“, senesnės Outlook versijos simuliacijos nuorodas vis tiek gali laikyti grėsme; Microsoft siūlo tokiu atveju šį nustatymą išjungti.
• Jei pranešti laiškai keliauja į atskirą saugumo dėžutę, pridėkite ją tame pačiame puslapyje, skirtuke „SecOps mailbox“.

3 žingsnis: Google Workspace – Gmail nustatymai

Reikia Gmail Settings administratoriaus teisių. Visi nustatymai yra Google Admin konsolėje: Apps → Google Workspace → Gmail → Spam, Phishing and Malware. Pasak Google, pakeitimai įsigalioja per 24 valandas, dažniausiai greičiau.

• „Email allowlist“: įrašykite siuntimo IP. Laiškai iš jo nebepateks į šlamštą, bet Gmail vis tiek gali rodyti įspėjimo juostą.
• „Spam“: spauskite Configure arba Add another rule, pažymėkite „Bypass spam filters and hide warnings for messages from senders or domains in selected lists“ ir pasirinkite adresų sąrašą su siuntimo domenu (jei sąrašo nėra, sukurkite). Nepasirinkus sąrašo, nustatymas neveikia.

Į „Email allowlist“ įrašykite tik tą IP adresą, iš kurio siunčiamos simuliacijos. Jei jūsų pašto serverio IP naudoja ir kiti siuntėjai, šlamšto patikrą aplenktų visi laiškai iš to IP.

„Inbound gateway“ – tik jei įspėjimai lieka

Kai kurios platformos dar siūlo siuntimo IP įrašyti į „Inbound gateway“ nustatymą. Tai pakeičia, kaip Gmail vertina visus laiškus iš to IP: pasak Google, laiškams, ateinantiems per gateway, siuntėjo DMARC politika netaikoma. Naudokite tai tik tada, jei po dviejų aukščiau aprašytų žingsnių įspėjimai lieka, ir niekada nežymėkite „Reject all mail not from gateway IPs“: tada Gmail atmestų visų kitų siuntėjų laiškus.

Kiti filtrai ir sistemos laiškai

• Jei naudojate atskirą pašto vartus (gateway), URL ar DNS filtrą, leiskite opsinel.com: per jį veikia paspaudimų sekimas ir pamokų puslapiai.
• Opsinel sistemos laiškai (pakvietimai, mokymų priskyrimai, priminimai) siunčiami iš mail.opsinel.com. Leiskite šį domeną, kad darbuotojai juos gautų.
• Darbuotojų apie šiuos nustatymus informuoti nereikia: jie neatskleidžia, kada vyks testas.

4 žingsnis: patikrinkite prieš pirmą kampaniją

• Nusiųskite bandomąją simuliaciją į savo organizacijos pašto dėžutę.
• Patikrinkite, kad laiškas atėjo į „Gautus“ be įspėjimo juostos ir kad paveikslėliai rodomi.
• Microsoft 365: Threat Explorer suraskite laišką ir filtruokite pagal System override source = Phishing simulation.
• Outlook paspauskite „Report“. Ataskaitoje paspaudimas neturi atsirasti.
• Dabar paspauskite nuorodą patys. Tik dabar turi atsirasti paspaudimas.

Jei „Report“ mygtukas vis tiek sukuria paspaudimą, „Advanced delivery“ politika laiško neatpažįsta. Palyginkite politikoje įrašytą domeną ir IP su bandomojo laiško Authentication-Results antrašte.

Kaip atrodo visa simuliacija nuo laiško iki ataskaitos, parodyta puslapyje Kaip veikia Opsinel.