Kā atļaut pikšķerēšanas simulācijas Microsoft 365 un Gmail

E-pasta drošības sistēmas pārbauda saites, pirms cilvēks redz ziņu. Microsoft Defender Safe Links, Gmail un citi filtri atver saites ienākošajos e-pastos, lai pārliecinātos, ka tās ir drošas. Pikšķerēšanas simulācijā tas nozīmē, ka platforma fiksē klikšķi, ko neveica neviens darbinieks, un pārskatam vairs nevar uzticēties. Risinājums ir vienreizējs iestatījums, kas jūsu pasta sistēmai norāda, kuri e-pasti ir daļa no atļautas simulācijas.

Šis ceļvedis ir paredzēts uzņēmuma IT administratoram, kurš veic simulācijas ar Opsinel. Microsoft 365 un Google Workspace soļi balstās uz ražotāju dokumentāciju (saites beigās), tāpēc tie der arī citām pikšķerēšanas simulāciju platformām. Izvēlņu nosaukumus norādām angliski, kā tos rāda lielākā daļa administrēšanas konsoļu.

Kas notiek bez šī iestatījuma

• Safe Links vai cits filtrs atver saiti, pārbaudot ziņu, un sistēma fiksē, ka darbinieks it kā noklikšķinājis.
• Darbinieks ziņo par e-pastu ar pogu Report programmā Outlook, ziņojums tiek analizēts automātiski, un arī tas izskatās pēc klikšķa.
• Ziņa tiek pārvietota uz karantīnu vai nevēlamā pasta mapi vai pēc piegādes izņemta ar zero-hour auto purge (ZAP), tāpēc darbinieks to nekad neredz.
• Gmail rāda brīdinājumu par aizdomīgu ziņu, un darbinieks uzreiz saprot, ka tas ir tests.

1. solis: apkopojiet trīs vērtības

Pirms kaut ko maināt, noskaidrojiet, no kurienes nāk simulāciju e-pasti:

Sūtītāja IP

Tā servera publiskā IP adrese, kas sūta simulācijas.

Sūtītāja domēns

Domēns MAIL FROM (aploksnes sūtītāja) adresē vai domēns, kas paraksta e-pastu ar DKIM.

Saišu domēns

Domēns, caur kuru darbojas simulāciju saites un nodarbību lapas. Opsinel gadījumā tas ir opsinel.com.

Opsinel parāda precīzo sūtītāja domēnu un IP katrai kampaņai logā „Check before sending”, kas atveras, palaižot simulāciju. Ja sūtāt caur savu pasta serveri (SMTP), tos var nolasīt arī testa e-pasta galvenē (Outlook: View → View message source; Gmail: ⋮ → Rādīt oriģinālu), rindā Authentication-Results:

• „sender IP is …” ir sūtītāja IP;
• „smtp.mailfrom=” ir MAIL FROM domēns;
• „header.d=” ir DKIM domēns.

Katram sūtītājam ir savs IP un domēns. Ja vēlāk pievienojat vēl vienu sūtītāju, pievienojiet arī tā vērtības.

2. solis: Microsoft 365 Advanced delivery politika

Advanced delivery politika ir Microsoft atbalstīts veids, kā atļaut trešo pušu pikšķerēšanas simulācijas. Jums vajadzīga loma Security Administrator Defender portālā un loma Organization Management pakalpojumā Exchange Online vai arī loma Security Administrator pakalpojumā Microsoft Entra.

• Atveriet Microsoft Defender portālu security.microsoft.com un dodieties uz Email & collaboration → Policies & rules → Threat policies → Advanced delivery (sadaļā Rules).
• Izvēlieties cilni Phishing simulation, pēc tam Add (vai Edit, ja ieraksti jau ir).
• Laukā Domain ievadiet sūtītāja domēnu. Var pievienot līdz 50 domēniem.
• Laukā Sending IP ievadiet sūtītāja IP: vienu adresi, diapazonu vai CIDR bloku. Var pievienot līdz 10 ierakstiem.
• Atstājiet „Simulation URLs to allow” tukšu. Tas vajadzīgs tikai simulācijām ārpus e-pasta, piemēram, Teams ziņām vai Office dokumentiem.
• Izvēlieties Add, pēc tam Close.

Ziņa tiek uzskatīta par simulāciju, ja tā atbilst vismaz vienam domēnam un vienam IP no saraksta. Tad Microsoft 365 filtri un ZAP pret to neko nedara, Safe Links joprojām pārraksta saites, bet klikšķa brīdī tās nebloķē un neatver, un poga Report programmā Outlook neatver saites un neizraisa brīdinājumu.

Ja dodat priekšroku PowerShell

Exchange Online PowerShell vidē izveidojiet politiku ar New-PhishSimOverridePolicy -Name PhishSimOverridePolicy, pēc tam noteikumu ar New-ExoPhishSimOverrideRule -Policy PhishSimOverridePolicy -Domains <domēns> -SenderIpRanges <IP>. Pagaidām IPv6 adreses var pievienot tikai ar PowerShell.

Gadījumi, kas jāpārbauda

• Jūsu MX ieraksts nenorāda uz Microsoft 365 (pasts vispirms iet caur citu filtru): IP Authentication-Results galvenē jāsakrīt ar politikā norādīto. Var būt vajadzīgs Enhanced Filtering for Connectors.
• Jūs sūtāt simulācijas no sava domēna uz savu Microsoft 365 nomnieku: Microsoft pašlaik neatbalsta šo iekšējo (DIR:INT) gadījumu. Microsoft iesaka atsevišķu Receive savienotāju, kas šīs ziņas neuzskata par iekšējām, vai sūtīšanu tieši uz jūsu Microsoft 365 MX resursdatoru. Microsoft neiesaka iestatīt organizācijas iekšējo skenēšanu uz None.
• Nepievienojiet simulāciju saites sarakstam „Do not rewrite the following URLs in email” Safe Links politikās: pēc Microsoft teiktā, tas var izraisīt nevēlamus brīdinājumus, un Advanced delivery politika tās jau atļauj.
• Ja pielāgota Safe Links politika izmanto „Do not rewrite URLs, do checks via SafeLinks API only”, vecākas Outlook versijas joprojām var uzskatīt simulāciju saites par draudiem; tad Microsoft iesaka šo iestatījumu izslēgt.
• Ja ziņotie e-pasti nonāk atsevišķā drošības pastkastē, pievienojiet to tās pašas lapas cilnē SecOps mailbox.

3. solis: Google Workspace Gmail iestatījumi

Jums vajadzīga administratora privilēģija Gmail Settings. Visi iestatījumi atrodas Google administratora konsolē sadaļā Apps → Google Workspace → Gmail → Spam, Phishing and Malware. Google norāda, ka izmaiņu stāšanās spēkā var aizņemt līdz 24 stundām, lai gan parasti tās stājas spēkā ātrāk.

• Email allowlist: pievienojiet sūtītāja IP. Ziņas no tā vairs nenonāk surogātpastā, bet Gmail joprojām var rādīt brīdinājuma joslu.
• Spam: izvēlieties Configure vai Add another rule, atzīmējiet „Bypass spam filters and hide warnings for messages from senders or domains in selected lists” un izvēlieties adrešu sarakstu ar sūtītāja domēnu (ja vajag, izveidojiet to). Bez izvēlēta saraksta šai opcijai nav efekta.

Email allowlist pievienojiet tikai to IP adresi, kas sūta simulācijas. Ja jūsu pasta servera IP izmanto arī citi sūtītāji, katra ziņa no šī IP apietu surogātpasta pārbaudi.

Inbound gateway: tikai tad, ja brīdinājumi paliek

Dažas platformas iesaka arī pievienot sūtītāja IP iestatījumam Inbound gateway. Tas maina to, kā Gmail apstrādā visu pastu no šī IP: pēc Google teiktā, Gmail nepiemēro sūtītāja DMARC politiku ziņām, kas pienāk caur vārteju. Izmantojiet to tikai tad, ja pēc diviem iepriekšējiem soļiem brīdinājumi paliek, un nekad neatzīmējiet „Reject all mail not from gateway IPs”: ar to Gmail noraida pastu no visiem citiem sūtītājiem.

Citi filtri un sistēmas e-pasti

• Ja izmantojat atsevišķu e-pasta vārteju, URL filtru vai DNS filtru, atļaujiet opsinel.com: caur to darbojas klikšķu izsekošana un nodarbību lapas.
• Opsinel sistēmas e-pasti (ielūgumi, apmācību piešķīrumi, atgādinājumi) tiek sūtīti no mail.opsinel.com. Atļaujiet šo domēnu, lai darbinieki tos saņemtu.
• Darbiniekiem par šiem iestatījumiem nav jāzina: tie neatklāj, kad notiks tests.

4. solis: tests pirms pirmās kampaņas

• Nosūtiet testa simulāciju uz pastkasti savā organizācijā.
• Pārbaudiet, vai tā nonāk iesūtnē bez brīdinājuma joslas un vai attēli ielādējas.
• Microsoft 365 vidē atrodiet ziņu rīkā Threat Explorer un filtrējiet pēc System override source = Phishing simulation.
• Noklikšķiniet uz Report programmā Outlook. Pārskatā nedrīkst parādīties klikšķis.
• Tagad paši noklikšķiniet uz saites. Tikai tagad drīkst parādīties klikšķis.

Ja poga Report joprojām rada klikšķi, Advanced delivery politika neatbilst ziņai. Salīdziniet politikā norādīto domēnu un IP ar testa e-pasta Authentication-Results galveni.

Lai redzētu visu simulāciju, no e-pasta līdz pārskatam, dodieties uz lapu kā darbojas Opsinel.