Symulacje phishingu w Microsoft 365 i Google Workspace

Systemy bezpieczeństwa poczty sprawdzają linki, zanim człowiek zobaczy wiadomość. Microsoft Defender Safe Links, Gmail i inne filtry otwierają linki w przychodzących e-mailach, aby upewnić się, że są bezpieczne. W przypadku symulacji phishingu oznacza to, że platforma rejestruje kliknięcie, którego nie wykonał żaden pracownik, a raportowi nie można już ufać. Rozwiązaniem jest jednorazowe ustawienie, które wskazuje systemowi pocztowemu, które e-maile należą do zatwierdzonej symulacji.

Ten przewodnik jest przeznaczony dla administratorów IT firm, które prowadzą symulacje w Opsinel. Kroki dla Microsoft 365 i Google Workspace opierają się na dokumentacji producentów (linki na końcu), więc dotyczą też innych platform do symulacji phishingu. Nazwy menu podajemy po angielsku, tak jak wyświetla je większość konsol administracyjnych.

Co się dzieje bez tego ustawienia

• Safe Links lub inny filtr otwiera link podczas sprawdzania wiadomości, a w raporcie pracownik figuruje jako osoba, która kliknęła.
• Pracownik zgłasza e-mail przyciskiem Report w Outlooku, zgłoszenie jest analizowane automatycznie, a to również wygląda jak kliknięcie.
• Wiadomość trafia do kwarantanny lub folderu wiadomości-śmieci albo jest usuwana po dostarczeniu przez zero-hour auto purge (ZAP), więc pracownik jej nie widzi.
• Gmail pokazuje ostrzeżenie o podejrzanej wiadomości, a pracownik od razu rozumie, że to test.

Krok 1: zbierz trzy wartości

Zanim cokolwiek zmienisz, ustal, skąd przychodzą e-maile symulacji:

IP nadawcy

Publiczny adres IP serwera, który wysyła symulacje.

Domena nadawcy

Domena w adresie MAIL FROM (nadawca koperty) albo domena, która podpisuje e-mail kluczem DKIM.

Domena linków

Domena, przez którą działają linki symulacji i strony lekcji. W Opsinel to opsinel.com.

Opsinel pokazuje dokładną domenę nadawcy i IP dla każdej kampanii w oknie „Check before sending”, które otwiera się przy uruchamianiu symulacji. Jeśli wysyłasz przez własny serwer pocztowy (SMTP), możesz je też odczytać z nagłówka testowego e-maila (Outlook: View → View message source; Gmail: ⋮ → Pokaż oryginał), z wiersza Authentication-Results:

• „sender IP is …” to IP nadawcy;
• „smtp.mailfrom=” to domena MAIL FROM;
• „header.d=” to domena DKIM.

Każdy nadawca ma własne IP i domenę. Jeśli później dodasz kolejnego nadawcę, dodaj też jego wartości.

Krok 2: zasada Advanced delivery w Microsoft 365

Zasada Advanced delivery to oficjalny, wspierany przez Microsoft sposób dopuszczania symulacji phishingu od zewnętrznych dostawców. Potrzebujesz roli Security Administrator w portalu Defender i Organization Management w Exchange Online albo roli Security Administrator w Microsoft Entra.

• Otwórz portal Microsoft Defender pod adresem security.microsoft.com i przejdź do Email & collaboration → Policies & rules → Threat policies → Advanced delivery (w sekcji Rules).
• Wybierz kartę Phishing simulation, potem Add (lub Edit, jeśli wpisy już istnieją).
• W polu Domain wpisz domenę nadawcy. Możesz dodać do 50 domen.
• W polu Sending IP wpisz IP nadawcy: pojedynczy adres, zakres lub blok CIDR. Możesz dodać do 10 wpisów.
• Zostaw „Simulation URLs to allow” puste. To pole jest potrzebne tylko dla symulacji poza e-mailem, np. wiadomości w Teams lub dokumentów Office.
• Wybierz Add, potem Close.

Wiadomość jest traktowana jako symulacja, gdy pasuje do co najmniej jednej domeny i jednego IP z listy. Filtry Microsoft 365 i ZAP nie podejmują wtedy wobec niej działań, Safe Links nadal przepisuje linki, ale nie blokuje ich ani nie otwiera w chwili kliknięcia, a przycisk Report w Outlooku nie otwiera linków ani nie generuje alertu.

Jeśli wolisz PowerShell

W Exchange Online PowerShell utwórz zasadę poleceniem New-PhishSimOverridePolicy -Name PhishSimOverridePolicy, a potem regułę poleceniem New-ExoPhishSimOverrideRule -Policy PhishSimOverridePolicy -Domains <domena> -SenderIpRanges <IP>. Na razie adresy IPv6 można dodać tylko przez PowerShell.

Przypadki do sprawdzenia

• Twój rekord MX nie wskazuje na Microsoft 365 (poczta najpierw przechodzi przez inny filtr): IP w nagłówku Authentication-Results musi zgadzać się z tym w zasadzie. Może być potrzebne Enhanced Filtering for Connectors.
• Wysyłasz symulacje z własnej domeny do własnej dzierżawy Microsoft 365: Microsoft obecnie nie obsługuje tego wewnętrznego przypadku (DIR:INT). Microsoft sugeruje osobny łącznik Receive, który nie traktuje tych wiadomości jako wewnętrznych, albo wysyłkę bezpośrednio na host MX Microsoft 365. Nie zaleca ustawiania skanowania wewnątrz organizacji na None.
• Nie dodawaj linków symulacji do „Do not rewrite the following URLs in email” w zasadach Safe Links: według Microsoftu może to wywołać niechciane alerty, a zasada Advanced delivery już je dopuszcza.
• Jeśli niestandardowa zasada Safe Links używa „Do not rewrite URLs, do checks via SafeLinks API only”, starsze wersje Outlooka mogą nadal traktować linki symulacji jako zagrożenie; wtedy Microsoft sugeruje wyłączenie tego ustawienia.
• Jeśli zgłoszone e-maile trafiają do osobnej skrzynki bezpieczeństwa, dodaj ją na karcie SecOps mailbox na tej samej stronie.

Krok 3: ustawienia Gmaila w Google Workspace

Potrzebujesz uprawnienia administratora Gmail Settings. Wszystkie ustawienia są w Konsoli administracyjnej Google w Apps → Google Workspace → Gmail → Spam, Phishing and Malware. Google podaje, że zmiany mogą zacząć działać dopiero po 24 godzinach, choć zwykle dzieje się to szybciej.

• Email allowlist: dodaj IP nadawcy. Wiadomości z niego nie trafiają już do spamu, ale Gmail może nadal pokazywać baner ostrzegawczy.
• Spam: wybierz Configure lub Add another rule, zaznacz „Bypass spam filters and hide warnings for messages from senders or domains in selected lists” i wybierz listę adresów zawierającą domenę nadawcy (w razie potrzeby utwórz ją). Bez wybranej listy opcja nie działa.

Do Email allowlist dodaj tylko adres IP, który wysyła symulacje. Jeśli z IP Twojego serwera pocztowego korzystają też inni nadawcy, każda wiadomość z tego IP omijałaby kontrolę spamu.

Inbound gateway: tylko jeśli ostrzeżenia nie znikają

Niektóre platformy sugerują też dodanie IP nadawcy do ustawienia Inbound gateway. To zmienia sposób, w jaki Gmail traktuje całą pocztę z tego IP: według Google nie egzekwuje on polityki DMARC nadawcy dla wiadomości, które przychodzą przez bramę. Używaj tego tylko wtedy, gdy po dwóch powyższych krokach ostrzeżenia nadal się pojawiają, i nigdy nie zaznaczaj „Reject all mail not from gateway IPs”: z tym ustawieniem Gmail odrzuca pocztę od wszystkich innych nadawców.

Inne filtry i e-maile systemowe

• Jeśli używasz osobnej bramy pocztowej, filtra URL lub filtra DNS, dopuść opsinel.com: przez tę domenę działa śledzenie kliknięć i strony lekcji.
• E-maile systemowe Opsinel (zaproszenia, przypisania szkoleń, przypomnienia) są wysyłane z mail.opsinel.com. Dopuść tę domenę, aby pracownicy je dostawali.
• Pracownicy nie muszą wiedzieć o tych ustawieniach: nie zdradzają one, kiedy odbędzie się test.

Krok 4: test przed pierwszą kampanią

• Wyślij testową symulację do skrzynki we własnej organizacji.
• Sprawdź, czy dociera do skrzynki odbiorczej bez banera ostrzegawczego i czy ładują się obrazy.
• W Microsoft 365 znajdź wiadomość w Threat Explorer i przefiltruj według System override source = Phishing simulation.
• Kliknij Report w Outlooku. W raporcie nie powinno pojawić się kliknięcie.
• Teraz kliknij link samodzielnie. Dopiero teraz powinno pojawić się kliknięcie.

Jeśli po użyciu przycisku Report nadal pojawia się kliknięcie, zasada Advanced delivery nie pasuje do wiadomości. Porównaj domenę i IP w zasadzie z nagłówkiem Authentication-Results testowego e-maila.

Aby zobaczyć całą symulację, od e-maila po raport, przejdź do strony jak działa Opsinel.