Kompleksowy przegląd usługi Microsoft Exchange Online Protection
Spam to niechciane wiadomości lub inne treści wysyłane masowo za pośrednictwem e-maila do dużej liczby odbiorców. Wiele lat temu wiadomości spamowe były jedynie niechcianymi treściami reklamowymi. Obecnie spam może stanowić zagrożenie, ponieważ stał się czymś więcej niż tylko irytującą reklamą. Nadawcy spamu stosują wyrafinowane techniki podczas wysyłania wiadomości spamowych. Mogą dołączać do wiadomości oprogramowanie szpiegujące, złośliwe oprogramowanie lub oprogramowanie wymuszające okup, a także wykorzystywać ataki typu XSS lub po prostu linki do wirusów. Nieostrożni użytkownicy nie są w stanie zidentyfikować tych niebezpiecznych wiadomości. Zainfekowanie takim złośliwym oprogramowaniem może stanowić zagrożenie dla poszczególnych użytkowników i całych firm, ponieważ może powodować awarie sprzętu, wycieki danych oraz utratę (uszkodzenie) danych.
Na szczęście istnieją sposoby ochrony kont e-mail przed spamem przy użyciu nowoczesnych rozwiązań programowych, takich jak Exchange Online Protection. W tym wpisie na blogu omówię, czym jest Exchange Online Protection i jak można go używać do ochrony kont Exchange Online. Jak więc działa Exchange Online Protection?
Czym jest Exchange Online Protection?
Exchange Online Protection (EOP) to oparta na chmurze usługa filtrowania e-maila firmy Microsoft. Usługa ta ma na celu ochronę użytkowników e-maila oraz całej organizacji przed spamem i złośliwym oprogramowaniem. Użytkownicy często pytają: czy Microsoft Office 365 obejmuje Exchange Online Protection? Tak, Exchange Online Protection to komponent oprogramowania zawarty w subskrypcjach Microsoft Office 365 dla organizacji. EOP jest częścią Microsoft Exchange Online. Kiedy firma zaczyna korzystać z usług e-maila Microsoft Office 365, powinna w pierwszej kolejności rozważyć, jak chronić swoje konta przed spamem. Dlatego wybór usług ochrony e-maila w chmurze może mieć duże znaczenie. Exchange Online Protection obsługuje kilka scenariuszy wdrażania:
Wdrażanie autonomiczne . Możesz używać Exchange Online Protection do ochrony w chmurze lokalnych serwerów Exchange działających na maszynach fizycznych lub wirtualnych.
Korzystanie wyłącznie w chmurze . Jeśli korzystasz z usług e-mail Office 365, użyj natywnej ochrony Exchange Online Protection, aby chronić Exchange Online i skrzynki pocztowe użytkowników hostowane w chmurze.
Wdrażanie hybrydowe . Możesz skonfigurować Exchange Online Protection w chmurze, aby chronić zarówno Exchange Online znajdujący się w chmurze, jak i serwery Exchange działające lokalnie na serwerach fizycznych lub maszynach wirtualnych w biurze lub centrum danych.
Plan Exchange Protection jest zawarty we wszystkich planach subskrypcji Microsoft Office 365, które obejmują Exchange Online i powiązane usługi e-maila. Możesz również kupić EOP osobno. Usługa Exchange Online Protection może również współpracować z usługami poczty elektronicznej innych producentów niż Microsoft.
Przeczytaj również, jak Połącz się z usługą Exchange Online za pomocą programu PowerShell.
Czym zajmuje się usługa Exchange Online Protection?
Usługa Exchange Online Protection filtruje przychodzące i wychodzące wiadomości e-mail, sprawdzając je pod kątem różnych zagrożeń. Filtrowanie przychodzących wiadomości e-mail odbywa się przy użyciu reguł opartych na zasadach oraz algorytmów analitycznych firmy Microsoft. Wiadomości e-mail sklasyfikowane jako niebezpieczne są odrzucane i usuwane.
Filtrowanie wiadomości wychodzących jest konieczne, aby uniknąć sytuacji, w których użytkownik w firmie wysyła spam do innych osób. Jeśli nie filtrujesz takich wiadomości, Twoja domena lub adres IP zostaną dodane do czarnej listy przez inne organizacje. Znalezienie się na czarnej liście jako spamer jest szkodliwe i może powodować problemy z dostarczaniem wiadomości e-mail wysyłanych przez użytkowników z Twojej organizacji. Znacznie łatwiej jest skonfigurować filtrowanie poczty wychodzącej niż próbować wykluczyć swoją domenę z czarnej listy. Innym przypadkiem użycia filtrowania poczty wychodzącej jest sytuacja, w której ktoś włamuje się na konto użytkownika i wykorzystuje je do wysyłania spamu.
Zasada działania
Gdy osoba spoza firmy wysyła e-mail do użytkownika z Twojej organizacji, e-mail ten jest kierowany przez sieć routerów i serwerów pocztowych do Twojego serwera pocztowego zgodnie z rekordami MX skonfigurowanymi dla Twojej domeny. Jeśli korzystasz z Exchange Online w ramach Microsoft 365, Twój wirtualny serwer pocztowy jest rozproszony w centrach danych w chmurze Microsoft. Wiele wiadomości spamowych jest odrzucanych, zanim dotrą do serwerów pocztowych Exchange Online. Gdy wiadomość e-mail zostanie dostarczona do centrum danych Exchange używanego przez Twoją organizację, uruchamia się Exchange Online Protection.
Exchange Online Protection sprawdza reputację nadawcy, adres IP, nazwę domeny oraz słowa kluczowe w temacie lub treści wiadomości. Następnie porównuje te dane z konfiguracją filtrów. Jeśli warunki „zezwolenia” są spełnione (na przykład nie ma fraz, adresów IP, adresów e-mail ani domen z czarnej listy), wiadomość e-mail jest dostarczana do skrzynki pocztowej użytkownika. Jeśli adres IP nadawcy (nazwa konta e-mail lub domena) znajduje się na białej liście, wiadomość nie jest filtrowana. Wiadomości są również sprawdzane pod kątem złośliwego oprogramowania.
Jeśli wiadomość e-mail nie spełnia warunków, jest albo odrzucana jako wiadomość-śmieć (użytkownicy mogą znaleźć tę wiadomość w folderze wiadomości-śmieci), albo zapisywana w kwarantannie i nie jest dostarczana do odbiorcy (w zależności od ustawień). Firma Microsoft zna adresy wielu spamerów i wykorzystuje algorytmy uczenia maszynowego, aby reagować na czas i dodawać nowych spamerów do czarnej listy. Współpraca firmy Microsoft z innymi korporacjami zajmującymi się zwalczaniem spamu pozwala jej zapewnić wysoki poziom ochrony e-maila. Jest to zaleta korzystania z opartego na chmurze rozwiązania Exchange Online Protection w porównaniu z konfiguracją ochrony fizycznego serwera e-mailowego od podstaw. W większości przypadków wystarczy tylko dostosować ustawienia Exchange Online Protection.
Poziom pewności spamu
Gdy wiadomość e-mail przechodzi przez filtr antyspamowy w Exchange Online Protection, otrzymuje ocenę spamu. Ocena ta nazywana jest „poziomem pewności spamu” (SCL) i może zostać zapisana w nagłówku X wiadomości e-mail. Im wyższy jest SCL, tym większe jest prawdopodobieństwo, że wiadomość e-mail jest wiadomością spamową.
Poziom pewności spamu:
-1Jest to wiadomość niebędąca spamem, pochodząca z zaufanych źródeł znajdujących się na białych listach (na podstawie adresu IP, nazwy nadawcy, nazwy domeny itp.). Wiadomość jest dostarczana do folderu „Skrzynka odbiorcza” adresata.0 - 1Wartości te są przypisywane do wiadomości e-mail, które nie są spamem. Wiadomość jest dostarczana do folderu „Skrzynka odbiorcza” adresata.5, 6Wiadomości e-mail są uznawane za spam i przenoszone do folderu „Wiadomości-śmieci”.7, 8, 9Wiadomości e-mail są uznawane za spam o wysokim stopniu pewności i przenoszone do folderu „Wiadomości-śmieci” odbiorców.
Pełna lista działań, które można wykonać po oznaczeniu wiadomości e-mail jako spam:
- Przenieś wiadomość e-mail do folderu „Wiadomości-śmieci” . Ta opcja jest używana domyślnie.
- Dodaj nagłówek X-header w celu dalszego przetwarzania wiadomości e-mail przy użyciu reguł transportu.
- Dodaj komunikat ostrzegawczy na początku nazwy tematu. Możesz użyć tej opcji, aby powiadomić użytkowników, że wiadomość jest podejrzana, jeśli została oznaczona jako spam i przeniesiona do folderu „Wiadomości-śmieci”.
- Przenieś do kwarantanny. Ta opcja jest przydatna do ratowania dobrych wiadomości, które zostały błędnie zidentyfikowane jako spam (znane również jako fałszywe alarmy).
- Przekieruj wiadomość na niestandardowy adres e-mail. Możesz skorzystać z tej opcji, jeśli chcesz sprawdzić, jakie wiadomości są oznaczone jako spam. Może to być przydatne, gdy chcesz dokonać dodatkowego dostosowania filtrowania spamu.
- Usuń wiadomość e-mail. Skorzystaj z tej opcji, jeśli masz 100% pewności, że filtr poczty e-mail jest poprawnie skonfigurowany.
Wiadomości masowe
Wiadomości masowe zazwyczaj nie są spamem, ale mogą być irytujące i niepożądane w Twojej organizacji. Wiadomości masowe to listy, takie jak materiały marketingowe i biuletyny, wysyłane na adres duża liczba użytkowników. Czytanie wiadomości masowych może rozpraszać użytkowników, a ponadto mogą oni używać służbowych kont e-mail do rejestracji na stronach internetowych podmiotów zewnętrznych, co może być niezgodne z polityką bezpieczeństwa. Usługa Exchange Online Protection umożliwia ustawienie rozpoznawania wiadomości masowych jako spamu poprzez skonfigurowanie poziomu zgodności z zasadami dotyczącymi wiadomości masowych, aby zapobiec otrzymywaniu przez użytkowników tego rodzaju niechcianej korespondencji. Poziom zgodności masowej (BCL) można ustawić w taki sam sposób, jak poziom pewności spamu (używając liczb od 1 do 9). Ustaw wartość progową na 7 lub wyższą i zapomnij o wiadomościach masowych. Użytkownicy mogą kliknąć „To jest spam” w kliencie e-maila, aby zgłosić skargę dotyczącą spamu przeciwko nadawcy. Usługi masowej wysyłki wiadomości e-mail, które generują dużą liczbę skarg, zyskują złą reputację. Jest to wykrywane przez systemy filtrowania spamu, w tym Exchange Online Protection.
Przeczytaj również jak skonfigurować ustawienia SMTP w usłudze Office 365 dotyczące Twojego klienta poczty e-mail.
Fałszywy alarm
Fałszywy alarm to sytuacja, w której wiadomość e-mail zostaje sklasyfikowana jako spam, mimo że w rzeczywistości nim nie jest. Fałszywy wynik negatywny to sytuacja, w której spam lub złośliwa wiadomość e-mail ominęła filtry i została dostarczona do odbiorcy. Żaden system nie jest odporny na takie zdarzenia. Można zgłaszać firmie Microsoft przypadki fałszywych alarmów i pominięć filtrów antyspamowych. Microsoft będzie starał się ulepszyć ochronę antyspamową i antywirusową. W przypadku fałszywego alarmu administratorzy mogą znaleźć wiadomości w kwarantannie, jeśli nie skonfigurowali natychmiastowego i trwałego usuwania wiadomości uznanych za spam.
Kwarantanna
Kwarantanna to miejsce, w którym przechowywane są wiadomości e-mail sklasyfikowane jako spam lub wiadomości zainfekowane. Wiadomości są przechowywane w kwarantannie do momentu ich sprawdzenia przez administratora lub usunięcia po upływie czasu przechowywania w kwarantannie. Niechciane wiadomości mogą być przechowywane w kwarantannie zamiast w folderze „Wiadomości-śmieci”, z którego użytkownicy mogą przywrócić i otworzyć podejrzaną wiadomość e-mail. Jeśli ta wiadomość jest zainfekowana, stanowi zagrożenie dla użytkownika i organizacji. Dlatego administratorzy wolą przechowywać wiadomości e-mail o wysokim poziomie pewności spamu w kwarantannie, do której dostęp mają tylko administratorzy, zamiast w folderze „Wiadomości-śmieci”.
Wiadomości przeniesione do kwarantanny przez regułę filtrowania spamu są domyślnie przechowywane przez 15 dni. Administrator systemu może skonfigurować ten okres.
Wiadomości, które są przenoszone do kwarantanny w wyniku reguły transportowej (filtrowania sieciowego), są przechowywane w kwarantannie przez 7 dni, a administratorzy nie mogą edytować tego okresu.
Administratorzy mogą zarządzać kwarantanną i wiadomościami w kwarantannie wszystkich użytkowników. Użytkownicy mogą wyświetlać wiadomości w swojej kwarantannie tylko wtedy, gdy zastosowano odpowiednie ustawienia (możliwe jest skonfigurowanie ustawień kwarantanny tak, aby każdy użytkownik mógł zarządzać kwarantanną dla swojego konta).
Opcje filtrowania spamu
Można nakreślić plan ochrony Exchange i wybrać zasady oraz reguły, które są kluczowe dla ochrony użytkowników i firmy.
Białe listy to listy „dozwolonych” lub listy bezpiecznych nadawców. Jeśli ufasz danej firmie lub partnerowi biznesowemu, możesz dodać adresy IP i nazwy domen używane przez tę firmę do białych list w swoich regułach, aby mieć pewność, że ważne wiadomości e-mail od nich zawsze będą do Ciebie docierać.
Czarne listy to listy blokujące. Jeśli zauważysz, że z danego adresu IP lub domeny wysyłanych jest wiele wiadomości spamowych, dodaj te parametry nadawcy do czarnej listy.
Filtrowanie według adresów IP . Możesz dodać adresy IP nadawców spamu do czarnej listy w celu blokowania wiadomości e-mail. Dodaj adresy IP zaufanych zasobów do białej listy.
Filtrowanie według języków (międzynarodowe filtry antyspamowe) pozwala odrzucać wiadomości e-mail napisane w językach innych niż używane w Twojej firmie i ograniczyć napływ spamu. Na przykład, jeśli Twoja firma używa języka angielskiego, niemieckiego i francuskiego, a Twoi partnerzy używają języka angielskiego i hiszpańskiego – nie powinieneś blokować tych języków. Możesz blokować wiadomości e-mail napisane w innym języku, jeśli zauważysz dużą liczbę otrzymywanego spamu w tym języku. Exchange Online Protection pozwala również na blokowanie serwerów pocztowych hostowanych w określonym kraju (regionie) na świecie.
Konfiguracja Exchange Online Protection
Teraz, gdy omówiłem główne opcje i funkcje, przyjrzyjmy się, jak uzyskać dostęp do ustawień Exchange Online Protection. Przeczytaj tę sekcję, aby dowiedzieć się, jak skonfigurować Exchange Online Protection. Exchange Online Protection można skonfigurować w interfejsie internetowym. Przejdź do Centrum administracyjnego Exchange i zaloguj się jako administrator konta firmowego:
https://outlook.office365.com/ecp/
Ochrona
Kliknij protection w lewym panelu Centrum administracyjnego Exchange. W górnej części strony internetowej widoczne są opcje filtru złośliwego oprogramowania, filtru połączeń, filtru spamu, spamu wychodzącego, kwarantanny, centrum działań oraz DKIM. Sekcja „Ochrona” odpowiada za ochronę antyspamową i antywirusową.
Malware filter. W tej podsekcji można zarządzać zasadami antywirusowymi. Można dodawać, edytować, włączać, wyłączać i usuwać zasady oraz zmieniać ich priorytet. Zasady o wyższym priorytecie są stosowane w pierwszej kolejności.
Kliknij przycisk + , aby dodać nową politykę antywirusową. W nowym oknie wyświetli się długa lista ustawień.
Nazwa : Wprowadź nazwę nowej polityki.
Opis : W razie potrzeby wprowadź opis.
Reakcja na wykrycie złośliwego oprogramowania . Wybierz jedną z opcji „Tak”, jeśli chcesz, aby odbiorcy w Twojej organizacji otrzymywali powiadomienia o wiadomościach poddanych kwarantannie, zawierających złośliwe załączniki. Możesz wprowadzić własny tekst powiadomienia.
Filtr typowych typów załączników (Wł./Wył.). Włącz tę opcję i wybierz typy plików, które mogą być szkodliwe. Możesz wybrać rozszerzenia .EXE, .BAT, .CMD i inne; jeśli te typy plików zostaną wykryte w załącznikach wiadomości e-mail, wiadomość zostanie odrzucona.
Automatyczne usuwanie złośliwego oprogramowania typu zero-hour . Jest to funkcja, która wykrywa i neutralizuje wiadomości spamowe, phishingowe i zawierające złośliwe oprogramowanie, jeśli zostały one już dostarczone do skrzynek pocztowych użytkowników. Firma Microsoft zazwyczaj aktualizuje filtry Exchange Online Protection i ulepsza ich algorytmy. Jeśli złośliwa wiadomość e-mail została dostarczona, zanim filtry były w stanie wykryć to złośliwe oprogramowanie, problem można rozwiązać za pomocą funkcji automatycznego usuwania typu zero-hour po aktualizacji sygnatur złośliwego oprogramowania i spamu. Zaleca się włączenie tej funkcji. Można dostosować opcje powiadomień dla użytkowników i administratorów.
Zasady ochrony przed złośliwym oprogramowaniem można zastosować do użytkowników, grup lub domen.
Connection filter. Filtr połączeń może blokować wiadomości e-mail na podstawie adresu IP strony źródłowej (serwera pocztowego używanego przez nadawcę wiadomości). Filtrowanie połączeń jest zazwyczaj stosowane po wykryciu złośliwego oprogramowania lub ataków spamowych oraz adresów IP źródłowych używanych do wysyłania złośliwych wiadomości e-mail. Można dodać dozwolone adresy IP zaufanych nadawców.
Elementy zarządzania filtrem połączeń pozwalają na dodanie dozwolonych i zablokowanych adresów IP do domyślnej polityki.
Można zaznaczyć pole wyboru Włącz listę bezpieczną , aby korzystać z listy bezpiecznych adresów IP firmy Microsoft. Microsoft subskrybuje listy firm zewnętrznych, których celem jest ciągła aktualizacja białych i czarnych list nadawców wiadomości e-mail na całym świecie. Jeśli nie ufasz listom stron trzecich, możesz zignorować tę opcję i nie zaznaczać tego pola wyboru.
Spam filter. Usługa Exchange Online Protection wykrywa wiadomości spamowe na podstawie treści wiadomości e-mail po ich przeanalizowaniu. Opcje filtru antyspamowego pozwalają na precyzyjne dostosowanie filtru antyspamowego dla usługi Exchange Online Protection oraz dostosowanie ustawień. Kliknij ikonę Edit (ołówek), aby otworzyć nowe okno z ustawieniami.
Nazwa : Wprowadź nazwę zasady filtrowania spamu.
Opis : Wprowadź opis (opcjonalnie).
Działania dotyczące spamu i e-maili masowych . Możesz wybrać działanie, które ma zostać podjęte w przypadku przychodzących e-maili spamowych i masowych. Zaznacz pole wyboru Oznacz masowe wiadomości e-mail jako spam , aby wyłączyć dostarczanie wiadomości marketingowych, biuletynów i innych niechcianych wiadomości, które nie są niezbędne do pracy użytkowników w Twojej organizacji. Wybierz próg z menu rozwijanego, aby dostosować rozpoznawanie masowych wiadomości e-mail jako spamu. Poziom pewności spamu wykorzystuje wartości progowe od 1 do 9, a domyślną wartością jest 7.
Opcje kwarantanny :
- Zachowaj przez (dni): domyślnie 15
- Dodaj ten tekst nagłówka X
- Przekieruj na ten adres e-mail
Możesz również edytować listy blokowanych i dozwolonych adresów e-mail nadawców oraz nazw domen.
Outbound spam. Niektóre strony konfiguracyjne zostały zaktualizowane przez firmę Microsoft i przeniesione pod inne adresy. Możesz skonfigurować zasady dotyczące spamu, w tym zasady dotyczące spamu wychodzącego, na stronie:
https://protection.office.com/antispam
Na tej stronie możesz włączyć domyślne zasady i ustawić ich priorytet. Aby skonfigurować zasadę dotyczącą spamu wychodzącego, kliknij Create an outbound policy. W oknie, które się otworzy, wprowadź nazwę zasad, opis oraz skonfiguruj ustawienia powiadomień, limity odbiorców (widoczne na zrzucie ekranu) i warunki stosowane do wymaganych obiektów.
Quarantine. Ustawienia kwarantanny są dostępne tutaj:
https://protection.office.com/quarantine
Jeśli istnieją przefiltrowane wiadomości oznaczone jako spam lub złośliwe oprogramowanie, można je zobaczyć na liście. Aby przechowywać podejrzane wiadomości w kwarantannie, należy zastosować odpowiednie zasady (takie jak zasady filtrowania spamu).
Action Center. Dostęp do Centrum akcji można uzyskać, korzystając z adresu:
https://protection.office.com/restrictedusers
Na tej stronie konfiguracji usługi Exchange Online Protection można wyświetlić listę zablokowanych użytkowników, akcji, usług oraz inne szczegóły dotyczące akcji.
DKIM. DKIM (Domain Keys Identified Email) to dodatkowa metoda zwalczania spamu oparta na dodawaniu podpisu kryptograficznego (rekordu DKIM) do wychodzących wiadomości e-mail. Podpis DKIM to nagłówek dodawany do wiadomości e-mail i zabezpieczony szyfrowaniem. Z drugiej strony docelowy serwer pocztowy może ustalić, czy wiadomość e-mail została wysłana przez autoryzowany system pocztowy. Użytkownik końcowy (odbiorca) nie widzi podpisu. Ustawienia DKIM dla swoich domen można znaleźć w odpowiedniej podsekcji ustawień Exchange Online Protection.
Przepływ poczty
Ta sekcja umożliwia zarządzanie przepływem poczty przy użyciu reguł transportu i warunkowego routingu poczty. Reguły przepływu poczty (reguły transportu poczty) służą do podejmowania działań dotyczących wiadomości przed ich dostarczeniem do skrzynek pocztowych odbiorców. Można skonfigurować zestaw warunków, takich jak rozmiar załącznika, nazwa tematu itp., wraz z operatorem porównania, aby ustawić system filtrowania w celu podjęcia decyzji. Na przykład, jeśli temat wiadomości brzmi „Na sprzedaż” lub „Rabaty”, wiadomość ta musi zostać usunięta. Można również modyfikować i przekazywać dalej wiadomości. Reguła znajdująca się na początku listy ma najwyższy priorytet, a reguła na końcu listy ma najniższy priorytet. Reguły o wysokim priorytecie są stosowane w pierwszej kolejności podczas obsługi wiadomości e-mail w przepływie poczty.
Wnioski
Exchange Online Protection to coś więcej niż tylko ochrona antyspamowa, ponieważ rozwiązanie to może chronić każdego użytkownika i całą organizację przed spamem, wirusami, złośliwym oprogramowaniem, oprogramowaniem ransomware i oprogramowaniem szpiegującym. Exchange Online Protection jest częścią pakietu Microsoft 365. Jeśli korzystasz z subskrypcji Microsoft 365 dla organizacji i usługi Microsoft Exchange Online, możesz skonfigurować Exchange Online Protection dla swojej firmy. Firma Microsoft zapewnia domyślnie włączone usługi filtrowania poczty, ale można dostosować ustawienia zgodnie z własnymi wymaganiami. Ochrona użytkowników poczty elektronicznej przed spamem i złośliwym oprogramowaniem zmniejsza ryzyko utraty ważnych danych.
Oprócz ochrony antyspamowej i antywirusowej można chronić swoje dane, wykonując regularne kopie zapasowe. Skorzystaj z NAKIVO Backup & Replication i utwórz kopię zapasową kont e-mail w usłudze Microsoft Office 365.
