Erkenntnisse zur Spoofing-Intelligenz für Cloudpostfächer

Tipp

Wussten Sie, dass Sie die Features in Microsoft Defender für Office 365 Plan 2 kostenlos testen können? Verwenden Sie die 90-Tage-Testversion von Defender für Office 365 im Microsoft Defender-Portal-Testversionshub. Informationen dazu, wer sich registrieren und testen kann, finden Sie unter Try Microsoft Defender for Office 365.

In allen Organisationen mit Cloudpostfächern werden eingehende E-Mail-Nachrichten automatisch vor Spoofing geschützt. Microsoft 365 verwendet Spoofing-Intelligenz als Teil des allgemeinen Schutzes Ihrer Organisation vor Phishing. Weitere Informationen finden Sie unter Anti-Spoofing-Schutz.

Wenn ein Absender eine E-Mail-Adresse spooft, sieht es so aus, als ob es sich um einen Benutzer in einer der Domänen Ihrer Organisation oder um einen Benutzer in einer externen Domäne handelt, der E-Mails an Ihre Organisation sendet. Angreifer, die Absender fälschen, um Spam- oder Phishing-E-Mails zu versenden, müssen blockiert werden. Es gibt jedoch Szenarien, in denen legitime Absender Spoofing ausführen. Beispiel:

  • Legitime Szenarien zum Spoofing interner Domänen:

    • Nicht-Microsoft-Absender verwenden Ihre Domäne, um Massensendungen an Benutzer in Ihrem organization zu senden (z. B. für Unternehmensumfragen).
    • Ein externes Unternehmen generiert und sendet Werbung oder Produktupdates in Ihrem Auftrag.
    • Ein Assistent sendet regelmäßig E-Mails für eine andere Person in Ihrer Organisation.
    • Eine interne Anwendung sendet E-Mail-Benachrichtigungen.

  • Legitime Szenarien zum Spoofing externer Domänen:

    • Der Absender befindet sich in einem Verteiler (auch Adressenliste), und der Verteiler leitet die E-Mail vom ursprünglichen Absender an alle Teilnehmer des Verteilers weiter.
    • Ein externes Unternehmen sendet E-Mails im Auftrag eines anderen Unternehmens (z. B. einen automatisierten Bericht oder ein Software-as-a-Service-Unternehmen).

Verwenden Sie die Spoofintelligenz-Erkenntnisse im Microsoft Defender-Portal, um gefälschte Absender schnell zu identifizieren und manuell zuzulassen, die Ihnen rechtmäßig E-Mails senden, die keine E-Mail-Authentifizierungsprüfungen (SPF, DKIM oder DMARC) bestehen.

Indem Sie bekannten Absendern erlauben, gefälschte Nachrichten von bekannten Standorten zu senden, können Sie False Positives reduzieren (legitime E-Mails, die als schädlich eingestuft werden). Durch die Überwachung der zulässigen gefälschten Absender bieten Sie eine zusätzliche Sicherheitsebene, um zu verhindern, dass unsichere Nachrichten in Ihrer Organisation eintreffen.

Sie können auch die Einblicke von Spoof Intelligence verwenden, um von Spoof Intelligence zugelassene gefälschte Absender zu überprüfen und bestimmte zugelassene gefälschte Absender manuell zu blockieren.

In den folgenden Abschnitten wird erläutert, wie Sie die Spoof Intelligence-Erkenntnis im Microsoft Defender-Portal und in PowerShell verwenden.

Hinweis

  • In diesem Einblick werden nur gefälschte Absender angezeigt, die von der Spoofing-Erkennung erkannt wurden. Nachrichten von Domänen, die die DMARC-Prüfung nicht bestehen und deren DMARC-Richtlinie auf p=reject oder p=quarantine festgelegt ist, werden in dieser Übersicht nicht angezeigt. Diese Nachrichten werden basierend auf der Einstellung DMARC-Eintragsrichtlinie berücksichtigen, wenn die Nachricht als Spoofing erkannt wird in den Spoofingschutzeinstellungen für Antiphishingrichtlinien verarbeitet.

  • Wenn Sie die Zulassungs- oder Blockierungsentscheidung in den Erkenntnissen zur Spoofing-Intelligenz überschreiben, wird der gespoofte Absender zu einem manuellen Zulassungs- oder Blockierungseintrag, der nur auf der Registerkarte Gespoofte Absender auf der Seite Mandanten-Zulassungs-/Sperrlisten unter https://security.microsoft.com/tenantAllowBlockList?viewid=SpoofItem angezeigt wird. Sie können auch manuell Zulassungs- oder Blockierungseinträge für gespoofte Absender erstellen, bevor die Spoofing-Intelligenz diese erkennt. Weitere Informationen finden Sie unter Gespoofte Absender in der Mandanten-Zulassungs-/Sperrliste.

  • Die AktionswerteZulassen oder Blockieren in der Spoofintelligenz-Erkenntnis beziehen sich auf die Spooferkennung (unabhängig davon, ob Microsoft 365 die Nachricht als gespooft identifiziert hat oder nicht). Der Aktionswert wirkt sich nicht unbedingt auf die allgemeine Filterung der Nachricht aus. Um beispielsweise falsch positive Ergebnisse zu vermeiden, kann eine gefälschte Nachricht zugestellt werden, wenn wir feststellen, dass sie keine böswillige Absicht hat.

  • Der Einblick in die Spoofing-Analyse zeigt Daten aus sieben Tagen. In Exchange Online PowerShell zeigt das Cmdlet Get-SpoofIntelligenceInsight Daten für 30 Tage an.

Was sollten Sie wissen, bevor Sie beginnen?

  • Sie öffnen das Microsoft Defender-Portal unter https://security.microsoft.com. Um direkt zur Registerkarte Gespoofte Absender auf der Seite Mandanten-Zulassungs-/Sperrlisten zu wechseln, verwenden Sie https://security.microsoft.com/tenantAllowBlockList?viewid=SpoofItem. Um direkt zur Seite Erkenntnisse zur Spoofing-Intelligenz zu wechseln, verwenden Sie https://security.microsoft.com/spoofintelligence.

  • Wie Sie eine Verbindung mit Exchange Online PowerShell herstellen, finden Sie unter Herstellen einer Verbindung mit Exchange Online PowerShell.

  • Ihnen müssen Berechtigungen zugewiesen werden, bevor Sie die Verfahren in diesem Artikel ausführen können. Sie haben folgende Optionen:

    • Microsoft Defender XDR einheitliche rollenbasierte Zugriffssteuerung (RBAC) (Wenn E-Mail & Zusammenarbeit>Defender for Office 365-Berechtigungen Aktiv sind. Betrifft nur das Defender-Portal, nicht PowerShell): Autorisierung und Einstellungen/Sicherheitseinstellungen/Kernsicherheitseinstellungen (verwalten) oder Autorisierung und Einstellungen/Sicherheitseinstellungen/Kernsicherheitseinstellungen (Lesen).

    • Exchange Online Berechtigungen:

      • Zulassen oder Blockieren gespoofter Absender oder Aktivieren oder Deaktivieren der Spoofing-Intelligenz: Mitgliedschaft in einer der folgenden Rollengruppen:
        • Organisationsverwaltung
        • SicherheitsadministratorundKonfiguration mit Lesezugriff oder Organisationsverwaltung mit Lesezugriff.
      • Schreibgeschützter Zugriff auf die Erkenntnisse zur Spoofing-Intelligenz: Mitgliedschaft in den Rollengruppen Globaler Leser, Sicherheitsleseberechtigter oder Organisationsverwaltung (nur Anzeige).

    • Microsoft Entra Berechtigungen: Durch die Mitgliedschaft in den Rollen "Globaler Administrator*", "Sicherheitsadministrator", "Globaler Leser" oder "Sicherheitsleseberechtigter" erhalten Benutzer die erforderlichen Berechtigungen und Berechtigungen für andere Features in Microsoft 365.

      Wichtig

      * Microsoft setzt sich nachdrücklich für das Prinzip der geringsten Rechte ein. Wenn Sie Konten nur die minimalen Berechtigungen zuweisen, die zum Ausführen ihrer Aufgaben erforderlich sind, können Sie Sicherheitsrisiken reduzieren und den allgemeinen Schutz Ihrer organization stärken. Globaler Administrator ist eine Rolle mit hohen Berechtigungen, die Sie auf Notfallszenarien beschränken sollten oder wenn Sie keine andere Rolle verwenden können.

  • Informationen zu unseren empfohlenen Einstellungen für Antiphishingrichtlinien, einschließlich Spoofintelligenz, finden Sie unter Antiphishing-Richtlinieneinstellungen für alle Cloudpostfächer.

  • Sie aktivieren und deaktivieren Spoofing-Intelligence in Anti-Phishing-Richtlinien. Die Spoofing-Erkennung ist standardmäßig aktiviert. Weitere Informationen finden Sie in einem der folgenden Artikel:

Suchen der Erkenntnisse zur Spoofing-Intelligenz im Microsoft Defender-Portal

Öffnen der Erkenntnisse zur Spoofing-Intelligenz

Führen Sie die folgenden Schritte aus, um die Erkenntnisse zur Spoofing-Intelligenz im Microsoft Defender-Portal zu öffnen:

  1. Wechseln Sie im Microsoft Defender-Portal unter https://security.microsoft.comzu E-Mail & Zusammenarbeit>Richtlinien & Regeln>Bedrohungsrichtlinien>Mandanten-Zulassungs-/Sperrlisten im Abschnitt Regeln. Oder verwenden Sie , um direkt die Seite https://security.microsoft.com/tenantAllowBlockList aufzurufen.

  2. Wählen Sie die Registerkarte Gefälschte Absender aus.

  3. Auf der Registerkarte Gespoofte Absender werden die Erkenntnisse zur Spoofing-Intelligenz wie in der folgenden Abbildung dargestellt angezeigt:

    Die Erkenntnisse zur Spoofing-Intelligenz auf der Seite „Antiphishingrichtlinie“

    Die Erkenntnis verfügt über zwei Modi:

    • Einblickmodus: Wenn die Spoofing-Erkennung aktiviert ist, zeigt der Einblick an, wie viele Nachrichten von der Spoofing-Erkennung in den letzten sieben Tagen erkannt wurden.
    • Was-wäre-wenn-Modus: Wenn Spoofintelligenz deaktiviert ist, zeigt die Erkenntnis an, wie viele Nachrichten die Spoofintelligenz in den letzten sieben Tagen erkannt hätte .

Um Informationen zu den Erkennungen der Spoofing-Intelligenz anzuzeigen, wählen Sie in den Erkenntnissen zur Spoofing-Intelligenz Spoofingaktivität anzeigen aus, um zur Seite Erkenntnisse zur Spoofing-Intelligenz zu wechseln.

Informationen zu Spoofing-Erkennungen anzeigen

Hinweis

Denken Sie daran, dass in dieser Übersicht nur gefälschte Absender angezeigt werden, die von der Spoofing-Erkennung erkannt wurden. Nachrichten von Domänen, die die DMARC-Prüfung nicht bestehen und deren DMARC-Richtlinie auf p=reject oder p=quarantine festgelegt ist, werden in dieser Übersicht nicht angezeigt. Diese Nachrichten werden basierend auf der Einstellung DMARC-Eintragsrichtlinie berücksichtigen, wenn die Nachricht als Spoofing erkannt wird in den Spoofingschutzeinstellungen für Antiphishingrichtlinien verarbeitet.

Die Seite Spoof Intelligence-Einblick unter https://security.microsoft.com/spoofintelligence ist verfügbar, wenn Sie im Spoof Intelligence-Einblick auf der Registerkarte Gefälschte Absender auf der Seite Mandanten-Zulassungs-/Sperrlisten die Option Spoofingaktivität anzeigen auswählen.

Auf der Seite Erkenntnisse zur Spoofintelligenz können Sie die Einträge sortieren, indem Sie auf eine verfügbare Spaltenüberschrift klicken. Die folgenden Spalten sind verfügbar:

  • Gefälschter Benutzer: Die Domäne des gefälschten Benutzers im Feld Von in E-Mail-Clients (auch als 5322.From Adresse oder P2-Adresse bezeichnet).
  • Sendeinfrastruktur: Auch als Infrastruktur bezeichnet. Die Sendeinfrastruktur weist einen der folgenden Werte auf:
    • Die Domäne, die bei einer Reverse-DNS-Abfrage (PTR-Eintrag) der IP-Adresse des Quell-E-Mail-Servers ermittelt wird.
    • Wenn die Quell-IP-Adresse keinen PTR-Eintrag aufweist, wird die sendende Infrastruktur als <Quell-IP-Adresse>/24 identifiziert (z. B. 192.168.100.100/24).
    • Eine überprüfte DKIM-Domäne
  • Nachrichtenanzahl: Die Anzahl der Nachrichten aus der Kombination aus der gefälschten Domäne und der Sendeinfrastruktur an Ihre organization innerhalb der letzten sieben Tage.
  • Zuletzt gesehen: Das letzte Datum, an dem eine Nachricht von der sendenden Infrastruktur empfangen wurde, die die gefälschte Domäne enthält.
  • Spooftyp: Einer der folgenden Werte:
    • Intern: Der gefälschte Absender befindet sich in einer Domäne, die zu Ihrem organization gehört (eine akzeptierte Domäne).
    • Extern: Der gefälschte Absender befindet sich in einer externen Domäne.
  • Aktion: Dieser Wert ist Zulässig oder Blockiert:

Wenn Sie den Abstand der Liste gefälschter Absender vom normalen zum kompakten Abstand ändern möchten, wählen Sie Listenabstand in kompakt oder normal ändern und dann Kompakte Liste aus.

Um die Einträge zu filtern, wählen Sie Filter aus. Die folgenden Filter sind im geöffneten Filter-Flyout verfügbar:

  • Spooftyp: Die verfügbaren Werte sind Intern und Extern.
  • Aktion: Die verfügbaren Werte sind Allow (Zulassen) und Block (Blockieren).

Wenn Sie im Flyout Filter fertig sind, wählen Sie Anwenden aus. Um die Filter zu löschen, wählen Sie Filter löschen aus.

Verwenden Sie das Suchfeld und einen entsprechenden Wert, um nach bestimmten Einträgen zu suchen.

Verwenden Sie Export , um die Liste der Spooferkennungen in eine CSV-Datei zu exportieren.

Details zu Spoofing-Erkennungen anzeigen

Wenn Sie in der Liste eine Spoofing-Erkennung auswählen, indem Sie an einer beliebigen Stelle in der Zeile klicken, außer auf das Kontrollkästchen neben der ersten Spalte, wird ein Detail-Flyout geöffnet, das die folgenden Informationen enthält:

  • Warum haben wir dies erkannt? Abschnitt: Warum wir diesen Absender als gefälscht erkannt haben und was Sie tun können, um weitere Informationen zu erhalten.

  • Abschnitt Domänenübersicht: Enthält dieselben Informationen wie die Hauptseite Erkenntnisse zu Spoofing Intelligence.

  • Abschnitt "WhoIs-Daten ": Technische Informationen zur Domäne des Absenders.

  • Abschnitt Explorer-Untersuchung: In einer Defender für Office 365-Organisation enthält dieser Abschnitt einen Link zum Öffnen des Threat Explorer, um auf der Registerkarte Phish mehr Details über den Absender anzuzeigen.

  • Abschnitt "Ähnliche E-Mails" : Enthält die folgenden Informationen zur Spooferkennung:

    • Date
    • Betreff
    • Empfänger
    • Sender
    • Sender-IP

    Wählen Sie Spalten anpassen aus, um die angezeigten Spalten zu entfernen. Wenn Sie fertig sind, wählen Sie Übernehmen aus.

Tipp

Um Details zu anderen Einträgen anzuzeigen, ohne das Details-Flyout zu verlassen, verwenden Sie Vorheriges Element und Nächstes Element oben im Flyout.

Um die Spoofing-Erkennung von Zulassen in Blockieren oder umgekehrt zu ändern, lesen Sie Außerkraftsetzen des Spoof Intelligence-Urteils.

Außerkraftsetzen des Spoof Intelligence-Urteils

Wichtig

Wenn Sie das Spoof Intelligence-Urteil außer Kraft setzen, wird der Eintrag von der Seite Spoof Intelligence-Einblick entfernt und der Registerkarte Gefälschte Absender auf der Seite Mandanten-Zulassungs-/Sperrlisten unter https://security.microsoft.com/tenantAllowBlockList?viewid=SpoofItem hinzugefügt.

Verwenden Sie auf der Seite Spoof Intelligence-Einblick unter https://security.microsoft.com/spoofintelligence eine der folgenden Methoden, um das Spoof Intelligence-Urteil außer Kraft zu setzen:

  • Wählen Sie einen oder mehrere Einträge aus der Liste aus, indem Sie das Kontrollkästchen neben der ersten Spalte aktivieren.

    1. Wählen Sie die Aktion Massenaktionen aus, die angezeigt wird.
    2. Wählen Sie im daraufhin geöffneten Flyout Massenaktionen die Option Spoofing zulassen oder Spoofing blockieren und dann Anwenden aus.

  • Wählen Sie den Eintrag aus der Liste aus, indem Sie auf eine beliebige Stelle in der Zeile klicken, die nicht das Kontrollkästchen ist.

    Wählen Sie im daraufhin geöffneten Detail-Flyout oben im Flyout Spoofing zulassen oder Spoofing blockieren und dann Anwenden aus.

Zurück auf der Seite Spoof Intelligence-Einblick wird der Eintrag aus der Liste entfernt und der Registerkarte Gefälschte Absender auf der Seite Mandanten-Zulassungs-/Sperrlisten unter https://security.microsoft.com/tenantAllowBlockList?viewid=SpoofItem hinzugefügt.

Informationen zu zulässigen gefälschten Absendern

Nachrichten von einem zulässigen gefälschten Absender (automatisch erkannt oder manuell konfiguriert) sind nur in der Kombination aus der gefälschten Domäne und der sendenden Infrastruktur zulässig. Beispielsweise kann der folgende gefälschte Absender spoofen:

  • Domäne: gmail.com
  • Infrastruktur: tms.mx.com

Nur E-Mails von diesem Paar aus Domäne und sendender Infrastruktur dürfen spoofen. Andere Absender, die versuchen, gmail.com zu spoofen, sind nicht automatisch zulässig. Spoofintelligenz überprüft Nachrichten von Absendern in anderen Domänen, die von tms.mx.com stammen, und diese Nachrichten können weiterhin blockiert werden.

Verwenden des Spoof Intelligence-Einblicks in PowerShell

In Exchange Online PowerShell verwenden Sie das Cmdlet Get-SpoofIntelligenceInsight, um zulässige und blockierte gefälschte Absender anzuzeigen, die von Spoofintelligenz erkannt wurden. Um die gefälschten Absender manuell zuzulassen oder zu blockieren, müssen Sie das Cmdlet New-TenantAllowBlockListSpoofItems verwenden. Weitere Informationen finden Sie unter Verwenden von PowerShell zum Erstellen von Zulassungseinträgen für gefälschte Absender in der Mandanten-Zulassungs-/Sperrliste und Verwenden von PowerShell zum Erstellen von Sperreinträgen für gefälschte Absender in der Mandanten-Zulassungs-/Sperrliste.

Führen Sie den folgenden Befehl aus, um die Informationen im Spoof Intelligence-Einblick anzuzeigen:

Get-SpoofIntelligenceInsight

Ausführliche Informationen zu Syntax und Parametern finden Sie unter Get-SpoofIntelligenceInsight.

Weitere Tools zum Verwalten von Spoofing und Phishing

Achten Sie sorgfältig auf Schutz vor Spoofing und Phishing. Hier finden Sie weitere Möglichkeiten, um Absender zu überprüfen, die Ihre Domäne fälschen, und zu verhindern, dass sie Ihrer Organisation schaden:

  • Last updated on