Konfigurieren der Verbindungsfilterung in Cloudorganisationen

Tipp

Wussten Sie, dass Sie die Features in Microsoft Defender für Office 365 Plan 2 kostenlos testen können? Verwenden Sie die 90-Tage-Testversion von Defender für Office 365 im Microsoft Defender-Portal-Testversionshub. Informationen dazu, wer sich registrieren und testen kann, finden Sie unter Try Microsoft Defender for Office 365.

In allen Organisationen mit Cloudpostfächern ist die Verbindungsfilterung über die Standardrichtlinie für Verbindungsfilter verfügbar, um eingehende SMTP-E-Mail-Verbindungen (E-Mail-Übermittlung) von angegebenen IP-Adressen zuzulassen oder zu blockieren. Die Hauptkomponenten der Standardverbindungsfilter-Richtlinie sind:

  • Liste zugelassener IP-Adressen: Überspringen Sie die Spamfilterung für alle eingehenden Nachrichten aus den angegebenen Quell-IP-Adressen oder IP-Adressbereichen. Alle eingehenden Nachrichten werden weiterhin auf Schadsoftware und Phishing mit hoher Zuverlässigkeit überprüft. Weitere Szenarien, in denen die Spamfilterung weiterhin auftritt, finden Sie unter Szenarien, in denen Nachrichten aus Quellen in der LISTE zugelassener IP-Adressen weiterhin gefiltert werden. Weitere Informationen dazu, wie die Zulassungsliste für IP-Adressen in Ihre allgemeine Strategie für Zulassungslisten passen sollte, finden Sie unter Erstellen von Zulassungslisten für Absender.

  • IP-Sperrliste: Blockieren Sie alle eingehenden Nachrichten aus den angegebenen Quell-IP-Adressen oder IP-Adressbereichen. Die eingehenden Nachrichten werden abgelehnt, nicht als Spam gekennzeichnet, und es erfolgt keine andere Filterung. Weitere Informationen dazu, wie die IP-Sperrliste in Ihre allgemeine Strategie für blockierte Absender passen sollte, finden Sie unter Erstellen von Absenderblocklisten.

  • Zulassungsliste: Die Zulassungsliste in der Standardrichtlinie für Verbindungsfilter ist eine dynamische Zulassungsliste, die keine Konfiguration durch den Kunden erfordert. Microsoft identifiziert diese vertrauenswürdigen E-Mail-Quellen aus Abonnements für verschiedene Nicht-Microsoft-Listen. Sie aktivieren oder deaktivieren die Verwendung der Sicheren Liste; Sie können die Server in der Liste nicht konfigurieren. Die Spamfilterung wird bei eingehenden Nachrichten von den E-Mail-Servern in der Liste der sicheren Nachrichten übersprungen.

In diesem Artikel wird beschrieben, wie Sie die Standardrichtlinie für Verbindungsfilter im Microsoft 365 Microsoft Defender-Portal oder in Exchange Online PowerShell konfigurieren. Weitere Informationen dazu, wie die Verbindungsfilterung in die allgemeinen Antispameinstellungen Ihrer Organisation in Microsoft 365 passt, finden Sie unter Antispamschutz.

Hinweis

Die Liste zugelassener IP-Adressen, die sichere Liste und die IP-Sperrliste sind teil Ihrer allgemeinen Strategie, E-Mails in Ihrem organization zuzulassen oder zu blockieren. Weitere Informationen finden Sie unter Erstellen von Zulassungslisten für Absender und Erstellen von Absenderblocklisten.

IPv6-Bereiche werden nicht unterstützt. Sie können Einträge für IPv6-Adressen in der Zulassungs-/Sperrliste für Mandanten erstellen und verwalten.

Nachrichten aus blockierten Quellen in der IP-Sperrliste sind in der Nachrichtenablaufverfolgung nicht verfügbar.

Was sollten Sie wissen, bevor Sie beginnen?

Bevor Sie beginnen, lesen Sie die folgenden Anforderungen und Setupinformationen.

  • Sie öffnen das Microsoft Defender-Portal unter https://security.microsoft.com. Wechseln Sie direkt zur Seite Antispamrichtlinien, verwenden Sie https://security.microsoft.com/antispam.

  • Wie Sie eine Verbindung mit Exchange Online PowerShell herstellen, finden Sie unter Herstellen einer Verbindung mit Exchange Online PowerShell.

  • Ihnen müssen Berechtigungen zugewiesen werden, bevor Sie die Verfahren in diesem Artikel ausführen können. Sie haben folgende Optionen:

    • Microsoft Defender XDR einheitliche rollenbasierte Zugriffssteuerung (RBAC) (Wenn E-Mail & Zusammenarbeit>Defender for Office 365-Berechtigungen Aktiv sind. Betrifft nur das Defender-Portal, nicht PowerShell): Autorisierung und Einstellungen/Sicherheitseinstellungen/Kernsicherheitseinstellungen (verwalten) oder Autorisierung und Einstellungen/Sicherheitseinstellungen/Kernsicherheitseinstellungen (Lesen).

    • Exchange Online Berechtigungen:

      • Richtlinien ändern: Mitgliedschaft in den Rollengruppen Organisationsverwaltung oder Sicherheitsadministrator .
      • Schreibgeschützter Zugriff auf Richtlinien: Mitgliedschaft in den Rollengruppen Globaler Leser, Sicherheitsleser oder Organisationenverwaltung – nur Lesezugriff.

    • Microsoft Entra Berechtigungen: Durch die Mitgliedschaft in den Rollen "Globaler Administrator*", "Sicherheitsadministrator", "Globaler Leser" oder "Sicherheitsleseberechtigter" erhalten Benutzer die erforderlichen Berechtigungen und Berechtigungen für andere Features in Microsoft 365.

      Wichtig

      * Microsoft setzt sich nachdrücklich für das Prinzip der geringsten Rechte ein. Wenn Sie Konten nur die minimalen Berechtigungen zuweisen, die zum Ausführen ihrer Aufgaben erforderlich sind, können Sie Sicherheitsrisiken reduzieren und den allgemeinen Schutz Ihrer organization stärken. Globaler Administrator ist eine Rolle mit hohen Berechtigungen, die Sie auf Notfallszenarien beschränken sollten oder wenn Sie keine andere Rolle verwenden können.

    Tipp

    Wenn Richtlinienänderungen mit einem Fehler vom Typ 403 oder CmdletAccessDeniedException nicht gespeichert werden können und Sie überprüft haben, ob Sie über die erforderlichen Berechtigungen verfügen, kann das Problem mit einem Konfigurationsproblem der Exchange Online rollenbasierten Zugriffssteuerung (Role-Based Access Control, RBAC) zusammenhängen. Einige Organisationen erfordern eine Aktualisierung der Back-End-RBAC-Konfiguration, bevor Richtlinienänderungen erfolgreich sind. Wenn das Problem weiterhin besteht, wenden Sie sich an Microsoft-Support, und verweisen Sie auf "Aktualisierung der RBAC-Konfiguration".

  • Um die Quell-IP-Adressen der E-Mail-Server (Absender) zu finden, die Sie zulassen oder blockieren möchten, können Sie das Headerfeld für die Verbindungs-IP (CIP) im Nachrichtenheader überprüfen. Informationen zum Anzeigen einer Nachrichtenkopfzeile in verschiedenen E-Mail-Clients finden Sie unter Anzeigen von Internetnachrichtenkopfzeilen in Outlook.

  • Die Liste zugelassener IP-Adressen hat Vorrang vor der IP-Sperrliste (eine Adresse in beiden Listen ist nicht blockiert).

  • Die Liste zugelassener IP-Adressen und die Ip-Sperrliste unterstützen jeweils maximal 1.273 Einträge, wobei ein Eintrag eine einzelne IP-Adresse, ein IP-Adressbereich oder eine CIDR-IP(Classless InterDomain Routing) ist.

Verwenden des Microsoft Defender-Portals zum Ändern der Standardrichtlinie für Verbindungsfilter

Führen Sie die folgenden Schritte aus, um die Standardverbindungsfilterrichtlinie im Microsoft Defender-Portal zu ändern.

  1. Wechseln Sie im Microsoft Defender-Portal unter https://security.microsoft.com im Abschnitt Richtlinien zu >>>Antispam. Oder verwenden Sie , um direkt zur Seite Antispamrichtlinien zu wechseln https://security.microsoft.com/antispam.

  2. Wählen Sie auf der Seite Antispamrichtlinien die Option Verbindungsfilterrichtlinie (Standard) aus der Liste aus, indem Sie an einer beliebigen Stelle in der Zeile neben dem Kontrollkästchen neben dem Namen klicken.

  3. Verwenden Sie im daraufhin geöffneten Flyout für Richtliniendetails die Links Bearbeiten , um die Richtlinieneinstellungen zu ändern:

    • Abschnitt Beschreibung: Wählen Sie Beschreibung bearbeiten aus, um eine Beschreibung für die Richtlinie in das Feld Beschreibung des Flyouts Namen und Beschreibung bearbeiten einzugeben, das geöffnet wird. Sie können den Namen der Richtlinie nicht ändern.

      Wenn Sie im Flyout Namen und Beschreibung bearbeiten fertig sind, wählen Sie Speichern aus.

    • Abschnitt "Verbindungsfilterung ": Wählen Sie Verbindungsfilterrichtlinie bearbeiten aus. Konfigurieren Sie im daraufhin geöffneten Flyout die folgenden Einstellungen:

      • Nachrichten aus den folgenden IP-Adressen oder Adressbereichen immer zulassen: Diese Einstellung ist die Liste zugelassener IP-Adressen. Im Feld „IP-Zulassungsliste“ geben Sie die IP-Adresse oder den Adressbereich ein und drücken die Eingabetaste. Der Eintrag wird als separater Gegenstand hinzugefügt (als graues Feld mit einem X-Symbol angezeigt). Nachdem Sie sich vergewissert haben, dass der Eintrag angezeigt wird, wählen Sie Speichern. Gültige Werte sind:

        Wiederholen Sie diesen Schritt so oft wie nötig. Um einen vorhandenen Eintrag zu entfernen, wählen Sie neben dem Eintrag aus.

    • Nachrichten aus den folgenden IP-Adressen oder Adressbereichen immer blockieren: Diese Einstellung ist die IP-Sperrliste. Geben Sie eine einzelne IP (zum Beispiel 192.168.1.1), einen IP-Bereich (zum Beispiel 192.168.0.1-192.168.0.254) oder eine CIDR-IP (zum Beispiel 192.168.0.1/25) in das Feld ein und drücken Sie Enter. Der Eintrag wird als separater Gegenstand hinzugefügt (als graues Feld mit einem X-Symbol angezeigt). Nachdem Sie sich vergewissert haben, dass der Eintrag angezeigt wird, wählen Sie Speichern.

    • Sichere Liste aktivieren: Aktivieren oder deaktivieren Sie die Verwendung der sicheren Liste, die bekannte, gute Absender zum Überspringen der Spamfilterung angibt. Um die Sichere Liste zu verwenden, aktivieren Sie das Kontrollkästchen.

    Wenn Sie im Flyout fertig sind, wählen Sie Speichern aus.

  4. Wählen Sie im Flyout mit den Richtliniendetails die Option Schließen aus.

Tipp

Wenn die hinzugefügten IP-Adressbereiche nicht sofort in der Verbindungsfilterrichtlinie angezeigt werden, führen Sie die folgenden Schritte aus:

  • Versuchen Sie, das Portal zu aktualisieren, oder überprüfen Sie die Änderungen in Exchange Online PowerShell:

    Get-HostedConnectionFilterPolicy -Identity Default

  • Vergewissern Sie sich, dass Sie über die erforderlichen Microsoft Entra ID Berechtigungen verfügen, wie im Abschnitt Was müssen Sie wissen, bevor Sie beginnen? beschrieben.

Wenn das Problem weiterhin besteht, kann dies auf eine Synchronisierungsverzögerung oder ein Dienstproblem hinweisen.

Verwenden des Microsoft Defender-Portals zum Anzeigen der Standardrichtlinie für Verbindungsfilter

Wechseln Sie im Microsoft Defender-Portal unter https://security.microsoft.com im Abschnitt Richtlinien zu >>>Antispam. Oder verwenden Sie , um direkt zur Seite Antispamrichtlinien zu wechseln https://security.microsoft.com/antispam.

Auf der Seite Antispamrichtlinien werden die folgenden Eigenschaften in der Liste der Richtlinien angezeigt:

  • Name: Die Standardverbindungsfilterrichtlinie heißt Verbindungsfilterrichtlinie (Standard).
  • Status: Der Wert ist Always On für die Standardverbindungsfilterrichtlinie.
  • Priorität: Der Wert ist Niedrigste für die Standard-Verbindungsfilterrichtlinie.
  • Typ: Der Wert für die Standardverbindungsfilterrichtlinie ist leer.

Um die Liste der Richtlinien von normalem in kompakten Abstand zu ändern, wählen Sie Listenabstand in komprimieren oder normal ändern und dann Liste komprimieren aus.

Verwenden Sie das Suchfeld und einen entsprechenden Wert, um nach bestimmten Richtlinien zu suchen.

Wählen Sie die Standardverbindungsfilterrichtlinie aus, indem Sie auf eine beliebige Stelle in der Zeile neben dem Kontrollkästchen neben dem Namen klicken, um das Details-Flyout für die Richtlinie zu öffnen.

Verwenden von PowerShell zum Ändern der Standardrichtlinie für Verbindungsfilter

Verwenden Sie in Exchange Online PowerShell das Cmdlet Set-HostedConnectionFilterPolicy, um die Standardverbindungsfilterrichtlinie zu konfigurieren, einschließlich IP-Zulassungs- und Sperrlisten:

Set-HostedConnectionFilterPolicy -Identity Default [-AdminDisplayName <"Optional Comment">] [-EnableSafeList <$true | $false>] [-IPAllowList <IPAddressOrRange1,IPAddressOrRange2...>] [-IPBlockList <IPAddressOrRange1,IPAddressOrRange2...>]
  • Gültige Werte für IP-Adressen oder Adressbereiche sind:
    • Einzelne IP-Adresse: Beispiel: 192.168.1.1.
    • IP-Bereich: Beispiel: 192.168.0.1-192.168.0.254.
    • CIDR-IP: Beispiel: 192.168.0.1/25. Gültige Netzwerkmaskenwerte sind /24 bis /32.
  • Um vorhandene Einträge mit den von Ihnen angegebenen Werten zu überschreiben , verwenden Sie die folgende Syntax: IPAddressOrRange1,IPAddressOrRange2,...,IPAddressOrRangeN.
  • Verwenden Sie die folgende Syntax, um IP-Adressen oder Adressbereiche ohne Auswirkungen auf andere vorhandene Einträge hinzuzufügen oder zu entfernen : @{Add="IPAddressOrRange1","IPAddressOrRange2",...,"IPAddressOrRangeN";Remove="IPAddressOrRange3","IPAddressOrRange4",...,"IPAddressOrRangeN"}.
  • Verwenden Sie den Wert $null, um die Liste zugelassener IP-Adressen oder blockierte IP-Adressen zu leeren.

Im folgenden Beispiel werden die IP-Zulassungsliste und die IP-Sperrliste in der Standardverbindungsfilterrichtlinie mit den angegebenen IP-Adressen und Adressbereichen überschrieben.

Set-HostedConnectionFilterPolicy -Identity Default -IPAllowList 192.168.1.10,192.168.1.23 -IPBlockList 10.10.10.0/25,172.17.17.0/24

Im folgenden Beispiel werden der vorhandenen IP-Zulassungsliste neue IP-Adressen und Adressbereiche hinzugefügt und ein alter Eintrag entfernt, ohne die gesamte Liste zu ersetzen.

Set-HostedConnectionFilterPolicy -Identity Default -IPAllowList @{Add="192.168.2.10","192.169.3.0/24","192.168.4.1-192.168.4.5";Remove="192.168.1.10"}

Ausführliche Informationen zu Syntax und Parametern finden Sie unter Set-HostedConnectionFilterPolicy.

Wie können Sie feststellen, dass diese Verfahren erfolgreich waren?

Führen Sie einen der folgenden Schritte aus, um zu überprüfen, ob Sie die Standardverbindungsfilterrichtlinie erfolgreich geändert haben:

  • Wählen Sie auf der Seite Antispamrichtlinien im Microsoft Defender-Portal unter https://security.microsoft.com/antispamdie Option Verbindungsfilterrichtlinie (Standard) aus der Liste aus, indem Sie auf eine beliebige Stelle in der Zeile neben dem Kontrollkästchen neben dem Namen klicken, und überprüfen Sie die Richtlinieneinstellungen im daraufhin geöffneten Details-Flyout.

  • Führen Sie in Exchange Online PowerShell den folgenden Befehl aus, um die aktuellen Einstellungen der Standardverbindungsfilterrichtlinie zu überprüfen und Ihre Änderungen zu überprüfen:

    Get-HostedConnectionFilterPolicy -Identity Default

  • Senden Sie eine Testnachricht aus einem Eintrag in der Liste zugelassener IP-Adressen.

Weitere Überlegungen zur Liste zugelassener IP-Adressen

In diesem Abschnitt werden CIDR-IP-Einschränkungen, selektive Domänenfilterung und Szenarien behandelt, in denen IP-Zulassungslistennachrichten weiterhin gefiltert werden.

Hinweis

Alle eingehenden Nachrichten werden auf Schadsoftware und Phishing mit hoher Zuverlässigkeit überprüft, unabhängig davon, ob sich die Nachrichtenquelle in der Liste zugelassener IP-Adressen befindet.

Überspringen der Spamfilterung für eine CIDR-IP-Adresse außerhalb des verfügbaren Bereichs

Die IP-Zulassungsliste unterstützt nur CIDR-IPs mit einer Netzwerkmaske von /24 bis /32.

Um das Spamfiltern von Nachrichten von Quell-E-Mail-Servern im Bereich /1 bis /23 zu umgehen, können Sie Exchange-Mail-Flussregeln (Transportregeln) verwenden. Es wird jedoch nicht empfohlen, Nachrichtenflussregeln zu verwenden. Nachrichten werden blockiert, wenn eine IP-Adresse im CIDR-IP-Bereich /1 bis /23 in einer der proprietären Sperrlisten von Microsoft oder Nicht-Microsoft-Sperrlisten angezeigt wird.

Nachdem Sie sich der potenziellen Probleme vollständig bewusst sind, können Sie eine Nachrichtenflussregel mit den folgenden Einstellungen (mindestens) erstellen, um sicherzustellen, dass Nachrichten von diesen IP-Adressen die Spamfilterung überspringen:

  • Regelbedingung: Wenden Sie diese Regel an, wenn>die IP-Adresse des Absenders>sich in einem dieser Bereiche befindet oder genau übereinstimmt> (geben Sie Ihre CIDR-IP-Adresse mit einer Netzwerkmaske von /1 bis /23 ein).
  • Regelaktion: Ändern der Nachrichteneigenschaften>Legen Sie die Spam-Konfidenzstufe (Spam Confidence Level, SCL)>Spamfilterung umgehen fest.

Sie können die Regel überwachen, die Regel testen, die Regel während eines bestimmten Zeitraums aktivieren und andere Auswahlmöglichkeiten vornehmen. Wir empfehlen, die Regel über eine bestimmte Zeit zu testen, bevor Sie sie erzwingen. Weitere Informationen finden Sie unter Verwalten von Nachrichtenflussregeln in Exchange Online.

Überspringen der Spamfilterung für selektive E-Mail-Domänen aus derselben Quelle

In der Regel bedeutet das Hinzufügen einer IP-Adresse oder eines Adressbereichs zur Liste zugelassener IP-Adressen, dass Sie allen eingehenden Nachrichten aus dieser E-Mail-Quelle vertrauen. Was geschieht, wenn diese Quelle E-Mails von mehreren Domänen sendet und Sie die Spamfilterung für einige dieser Domänen überspringen möchten, andere jedoch nicht? Sie können die Liste zugelassener IP-Adressen in Kombination mit einer Nachrichtenflussregel verwenden.

Der Quell-E-Mail-Server 192.168.1.25 sendet beispielsweise E-Mails von den Domänen contoso.com, fabrikam.com und tailspintoys.com. Sie möchten jedoch nur die Spamfilterung für Nachrichten von Absendern in fabrikam.com überspringen:

  1. Fügen Sie 192.168.1.25 zur Liste zugelassener IP-Adressen hinzu.

  2. Konfigurieren Sie eine Nachrichtenflussregel mit den folgenden Einstellungen (mindestens):

    • Regelbedingung: Wenden Sie diese Regel an, wenn>sich die IP-Adresse des Absenders>in einem dieser Bereiche befindet oder genau mit 192.168.1.25 übereinstimmt > (die gleiche IP-Adresse oder derselbe Adressbereich, die Sie im vorherigen Schritt zur Liste zugelassener IP-Adressen hinzugefügt haben).
    • Regelaktion: Ändern der Nachrichteneigenschaften>Legen Sie die Spam-Konfidenzstufe (Spam Confidence Level, SCL)>0 fest.
    • Regel-Ausnahme: Die Absenderdomäne>ist> fabrikam.com (nur die Domäne oder Domänen, für die Sie die Spamfilterung überspringen möchten).

Das Hinzufügen der Quell-IP-Adresse zur IP-Erlaubnisliste soll das Spamfiltern für alle Domains dieser Quelle umgehen. Diese Umgehung ist jedoch eine Eingabe, keine endgültige Entscheidung. Wie die Aktion Spamfilterung umgehen (SCL -1) in einer Nachrichtenflussregel unterliegt die Umgehung der IP-Zulassungsliste der Option Standardmäßig sicher, die die Anforderung auswertet und sie möglicherweise nicht berücksichtigt. Einige Nachrichten von der Quelle können weiterhin gefiltert werden.

Das Set the Spam Confidence Level (SCL) auf 0 könnte diese Domänen nicht mehr zuverlässig zur Filterung zurückbringen, da der angeforderte SCL-Wert eine Eingabe und keine Entscheidung ist.

Szenarien, in denen Nachrichten aus Quellen in der Liste zugelassener IP-Adressen weiterhin gefiltert werden

Hinweis

Diese Szenarien gelten für alle Umgebungen: eigenständige, hybride, Multi-Geo- und gesamtstrukturübergreifende Umgebungen. Das Filterverhalten basiert auf Sicherheitsüberprüfungen (zum Beispiel Malware-Erkennung, Phishing-Schutz oder Mail-Flow-Regeln, nicht auf dem Bereitstellungsmodell).

Nachrichten von einem E-Mail-Server in Ihrer IP-Zulassungsliste unterliegen in den folgenden Szenarien weiterhin der Spamfilterung:

  • Eine IP-Adresse in Ihrer IP-Zulassungsliste ist auch in einem lokal installierten, IP-basierten Inbound-Connector in einer beliebigen Microsoft 365-Organisation konfiguriert, und diese Microsoft 365-Organisation und der erste Microsoft 365-Server, der auf die Nachricht trifft, befinden sich beide in derselben Gesamtstruktur in den Microsoft-Rechenzentren. In diesem Szenario wirdIPV:CAL den Antispam-Nachrichtenheadern der Nachricht hinzugefügt (was darauf hinweist, dass die Nachricht die Spamfilterung umgangen hat), aber die Nachricht unterliegt weiterhin der Spamfilterung.

  • Ihre Organisation, die die Liste zugelassener IP-Adressen enthält, und der Microsoft 365-Server, der die Nachricht zuerst empfängt, befinden sich beide in unterschiedlichen Gesamtstrukturen in den Microsoft-Rechenzentren. In diesem Szenario wird IPV:CALnicht zu den Nachrichtenheadern hinzugefügt, sodass die Nachricht weiterhin der Spamfilterung unterliegt.

Wenn eines dieser Szenarien auftritt, können Sie eine Nachrichtenflussregel mit den folgenden Einstellungen (mindestens) erstellen, um sicherzustellen, dass Nachrichten von den problematischen IP-Adressen die Spamfilterung überspringen:

  • Regelbedingung: Wenden Sie diese Regel an, wenn>die IP-Adresse des Absenders>in einem dieser Bereiche liegt oder genau übereinstimmt> (Ihre IP-Adresse oder Adressen).
  • Regelaktion: Ändern der Nachrichteneigenschaften>Legen Sie die Spam-Konfidenzstufe (Spam Confidence Level, SCL)>Spamfilterung umgehen fest.

Verwandte Inhalte

Voreingestellte Sicherheitsrichtlinien in Cloudorganisationen

  • Last updated on