Вопросы и ответы о защите от нежелательной почты

• Входящие сообщения: Большая часть спама обнаруживается с помощью фильтрации подключений на границе службы, основанной на IP-адресе исходного почтового сервера. Политики защиты от нежелательной почты (также известные как политики фильтрации спама или политики фильтрации содержимого) проверяют и классифицируют сообщения как массовые, спам, спам с высоким уровнем достоверности, фишинг или фишинг с высокой достоверностью.

  Политики защиты от нежелательной почты используются в стандартных и строгих предустановленных политиках безопасности. Вы можете создать настраиваемые политики защиты от нежелательной почты, которые применяются к определенным группам пользователей. Существует также политика защиты от нежелательной почты по умолчанию, которая применяется ко всем получателям, которые не указаны в стандартных и строгих предустановленных политиках безопасности или в пользовательских политиках.

  По умолчанию сообщения, которые идентифицируются как спам, перемещаются в папку "Нежелательная Email" с помощью стандартной предустановленной политики безопасности, настраиваемых политик защиты от нежелательной почты (настраивается) и политики защиты от нежелательной почты по умолчанию (настраиваемой). В предустановленной политике безопасности строгая политика нежелательной почты помещаются в карантин.

  Дополнительные сведения см. в разделах Настройка политик защиты от нежелательной почты и Рекомендуемые параметры политики защиты от нежелательной почты.

  Важно!

  В гибридных развертываниях, где EOP защищает локальные почтовые ящики Exchange, необходимо настроить два правила потока обработки почты Exchange (также известные как правила транспорта) в локальной организации Exchange для обнаружения заголовков фильтрации нежелательной почты EOP, добавляемых в сообщения. Дополнительные сведения см. в статье Настройка EOP для доставки спама в папку нежелательной почты в гибридных средах.

• Исходящие сообщения: Сообщение либо направляется через пул доставки с высоким риском , либо возвращается отправителю в отчете о недоставке (также известном как сообщение о недоставке или отказе). Дополнительные сведения о защите от исходящего спама см. в разделе Элементы управления исходящим спамом.

Вариант спама нулевого дня — это первое поколение, ранее неизвестный вариант спама, который никогда не был захвачен или проанализирован, поэтому наши фильтры защиты от спама пока не имеют никакой информации для его обнаружения. После сбора и анализа пробы спама нулевого дня нашими аналитиками спама, если она соответствует критериям классификации спама, наши фильтры защиты от спама обновляются, чтобы обнаружить его, и он больше не считается "нулевым днем".

Нет. Политика защиты от нежелательной почты по умолчанию защищает всех текущих и будущих получателей в организации Microsoft 365 после регистрации в службе и добавления домена. Единственным исключением является ранее описанное требование для автономных клиентов EOP в гибридных средах.

Администратор может использовать следующие методы для дальнейшего улучшения защиты от нежелательной почты:

• Добавьте пользователей в стандартные и строгие предустановленные политики безопасности.
• Измените параметры фильтрации нежелательной почты по умолчанию в политике защиты от нежелательной почты по умолчанию.
• Create политики защиты от нежелательной почты, применяемые к указанным пользователям, группам или доменам в вашей организации.

Дополнительные сведения см. в следующих статьях:

• Рекомендуемые параметры политики защиты от нежелательной почты
• Настройка политик защиты от спама в EOP
• Предустановленные политики безопасности в EOP и Microsoft Defender для Office 365

Сохранение изменений может занять до 1 часа, чтобы эти изменения вступили в силу.

Да. Дополнительные сведения о массовой электронной почте см. в разделах В чем разница между нежелательной и массовой электронной почтой? и Уровень массовой жалобы (BCL) в EOP.

Да, служба имеет фильтр URL-адресов, который проверяет URL-адреса в сообщениях. При обнаружении URL-адресов, связанных с известной нежелательной почтой или вредоносным содержимым, сообщение помечается как спам.

Клиенты с Microsoft Defender XDR для Office 365 лицензий также получают защиту от безопасных ссылок. Дополнительные сведения см. в разделе Безопасные ссылки в Microsoft Defender для Office 365.

См. Передача информации о сообщениях и файлах в корпорацию Майкрософт.

Да. Возможна работа со следующими отчетами:

• Отчет об обнаружении нежелательной почты
• отчет о состоянии защиты от угроз;
• Отчет об отправке (администраторы)
• Отчет о сообщениях пользователя

Да, средство трассировки сообщений позволяет отслеживать сообщения электронной почты по мере их прохождения через службу, чтобы узнать, что с ними произошло. Дополнительные сведения о том, как использовать средство трассировки сообщений, чтобы узнать, почему сообщение было помечено как спам, см. в статье Было ли сообщение помечено как спам?

Если более половины почты, отправленной пользователем через службу в течение определенного периода времени (например, в час), определяется EOP как спам, пользователь блокирует отправку сообщений. В большинстве случаев, если исходящее сообщение определяется как спам, оно направляется через пул доставки с высоким риском, что снижает вероятность добавления обычного пула исходящих IP-адресов в список блокировок.

Уведомления отправляются автоматически, если пользователи блокируются из-за отправки исходящего спама или превышения ограничений на отправку. Дополнительные сведения см. в разделе Защита от исходящего спама в EOP.

Да. Хотя рекомендуется указать запись MX непосредственно корпорации Майкрософт, мы понимаем, что есть законные бизнес-причины для перенаправления электронной почты в другое место, чем майкрософт.

• Входящие. Измените записи MX, чтобы они указывали на стороннего поставщика, а затем перенаправьте сообщения в EOP для дополнительной обработки. Дополнительные сведения см. в статье Расширенная фильтрация соединителей в Exchange Online.
• Исходящий трафик. Настройте маршрутизацию интеллектуальных узлов из Microsoft 365 к стороннему поставщику назначения.

Да. Дополнительные сведения см. в разделе Защита конфиденциальности в Интернете.

Служба фокусируется на обнаружении и удалении спама и вредоносных программ, хотя иногда мы можем расследовать особенно опасные или разрушительные кампании и преследовать виновных. Это может включать в себя работу с нашими юридическими и цифровыми подразделениями по борьбе с преступностью, чтобы снять ботнет, заблокировать использование службы спама (если они используют ее для отправки исходящей электронной почты) и передать информацию правоохранительным органам для уголовного преследования.

Рекомендации по отправке исходящих сообщений электронной почты в статье Внешние отправители. Устранение неполадок электронной почты, отправляемой в Microsoft 365 , и следующие рекомендации.

• Исходный домен электронной почты должен разрешаться в DNS. Например, если отправитель user@fabrikam, домен fabrikam разрешается на IP-адрес 192.168.43.10.

  Если у отправляющего домена нет A-записи и записи MX в DNS, служба направляет сообщение через пул доставки с более высоким риском независимо от содержимого сообщения. Дополнительные сведения о пуле доставки с высоким риском см. в разделе Пул доставки с высоким риском для исходящих сообщений.

• Исходный почтовый сервер должен иметь обратную запись DNS (PTR): например, если исходный IP-адрес электронной почты — 192.168.43.10, обратная запись DNS будет иметь значение 43-10.any.icann.org.'

• Команды HELO/EHLO и MAIL FROM должны быть согласованными, присутствовать и использовать доменное имя, а не IP-адрес. Команда HELO/EHLO должна быть настроена так, чтобы она соответствовала обратному DNS отправляющего IP-адреса. Этот параметр позволяет гарантировать, что домен остается неизменным в разных частях заголовков сообщений.

• Убедитесь, что в DNS настроены правильные записи SPF: записи SPF являются механизмом проверки того, что почта, отправленная из домена, действительно поступает из этого домена и не подделываются. Дополнительные сведения о записях SPF см. по следующим ссылкам.

  • Настройка SPF для предотвращения спуфинга
  • Вопросы и ответы о доменах

• Подписывание электронной почты с помощью DKIM, подписывание с помощью неограниченной канонизации. Если отправитель хочет подписать свои сообщения с помощью почты, идентифицированной ключами домена (DKIM), и он хочет отправить исходящую почту через службу, он должен подписать с помощью алгоритма канонизации заголовка. Подписывание с помощью строгой канонизации заголовков может привести к аннулированию подписи при прохождении через службу.

• Владельцы домена должны иметь точную информацию в базе данных WHOIS. Эта конфигурация определяет владельцев домена и способ связи с ними путем ввода стабильной родительской компании, точки связи и серверов имен.

• Формат исходящих сообщений. Когда сообщения создают отчеты о недоставке (также известные NDR или сообщения о отказе), отправители должны соответствовать формату отказа, указанному в RFC 3464.

• Удаление неисправных адресов электронной почты для несуществующих пользователей. Если вы получаете недоставку о том, что адрес электронной почты больше не используется, удалите несуществующий псевдоним электронной почты из списка. Со временем адреса электронной почты изменяются, а иногда люди отказываются от них.

• Используйте программу Outlook.com служб интеллектуальной сетевой передачи данных (SNDS). Дополнительные сведения см. в разделе Интеллектуальная сетевая служба данных.

Если вы используете стороннюю службу защиты или устройство для сканирования электронной почты перед ее доставкой в Microsoft 365, вы можете использовать правило потока обработки почты (также известное как правило транспорта), чтобы обойти фильтрацию нежелательной почты для входящих сообщений. Инструкции см . в статье Использование правил потока обработки почты для установки уровня достоверности нежелательной почты (SCL) в сообщениях. Проверку на наличие вредоносных программ и фишинговых сообщений с высокой степенью достоверности нельзя пропустить.

Если вы используете стороннюю службу защиты или устройство для сканирования электронной почты перед доставкой в Microsoft 365, следует также включить расширенную фильтрацию для соединителей (также известный как пропустить список), чтобы функции обнаружения, отчетности и исследования в Microsoft 365 могли правильно определять источники сообщений. Дополнительные сведения см. в разделе Расширенная фильтрация для соединителей.

Если вам нужно обойти фильтрацию нежелательной почты для почтовых ящиков SecOps или имитаций фишинга, не используйте правила потока почты. Дополнительные сведения см. в статье Настройка предоставления сторонней эмуляции фишинговых атак пользователям и доставки нефильтруемых сообщений в почтовые ящики SecOps.