Konfigurera den avancerade leveransprincipen för icke-Microsoft-nätfiskesimuleringar och e-postleverans till SecOps-postlådor

Tips

Visste du att du kan prova funktionerna i Microsoft Defender för Office 365 Plan 2 utan kostnad? Använd den 90 dagar långa utvärderingsversionen av Defender för Office 365 på Microsoft Defender portalens utvärderingshubb. Lär dig mer om vem som kan registrera dig och utvärderingsvillkor på Prova Microsoft Defender för Office 365.

För att din organisation ska vara säker som standard tillåter Microsoft 365 inte tillåtelselistor eller att kringgå filtrering för meddelanden som identifieras som skadlig kod eller nätfiske med hög säkerhet. Men det finns specifika scenarier som kräver leverans av ofiltrerade meddelanden. Till exempel:

  • Icke-Microsoft-nätfiskesimuleringar: Simulerade attacker kan hjälpa dig att identifiera och träna sårbara användare innan en verklig attack påverkar din organisation.
  • Säkerhetsåtgärder (SecOps) postlådor: Dedikerade postlådor som används av säkerhetsteam för att samla in och analysera ofiltrerade meddelanden (både bra och dåliga).

Använd den avancerade leveransprincipen i Microsoft 365 för att förhindra filtrering av inkommande meddelanden i icke-Microsoft nätfiskesimuleringar, SecOps-postlådor och andra scenarier som kräver förbikoppling av filtrering. Den avancerade leveransprincipen säkerställer att meddelanden i icke-Microsoft nätfiskesimulering och SecOps-postlådescenarier uppnår följande resultat:

  • Filter i Microsoft 365 vidtar inga åtgärder för dessa meddelanden. Filtrering av skadlig kod kringgås endast för SecOps-postlådor.
  • Automatisk rensning vid noll timme (ZAP) för skräppost och nätfiske vidtar inte någon åtgärd för dessa meddelanden. ZAP för skadlig kod kringgås endast för SecOps-postlådor.
  • Säkra länkar i Defender för Office 365 blockerar eller detonerar inte de angivna URL:erna i dessa meddelanden när du klickar. URL:er är fortfarande omslutna, men de blockeras inte.
  • Säkra bifogade filer i Defender för Office 365 detonerar inte bifogade filer i dessa meddelanden.
  • Standardsystemaviseringar utlöses inte för icke-Microsoft nätfiskesimulering och SecOps-postlådescenarier.
  • AIR och klustring i Defender för Office 365 ignorerar dessa meddelanden.
  • Särskilt för nätfiskesimuleringar som inte är från Microsoft:
    • Administratörsinsändning genererar ett automatiskt svar som anger att meddelandet är en del av en nätfiskesimuleringskampanj och inte utgör något verkligt hot. Aviseringar och AIR utlöses inte. Funktionen för administratörsöverföringar visar dessa meddelanden som ett simulerat hot.
    • När en användare rapporterar ett nätfiskesimuleringsmeddelande med hjälp av den inbyggda rapportknappen i Outlook genererar systemet inte någon avisering, undersökning eller incident. Länkarna eller filerna detoneras inte, men meddelandet visas på fliken Användarrapporterad på sidan Inskickade filer .

Meddelanden som identifieras av den avancerade leveranspolicyn är inte säkerhetshot, så de markeras därför med systemåsidosättningar. Administratörsvyer visar meddelanden som identifierats av principen för avancerad leverans som systemåsidosättningar för Nätfiskesimulering eller SecOps-postlåda. Administratörer kan använda systemåsidosättningsvärdena för Phishing simulation och SecOps mailbox för att filtrera och analysera meddelanden i följande funktioner:

  • Hotutforskare (Explorer) eller identifieringar i realtid i Defender för Office 365: Administratörer kan filtrera på Källa för systemåsidosättning och välja Nätfiskesimulering eller SecOps-postlåda.
  • Sidan för e-postentitet: Administratörer kan se ett meddelande som har tillåtits av organisationens princip via SecOps-postlåda eller nätfiskesimulering under Klientorganisationsåsidosättning i avsnittet Åsidosättningar.
  • Statusrapport för skydd mot hot: Administratören kan filtrera efter visa data efter systemåsidosättning i listrutan och välja att se meddelanden som har tillåtits på grund av en systemåsidosättning för nätfiskesimulering. Om du vill se meddelanden som tillåts av undantaget för SecOps-postlådan kan du välja diagramuppdelning efter leveransplats i listrutan diagramuppdelning efter orsak.
  • Avancerad jakt i Microsoft Defender för Endpoint: Nätfiskesimulering och åsidosättningar för SecOps-postlådesystemet är alternativ inom OrgLevelPolicy i EmailEvents.
  • Kampanjvyer: Administratören kan filtrera på källa för systemåsidosättning och välja antingen phishing-simulering eller SecOps-postlåda.

Vad behöver jag veta innan jag börjar?

  • Du öppnar Microsoft Defender-portalen på https://security.microsoft.com. Om du vill gå direkt till sidan Avancerad leverans använder du https://security.microsoft.com/advanceddelivery.

  • Information om hur du använder Windows PowerShell för att ansluta till Exchange Online finns i artikeln om att ansluta till Exchange Online PowerShell.

  • Du måste tilldelas behörigheter innan du kan utföra procedurerna i den här artikeln. Du har även följande alternativ:

    • Microsoft Defender XDR Enhetlig rollbaserad åtkomstkontroll (RBAC) (Om Email & samarbete> är Defender för Office 365 behörigheter aktiv. Påverkar endast Defender-portalen, inte PowerShell): Auktorisering och inställningar/Säkerhetsinställningar/Kärnsäkerhetsinställningar (hantera) eller auktorisering och inställningar/Säkerhetsinställningar/Kärnsäkerhetsinställningar (läs).

    • Behörigheter för e-post och samarbete i Microsoft Defender-portalen och behörigheter i Exchange Online:

      • Skapa, ändra eller ta bort konfigurerade inställningar i den avancerade leveransprincipen: Medlemskap i rollgrupperna Säkerhetsadministratör i Email & RBAC för samarbete och medlemskap i rollgruppen Organisationshantering i Exchange Online RBAC.
      • Skrivskyddad åtkomst till den avancerade leveransprincipen: Medlemskap i rollgrupperna Global läsare eller Säkerhetsläsare i Email & RBAC för samarbete.
        • Visa endast organisationshantering i Exchange Online RBAC.

    • Microsoft Entra behörigheter: Medlemskap i rollerna Global administratör*, Säkerhetsadministratör, Global läsare eller Säkerhetsläsare ger användarna de behörigheter och behörigheter som krävs för andra funktioner i Microsoft 365.

      Viktigt

      * Microsoft förespråkar starkt principen om lägsta behörighet. Genom att endast tilldela konton de minsta behörigheter som krävs för att utföra sina uppgifter kan du minska säkerhetsriskerna och stärka organisationens övergripande skydd. Global administratör är en mycket privilegierad roll som du bör begränsa till nödsituationsscenarier eller när du inte kan använda en annan roll.

Använd Microsoft Defender-portalen för att konfigurera SecOps-postlådor i den avancerade leveransprincipen

Använd följande steg för att lägga till SecOps-postlådor i den avancerade leveransprincipen i Microsoft Defender-portalen.

  1. I Microsoft Defender-portalen på https://security.microsoft.com går du till E-post och samarbete>Principer och regler>Principer för hot>Avancerad leverans under avsnittet Regler. Om du vill gå direkt till sidan Avancerad leverans använder du https://security.microsoft.com/advanceddelivery.

    På sidan Avancerad leverans kontrollerar du att fliken SecOps-postlåda är markerad.

  2. På fliken SecOps-postlåda väljer du knappen Lägg till i området Inga SecOps-postlådor konfigurerade på sidan.

    Om det redan finns befintliga poster på fliken SecOps-postlåda väljer du Redigera (knappen Lägg till är inte tillgänglig).

  3. I den utfällbara menyn Lägg till SecOps-postlådor som öppnas anger du en befintlig Exchange Online postlåda som du vill ange som SecOps-postlåda genom att utföra något av följande steg:

    • Klicka i rutan, låt listan över postlådor visas och välj sedan postlådan.

    • Klicka i rutan börja skriva en identifierare för postlådan (namn, visningsnamn, alias, e-postadress, kontonamn osv.) och välj postlådan (visningsnamn) i resultatet.

      Upprepa det här steget så många gånger det behövs. Distributionsgrupper tillåts inte.

      Om du vill ta bort ett befintligt värde väljer du ta bort bredvid värdet.

  4. När du är klar med den utfällbara menyn Lägg till SecOps-postlådor väljer du Lägg till.

  5. Granska informationen i den sparade utfällbara menyn Ändringar i SecOps-postlådan och välj sedan Stäng.

På fliken SecOps-postlåda visas nu posterna i SecOps-postlådan som du har konfigurerat:

  • Kolumnen Visningsnamn innehåller visningsnamnet för postlådorna.
  • Kolumnen Email innehåller e-postadressen för varje post.
  • Om du vill ändra listan över poster från normalt till kompakt avstånd väljer du Ändra listavstånd till komprimerat eller normalt och väljer sedan Komprimera lista.

Använd Microsoft Defender-portalen för att ändra eller ta bort SecOps-postlådor i den avancerade leveransprincipen

Använd följande steg för att ändra eller ta bort SecOps-postlådor i Microsoft Defender portalen.

  1. I Microsoft Defender-portalen på https://security.microsoft.com går du till E-post och samarbete>Principer och regler>Principer för hot>Avancerad leverans under avsnittet Regler. Om du vill gå direkt till sidan Avancerad leverans använder du https://security.microsoft.com/advanceddelivery.

    På sidan Avancerad leverans kontrollerar du att fliken SecOps-postlåda är markerad.

  2. På fliken SecOps-postlåda väljer du Redigera.

  3. I Den utfällbara menyn Redigera SecOps-postlådor som öppnas lägger du till eller tar bort postlådor enligt beskrivningen i Steg 3 i använd Microsoft Defender-portalen för att konfigurera SecOps-postlådor i avsnittet avancerad leveransprincip.

    Om du vill ta bort alla postlådor väljer du ta bort bredvid varje värde tills inga fler postlådor har valts.

  4. När du är klar med den utfällbara menyn Redigera SecOps-postlådor väljer du Spara.

  5. Granska informationen i den sparade utfällbara menyn Ändringar i SecOps-postlådan och välj sedan Stäng.

Tillbaka på fliken SecOps-postlåda visas de postlådeposter i SecOps-postlådan som du har konfigurerat. Om du har tagit bort alla poster är listan tom.

Använd Microsoft Defender-portalen för att konfigurera nätfiskesimuleringar från andra leverantörer än Microsoft i principen för avancerad leverans

För att konfigurera en icke-Microsoft-nätfiskesimulering måste du ange följande information:

  • Minst en domän: Domänen från MAIL FROM-adressen (även kallad 5321.MailFrom adress, P1-avsändare eller kuvertsändare) som används i SMTP-överföringen av meddelandet eller en DKIM-domän som anges av leverantören av nätfiskesimulering. För internationaliserade domännamn (IDNA) använder du Punycode.
  • Minst en avsändande IP-adress.
  • För nätfiskesimuleringar utan e-post (till exempel Microsoft Teams-meddelanden, Word dokument eller Excel-kalkylblad) kan du välja att identifiera simulerings-URL:erna så att de inte ska behandlas som verkliga hot vid tidpunkten för klick: URL:erna blockeras eller detoneras inte och inga URL-klickaviseringar eller resulterande incidenter genereras. URL:erna omsluts vid klicktillfället, men de blockeras inte.

Det måste finnas en matchning på minst en domän och en skickande IP-adress, men ingen association mellan värden upprätthålls.

Om din MX-post inte pekar på Microsoft 365 måste IP-adressen i Authentication-results huvudet matcha IP-adressen i den avancerade leveransprincipen. Om IP-adresserna inte matchar kan du behöva konfigurera utökad filtrering för anslutningsappar så att rätt IP-adress identifieras.

Obs!

  • För närvarande stöds IPv6-adresser endast i PowerShell. Information om hur du använder PowerShell för att konfigurera icke-Microsoft phishing-simuleringar i den avancerade leveransprincipen finns i Använda PowerShell för att konfigurera icke-Microsoft nätfiskesimuleringar.

  • Förbättrad filtrering för kopplingar fungerar inte för nätfiskesimuleringar som inte kommer från Microsoft i följande scenario för inkommande och utgående e-postdirigering:

    Internet > Microsoft 365 > lokal miljö eller icke-Microsoft säkerhetstjänst > tillbaka till Microsoft 365

    Det här scenariot beskrivs i Integrering via in-och-ut-e-postroutning.

    Microsoft 365 kan inte identifiera meddelandekällans sanna IP-adress. Försök inte kringgå den här begränsningen genom att lägga till IP-adresserna för den lokala eller icke-Microsoft-sändningsinfrastrukturen i nätfiskesimuleringen som inte kommer från Microsoft. Detta kringgår effektivt skräppostfiltreringen för alla Internet-avsändare som personifierar domänen som anges i nätfiskesimuleringen som inte kommer från Microsoft.

  • Advanced Delivery-policy för icke-Microsoft phishing-simuleringar kräver att meddelandet går genom transportpipelinen. Direktinjektionsmail kringgår transport, så Advanced Delivery-policyn gäller inte för dem.

  • För närvarande stöder inte den avancerade leveransprincipen för icke-Microsoft-nätfiskesimuleringar simuleringar inom samma organisation (DIR:INT), särskilt när e-post dirigeras via en Exchange Server gateway före Microsoft 365 i Hybrid-e-postflöde. Du kan lösa det här problemet genom att välja mellan följande alternativ:

    • Skapa en dedikerad mottagningsanslutning som inte autentiserar nätfiskesimuleringsmeddelandena som interna.
    • Konfigurera nätfiskesimuleringen för att kringgå Exchange Server infrastruktur och dirigera e-post direkt till din Microsoft 365 MX-post (till exempel contoso-com.mail.protection.outlook.com).
    • Vi rekommenderar inte att du anger meddelandegenomsökning inom organisationen till Ingen i principer för skräppostskydd eftersom det påverkar andra e-postmeddelanden.

  • Om du använder den förinställda säkerhetsprincipen för inbyggt skydd eller om dina anpassade principer för säkra länkar har inställningen Skriv inte om URL:er, gör kontroller via SafeLinks API endast aktiverat, tid för klickskydd behandlar inte länkar för nätfiskesimulering i e-post som hot i Outlook på webben, Outlook för iOS och Android, Outlook för Windows v16.0.15317.10000 eller senare och Outlook för Mac v16.74 (23061100) eller senare. Om du använder äldre versioner av Outlook bör du överväga att inaktivera inställningen Skriv inte om URL:er, utför endast kontroller via SafeLinks API i anpassade principer för Safe Links.

  • Om du lägger till URL:er för nätfiskesimulering i avsnittet Skriv inte om följande URL:er i e-postavsnittet i Principer för säkra länkar kan det leda till oönskade aviseringar om URL-klick. Webbadresser för phishingsimulering i e-postmeddelanden tillåts automatiskt både i e-postflödet och när de klickas.

  1. I Microsoft Defender-portalen på https://security.microsoft.com går du till E-post och samarbete>Principer och regler>Principer för hot>Avancerad leverans under avsnittet Regler. Om du vill gå direkt till sidan Avancerad leverans använder du https://security.microsoft.com/advanceddelivery.

    På sidan Avancerad leverans väljer du fliken Nätfiskesimulering.

  2. På fliken Nätfiskesimulering väljer du knappen Lägg till i området Inga nätfiskesimuleringar från tredje part konfigurerade på sidan.

    Om det redan finns befintliga poster på fliken Nätfiskesimulering väljer du Redigera (knappen Lägg till är inte tillgänglig).

  3. I den utfällbara menyn Lägg till nätfiskesimuleringar från tredje part som öppnas konfigurerar du följande inställningar:

    • Domän: Expandera den här inställningen och ange minst en e-postadressdomän. Klicka i rutan, ange ett värde (till exempel contoso.com) och tryck sedan på RETUR eller välj värdet under rutan. Upprepa det här steget så många gånger det behövs. Du kan lägga till upp till 50 poster. Använd något av följande värden:

      • Domänen i adressen 5321.MailFrom (även kallad MAIL FROM-adress, P1-avsändare eller kuvertavsändare) som används i SMTP-överföringen av meddelandet.
      • DKIM-domänen som anges av leverantören för nätfiskesimuleringen.

    • Skickar IP: Expandera den här inställningen och ange minst en giltig IPv4-adress. Klicka i rutan, ange ett värde och tryck sedan på RETUR eller välj värdet under rutan. Upprepa det här steget så många gånger det behövs. Du kan lägga till upp till 10 poster. Giltiga värden är:

      • Enskild IP-adress: Till exempel 192.168.1.1.
      • IP-intervall: Till exempel 192.168.0.1-192.168.0.254.
      • CIDR IP: Till exempel 192.168.0.1/25.

    • Simulerings-URL:er som ska tillåtas: Den här inställningen krävs inte för länkar i nätfiskesimuleringar för e-post. Använd den här inställningen om du vill valfritt identifiera länkar i icke-e-post-nätfiskesimuleringar (länkar i Teams-meddelanden eller i Office-dokument) som inte ska behandlas som verkliga hot när de klickas.

      Lägg till URL-poster genom att expandera den här inställningen, klicka i rutan, ange ett värde och sedan trycka på RETUR eller välja det värde som visas under rutan. Du kan lägga till upp till 30 poster. Information om URL-syntax finns i URL-syntax för listan över tillåtna/blockerade klientorganisationer.

    Om du vill ta bort ett befintligt domän-, IP- eller URL-värde väljer du ta bort bredvid värdet.

    I följande exempel visas ett exempel på ett autentiseringshuvud från ett nätfiskesimuleringsmeddelande som inte kommer från Microsoft. Granska huvudvärdena för att identifiera den sändande IP-adressen, MAIL FROM-domänen och DKIM-domänen som du behöver för konfigurationen av den avancerade leveransprincipen:

    Authentication-Results: spf=pass (sender IP is 172.17.17.7)
smtp.mailfrom=contoso.com; dkim=pass (signature was verified)
header.d=contoso-simulation.com; dmarc=pass action=none header.from=contoso-simulation.com;

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=contoso-simulation.com;
s=selector1;
h=From:Date:Subject:Message-ID:Content-Type:MIME-Version:X-MS-Exchange-SenderADCheck;
bh=UErATeHehIIPIXPeUAfZWiKo0w2cSsOhb9XM9ulqTX0=;
    • Den anslutande IP-adressen är 172.17.17.7.
    • Domänen i MAIL FROM-adressen (smtp.mailfrom) är contoso.com.
    • DKIM-domänen (header.d) är contoso-simulation.com.

    I exemplet kan du använda någon av följande kombinationer för att konfigurera en icke-Microsoft-nätfiskesimulering:

    Domän: contoso.com
    Avsändande IP: 172.17.17.7

    Domän: contoso-simulation.com
    Avsändande IP: 172.17.17.7

  4. När du är klar i utfällningsfönstret Lägg till nätfiskesimuleringar från tredje part väljer du Lägg till.

  5. Granska informationen i den utfällbara menyn Ändringar av nätfiskesimulering åsidosätt sparad och välj sedan Stäng.

Tillbaka på fliken Phishingsimulering visas nu de poster för phishingsimuleringar som inte kommer från Microsoft och som du har konfigurerat:

  • Kolumnen Värde innehåller domän-, IP-adress- eller URL-posten.
  • Kolumnen Typ innehåller värdet Skicka IP-adress, domän eller Tillåten simulerings-URL för varje post.
  • Kolumnen Datum visar när posten skapades.
  • Om du vill ändra listan över poster från normalt till kompakt avstånd väljer du Ändra listavstånd till komprimerat eller normalt och väljer sedan Komprimera lista.

Använd Microsoft Defender-portalen för att ändra eller ta bort icke-Microsoft-nätfiskesimuleringar i den avancerade leveransprincipen

  1. I Microsoft Defender-portalen på https://security.microsoft.com går du till E-post och samarbete>Principer och regler>Principer för hot>Avancerad leverans under avsnittet Regler. Om du vill gå direkt till sidan Avancerad leverans använder du https://security.microsoft.com/advanceddelivery.

    På sidan Avancerad leverans väljer du fliken Nätfiskesimulering.

  2. På fliken Nätfiskesimulering väljer du Redigera.

  3. I det utfällbara fönstret Redigera icke-Microsoft-nätfiskesimulering som öppnas lägger du till eller tar du bort poster för Domän, Skickande IP och Simulerings-URL:er enligt beskrivningen i steg 3 i avsnittet Använd Microsoft Defender-portalen för att konfigurera icke-Microsoft-nätfiskesimuleringar i principen för avancerad leverans.

    Om du vill ta bort alla poster väljer du ta bort bredvid varje värde tills inga fler domäner, IP-adresser eller URL:er har valts.

  4. När du är klar i utfällningsfönstret Redigera icke-Microsoft-nätfiskesimulering väljer du Spara.

  5. Granska informationen i den utfällbara menyn Ändringar av nätfiskesimulering åsidosätt sparad och välj sedan Stäng.

Tillbaka på fliken Nätfiskesimulering visas de poster för nätfiskesimulering som inte kommer från Microsoft och som du har konfigurerat. Om du har tagit bort alla poster är listan tom.

Andra scenarier som kräver förbikoppling av filtrering

Förutom nätfiskesimuleringar från andra än Microsoft och SecOps-postlådor som principen för avancerad leverans kan hjälpa dig att hantera, finns det andra scenarier där du kan behöva kringgå filtrering för meddelanden:

  • Filter som inte kommer från Microsoft: Om domänens MX-postinte pekar på Office 365 (meddelanden dirigeras någon annanstans först) är säker som standardinte tillgänglig. Om du vill lägga till skydd måste du aktivera utökad filtrering för anslutningsappar (kallas även hoppa över lista). Mer information finns i Hantera e-postflöde med hjälp av en molntjänst som inte kommer från Microsoft med Exchange Online. Om du inte vill ha förbättrad filtrering för kopplingar, använd e-postflödesregler (transportregler) för att kringgå Microsoft-filtrering för meddelanden som den icke-Microsoft-filtreringstjänsten redan har utvärderat. Mer information finns i Använda e-postflödesregler för att ange SCL i meddelanden.
  • Falska positiva identifieringar under granskning: Du kanske tillfälligt vill tillåta att bra meddelanden felaktigt identifieras som dåliga (falska positiva identifieringar) som du rapporterade via administratörsöverföringar till Microsoft, och dessa meddelanden analyseras. Precis som med alla åsidosättningar rekommenderar vi starkt att dessa ersättningar är tillfälliga.

PowerShell-procedurer för SecOps-postlådor i den avancerade leveransprincipen

I PowerShell är de grundläggande elementen i SecOps-postlådor i den avancerade leveransprincipen:

  • SecOps-åsidosättningsprincipen: Styrs med cmdletarna *-SecOpsOverridePolicy.
  • Åsidosättningsregeln SecOps: Styrs av cmdletarna *-ExoSecOpsOverrideRule .

Det här beteendet har följande resultat:

  • Du skapar principen först och sedan skapar du regeln som identifierar principen som regeln gäller för.
  • När du tar bort en princip från PowerShell tas även motsvarande regel bort.
  • När du tar bort en regel från PowerShell tas inte motsvarande princip bort. Du måste ta bort motsvarande princip manuellt.

Använda PowerShell för att konfigurera SecOps-postlådor

Att konfigurera en SecOps-postlåda i den avancerade leveransprincipen i PowerShell är en tvåstegsprocess:

  1. Skapa åsidosättningsprincipen för SecOps.
  2. Skapa den åsidosättningsregel för SecOps som anger den princip som regeln gäller för.

Steg 1: Använd PowerShell för att skapa åsidosättningsprincipen för SecOps

I Exchange Online PowerShell skapar du en SecOps-åsidosättningsprincip för att ange de postlådor vars meddelanden ska kringgå filtreringen för SecOps-granskning:

New-SecOpsOverridePolicy -Name SecOpsOverridePolicy -SentTo <EmailAddress1>,<EmailAddress2>,...<EmailAddressN>

Oavsett vilket namnvärde du anger är principnamnet SecOpsOverridePolicy, så du kan lika gärna använda det värdet.

I det här exemplet skapas postlådeprincipen för SecOps.

New-SecOpsOverridePolicy -Name SecOpsOverridePolicy -SentTo secops@contoso.com

Detaljerad information om syntax och parametrar finns i New-SecOpsOverridePolicy.

Steg 2: Använd PowerShell för att skapa åsidosättningsregeln för SecOps

Kör följande kommando i Exchange Online PowerShell:

New-ExoSecOpsOverrideRule -Name SecOpsOverrideRule -Policy SecOpsOverridePolicy

Oavsett vilket namnvärde du anger är _Exe:SecOpsOverrid:<GUID\> regelnamnet [sic] där <GUID> är ett unikt GUID-värde (till exempel 312c23cf-0377-4162-b93d-6548a9977efb9).

Detaljerad information om syntax och parametrar finns i New-ExoSecOpsOverrideRule.

Använd PowerShell för att visa åsidosättningsprincipen för SecOps

I Exchange Online PowerShell returnerar det här exemplet detaljerad information om en och endast SecOps-postlådeprincip.

Get-SecOpsOverridePolicy

Detaljerad information om syntax och parametrar finns i Get-SecOpsOverridePolicy.

Använda PowerShell för att visa åsidosättningsregler för SecOps

I Exchange Online PowerShell returnerar det här exemplet detaljerad information om åsidosättningsregler för SecOps.

Get-ExoSecOpsOverrideRule

Även om det tidigare kommandot bara ska returnera en regel kan en regel som väntar på borttagning också inkluderas i resultatet.

Det här exemplet identifierar den giltiga regeln (en) och eventuella ogiltiga regler.

Get-ExoSecOpsOverrideRule | Format-Table Name,Mode

När du har identifierat de ogiltiga reglerna kan du ta bort dem med hjälp av cmdleten Remove-ExoSecOpsOverrideRule enligt beskrivningen i Använd PowerShell för att ta bort SecOps-åsidosättningsregler.

Detaljerad information om syntax och parametrar finns i Get-ExoSecOpsOverrideRule.

Använda PowerShell för att ändra åsidosättningsprincipen för SecOps

I Exchange Online PowerShell lägger du till eller tar bort e-postadresser för SecOps-postlådor i en befintlig åsidosättningsprincip:

Set-SecOpsOverridePolicy -Identity SecOpsOverridePolicy [-AddSentTo <EmailAddress1>,<EmailAddress2>,...<EmailAddressN>] [-RemoveSentTo <EmailAddress1>,<EmailAddress2>,...<EmailAddressN>]

Det här exemplet lägger secops2@contoso.com till i den befintliga mottagarlistan för SecOps-åsidosättningsprincip.

Set-SecOpsOverridePolicy -Identity SecOpsOverridePolicy -AddSentTo secops2@contoso.com

Obs!

Om det finns en associerad giltig SecOps-åsidosättningsregel uppdateras även e-postadresserna i regeln.

Detaljerad information om syntax och parametrar finns i Set-SecOpsOverridePolicy.

Använda PowerShell för att ändra en åsidosättningsregel för SecOps

Cmdleten Set-ExoSecOpsOverrideRule ändrar inte e-postadresserna i åsidosättningsregeln för SecOps. Om du vill ändra e-postadresserna i åsidosättningsregeln för SecOps använder du cmdleten Set-SecOpsOverridePolicy .

Detaljerad information om syntax och parametrar finns i Set-ExoSecOpsOverrideRule.

Använda PowerShell för att ta bort åsidosättningsprincipen för SecOps

I Exchange Online PowerShell tar du i det här exemplet bort postlådeprincipen SecOps och den motsvarande regeln när undantaget från SecOps-postlådefiltrering inte längre behövs.

Remove-SecOpsOverridePolicy -Identity SecOpsOverridePolicy

Detaljerad information om syntax och parametrar finns i Remove-SecOpsOverridePolicy.

Använda PowerShell för att ta bort åsidosättningsregler för SecOps

Använd följande kommandon i Exchange Online PowerShell:

  • Ta bort eventuella åsidosättningsregler för SecOps:

    Get-ExoSecOpsOverrideRule | Remove-ExoSecOpsOverrideRule

  • Ta bort den angivna åsidosättningsregeln för SecOps:

    Remove-ExoSecOpsOverrideRule -Identity "_Exe:SecOpsOverrid:312c23cf-0377-4162-b93d-6548a9977efb"

Detaljerad information om syntax och parametrar finns i Remove-ExoSecOpsOverrideRule.

PowerShell-procedurer för icke-Microsoft phishing-simuleringar i policyn för avancerad leverans

I PowerShell är de grundläggande elementen i icke-Microsoft-nätfiskesimuleringar i den avancerade leveransprincipen:

  • Principen för åsidosättning av phishing-simulering: Styrs av cmdletarna *-PhishSimOverridePolicy.
  • Åsidosättningsregeln för nätfiskesimulering: Hanteras av cmdletarna *-ExoPhishSimOverrideRule.
  • Tillåtna (avblockerade) URL:er för nätfiskesimulering: Styrs av cmdletarna *-TenantAllowBlockListItems .

Obs!

För länkar i nätfiskesimuleringar via e-post krävs det inte att webbadresser identifieras. Du kan valfritt identifiera länkar i icke-e-postbaserade nätfiskesimuleringar (länkar i Teams-meddelanden eller i Office-dokument) som inte ska behandlas som verkliga hot vid klicktillfället.

Det här beteendet har följande resultat:

  • Du skapar principen först och sedan skapar du regeln som identifierar principen som regeln gäller för.
  • Du ändrar inställningarna i principen och regeln separat.
  • När du tar bort en princip från PowerShell tas även motsvarande regel bort.
  • När du tar bort en regel från PowerShell tas inte motsvarande princip bort. Du måste ta bort motsvarande princip manuellt.

Använd PowerShell för att konfigurera icke-Microsoft-nätfiskesimuleringar

Att konfigurera en icke-Microsoft-nätfiskesimulering i PowerShell är en process i flera steg:

  1. Skapa princip för åsidosättning av nätfiskesimulering.
  2. Skapa åsidosättningsregeln för nätfiskesimulering som anger:
    • Principen som regeln gäller för.
    • Källans IPv4- eller IPv6-adress för nätfiskesimuleringsmeddelandena.
  3. Du kan även identifiera URL:erna för nätfiskesimulering i icke-e-postbaserade nätfiskesimuleringar (länkar i Teams-meddelanden eller i Office-dokument) som inte ska behandlas som verkliga hot när de klickas.

Steg 1: Använd PowerShell för att skapa princip för åsidosättning av nätfiskesimulering

I Exchange Online PowerShell skapar det här exemplet undantagsprincipen för phishingsimulering.

New-PhishSimOverridePolicy -Name PhishSimOverridePolicy

Oavsett vilket namnvärde du anger är principnamnet PhishSimOverridePolicy, så du kan lika gärna använda det värdet.

Detaljerad information om syntax och parametrar finns i New-PhishSimOverridePolicy.

Steg 2: Använd PowerShell för att skapa regeln för åsidosättning av nätfiskesimulering

Använd följande syntax i Exchange Online PowerShell:

New-ExoPhishSimOverrideRule -Name <ArbitraryTextValue> -Policy PhishSimOverridePolicy -Domains <Domain1>,<Domain2>,...<Domain10> -SenderIpRanges <IPAddressEntry1>,<IPAddressEntry2>,...<IPAddressEntry10>

Oavsett vilket namnvärde du anger är _Exe:PhishSimOverr:<GUID\> regelnamnet [sic] där <GUID> är ett unikt GUID-värde (till exempel 6fed4b63-3563-495d-a481-b24a311f8329).

En giltig IPv4- eller IPv6-adresspost är något av följande värden:

  • Enskild IP-adress: Till exempel 192.168.1.1.
  • IP-intervall: Till exempel 192.168.0.1-192.168.0.254.
  • CIDR IP: Till exempel 192.168.0.1/25.

Det här exemplet skapar åsidosättningsregeln för nätfiskesimulering med de angivna inställningarna.

New-ExoPhishSimOverrideRule -Policy PhishSimOverridePolicy -Domains fabrikam.com,wingtiptoys.com -SenderIpRanges 192.168.1.55

Detaljerad information om syntax och parametrar finns i New-ExoPhishSimOverrideRule.

Steg 3: (Valfritt) Använd PowerShell för att identifiera de URL:er för nätfiskesimuleringar som ska tillåtas

Använd följande syntax i Exchange Online PowerShell:

New-TenantAllowBlockListItems -Allow -ListType Url -ListSubType AdvancedDelivery -Entries "<URL1>","<URL2>",..."<URL10>" <[-NoExpiration] | [-ExpirationDate <DateTime>]>

Mer information om URL-syntaxen finns i URL-syntax för klientorganisationens tillåt-/blockeringslista

Det här exemplet lägger till en URL-tillåtelsepost för den angivna icke-Microsoft-URL:en för nätfiskesimulering utan utgångsdatum.

New-TenantAllowBlockListItems -Allow -ListType Url -ListSubType AdvancedDelivery -Entries *.fabrikam.com -NoExpiration

Detaljerad information om syntax och parametrar finns i New-TenantAllowBlockListItems.

Använd PowerShell för att visa undantagsprincipen för phishing-simulering

I Exchange Online PowerShell returnerar det här exemplet detaljerad information om den enda undantagsprincipen för simulering av nätfiske.

Get-PhishSimOverridePolicy

Detaljerad information om syntax och parametrar finns i Get-PhishSimOverridePolicy.

Använd PowerShell för att visa åsidosättningsregler för nätfiskesimulering

I Exchange Online PowerShell returnerar det här exemplet detaljerad information om åsidosättningsregler för nätfiskesimulering.

Get-ExoPhishSimOverrideRule

Även om det tidigare kommandot endast ska returnera en regel kan eventuella regler som väntar på borttagning också inkluderas i resultatet.

Det här exemplet identifierar den giltiga regeln (en) och eventuella ogiltiga regler.

Get-ExoPhishSimOverrideRule | Format-Table Name,Mode

När du har identifierat de ogiltiga reglerna kan du ta bort dem med cmdleten Remove-ExoPhishSimOverrideRule enligt beskrivningen i Använd PowerShell för att ta bort åsidosättningsregler för nätfiskesimulering.

Detaljerad information om syntax och parametrar finns i Get-ExoPhishSimOverrideRule.

Använd PowerShell för att visa de tillåtna URL-posterna för nätfiskesimulering

I Exchange Online PowerShell listar du de aktuella URL-tillåtelseposterna som har konfigurerats för nätfiskesimuleringar för avancerad leverans, så att du kan granska eller identifiera poster som ska ändras eller tas bort:

Get-TenantAllowBlockListItems -ListType Url -ListSubType AdvancedDelivery

Detaljerad information om syntax och parametrar finns i Get-TenantAllowBlockListItems.

Använd PowerShell för att ändra principen för åsidosättande av nätfiskesimulering

I Exchange Online PowerShell kan du uppdatera kommentaren eller aktiveringsstatusen för en befintlig åsidosättningsprincip för nätfiskesimulering:

Set-PhishSimOverridePolicy -Identity PhishSimOverridePolicy [-Comment "<DescriptiveText>"] [-Enabled <$true | $false>]

Det här exemplet inaktiverar undantagsprincipen för nätfiskesimulering.

Set-PhishSimOverridePolicy -Identity PhishSimOverridePolicy -Enabled $false

Detaljerad information om syntax och parametrar finns i Set-PhishSimOverridePolicy.

Använda PowerShell för att ändra åsidosättningsregler för nätfiskesimulering

I Exchange Online PowerShell lägger du till eller tar du bort avsändardomäner och IP-adressintervall i en befintlig åsidosättningsregel för nätfiskesimulering. Använd pipelineformuläret för att uppdatera regeln som hämtats av Get-ExoPhishSimOverrideRule:

Get-ExoPhishSimOverrideRule | Set-ExoPhishSimOverrideRule [-Comment "<DescriptiveText>"] [-AddSenderDomainIs <DomainEntry1>,<DomainEntry2>,...<DomainEntryN>] [-RemoveSenderDomainIs <DomainEntry1>,<DomainEntry2>,...<DomainEntryN>] [-AddSenderIpRanges <IPAddressEntry1>,<IPAddressEntry2>,...<IPAddressEntryN>] [-RemoveSenderIpRanges <IPAddressEntry1>,<IPAddressEntry2>,...<IPAddressEntryN>]

Alternativt kan du uppdatera en specifik åsidosättningsregel för nätfiskesimulering med hjälp av dess identitetsvärde:

Set-ExoPhishSimOverrideRule -Identity <PhishSimOverrideRuleIdentity> [-Comment "<DescriptiveText>"] [-AddSenderDomainIs <DomainEntry1>,<DomainEntry2>,...<DomainEntryN>] [-RemoveSenderDomainIs <DomainEntry1>,<DomainEntry2>,...<DomainEntryN>] [-AddSenderIpRanges <IPAddressEntry1>,<IPAddressEntry2>,...<IPAddressEntryN>] [-RemoveSenderIpRanges <IPAddressEntry1>,<IPAddressEntry2>,...<IPAddressEntryN>]

Använd cmdleten Get-ExoPhishSimOverrideRule för att hitta det regelidentitetsvärde som ska användas för parametern <PhishSimOverrideRuleIdentity> . Namnet på regeln använder följande syntax: _Exe:PhishSimOverr:<GUID\> [sic] där <GUID> är ett unikt GUID-värde (till exempel 6fed4b63-3563-495d-a481-b24a311f8329).

Det här exemplet uppdaterar den befintliga åsidosättningsregeln för nätfiskesimulering genom att lägga till domänen blueyonderairlines.com och ta bort IP-adressen 192.168.1.55. Dessa ändringar påverkar inte andra befintliga poster i regeln.

Get-ExoPhishSimOverrideRule| Set-ExoPhishSimOverrideRule -AddSenderDomainIs blueyonderairlines.com -RemoveSenderIpRanges 192.168.1.55

Detaljerad information om syntax och parametrar finns i Set-ExoPhishSimOverrideRule.

Använd PowerShell för att ändra de tillåtna URL-posterna för nätfiskesimulering

Du kan inte ändra URL-värdena direkt. Du kan ta bort befintliga URL-poster och lägga till nya URL-poster.

I Exchange Online PowerShell använder du följande syntax för att ändra andra egenskaper för en tillåten URL-post för nätfiskesimulering (till exempel förfallodatum eller kommentarer):

Set-TenantAllowBlockListItems <-Entries "<URL1>","<URL2>",..."<URLN>" | -Ids <Identity> -ListType URL -ListSubType AdvancedDelivery <[-NoExpiration] | [-ExpirationDate <DateTime>]> [-Notes <String>]

Du kan identifiera posten som ska ändras med dess URL-värden (parametern Poster ) eller identitetsvärdet från utdata från cmdleten Get-TenantAllowBlockListItems ( parametern Ids ).

I det här exemplet ändras förfallodatumet för den befintliga tillåtna url-posten för nätfiskesimulering.

Set-TenantAllowBlockListItems -ListType Url -ListSubType AdvancedDelivery -Entries "*.fabrikam.com" -ExpirationDate 9/11/2021

Detaljerad information om syntax och parametrar finns i Set-TenantAllowBlockListItems.

Använd PowerShell för att ta bort en undantagspolicy för nätfiskesimulering

I Exchange Online PowerShell tar det här exemplet bort princip för åsidosättning av nätfiskesimulering och motsvarande regel.

Remove-PhishSimOverridePolicy -Identity PhishSimOverridePolicy

Detaljerad information om syntax och parametrar finns i Remove-PhishSimOverridePolicy.

Använd PowerShell för att ta bort undantagsregler för nätfiskesimulering

Använd följande kommandon i Exchange Online PowerShell:

  • Ta bort eventuella åsidosättningsregler för nätfiskesimulering:

    Get-ExoPhishSimOverrideRule | Remove-ExoPhishSimOverrideRule

  • Ta bort den angivna åsidosättningsregeln för nätfiskesimulering:

    Remove-ExoSPhishSimOverrideRule -Identity "_Exe:PhishSimOverr:6fed4b63-3563-495d-a481-b24a311f8329"

Detaljerad information om syntax och parametrar finns i Remove-ExoPhishSimOverrideRule.

Använd PowerShell för att ta bort tillåtna URL-poster för nätfiskesimulering

I Exchange Online PowerShell tar du bort URL-tillåtelselisteposter för avancerad leverans genom att ange URL-värdena (parametern Entries) eller identitetsvärdet (parametern Ids):

Remove-TenantAllowBlockListItems <-Entries "<URL1>","<URL2>",..."<URLN>" | -Ids <Identity> -ListType URL -ListSubType AdvancedDelivery

Du kan identifiera posten som ska ändras med dess URL-värden (parametern Poster ) eller identitetsvärdet från utdata från cmdleten Get-TenantAllowBlockListItems ( parametern Ids ).

Det här exemplet tar bort den angivna tillåt-posten för Advanced Delivery-URL från klientorganisationens tillåt-/blockeringslista.

Remove-TenantAllowBlockListItems -ListType Url -ListSubType AdvancedDelivery -Entries "*.fabrikam.com" -ExpirationDate 9/11/2021

Detaljerad information om syntax och parametrar finns i Remove-TenantAllowBlockListItems.

  • Uppdaterades senast