Skapa avsändar tillåtna listor för molnpostlådor

Tips

Visste du att du kan prova funktionerna i Microsoft Defender för Office 365 Plan 2 utan kostnad? Använd den 90 dagar långa utvärderingsversionen av Defender för Office 365 på Microsoft Defender portalens utvärderingshubb. Lär dig mer om vem som kan registrera dig och utvärderingsvillkor på Prova Microsoft Defender för Office 365.

Alla organisationer med molnpostlådor erbjuder flera sätt att tillåta inkommande e-post från betrodda avsändare. Tillsammans kan du betrakta de här alternativen som tillåtna listor.

Följande lista innehåller de tillgängliga metoderna för att tillåta avsändare från de flesta rekommenderade till minst rekommenderade:

  1. Tillåt poster för domäner och e-postadresser (inklusive falska avsändare) i listan Tillåt/blockera klientorganisation.
  2. Flödesregler för Exchange-e-post (kallas även transportregler).
  3. Säkra Outlook-avsändare (listan Betrodda avsändare i varje postlåda som endast påverkar postlådan).
  4. Lista över tillåtna IP-adresser i standardprincipen för anslutningsfilter.
  5. Tillåtna avsändarlistor eller tillåtna domänlistor i principer för skräppostskydd.

Resten av den här artikeln innehåller information om varje metod.

Viktigt

Meddelanden som identifieras som skadlig kod* eller nätfiske med hög konfidens sätts alltid i karantän, oavsett vilket alternativ du använder i listan över tillåtna. Mer information finns i Skydda som standard i Office 365.

* Filtrering av skadlig kod hoppas över på SecOps-postlådor som identifieras i den avancerade leveransprincipen. Mer information finns i Konfigurera den avancerade leveransprincipen för icke-Microsoft-nätfiskesimuleringar och e-postleverans till SecOps-postlådor.

Var noga med att noggrant övervaka eventuella undantag för skräppostfiltrering med hjälp av tillåtna avsändare eller tillåtna domänlistor.

Skicka alltid meddelanden i dina tillåtna listor till Microsoft för analys. Anvisningar finns i Rapportera bra e-post till Microsoft. Om meddelandena eller meddelandekällorna bedöms vara ofarliga kan Microsoft automatiskt sluta blockera meddelandena och du behöver inte manuellt underhålla poster i dina egna tillåtna listor.

I stället för att tillåta e-post har du också flera alternativ för att blockera e-post från specifika källor med hjälp av blockerade avsändarlistor. Mer information finns i Skapa blockeringslistor för avsändare.

Använd tillåtna poster i listan Tillåt/blockera klientorganisation

Vårt främsta rekommenderade alternativ för att tillåta e-post från avsändare eller domäner är listan Tillåt/blockera klientorganisation. Anvisningar finns i Skapa tillåtna poster för domäner och e-postadresser och Skapa tillåtna poster för falska avsändare.

Överväg endast olika metoder för att tillåta om du av någon anledning inte kan använda tillåtna poster i listan Tillåt/blockera klientorganisation.

Använda e-postflödesregler

Obs!

Du kan inte använda meddelandehuvuden och e-postflödesregler för att ange en intern avsändare som en säker avsändare. Procedurerna i det här avsnittet fungerar endast för externa avsändare.

E-postflödesregler i Exchange Online använda villkor och undantag för att identifiera meddelanden och åtgärder för att ange vad som ska göras med dessa meddelanden. Mer information finns i E-postflödesregler (transportregler) i Exchange Online.

I följande exempel förutsätts att du behöver e-post från contoso.com för att hoppa över skräppostfiltrering. Konfigurera följande inställningar:

  1. Tillämpa den här regeln om (villkor): Avsändardomänen>är> contoso.com.

  2. Konfigurera någon av följande inställningar:

    • Tillämpa den här regeln om (extra villkor): Meddelanderubrikerna>innehåller något av följande ord:

      • Ange text (rubriknamn): Authentication-Results
      • Ange ord (rubrikvärde): dmarc=pass eller dmarc=bestguesspass (lägg till båda värdena).

      Det här villkoret kontrollerar e-postautentiseringsstatusen för den sändande e-postdomänen för att säkerställa att den sändande domänen inte förfalskas. Mer information om e-postautentisering finns i Email autentisering.

    • Lista över tillåtna IP-adresser: Ange källans IP-adress eller adressintervall i standardprincipen för anslutningsfilter. Anvisningar finns i Konfigurera anslutningsfiltrering.

      Använd den här inställningen om den sändande domänen inte använder e-postautentisering. Var så restriktiv som möjligt när det gäller käll-IP-adresserna i listan över tillåtna IP-adresser. Vi rekommenderar ett IP-adressintervall på /24 eller mindre (mindre är bättre). Använd inte IP-adressintervall som tillhör konsumenttjänster (till exempel outlook.com) eller delade infrastrukturer.

    Viktigt

    • Konfigurera aldrig e-postflödesregler med endast avsändardomänen som villkor för att hoppa över skräppostfiltrering. Om du gör det ökar sannolikheten för att angripare kan:

      • Förfalska den sändande domänen (eller personifiera den fullständiga e-postadressen).
      • Hoppa över all skräppostfiltrering.
      • Hoppa över avsändarautentiseringskontroller så att meddelandet kommer till mottagarens inkorg.

    • Använd inte domäner som du äger (även kallade godkända domäner) eller populära domäner (till exempel microsoft.com) som villkor i e-postflödesregler. Detta skapar möjligheter för angripare att skicka e-post som annars skulle filtreras.

    • Om du tillåter en IP-adress bakom en NAT-gateway (network address translation) måste du känna till alla servrar som ingår i NAT-poolen. IP-adresser och NAT-deltagare kan ändras. Kontrollera regelbundet posterna i listan över tillåtna IP-adresser som en del av dina standardprocedurer för underhåll.

  3. Valfria villkor:

    • > Avsändarenär intern/extern>Utanför organisationen: Det här villkoret är implicit, men det är ok att använda det för att ta hänsyn till lokala e-postservrar som kanske inte är korrekt konfigurerade.
    • Ämnet eller brödtexten>ämne eller brödtext innehåller något av dessa ord><>nyckelord: Om du kan begränsa meddelandena ytterligare med nyckelord eller fraser i ämnesraden eller meddelandetexten kan du använda dessa ord som ett villkor.

  4. Gör följande (åtgärder): Konfigurera båda följande åtgärder i regeln:

    1. Ändra meddelandeegenskaperna>ange förtroendenivå för skräppost (SCL)>Kringgå skräppostfiltrering.

    2. Ändra meddelandeegenskaperna>ange ett meddelandehuvud:

      • Ange text (rubriknamn): Till exempel X-ETR.
      • Ange ord (rubrikvärde): Till exempel Bypass spam filtering for authenticated sender 'contoso.com'.

      För mer än en domän i regeln kan du anpassa rubriktexten efter behov.

När ett meddelande hoppar över skräppostfiltrering på grund av en e-postflödesregel stämplas värdevärdet SFV:SKN i rubriken X-Forefront-Antispam-Report . Om meddelandet kommer från en källa som finns i listan över tillåtna IP-adresser läggs även värdet IPV:CAL till. Dessa värden kan hjälpa dig med felsökning.

Exempel på regelinställningar för e-postflöde i den nya EAC:n för att kringgå skräppostfiltrering.

Använda säkra Avsändare i Outlook

Försiktighet

Den här metoden skapar en hög risk för att angripare lyckas leverera e-post som annars skulle filtreras. Meddelanden som bedöms vara skadlig kod eller nätfiske med hög konfidens filtreras. Mer information finns i När användar- och organisationsinställningar är i konflikt.

I stället för en organisationsinställning kan användare eller administratörer lägga till avsändarens e-postadresser i listan Säkra avsändare i postlådan. Poster i listan Betrodda avsändare i postlådan påverkar endast den postlådan. Anvisningar finns i följande artiklar:

Den här metoden är inte önskvärd i de flesta situationer eftersom avsändare kringgår delar av filtreringsstacken. Även om du litar på avsändaren kan avsändaren fortfarande komprometteras och skicka skadligt innehåll. Du bör låta våra filter kontrollera varje meddelande och sedan rapportera falska positiva/negativa till Microsoft om vi har fel. Om du kringgår filtreringsstacken störs även automatisk rensning på noll timmar (ZAP). Om tillåtna listposter inte fungerar som förväntat kan du läsa Felsöka vanliga problem med principer för skräppostskydd.

När meddelanden hoppar över skräppostfiltrering på grund av poster i en användares lista över säkra avsändare innehåller rubrikfältet X-Forefront-Antispam-Report värdet SFV:SFE, vilket indikerar att filtrering efter skräppost, förfalskning och nätfiske (inte nätfiske med hög konfidens) har kringgåts.

  • I Exchange Online beror om poster i listan Betrodda avsändare fungerar eller inte fungerar på domen och åtgärden i principen som identifierade meddelandet:
    • Flytta meddelanden till mappen Skräppost Email: Domänposter och e-postadressposter för avsändare respekteras. Meddelanden från dessa avsändare flyttas inte till mappen Skräppost Email.
    • Karantän: Domänposter respekteras inte (meddelanden från dessa avsändare sätts i karantän). Email adressposter respekteras (meddelanden från dessa avsändare sätts inte i karantän) om något av följande påståenden är sant:
      • Meddelandet identifieras inte som skadlig kod eller nätfiske med hög konfidens (skadlig kod och nätfiskemeddelanden med hög konfidens sätts i karantän).
      • E-postadressen, URL:en eller filen i e-postmeddelandet finns inte heller i en blockpost i listan Tillåt/blockera klientorganisation.
  • Poster för blockerade avsändare och blockerade domäner respekteras (meddelanden från dessa avsändare flyttas till mappen Skräppost Email). Inställningar för säker e-postlista ignoreras.

Använd listan över tillåtna IP-adresser i standardprincipen för anslutningsfilter

Försiktighet

Utan annan verifiering (till exempel med e-postflödesregler) hoppar e-post från källor i listan över tillåtna IP-adresser över skräppostfiltrering och e-postautentisering för avsändare (SPF, DKIM och DMARC). Den här metoden skapar en hög risk för att angripare lyckas leverera e-post som annars skulle filtreras. Meddelanden som bedöms vara skadlig kod eller nätfiske med hög konfidens filtreras. Mer information finns i När användar- och organisationsinställningar är i konflikt.

Det näst bästa alternativet är att lägga till källans e-postservrar i listan över tillåtna IP-adresser i standardprincipen för anslutningsfilter. Mer information finns i Konfigurera anslutningsfiltrering.

  • Det är viktigt att du håller antalet tillåtna IP-adresser till ett minimum, så undvik att använda hela IP-adressintervall när det är möjligt.
  • Använd inte IP-adressintervall som tillhör konsumenttjänster (till exempel outlook.com) eller delade infrastrukturer.
  • Granska regelbundet posterna i listan över tillåtna IP-adresser och ta bort de poster som du inte längre behöver.

Använda tillåtna avsändarlistor eller tillåtna domänlistor i principer för skräppostskydd

Försiktighet

Den här metoden skapar en hög risk för att angripare lyckas leverera e-post som annars skulle filtreras. Meddelanden som bedöms vara skadlig kod eller nätfiske med hög konfidens filtreras. Mer information finns i När användar- och organisationsinställningar är i konflikt.

Använd inte populära domäner (till exempel microsoft.com) i tillåtna domänlistor.

Det minst önskvärda alternativet är att använda tillåtna avsändarlistor eller tillåtna domänlistor i anpassade principer för skräppostskydd eller i standardprincipen för skräppostskydd. Du bör undvika det här alternativet om det alls är möjligt eftersom avsändare kringgår all skräppost, förfalskning, nätfiskeskydd (förutom nätfiske med hög konfidens) och avsändarautentisering (SPF, DKIM, DMARC). Den här metoden används bäst endast för tillfällig testning. Detaljerade steg finns i Konfigurera principer för skräppostskydd.

Den maximala gränsen för dessa listor är cirka 1 000 poster, men du kan ange högst 30 poster i Microsoft Defender-portalen. Använd PowerShell för att lägga till fler än 30 poster.

Obs!

Från och med september 2022 måste tillåtna avsändare, domäner eller underdomäner i organisationens godkända domäner klara e-postautentiseringskontroller för att hoppa över skräppostfiltrering.

Överväganden för massutskick

Ett standard-SMTP-e-postmeddelande kan innehålla olika e-postadresser för avsändare enligt beskrivningen i Varför internet-e-post behöver autentisering. När e-post skickas åt någon annan kan adresserna vara olika. Det här villkoret inträffar ofta för massutskick av e-postmeddelanden.

Anta till exempel att Blue Yonder Airlines anlitade Margie's Travel för att skicka e-postmeddelanden om annonsering. Meddelandet du får i inkorgen har följande egenskaper:

  • MAIL FROM-adressen (kallas 5321.MailFrom även adress, P1-avsändare eller kuvertsändare) är blueyonder.airlines@margiestravel.com.
  • Från-adressen (kallas 5322.From även adress eller P2-avsändare) är blueyonder@news.blueyonderairlines.com, vilket är vad du ser i Outlook.

Listor över säkra avsändare och säkra domänlistor i principer för skräppostskydd kontrollerar endast Från-adresser. Det här beteendet liknar Säkra Outlook-avsändare som använder Från-adressen.

Om du vill förhindra att det här meddelandet filtreras kan du utföra följande steg:

  • Lägg till blueyonder@news.blueyonderairlines.com (Från-adressen) som en säker Avsändare i Outlook.
  • Använd en e-postflödesregel med ett villkor som söker efter meddelanden från blueyonder@news.blueyonderairlines.com (Från-adressen), blueyonder.airlines@margiestravel.com (MAIL FROM-adressen) eller båda.
  • Last updated on