Personifieringsinsikt i Defender för Office 365

Tips

Visste du att du kan prova funktionerna i Microsoft Defender XDR för Office 365 plan 2 kostnadsfritt? Använd den 90 dagar långa Defender för Office 365 utvärderingsversionen på Microsoft Defender portalens utvärderingshubb. Lär dig mer om vem som kan registrera dig och utvärderingsvillkoren här.

Personifiering är när avsändaren av ett e-postmeddelande ser ut ungefär som en verklig eller förväntad avsändares e-postadress. Angripare använder ofta e-postadresser för personifierade avsändare i nätfiske eller andra typer av attacker för att få mottagarens förtroende. Det finns två grundläggande typer av personifiering:

  • Domänpersonifiering: Innehåller subtila skillnader i domänen. Till exempel lila@ćóntoso.com personifierar lila@contoso.com.
  • Användarpersonifiering: Innehåller subtila skillnader i e-postaliaset. Till exempel rnichell@contoso.com personifierar michelle@contoso.com.

Domänimitation skiljer sig från domänförfalskning, eftersom den personifierade domänen ofta är en verklig, registrerad domän, men med avsikt att lura. Meddelanden från avsändare i den personifierade domänen kan skicka regelbundna e-postautentiseringskontroller som annars skulle identifiera meddelandena som förfalskningsförsök (SPF, DKIM och DMARC).

Personifieringsskydd är en del av de principinställningar för skydd mot nätfiske som är exklusiva för Microsoft Defender för Office 365. Mer information om de här inställningarna finns i Personifieringsinställningar i principer för skydd mot nätfiske i Microsoft Defender för Office 365.

Administratörer kan använda personifieringsinsikten i Microsoft Defender-portalen för att snabbt identifiera meddelanden från personifierade avsändare eller avsändardomäner som anges i personifieringsskydd i principer för skydd mot nätfiske.

Vad behöver jag veta innan jag börjar?

Öppna personifieringsinsikten i Microsoft Defender-portalen

I Microsoft Defender-portalen på https://security.microsoft.comgår du till Email & Samarbetsprinciper>& Regler>Hotprinciper>Mot nätfiske i avsnittet Principer. Om du vill gå direkt till sidan Skydd mot nätfiske använder du https://security.microsoft.com/antiphishing.

På sidan Skydd mot nätfiske ser personifieringsinsikten ut så här:

Personifieringsinsikten på sidan Princip mot nätfiske i Microsoft Defender-portalen.

Insikten har två lägen:

  • Insiktsläge: Om personifieringsskydd är aktiverat och konfigurerat i några principer för skydd mot nätfiske visar insikten antalet identifierade meddelanden från personifierade domäner och personifierade användare (avsändare) under de senaste sju dagarna. Talet som visas är summan av alla identifierade personifieringsförsök från alla principer för skydd mot nätfiske.
  • What if-läge: Om personifieringsskydd inte är aktiverat och konfigurerat i aktiva principer för skydd mot nätfiske visar insikten hur många meddelanden som skulle ha identifierats av personifieringsskydd under de senaste sju dagarna.

Om du vill visa information om personifieringsidentifieringar väljer du Visa personifieringar i personifieringsinsikten för att gå till insiktssidan personifiering .

Visa information om identifiering av domänpersonifiering

Personifieringsinsiktssidan på https://security.microsoft.com/impersonationinsight är tillgänglig när du väljer Visa personifieringar i personifieringsinsikten på sidan Skydd mot nätfiske.

På sidan Personifieringsinsikt kontrollerar du att fliken Domäner är markerad.

Du kan sortera posterna genom att klicka på en tillgänglig kolumnrubrik. Följande kolumner är tillgängliga:*:

  • Avsändardomän: Den personifierande domänen, som är den domän som användes för att skicka e-postmeddelandet.
  • Antal meddelanden: Antalet meddelanden från att personifiera avsändardomänen under de senaste sju dagarna.
  • Personifieringstyp: Det här värdet visar den identifierade platsen för personifieringen (till exempel Domän i adress).
  • Personifierade domäner: Den domän som skyddas av domänimitationsskydd, som bör likna domänen i avsändardomänen.
  • Domäntyp: Det här värdet är Företagsdomän för godkända domäner eller Anpassad domän för anpassade domäner.
  • Princip: Den princip för skydd mot nätfiske som identifierade den personifierade domänen.
  • Tillåts att personifiera: Ett av följande värden:
    • Ja: Domänen konfigurerades som betrodd domän (ett undantag för personifieringsskydd) i den princip för skydd mot nätfiske som identifierade meddelandet. Meddelanden från den personifierade domänen har identifierats, men tillåts.
    • Nej: Domänen har konfigurerats för personifieringsskydd i principen för skydd mot nätfiske som identifierade meddelandet. Åtgärden för identifiering av domänpersonifiering i principen för skydd mot nätfiske görs i meddelandet.

* Om du vill se alla kolumner måste du förmodligen göra ett eller flera av följande steg:

  • Rulla vågrätt i webbläsaren.
  • Begränsa bredden på lämpliga kolumner.
  • Zooma ut i webbläsaren.

Om du vill ändra listan över identifieringar av domänpersonifieringar från normalt till kompakt avstånd väljer du Ändra listavstånd till kompakt eller normal och väljer sedan Komprimera lista.

Använd rutan Search och en kommaavgränsad lista med värden för att hitta specifika identifieringar av domänpersonifiering.

Använd Exportera för att exportera listan över identifieringar av domänpersonifieringar till en CSV-fil.

Visa information om identifiering av domänpersonifiering

På fliken Domäner på sidan Personifieringsinsikt på https://security.microsoft.com/impersonationinsight?type=Domainväljer du någon av identifieringarna för personifiering genom att klicka var som helst på raden förutom kryssrutan.

Följande information finns i den utfällbara menyn med information:

  • Varför fångade vi det här?

  • Vad behöver du göra?

  • Domänsammanfattning: Domänen som identifierades som personifiering.

  • Whois-data: Innehåller information om domänen:

    • Avsändarplats
    • Datum då domänen skapades
    • Förfallodatum för domän
    • Registranten

  • Undersökning av Utforskaren: Välj länken för att öppna Hotutforskaren eller Realtidsidentifieringar för ytterligare information om avsändaren.

  • Email från avsändaren: Det här avsnittet visar följande information om liknande meddelanden från avsändare i domänen:

    • Datum
    • Mottagare
    • Ämne
    • Avsändare
    • Avsändarens IP-adress
    • Leveransåtgärd

Tips

Om du vill se information om andra domänpersonifieringsposter utan att lämna den utfällbara menyn använder du Föregående objekt och Nästa objekt överst i den utfällbara menyn.

Information om hur du förhindrar att avsändare i en identifierad domän identifieras som domänpersonifiering finns i nästa underavsnitt.

Undanta avsändare i en identifierad domän från framtida domän personifieringskontroller

På fliken Domäner på sidan Personifieringsinsikt på https://security.microsoft.com/impersonationinsight?type=Domainanvänder du följande steg för att undanta avsändare i en identifierad domän från att identifieras som domänpersonifiering:

Markera posten i listan genom att klicka någon annanstans på raden än kryssrutan.

I den utfällbara menyn med information som öppnas använder du principen Välj personifiering för att ändra och Lägg till i inställningarna för listan över tillåtna personifieringar överst i den utfällbara menyn. De här inställningarna fungerar tillsammans för att lägga till domänen i listan Betrodda avsändare och domäner i principen som felaktigt identifierade meddelandet som domänpersonifiering:

  • Välj principen för skydd mot nätfiske i listrutan. Den princip för skydd mot nätfiske som var ansvarig för att identifiera meddelandet visas i principvärdet på fliken Domän .

  • Dra växlingsknappen till på: för att lägga till domänen i listan Betrodda avsändare och domäner i den valda principen.

    Om du vill ta bort domänen från listan Betrodda avsändare och domäner drar du växlingsknappen tillbaka till

När du är klar med den utfällbara menyn med information väljer du Stäng.

Visa information om identifiering av användarpersonifiering

Personifieringsinsiktssidan på https://security.microsoft.com/impersonationinsight är tillgänglig när du väljer Visa personifieringar i personifieringsinsikten på sidan Skydd mot nätfiske.

På sidan Personifieringsinsikt väljer du fliken Användare .

Du kan sortera posterna genom att klicka på en tillgänglig kolumnrubrik. Följande kolumner är tillgängliga:*:

  • Avsändare: E-postadressen till den personifierande avsändaren som skickade e-postmeddelandet.
  • Antal meddelanden: Antalet meddelanden från den personifierande avsändaren under de senaste sju dagarna.
  • Personifieringstyp: Till exempel Användare i visningsnamn.
  • Personifierade användare: Visningsnamn och e-postadress för avsändaren som skyddas av personifieringsskydd, som liknar e-postadressen i Avsändaren.
  • Användartyp: Den typ av skydd som tillämpas (till exempel Skyddad användare eller Postlådeinformation).
  • Princip: Den princip för skydd mot nätfiske som identifierade den personifierade avsändaren.
  • Tillåts att personifiera: Ett av följande värden:
    • Ja: Avsändaren konfigurerades som betrodd användare (ett undantag för personifieringsskydd) i den princip för skydd mot nätfiske som identifierade meddelandet. Meddelanden från den personifierade avsändaren har identifierats, men tillåts.
    • Nej: Avsändaren har konfigurerats för personifieringsskydd i principen för skydd mot nätfiske som identifierade meddelandet. Åtgärden för identifiering av användarpersonifiering i principen för skydd mot nätfiske görs i meddelandet.

* Om du vill se alla kolumner måste du förmodligen göra ett eller flera av följande steg:

  • Rulla vågrätt i webbläsaren.
  • Begränsa bredden på lämpliga kolumner.
  • Zooma ut i webbläsaren.

Om du vill ändra listan över identifieringar av användarpersonifieringar från normalt till kompakt avstånd väljer du Ändra listavstånd till kompakt eller normal och väljer sedan Komprimera lista.

Använd rutan Search och en kommaavgränsad lista med värden för att hitta specifika identifieringar av användarpersonifiering.

Använd Exportera för att exportera listan över identifieringar av användarpersonifieringar till en CSV-fil.

Visa information om identifiering av användarpersonifiering

På fliken Användare på sidan Personifieringsinsikt på https://security.microsoft.com/impersonationinsight?type=Userväljer du någon av personifieringsidentifieringarna genom att klicka var som helst på raden förutom kryssrutan.

Följande information finns i den utfällbara menyn med information:

  • Varför fångade vi det här?

  • Vad behöver du göra?

  • Avsändarsammanfattning: Avsändaren som identifierades som personifiering.

  • Undersökning av Utforskaren: Välj länken för att öppna Hotutforskaren eller Realtidsidentifieringar för ytterligare information om avsändaren.

  • Email från avsändaren: Det här avsnittet visar följande information om liknande meddelanden från avsändaren:

    • Datum
    • Mottagare
    • Ämne
    • Avsändare
    • Avsändarens IP-adress
    • Leveransåtgärd

Tips

Om du vill se information om andra användarpersonifieringsposter utan att lämna utfällbara information använder du Föregående objekt och Nästa objekt överst i den utfällbara menyn.

Information om hur du förhindrar att en identifierad avsändare identifieras som användarpersonifiering finns i nästa underavsnitt.

Undanta en identifierad avsändare från framtida personifieringskontroller för användare

På fliken Användare på insiktssidan Personifiering på https://security.microsoft.com/impersonationinsight?type=Useranvänder du följande steg för att undanta identifierade avsändare från att identifieras som användarpersonifiering:

Markera posten i listan genom att klicka någon annanstans på raden än kryssrutan.

I den utfällbara menyn med information som öppnas använder du principen Välj personifiering för att ändra och Lägg till i inställningarna för listan över tillåtna personifieringar överst i den utfällbara menyn. De här inställningarna fungerar tillsammans för att lägga till avsändaren i listan Betrodda avsändare och domäner i principen som felaktigt identifierade meddelandet som användarpersonifiering:

  • Välj principen för skydd mot nätfiske i listrutan. Den princip för skydd mot nätfiske som var ansvarig för att identifiera meddelandet visas i principvärdet på fliken Domän .

  • Dra växlingsknappen till på: för att lägga till avsändaren i listan Betrodda avsändare och domäner i den valda principen.

    Om du vill ta bort avsändaren från listan Betrodda avsändare och domäner drar du växlingsknappen tillbaka till

När du är klar med den utfällbara menyn med information väljer du Stäng.