EOP'de kimlik sahtekarlığına karşı koruma

İpucu

Office 365 Plan 2 için Microsoft Defender XDR'daki özellikleri ücretsiz olarak deneyebileceğinizi biliyor muydunuz? Microsoft Defender portalı deneme hub'ında 90 günlük Office 365 için Defender deneme sürümünü kullanın. Kimlerin kaydolabileceğini ve deneme koşullarını buradan. öğrenin.

Exchange Online posta kutusu olmayan Exchange Online veya tek başına Exchange Online Protection (EOP) kuruluşlarında posta kutuları olan Microsoft 365 kuruluşlarında EOP, kuruluşunuzun sahte (sahte) gönderenlerden korunmasına yardımcı olacak özellikler içerir.

Söz konusu kullanıcılarını korumak olduğunda Microsoft, kimlik avı tehdidini ciddiye alır. Kimlik sahtekarlığına, saldırganlar tarafından kullanılan yaygın bir tekniktir. Sahte iletiler, gerçek kaynaktan başka bir yerden veya birinden geliyor gibi görünür. Bu teknik genellikle kullanıcı kimlik bilgilerini almak için tasarlanmış kimlik avı kampanyalarında kullanılır. EOP'deki kimlik sahtekarlığı önleme teknolojisi, özellikle ileti gövdesindeki Kimden üst bilgisinin sahteliğini inceler, çünkü bu üst bilgi değeri e-posta istemcilerinde gösterilen ileti gönderenidir. EOP, Kimden üst bilgisinin sahte olduğuna yüksek güvene sahip olduğunda, ileti sahte olarak tanımlanır.

Aşağıdaki kimlik sahtekarlığı önleme teknolojileri EOP'de kullanılabilir:

  • Email kimlik doğrulaması: Kimlik sahtekarlığı önleme çalışmalarının ayrılmaz bir parçası, DNS'de SPF, DKIM ve DMARC kayıtları tarafından e-posta kimlik doğrulamasının (e-posta doğrulaması olarak da bilinir) kullanılmasıdır. Hedef e-posta sistemlerinin etki alanlarınızdaki gönderenlerden geldiğini iddia eden iletilerin geçerliliğini denetleyebilmesi için etki alanlarınız için bu kayıtları yapılandırabilirsiniz. Gelen iletiler için Microsoft 365, gönderen etki alanları için e-posta kimlik doğrulaması gerektirir. Daha fazla bilgi için bkz. Microsoft 365'te kimlik doğrulaması Email.

    EOP, standart e-posta kimlik doğrulama yöntemleri ve gönderen itibarı tekniklerinin birleşimine göre iletileri analiz eder ve engeller.

    EOP kimlik sahtekarlığı önleme denetimleri

  • Sahte zeka içgörüleri: Son yedi gün içinde iç ve dış etki alanlarındaki gönderenlerden gelen sahte iletilerin algılanmış olduğunu gözden geçirin. Daha fazla bilgi için bkz . EOP'de sahte zeka içgörüleri.

  • Kiracı İzin Ver/Engelle Listesi'nde sahte gönderenlere izin ver veya engelle: Kimlik sahtekarı zeka içgörüsünde kararı geçersiz kıldığınızda, sahtekar gönderen yalnızca konumundaki Kiracı İzin Ver/Engelle Listeler sayfasındaki https://security.microsoft.com/tenantAllowBlockList?viewid=SpoofItemKimlik Sahtekarı gönderenler sekmesinde görünen el ile izin verme veya engelleme girdisine dönüşür. Ayrıca kimlik sahtekarı gönderenler için kimlik sahtekarı zekası tarafından algılanana kadar el ile izin verme veya engelleme girişleri oluşturabilirsiniz. Daha fazla bilgi için bkz . Kiracı İzin Ver/Engelle Listesi'nde kimlik sahtekarı gönderenler.

  • Kimlik avı önleme ilkeleri: EOP ve Office 365 için Microsoft Defender kimlik avı önleme ilkeleri aşağıdaki kimlik sahtekarlığı önleme ayarlarını içerir:

    • Kimlik sahtekarı zekasını açın veya kapatın.
    • Outlook'ta kimliği doğrulanmamış gönderen göstergelerini açma veya kapatma.
    • Engellenen sahte gönderenler için eylemi belirtin.

    Daha fazla bilgi için bkz. Kimlik avı önleme ilkelerindeki kimlik sahtekarlığı ayarları.

    Office 365 için Defender'daki kimlik avı önleme ilkeleri, kimliğe bürünme koruması da dahil olmak üzere ekleme korumaları içerir. Daha fazla bilgi için bkz. Office 365 için Microsoft Defender'da kimlik avı önleme ilkelerindeki özel kullanım ayarları.

  • Kimlik sahtekarlık algılamaları raporu: Daha fazla bilgi için bkz. Kimlik Sahtekarı Algılamaları raporu.

    Office 365 için Defender kuruluşlar, kimlik avı girişimleri hakkındaki bilgileri görüntülemek için Gerçek zamanlı algılamaları (Plan 1) veya Tehdit Gezgini'ni (Plan 2) da kullanabilir. Daha fazla bilgi için bkz. Microsoft 365 tehdit araştırması ve yanıtı.

İpucu

Bileşik kimlik doğrulama hatasının doğrudan bir iletinin engellenmesiyle sonuçlanmadığını anlamak önemlidir. Sistemimiz, bir iletinin genel şüpheli doğasını ve bileşik kimlik doğrulama sonuçlarını dikkate alan bütünsel bir değerlendirme stratejisi kullanıyor. Bu yöntem, e-posta kimlik doğrulama protokollerine kesinlikle uymayabilecek etki alanlarından gelen yasal e-postaları yanlış engelleme riskini azaltmak için tasarlanmıştır. Bu dengeli yaklaşım, ileti gönderenlerden gelen ve standart e-posta kimlik doğrulaması uygulamalarına uymayan gerçekten kötü amaçlı e-postaları ayırt etmeye yardımcı olur.

Kimlik avı saldırılarında kimlik sahtekarlığı nasıl kullanılır?

İletilerdeki sahte gönderenlerin kullanıcılar için aşağıdaki olumsuz etkileri vardır:

  • Yanıltma: Sahte gönderenlerden gelen iletiler, alıcıyı bir bağlantı seçmesi ve kimlik bilgilerini bırakması, kötü amaçlı yazılım indirmesi veya hassas içerik içeren bir iletiyi yanıtlaması (iş e-posta güvenliğinin aşılması veya BEC olarak bilinir) konusunda kandırabilir.

    Aşağıdaki ileti, kimlik sahtekarlığı göndereni msoutlook94@service.outlook.comkullanan bir kimlik avı örneğidir:

    service.outlook.com kimliğine bürünen kimlik avı iletisi.

    Bu ileti service.outlook.com'den gelmedi, ancak saldırgan bunu yapmış gibi görünmesi için Kimden üst bilgi alanını yanıltmış. Gönderen, alıcıyı parolanızı değiştir bağlantısını seçip kimlik bilgilerini sağlaması için kandırmaya çalıştı.

    Aşağıdaki ileti, sahte e-posta etki alanı contoso.com kullanan bir BEC örneğidir:

    Kimlik avı iletisi - iş e-posta güvenliğinin aşılması.

    İleti yasal görünüyor, ancak gönderen sahte.

  • Karışıklık: Kimlik avı hakkında bilgi sahibi olan kullanıcılar bile gerçek iletiler ile sahte gönderenlerden gelen iletiler arasındaki farkları görmekte zorlanabilir.

    Aşağıdaki ileti, Microsoft Güvenlik hesabından gerçek bir parola sıfırlama iletisi örneğidir:

    Microsoft meşru parola sıfırlama.

    İleti gerçekten Microsoft'tan geldi, ancak kullanıcılar şüpheli olmaya şartlandı. Gerçek parola sıfırlama iletisiyle sahte bir ileti arasındaki fark zor olduğundan, kullanıcılar iletiyi yoksayabilir, istenmeyen posta olarak bildirebilir veya iletiyi gereksiz yere kimlik avı olarak Microsoft'a bildirebilir.

Farklı kimlik sahtekarlık türleri

Microsoft, iletilerdeki iki farklı tür sahtekar göndereni birbirinden ayırt eder:

  • Kuruluş içi kimlik sahtekarlık: Kendinden kendine sahtekarlık olarak da bilinir. Örneğin:

    • Gönderen ve alıcı aynı etki alanındadır:

      Kaynak: chris@contoso.com
      Hedef: michelle@contoso.com

    • Gönderen ve alıcı aynı etki alanının alt etki alanındadır:

      Kaynak: laura@marketing.fabrikam.com
      Hedef: julia@engineering.fabrikam.com

    • Gönderen ve alıcı aynı kuruluşa ait farklı etki alanlarındadır (diğer bir ifadeyle, her iki etki alanı da aynı kuruluşta kabul edilen etki alanları olarak yapılandırılır):

      Kimden: gönderen @ microsoft.com
      To: alıcı @ bing.com

      İstenmeyen posta botunun toplanmasını önlemek için e-posta adreslerinde boşluklar kullanılır.

    Kuruluş içi kimlik sahtekarlığına bağlı olarak bileşik kimlik doğrulaması başarısız olan iletiler aşağıdaki üst bilgi değerlerini içerir:

    Authentication-Results: ... compauth=fail reason=6xx

    X-Forefront-Antispam-Report: ...CAT:SPOOF;...SFTY:9.11

    • reason=6xx kuruluş içi kimlik sahtekarlığına işaret eder.

    • SFTY iletinin güvenlik düzeyidir. 9 kimlik avına işaret eder, .11 kuruluş içi kimlik sahtekarlığına işaret eder.

  • Etki alanları arası kimlik sahtekarlık: Gönderen ve alıcı etki alanları farklıdır ve birbirleriyle (dış etki alanları olarak da bilinir) hiçbir ilişkisi yoktur. Örneğin:

    Kaynak: chris@contoso.com
    Hedef: michelle@tailspintoys.com

    Etki alanları arası kimlik sahtekarlığına bağlı olarak bileşik kimlik doğrulaması başarısız olan iletiler aşağıdaki üst bilgi değerlerini içerir:

    Authentication-Results: ... compauth=fail reason=000/001

    X-Forefront-Antispam-Report: ...CAT:SPOOF;...SFTY:9.22

    • reason=000 , iletinin açık e-posta kimlik doğrulamasının başarısız olduğunu gösterir. reason=001 , iletinin örtük e-posta kimlik doğrulamasının başarısız olduğunu gösterir.

    • SFTY iletinin güvenlik düzeyidir. 9 kimlik avına işaret eder, .22 etki alanları arası kimlik sahtekarlığına işaret eder.

    Kimlik Doğrulama Sonuçları ve compauth değerler hakkında daha fazla bilgi için bkz. Kimlik doğrulama sonuçları ileti üst bilgisi alanları.

Kimlik sahtekarlığı önleme korumasıyla ilgili sorunlar

Posta listelerinin (tartışma listeleri olarak da bilinir) iletileri iletme ve değiştirme şekli nedeniyle kimlik sahtekarlığı önleme korumasıyla ilgili sorunları olduğu bilinmektedir.

Örneğin, Gabriela Laureano (glaureano@contoso.com) kuş izlemekle ilgilenir, posta listesine birdwatchers@fabrikam.comkatılır ve listeye aşağıdaki iletiyi gönderir:

Kaynak: "Gabriela Laureano" <glaureano@contoso.com>
Hedef: Birdwatcher Tartışma Listesi <birdwatchers@fabrikam.com>
Konu: Mt'nin en üstünde mavi jay'lerin harika bir şekilde görüntülenmesi. Bu hafta daha yağmurlu

Bu hafta Mt.'den görüntülemeye göz atmak isteyen herkes Rainier?

Posta listesi sunucusu iletiyi alır, içeriğini değiştirir ve listenin üyelerine yeniden yürüter. Yeniden oynatılan ileti aynı Kimden adresine ()glaureano@contoso.com sahiptir, ancak konu satırına bir etiket eklenir ve iletinin altına bir alt bilgi eklenir. Bu tür değişiklikler posta listelerinde yaygındır ve kimlik sahtekarlığına yönelik hatalı pozitif sonuçlara neden olabilir.

Kaynak: "Gabriela Laureano" <glaureano@contoso.com>
Hedef: Birdwatcher Tartışma Listesi <birdwatchers@fabrikam.com>
Konu: [BIRDWATCHERS] Mt.'nin en üstündeki mavi jaylerin harika bir şekilde görüntülenmesi. Bu hafta daha yağmurlu

Bu hafta Mt.'den görüntülemeye göz atmak isteyen herkes Rainier?

Bu ileti Birdwatchers Tartışma Listesi'ne gönderildi. İstediğiniz zaman abonelikten çıkabilirsiniz.

Posta listesi iletilerinin kimlik sahtekarlığı önleme denetimlerini geçirmesine yardımcı olmak için, posta listesini denetleyıp denetlemediğinize bağlı olarak aşağıdaki adımları uygulayın:

Diğer her şey başarısız olursa, iletiyi Microsoft'a hatalı pozitif olarak bildirebilirsiniz. Daha fazla bilgi için bkz. İletileri ve dosyaları Microsoft'a bildirme.

Kimlik sahtekarlığına karşı koruma ile ilgili dikkat edilmesi gerekenler

Şu anda Microsoft 365'e ileti gönderen bir yöneticiyseniz, e-postanızın doğru şekilde doğrulandığından emin olmanız gerekir. Aksi takdirde, istenmeyen posta veya kimlik avı olarak işaretlenebilir. Daha fazla bilgi için bkz. Microsoft 365'e posta gönderirken e-posta kimlik doğrulaması hatalarını önleme.

Tek tek kullanıcı (veya yönetici) Güvenilir Gönderenler'deki gönderenler, kimlik sahtekarlığına karşı koruma da dahil olmak üzere filtreleme yığınının atlama bölümlerini listeler. Daha fazla bilgi için bkz. Outlook Güvenilir Gönderenler.

Mümkünse, yöneticiler istenmeyen posta önleme ilkelerinde izin verilen gönderen listelerini veya izin verilen etki alanı listelerini kullanmaktan kaçınmalıdır. Bu gönderenler filtreleme yığınının çoğunu atlar (yüksek güvenilirlikli kimlik avı ve kötü amaçlı yazılım iletileri her zaman karantinaya alınır). Daha fazla bilgi için bkz. İzin verilen gönderen listelerini veya izin verilen etki alanı listelerini kullanma.