Configurazione EOP e ATP Exchange online
1.1
Principi FONDAMENTALI e INALIENABILI
·
il sistema NON deve
cancellare, rifiutare, o perdere mail (in trasporto) senza darne evidenza all'utente
finale (mittente e/o destinatario), con la sola eccezione delle email
riconosciute malware per le quali è possibile la cancellazione silente senza
notifiche
·
il sistema deve
consegnare le email agli utenti nel modo più sicuro possibile integrandosi e
sfruttando i meccanismi di protezione degli ambienti client (tipicamente
Outlook); in particolare il sistema deve proteggere gli utenti, anche quelli
non competenti sulla materia, dall'apertura o dalla gestione/esecuzione
automatica di contenuti di email considerate pericolose (es: junk)
·
il sistema dovrebbe
consentire una personalizzazione delle regole anti-spam (tipicamente sender o
content filter) da parte di ogni utente senza intervento dei sysadmin
·
il sistema non deve
coinvolgere i sysadmin per la normale operatività (invio/ricezione/gestione/...
email)
1.2
Criteri generali
Applicazioni e servizi
interni o esterni che generano email in nome e per conto dei domini del cliente
devono essere opportunamente autorizzati e a farlo e le email mandate non devono
essere soggette ai check anti-spam.
Ad esempio: SAP,
applicativi interni che generano ordini, transazioni, comunicazioni, ..
1.3
Impostazioni
·
Aggiungere domini al
tenant e verificarli
o
Dopo averli verificati,
rimuovere il record DNS TXT "MS=nnnnnnn"
o
Crea gli accepted domain
o
Per abilitare la
recipient validation, modificarli in "Authoritative"
·
Attenzione che siano
sincronizzati tutti gli oggetti che devono ricevere mail (user mailbox, linked
mailbox, mail user, contatti, risorse, gruppi e public folder)
·
Exchange Hybrid
o
Configurare il flusso
SMTP simmetrico (invio da OnPrem attaverso EOP se gli MX online, o viceversa)
·
Il secondo caso (invio da
Exchange Online attraverso OnPrem di tutte le mail) è chiamato Centralized Mail
Transport
·
È preferibile l’utilizzo
di EOP, utilizzare Centralized Mail Transport per compliance (applicazione
firme, journaling..)
o
Nel record SPF, oltre
all'include:spf.protection.outlook.com aggiungere l'IP del/i server Exchange
che inviano ad EOP
Es: "v=spf1 ip4:123.123.123.123
include:spf.protection.outlook.com ~all"
·
Configurazioni EOP
o
Malware protection:
·
Azione: cancellare i messaggi
·
No notifiche
o
Connection filter
·
Inserire eventuali IP in
allow o block
·
Abilitare "Enable
safe list"
o
Spam filter:
·
Creare una nuova spam
filter policy applicata ai domini di destinazione
(<OrganizationName>-Default)
·
Azioni:
§
Spam: Move to junk
§ High confidence spam:
Move to junk
§
Per consentire il
recapito nella Junk delle mailbox OnPrem, creare due transport rule su Exchange
OnPrem
·
New-TransportRule "Move-to-junk-SPM" -HeaderContainsMessageHeader
"X-Forefront-Antispam-Report" -HeaderContainsWords
"SFV:SPM" -SetSCL 6
·
New-TransportRule "Move-to-junk-SKS"
-HeaderContainsMessageHeader "X-Forefront-Antispam-Report"
-HeaderContainsWords "SFV:SKS" -SetSCL 6
·
Il valore del SetSCL deve
essere maggiore del SclJunkThreshold a livello organizzativo
·
Get-OrganizationConfig |
fl SclJunkThreshold
·
Bulk email: Mark con threshold 7
·
Quarantine: lasciare il
default (NON abilitata)
·
Abilitare "SPF record: hard fail"
·
Filtrare per recipient domain
i domini a cui applicare la policy
o
Per assicurare un maggior
controllo è possibile aggiungere due regole che riusciranno insieme a filtrare
molte delle mail contenenti il classico cab (che a sua volta contiene il file
SCR o il documento di Word), ma anche file exe, dos, com e tutta quella serie
di estensioni conosciute che è sempre meglio rifiutare alla sorgente.
New-TransportRule -Name 'Exchange Online Block Standard Executables' -Priority
'0' -Enabled $true -AttachmentHasExecutableContent $True -RejectMessageReasonText
'Forbidden attachments' -RejectMessageEnhancedStatusCode '5.7.1'
-StopRuleProcessing $true -SetAuditSeverity Low -SenderAddressLocation
HeaderOrEnvelope
New-TransportRule -Name 'Exchange Online Block Custom Executables' -Priority '1'
-Enabled $true -AttachmentNameMatchesPatterns '.cab','.scr' -RejectMessageReasonText
'Forbidden attachments' -RejectMessageEnhancedStatusCode '5.7.1' -StopRuleProcessing
$true -SetAuditSeverity Low -SenderAddressLocation HeaderOrEnvelope
La
prima regola lavora sugli elementi eseguibili di Microsoft, mentre la seconda
blocca specifiche estensioni.
- Modificare MX verso
EOP
- Se licenziato, configurare Advanced Threat
Protection (Safe Attachements & Safe Links)
- Safe Attachments: creare una policy “<Organizzazione> - Replace
Safe Attachments”
- Azione:
- Se i recipient
sono OnPrem o Hybrid – Replace
- Se i recipient
sono tutti OnLine – Dynamic Delivery
- Abilitare il
Redirect
- Creare una shared
mailbox ATP su cui reindirizzare i messaggi
- Creare una regola/retention
policy che cancella i messaggi più vecchi di 90 giorni
- Lasciare
abilitato il redirect in caso di time out o errori
- Applicare la
policy per gruppo/dominio, dipende dalle licenze assegnate
- Se tutti hanno la
licenza Office 365 E5 o ATP specifica, applicare per dominio
- Se solo parte
degli utenti ha licenza Office 365 E5 o ATP, ci sono due opzioni:
- Applicare per
gruppo
- Applicare per
dominio ed eseguire delle esclusioni per gruppo
- Safe Links
- Lasciare i default
sulla policy che si applica all’intera organizzazione
- Creare una nuova
policy “<Organizzazione>
- Safe Links for email”
- Abilitare il
rewrite degli URL
- Abilitare la
scansione all’interno dei documenti
- Non tracciare i
click degli utenti
- Non consentire di
clickare sull’URL originale
- Applicare la
policy per gruppo/dominio, dipende dalle licenze assegnate
- Se tutti hanno
la licenza Office 365 E5 o ATP specifica, applicare per dominio
- Se solo parte
degli utenti ha licenza Office 365 E5 o ATP, ci sono due opzioni:
- Applicare per
gruppo
- Applicare per
dominio ed eseguire delle esclusioni per gruppo
Commenti
Posta un commento