Exchange Online Protection und die Safe Sender List - 26.10.2023
von Thomas Windscheif / Microlinc
Exchange Online Protection
Outlook
Safe Sender List
sichere Absender
Unter Outlook gibt es einen clientseitigen Junk-E-Mail-Filter-Agenten, welcher bis 2016 von Microsoft auch mit Pattern beliefert wurde. Seit Längerem empfiehlt Microsoft den Junk-E-Mail-Filter als solches zu deaktivieren, da dieser u. U. false-positives filtert.Da es keine aktuellen Pattern mehr gibt, ist die Abschaltung richtig und wichtig.
Man würde nun annehmen, dass die Junk-E-Mail-Komponente hier „tot“ wäre. Aber weit gefehlt. Tatsächlich gibt es hier noch Mechanismen, welche von Microsoft im Rahmen von Exchange Online Protection ausgewertet werden. Fatalerweise muss man sagen. Was genau ist damit gemeint?
Microsoft verwertet die Parameter welche in der Maske „Sichere Absender“ und „Blockierte Absender“ angegeben wurden in der Perimetersicherheit für Exchange Online. Also unabhängig vom Clientbetrieb auf Serverseite !
Das an sich ist ja sogar wünschenswert. ABER: Die hier whitegelisteten Absender werden per se für Phishing und Spam-Nachrichten Level 1 (ich nenne es hier mal so, gemeint sind die „non high confidence“-Erkennungen) nicht (!) weiter geprüft. Das hat zur Folge das mäßig gut vorbereitete Phishing-Attacken von Externen mit hoher Wahrscheinlichkeit erfolgreich sein können. Auch Impersonation-Versuche interner Identitäten können (gerade bei unsauberen Hybridkonfigurationen) die Folge sein. Microsoft schreibt selbst, dass die „Safe Sender List“ möglichst nicht genutzt werden soll.Um die Schaltflächen unter Outlook zu deaktivieren kann man entweder eine Gruppenrichtlinie verwenden „Benutzeroberfläche für Junk-E-Mail ausblenden“ oder eben den entsprechenden Reg-Key (Software\Policies\Microsoft\Office\16.0\Outlook; DWORD-Name: „disableantispam“; DWORT-Wert: 1). Die Richtlinie funktioniert auch unter M365 Apps for Business (also in der Office Suite im M365 Business Premium Abo). Die Vorgabe des Junk-E-Mail-Schutz auf „Keine automatische Filterung“ ist mit der Gruppenrichtlinie „Junk-E-Mail-Schutzstufe“ möglich (diese greift unter M365 Apps for Business allerdings nicht standardmäßig ☹)
Allerdings hilft dies nur teilweise. Wer das Addin „Report Message“ (siehe https://support.microsoft.com/en-gb/office/use-the-report-message-add-in-b5caa9f1-cdf3-4443-af8c-ff724ea719d2) unter M365 nutzt (Dringende Empfehlung meinerseits: Bitte machen!) stellt fest, dass beim Melden der False-Positives, die E-Mail-Adresse des Empfängers weiterhin der Safe Sender Liste hinzugefügt wird.
Darüber hinaus werden diese Daten in beide Richtungen synchronisiert. Sprich die Safesender-List wird von Outlook in ein MAPI-Object des Exchange Online-Postfachs synchronisiert. Ebenso die Einstellung „Meine Kontakte sind auch vertrauenswürdige Absender“ und „Nur sichere Absender und Empfänger“ aus der Maske „Optionen“. Dies kann man prüfen in dem man entweder im Outlook on the Web über „Einstellungen“ > „E-Mail“ > „Junk-E-Mail“ (https://outlook.office.com/mail/options/mail/junkEmail) die Konfiguration prüft oder via PowerShell mittels des Cmdlets „Get-MailboxJunkEmailConfiguration“
Die Aktivierung von „Nur sichere Absender und Empfänger“ ist aus Sicherheitssicht nicht so kritisch, eher aus Sicht des Helpdesks, weil so jede E-Mail welche nicht in der Safe Sender List enthalten ist, automatisch in den Junk-E-Mail-Ordner verschoben wird.
Die Aktivierung von „Meine Kontakte sind auch vertrauenswürdige Absender“ ist für Angreifer im Prinzip ein Volltreffer. Alle Level 1-Prüfungen für E-Mails von meinen vermeintlichen Kontakten werden einfach vertrauenswürdig, inkl. evtl. hinterlegter interner Kontakte.
Zur Deaktivierung der Safe Sender List gibt es meines Wissens nach keinen einfachen Schalter. Es sind eine Reihe von Konfigurationen notwendig:
- Verteilung der Richtlinien zum Ausblenden der alten Junk-E-Mail-Maske unter Outlook
- Reset der Junk-E-Mail-Konfiguration bei allen Anwendern
- Verhindern bzw. Zurücksetzen der Safe Sender List
- Verhindern des Zugriffs auf die Junk-E-Mail-Konfiguration in Outlook on the Web durch den Anwender
Schritt 1 ist relativ einfach wie im Artikel beschrieben via Gruppenrichtlinie oder Verteilung eines Registry-Keys möglich.
Schritt 2 wird vermutlich User Impact haben, da einige Nutzer die Absender willentlich der Safe Sender List hinzugefügt haben um die Nachricht von bestimmten Versendern nicht immer im Junk-E-Mail-Ordner suchen zu müssen. Daher ist eine Nutzerkommunikation des Resets notwendig.
Anschließend kann man mit folgendem PowerShell-Befehl lässt sich der aktuelle Stand aller Postfächer in Exchange Online sichern:
Get-Mailbox -ResultSize:unlimited | % {$UPN = $_.UserPrincipalName; Get-MailboxJunkEmailConfiguration $UPN} | select @{Name="UserPrincipalName"; Expression={$UPN}},TrustedListsOnly,ContactsTrusted,@{Name="TrustedSendersAndDomains";Expression={$_.TrustedSendersAndDomains -Join ","}},@{Name="BlockedSendersAndDomains";Expression={$_.BlockedSendersAndDomains -Join ","}},@{Name="TrustedRecipientsAndDomains";Expression={$_.TrustedRecipientsAndDomains -Join ","}} | Export-Csv -Path "MailboxJunkEmailConfiguration-Export.csv" -Delimiter ";" -Encoding Default -NoTypeInformation
Mit dem nachfolgenden PowerShell-Befehl werden alle Parameter deaktiviert bzw. geleert:
Get-Mailbox -resultsize:Unlimited | Set-MailboxJunkEmailConfiguration -TrustedListsOnly $false -ContactsTrusted $false -TrustedRecipientsAndDomains $null -TrustedSendersAndDomains $null -BlockedSendersAndDomains $null
Der Befehl muss unter Umständen mehrfach abgesetzt werden, da wie bereits erwähnt Outlook die Daten ggf. durch die Synchronisierung überschreibt. Auch defekte OST-Dateien können dazu führen, dass die Konfiguration sich wieder auf den alten Stand zurücksetzt.
Schritt 3 kann nun entweder erreicht werden, in dem man immer regelmäßig den letzten PowerShell-Befehl ausführt (einzige Option bei Business Premium Abo, da die nachfolgend beschriebenen Richtlinien hier nicht greifen). Alternativ kann via Gruppenrichtlinien die Liste der sicheren Empfänger mit einer leeren Liste überschreiben überschrieben werden.
Schritt 4 Um den schreibenden Zugriff auf die Junk-E-Mail-Konfiguration unter Outlook on the Web zu entfernen, muss eine neue Rollenzuweisungsrichtlinie auf Basis der bestehenden Default-Richtlinie erstellt werden. In dieser Richtlinie wird die Anpassung der Junk-E-Mail-Konfiguration angepasst.
Zunächst wird eine neue RBAC-Rolle angelegt auf Basis der MyBaseOptions-Rolle:
New-ManagementRole -Parent "MyBaseOptions" -Name "EXCITE-MyBaseOptions"
In der neu angelegten Rolle wird nach dem Cmdlet für das Ändern der Junk-E-Mail-Konfiguration gesucht:
Get-ManagementRoleEntry "EXCITE-MyBaseOptions\*" | ?{$_.NAme -match "Set-MailboxJunkEmailConfiguration"}
Das Cmdlet wird mit dem nachfolgenden Befehl aus der Rolle entfernt:
Remove-ManagementRoleEntry "EXCITE-MyBaseOptions\Set-MailboxJunkEmailConfiguration"
Nun erstellen wir eine neue Rollenzuweisungsrichtlinie:
New-RoleAssignmentPolicy "EXCITE-Default Role Assignment Policy"
Wir übernehmen die Rollen von der Standardrollenzuweisungsrichtlinie:
Get-ManagementRoleAssignment -RoleAssignee "Default Role Assignment Policy" | % {New-ManagementRoleAssignment -Role $_.Role -Policy "EXCITE-Default Role Assignment Policy"}
Entfernung der Rolle in der der Benutzer in der Junk-E-Mail-Konfiguration Änderungen vornehmen kann aus der neu erstellten Rollenzuweisungsrichtlinie:
Get-ManagementRoleAssignment -RoleAssignee "EXCITE-Default Role Assignment Policy" -Role MyBaseOptions | Remove-ManagementRoleAssignment
Zuweisung der neu erstellten Rolle ohne die Junk-E-Mail-Konfiguration zu der neuen Rollenzuweisungsrichtlinie:
New-ManagementRoleAssignment -Policy "EXCITE-Default Role Assignment Policy" -Role "EXCITE-MyBaseOptions"
Anpassung des Mailboxplans, damit bei neuen Benutzer die neue Rollenzuweisungsrichtlinie angewendet wird:
Get-MailboxPlan | Set-MailboxPlan -RoleAssignmentPolicy "EXCITE-Default Role Assignment Policy”
Zuweisung der neuen Rollenzuweisungsrichtlinie auf alle bestehenden Postfächer:
Get-Mailbox -resultsize:unlimited | Set-Mailbox -RoleAssignmentPolicy "EXCITE-Default Role Assignment Policy"
Es kann einige Zeit dauern bis die neuen Richtlinie effektiv wird.
Sobald die neuen Richtlinien greifen, können die Anwender via Outlook on the Web weder Absender sperren noch whitelisten. Allerdings werden die Einstellungen im Menü angezeigt, ebenso der „Speichern“-Button.