Exchange Online Protection und die Safe Sender List
- 26.10.2023 - 14:43
Link zu diesem Beitrag: | |||||
| Exchange Online Protection Outlook Safe Sender List sichere Absender  Unter Outlook gibt es einen clientseitigen Junk-E-Mail-Filter-Agenten, welcher bis 2016 von Microsoft auch mit Pattern beliefert wurde. Seit Längerem empfiehlt Microsoft den Junk-E-Mail-Filter als solches zu deaktivieren, da dieser u. U. false-positives filtert.Da es keine aktuellen Pattern mehr gibt, ist die Abschaltung richtig und wichtig. Man würde nun annehmen, dass die Junk-E-Mail-Komponente hier „tot“ wäre. Aber weit gefehlt. Tatsächlich gibt es hier noch Mechanismen, welche von Microsoft im Rahmen von Exchange Online Protection ausgewertet werden. Fatalerweise muss man sagen. Was genau ist damit gemeint? Microsoft verwertet die Parameter welche in der Maske „Sichere Absender“ und „Blockierte Absender“ angegeben wurden in der Perimetersicherheit für Exchange Online. Also unabhängig vom Clientbetrieb auf Serverseite !  Das an sich ist ja sogar wünschenswert. ABER: Die hier whitegelisteten Absender werden per se für Phishing und Spam-Nachrichten Level 1 (ich nenne es hier mal so, gemeint sind die „non high confidence“-Erkennungen) nicht (!) weiter geprüft. Das hat zur Folge das mäßig gut vorbereitete Phishing-Attacken von Externen mit hoher Wahrscheinlichkeit erfolgreich sein können. Auch Impersonation-Versuche interner Identitäten können (gerade bei unsauberen Hybridkonfigurationen) die Folge sein. Microsoft schreibt selbst, dass die „Safe Sender List“ möglichst nicht genutzt werden soll.Um die Schaltflächen unter Outlook zu deaktivieren kann man entweder eine Gruppenrichtlinie verwenden „Benutzeroberfläche für Junk-E-Mail ausblenden“ oder eben den entsprechenden Reg-Key (Software\Policies\Microsoft\Office\16.0\Outlook; DWORD-Name: „disableantispam“; DWORT-Wert: 1). Die Richtlinie funktioniert auch unter M365 Apps for Business (also in der Office Suite im M365 Business Premium Abo). Die Vorgabe des Junk-E-Mail-Schutz auf „Keine automatische Filterung“ ist mit der Gruppenrichtlinie „Junk-E-Mail-Schutzstufe“ möglich (diese greift unter M365 Apps for Business allerdings nicht standardmäßig ☹)  Allerdings hilft dies nur teilweise. Wer das Addin „Report Message“ (siehe https://support.microsoft.com/en-gb/office/use-the-report-message-add-in-b5caa9f1-cdf3-4443-af8c-ff724ea719d2) unter M365 nutzt (Dringende Empfehlung meinerseits: Bitte machen!) stellt fest, dass beim Melden der False-Positives, die E-Mail-Adresse des Empfängers weiterhin der Safe Sender Liste hinzugefügt wird. Darüber hinaus werden diese Daten in beide Richtungen synchronisiert. Sprich die Safesender-List wird von Outlook in ein MAPI-Object des Exchange Online-Postfachs synchronisiert. Ebenso die Einstellung „Meine Kontakte sind auch vertrauenswürdige Absender“ und „Nur sichere Absender und Empfänger“ aus der Maske „Optionen“. Dies kann man prüfen in dem man entweder im Outlook on the Web über „Einstellungen“ > „E-Mail“ > „Junk-E-Mail“ (https://outlook.office.com/mail/options/mail/junkEmail) die Konfiguration prüft oder via PowerShell mittels des Cmdlets „Get-MailboxJunkEmailConfiguration“ Die Aktivierung von „Nur sichere Absender und Empfänger“ ist aus Sicherheitssicht nicht so kritisch, eher aus Sicht des Helpdesks, weil so jede E-Mail welche nicht in der Safe Sender List enthalten ist, automatisch in den Junk-E-Mail-Ordner verschoben wird. Die Aktivierung von „Meine Kontakte sind auch vertrauenswürdige Absender“ ist für Angreifer im Prinzip ein Volltreffer. Alle Level 1-Prüfungen für E-Mails von meinen vermeintlichen Kontakten werden einfach vertrauenswürdig, inkl. evtl. hinterlegter interner Kontakte. Zur Deaktivierung der Safe Sender List gibt es meines Wissens nach keinen einfachen Schalter. Es sind eine Reihe von Konfigurationen notwendig:
Schritt 1 ist relativ einfach wie im Artikel beschrieben via Gruppenrichtlinie oder Verteilung eines Registry-Keys möglich. Schritt 2 wird vermutlich User Impact haben, da einige Nutzer die Absender willentlich der Safe Sender List hinzugefügt haben um die Nachricht von bestimmten Versendern nicht immer im Junk-E-Mail-Ordner suchen zu müssen. Daher ist eine Nutzerkommunikation des Resets notwendig. Anschließend kann man mit folgendem PowerShell-Befehl lässt sich der aktuelle Stand aller Postfächer in Exchange Online sichern: Get-Mailbox -ResultSize:unlimited | % {$UPN = $_.UserPrincipalName; Get-MailboxJunkEmailConfiguration $UPN} | select @{Name="UserPrincipalName"; Expression={$UPN}},TrustedListsOnly,ContactsTrusted,@{Name="TrustedSendersAndDomains";Expression={$_.TrustedSendersAndDomains -Join ","}},@{Name="BlockedSendersAndDomains";Expression={$_.BlockedSendersAndDomains -Join ","}},@{Name="TrustedRecipientsAndDomains";Expression={$_.TrustedRecipientsAndDomains -Join ","}} | Export-Csv -Path "MailboxJunkEmailConfiguration-Export.csv" -Delimiter ";" -Encoding Default -NoTypeInformation Mit dem nachfolgenden PowerShell-Befehl werden alle Parameter deaktiviert bzw. geleert: Get-Mailbox -resultsize:Unlimited | Set-MailboxJunkEmailConfiguration -TrustedListsOnly $false -ContactsTrusted $false -TrustedRecipientsAndDomains $null -TrustedSendersAndDomains $null -BlockedSendersAndDomains $null Der Befehl muss unter Umständen mehrfach abgesetzt werden, da wie bereits erwähnt Outlook die Daten ggf. durch die Synchronisierung überschreibt. Auch defekte OST-Dateien können dazu führen, dass die Konfiguration sich wieder auf den alten Stand zurücksetzt. Schritt 3 kann nun entweder erreicht werden, in dem man immer regelmäßig den letzten PowerShell-Befehl ausführt (einzige Option bei Business Premium Abo, da die nachfolgend beschriebenen Richtlinien hier nicht greifen). Alternativ kann via Gruppenrichtlinien die Liste der sicheren Empfänger mit einer leeren Liste überschreiben überschrieben werden. Schritt 4 Um den schreibenden Zugriff auf die Junk-E-Mail-Konfiguration unter Outlook on the Web zu entfernen, muss eine neue Rollenzuweisungsrichtlinie auf Basis der bestehenden Default-Richtlinie erstellt werden. In dieser Richtlinie wird die Anpassung der Junk-E-Mail-Konfiguration angepasst. Zunächst wird eine neue RBAC-Rolle angelegt auf Basis der MyBaseOptions-Rolle: New-ManagementRole -Parent "MyBaseOptions" -Name "EXCITE-MyBaseOptions" In der neu angelegten Rolle wird nach dem Cmdlet für das Ändern der Junk-E-Mail-Konfiguration gesucht: Get-ManagementRoleEntry "EXCITE-MyBaseOptions\*" | ?{$_.NAme -match "Set-MailboxJunkEmailConfiguration"} Das Cmdlet wird mit dem nachfolgenden Befehl aus der Rolle entfernt: Remove-ManagementRoleEntry "EXCITE-MyBaseOptions\Set-MailboxJunkEmailConfiguration" Nun erstellen wir eine neue Rollenzuweisungsrichtlinie: New-RoleAssignmentPolicy "EXCITE-Default Role Assignment Policy" Wir übernehmen die Rollen von der Standardrollenzuweisungsrichtlinie: Get-ManagementRoleAssignment -RoleAssignee "Default Role Assignment Policy" | % {New-ManagementRoleAssignment -Role $_.Role -Policy "EXCITE-Default Role Assignment Policy"} Entfernung der Rolle in der der Benutzer in der Junk-E-Mail-Konfiguration Änderungen vornehmen kann aus der neu erstellten Rollenzuweisungsrichtlinie: Get-ManagementRoleAssignment -RoleAssignee "EXCITE-Default Role Assignment Policy" -Role MyBaseOptions | Remove-ManagementRoleAssignment Zuweisung der neu erstellten Rolle ohne die Junk-E-Mail-Konfiguration zu der neuen Rollenzuweisungsrichtlinie: New-ManagementRoleAssignment -Policy "EXCITE-Default Role Assignment Policy" -Role "EXCITE-MyBaseOptions" Anpassung des Mailboxplans, damit bei neuen Benutzer die neue Rollenzuweisungsrichtlinie angewendet wird: Get-MailboxPlan | Set-MailboxPlan -RoleAssignmentPolicy "EXCITE-Default Role Assignment Policy” Zuweisung der neuen Rollenzuweisungsrichtlinie auf alle bestehenden Postfächer: Get-Mailbox -resultsize:unlimited | Set-Mailbox -RoleAssignmentPolicy "EXCITE-Default Role Assignment Policy" Es kann einige Zeit dauern bis die neuen Richtlinie effektiv wird. Sobald die neuen Richtlinien greifen, können die Anwender via Outlook on the Web weder Absender sperren noch whitelisten. Allerdings werden die Einstellungen im Menü angezeigt, ebenso der „Speichern“-Button. 
Über den Autor
Thomas Windscheif arbeitet bei excITe Consulting und ist langjähriger Berater im Bereich IT-Infrastruktur und Groupware. Sowohl Kleinunternehmen z. B. im Handwerk als auch der größere fertigende Mittelstand gehören zu seinem Projektumfeld. Im Wesentlichen gehören die Planung von Infrastruktur-Migrationen, Cloud-Lösungen (Microsoft 365), Groupware-Umgebungen (z. B. Exchange) und deren Umsetzung zu seinen Aufgaben. Insbesondere im Umfeld hybrider Identitätsumgebungen mit Entra Connect und den Möglichkeiten zur Härtung der IT-Landschaft konnte er in vielen Projekten Erfahrungen sammeln. Neues begeistert ihn aber ebenso und so unterstützt Thomas Windscheif auch bei themenfremden IT-Systemen, überall da wo er helfen kann. Sein Ziel: Die Mehrwerte der heutigen IT-Lösungen für einfacheres und modernes Arbeiten beim Kunden einbringen.
|
 Sie haben ein ungelöstes Problem in Ihrer Exchange Server/Microsoft-Infrastruktur oder unter Microsoft 365?Treten Sie gerne mit mir in Kontakt. Sowohl bei einfachen Umgebungen, als auch bei komplexen Multisite/Cloud-Topologien unterstütze ich Sie -auch kurzfristig- sehr gerne. Nutzen Sie den Live Chat, xing, LinkedIn, das Kontaktformular oder den Mailkontakt | ||
|
[
 News als RSS-Feed abonnieren]News vom 22.09.2024 - 14:29 - Spontaner Administrationsverlust unter Exchange Online - Und wie man es behebt! - Weitere News: UPDATE - PowerShell Exchange Vererbung Postfachordnerberechtigungen
[alle News auflisten] |