Inzicht in adresvervalsingsinformatie in EOP

Tip

Wist u dat u de functies in Microsoft Defender XDR gratis kunt uitproberen voor Office 365 Abonnement 2? Gebruik de proefversie van 90 dagen Defender voor Office 365 in de Microsoft Defender portal. Meer informatie over wie zich kan registreren en voorwaarden voor proefversies vindt u hier.

In Microsoft 365-organisaties met postvakken in Exchange Online of zelfstandige Exchange Online Protection -organisaties (EOP) zonder Exchange Online postvakken, worden binnenkomende e-mailberichten automatisch beveiligd tegen adresvervalsing. EOP maakt gebruik van spoof intelligence als onderdeel van de algehele bescherming van uw organisatie tegen phishing. Zie Bescherming tegen adresvervalsing in EOP voor meer informatie.

Wanneer een afzender een e-mailadres spooft, lijkt het een gebruiker te zijn in een van de domeinen van uw organisatie of een gebruiker in een extern domein dat e-mail naar uw organisatie verzendt. Aanvallers die afzenders spoofen om spam- of phishing-e-mail te verzenden, moeten worden geblokkeerd. Maar er zijn scenario's waarin legitieme afzenders spoofing uitvoeren. Bijvoorbeeld:

  • Legitieme scenario's voor spoofing van interne domeinen:

    • Externe afzenders gebruiken uw domein om bulkmail naar uw eigen werknemers te verzenden voor bedrijfspeilingen.
    • Een extern bedrijf genereert en verzendt namens u reclame- of productupdates.
    • Een assistent moet regelmatig e-mail verzenden voor een andere persoon binnen uw organisatie.
    • Een interne toepassing verzendt e-mailmeldingen.

  • Legitieme scenario's voor adresvervalsing van externe domeinen:

    • De afzender staat op een adressenlijst (ook wel een discussielijst genoemd) en de adressenlijst stuurt e-mail van de oorspronkelijke afzender door naar alle deelnemers op de adressenlijst.
    • Een extern bedrijf verzendt e-mail namens een ander bedrijf (bijvoorbeeld een geautomatiseerd rapport of een software-as-a-service-bedrijf).

U kunt het inzicht in spoof intelligence in de Microsoft Defender portal gebruiken om snel vervalste afzenders te identificeren die u legitiem niet-geverifieerde e-mailberichten sturen (berichten van domeinen die niet door SPF-, DKIM- of DMARC-controles komen) en deze afzenders handmatig toestaan.

Door bekende afzenders toe te staan vervalste berichten te verzenden vanaf bekende locaties, kunt u fout-positieven verminderen (goede e-mail gemarkeerd als slecht). Door de toegestane vervalste afzenders te bewaken, biedt u een extra beveiligingslaag om te voorkomen dat onveilige berichten binnenkomen in uw organisatie.

Op dezelfde manier kunt u het inzicht in spoof intelligence gebruiken om vervalste afzenders te controleren die zijn toegestaan door spoof-informatie en deze afzenders handmatig te blokkeren.

In de rest van dit artikel wordt uitgelegd hoe u het inzicht in spoof intelligence gebruikt in de Microsoft Defender portal en in PowerShell (Exchange Online PowerShell voor Microsoft 365-organisaties met postvakken in Exchange Online; zelfstandige EOP PowerShell voor organisaties zonder Exchange Online postvakken).

Opmerking

  • Alleen vervalste afzenders die zijn gedetecteerd door spoof intelligence worden weergegeven in het inzicht in spoof intelligence. Wanneer u de beoordeling toestaan of blokkeren in het inzicht overschrijft, wordt de vervalste afzender een handmatige vermelding voor toestaan of blokkeren die alleen wordt weergegeven op het tabblad Vervalste afzenders op de pagina Tenant toestaan/blokkeren Lijsten op https://security.microsoft.com/tenantAllowBlockList?viewid=SpoofItem. U kunt ook handmatig toegestane of blokkeringsvermeldingen maken voor vervalste afzenders voordat ze worden gedetecteerd door spoof intelligence. Zie Vervalste afzenders in de lijst Tenant toestaan/blokkeren voor meer informatie.

  • De actiewaardenToestaan of Blokkeren in het inzicht in spoof intelligence verwijzen naar detectie van adresvervalsing (of Microsoft 365 het bericht heeft geïdentificeerd als vervalst of niet). De waarde Actie heeft niet noodzakelijkerwijs invloed op het algehele filteren van het bericht. Om bijvoorbeeld fout-positieven te voorkomen, kan een vervalst bericht worden bezorgd als we vaststellen dat het geen kwaadwillende bedoelingen heeft.

  • Het inzicht in spoof intelligence en het tabblad Vervalste afzenders in de lijst Tenant toestaan/blokkeren vervangen de functionaliteit van het spoof intelligence-beleid dat beschikbaar was op de pagina antispambeleid in het Beveiligings- & Compliancecentrum.

  • Het inzicht in spoof intelligence toont 7 dagen aan gegevens. De cmdlet Get-SpoofIntelligenceInsight toont 30 dagen aan gegevens.

Wat moet u weten voordat u begint?

Zoek het inzicht in spoof intelligence in de Microsoft Defender-portal

  1. Ga in de Microsoft Defender portal op https://security.microsoft.comnaar Email & Samenwerkingsbeleid>& Regels>Bedreigingsbeleid>Tenant toestaan/blokkeren Lijsten in de sectie Regels. Of gebruik om rechtstreeks naar de pagina Tenant toestaan/blokkeren Lijsten te gaanhttps://security.microsoft.com/tenantAllowBlockList.

  2. Selecteer het tabblad Vervalste afzenders .

  3. Op het tabblad Vervalste afzenders ziet het inzicht in spoof intelligence er als volgt uit:

    Het inzicht in Spoof Intelligence op de pagina antiphishingbeleid

    Het inzicht heeft twee modi:

    • Inzichtmodus: als spoof intelligence is ingeschakeld, ziet u in het inzicht hoeveel berichten zijn gedetecteerd door spoof intelligence in de afgelopen zeven dagen.
    • What if-modus: als spoof intelligence is uitgeschakeld, ziet u in het inzicht hoeveel berichten de afgelopen zeven dagen door spoof intelligence zijn gedetecteerd.

Als u informatie wilt weergeven over de detecties van adresvervalsingsinformatie, selecteert u Spoofing-activiteit weergeven in het spoof intelligence-inzicht om naar de pagina Spoof intelligence insight te gaan.

Informatie weergeven over spoofdetecties

Opmerking

Onthoud dat alleen vervalste afzenders die zijn gedetecteerd door spoof intelligence op deze pagina worden weergegeven.

De pagina Spoof intelligence insight op https://security.microsoft.com/spoofintelligence is beschikbaar wanneer u Spoofing activity weergeven selecteert in het inzicht in spoof intelligence op het tabblad Vervalste afzenders op de pagina Tenant toestaan/blokkeren Lijsten.

Op de pagina Inzicht in adresvervalsingsinformatie kunt u de vermeldingen sorteren door op een beschikbare kolomkop te klikken. De volgende kolommen zijn beschikbaar:

  • Vervalste gebruiker: het domein van de vervalste gebruiker dat wordt weergegeven in het vak Van in e-mailclients. Het Van-adres wordt ook wel het 5322.From adres genoemd.
  • Infrastructuur verzenden: ook wel de infrastructuur genoemd. De infrastructuur voor verzenden is een van de volgende waarden:
    • Het domein dat is gevonden in een PTR-record (reverse DNS lookup) van het IP-adres van de bron-e-mailserver.
    • Als het bron-IP-adres geen PTR-record heeft, wordt de verzendende infrastructuur geïdentificeerd als <bron-IP>/24 (bijvoorbeeld 192.168.100.100/24).
    • Een geverifieerd DKIM-domein.
  • Aantal berichten: het aantal berichten uit de combinatie van het vervalste domein en de verzendende infrastructuur naar uw organisatie in de afgelopen zeven dagen.
  • Laatst gezien: de laatste datum waarop een bericht is ontvangen van de verzendende infrastructuur die het vervalste domein bevat.
  • Type adresvervalsing: een van de volgende waarden:
    • Intern: de vervalste afzender bevindt zich in een domein dat deel uitmaakt van uw organisatie (een geaccepteerd domein).
    • Extern: de vervalste afzender bevindt zich in een extern domein.
  • Actie: deze waarde is Toegestaan of Geblokkeerd:

Als u de lijst met vervalste afzenders wilt wijzigen van normale in compacte afstand, selecteert u Lijstafstand wijzigen in compact of normaal en selecteert u Vervolgens Lijst comprimeren.

Als u de vermeldingen wilt filteren, selecteert u Filteren. De volgende filters zijn beschikbaar in de flyout Filter die wordt geopend:

  • Type adresvervalsing: de beschikbare waarden zijn Intern en Extern.
  • Actie: De beschikbare waarden zijn Toestaan en Blokkeren

Wanneer u klaar bent met de filter-flyout , selecteert u Toepassen. Als u de filters wilt wissen, selecteert u Filters wissen.

Gebruik het vak Search en een bijbehorende waarde om specifieke vermeldingen te zoeken.

Gebruik Exporteren om de lijst met adresvervalsingsdetecties te exporteren naar een CSV-bestand.

Details weergeven over adresvervalsingsdetecties

Wanneer u een detectie van adresvervalsing in de lijst selecteert door ergens in de rij te klikken, behalve het selectievakje naast de eerste kolom, wordt er een details-flyout geopend die de volgende informatie bevat:

  • Waarom hebben we dit gepakt? sectie: Waarom we deze afzender als adresvervalsing hebben gedetecteerd en wat u kunt doen voor meer informatie.

  • Sectie Domeinoverzicht : bevat dezelfde informatie van de hoofdpagina Spoof intelligence insight .

  • Sectie WhoIs-gegevens : technische informatie over het domein van de afzender.

  • Sectie Explorer-onderzoek: in Defender voor Office 365 organisatie bevat deze sectie een koppeling om Threat Explorer te openen voor meer informatie over de afzender op het tabblad Phish.

  • Sectie Vergelijkbare e-mailberichten : bevat de volgende informatie over de detectie van adresvervalsing:

    • Datum
    • Onderwerp
    • Ontvanger
    • Afzender
    • IP-adres van afzender

    Selecteer Kolommen aanpassen om de weergegeven kolommen te verwijderen. Wanneer u klaar bent, selecteert u Toepassen.

Tip

Als u details over andere vermeldingen wilt zien zonder de flyout details te verlaten, gebruikt u Vorige item en Volgend item bovenaan de flyout.

Als u de detectie van adresvervalsing wilt wijzigen van Toestaan in Blokkeren of omgekeerd, raadpleegt u de volgende sectie.

Het spoof intelligence-oordeel overschrijven

Gebruik op de pagina Spoof intelligence insight op https://security.microsoft.com/spoofintelligenceeen van de volgende methoden om het spoof intelligence-verdict te overschrijven:

  • Selecteer een of meer vermeldingen in de lijst door het selectievakje naast de eerste kolom in te schakelen.

    1. Selecteer de actie Bulkacties die wordt weergegeven.
    2. Selecteer in de flyout Bulkacties die wordt geopend de optie Spoof toestaan of Blokkeren van adresvervalsing en selecteer vervolgens Toepassen.

  • Selecteer de vermelding in de lijst door op een andere plaats in de rij dan het selectievakje te klikken.

    Selecteer in de flyout details die wordt geopend de optie Spoof toestaan of Blokkeren van adresvervalsing bovenaan de flyout en selecteer vervolgens Toepassen.

Terug op de pagina Spoof Intelligence Insight wordt de vermelding verwijderd uit de lijst en toegevoegd aan het tabblad Vervalste afzenders op de pagina Tenant toestaan/blokkeren Lijsten op https://security.microsoft.com/tenantAllowBlockList?viewid=SpoofItem.

Over toegestane vervalste afzenders

Berichten van een toegestane vervalste afzender (automatisch gedetecteerd of handmatig geconfigureerd) zijn alleen toegestaan met behulp van de combinatie van het vervalste domein en de verzendende infrastructuur. De volgende vervalste afzender mag bijvoorbeeld spoofen:

  • Domein: gmail.com
  • Infrastructuur: tms.mx.com

Alleen e-mail van dat domein/het verzendende infrastructuurpaar mag spoof gebruiken. Andere afzenders die proberen gmail.com te vervalsen, worden niet automatisch toegestaan. Berichten van afzenders in andere domeinen die afkomstig zijn van tms.mx.com, worden nog steeds gecontroleerd door spoof intelligence en kunnen worden geblokkeerd.

Het inzicht in spoof intelligence gebruiken in Exchange Online PowerShell of zelfstandige EOP PowerShell

In PowerShell gebruikt u de cmdlet Get-SpoofIntelligenceInsight om toegestane en geblokkeerde vervalste afzenders weer te geven die zijn gedetecteerd door spoof intelligence. Als u de vervalste afzenders handmatig wilt toestaan of blokkeren, moet u de cmdlet New-TenantAllowBlockListSpoofItems gebruiken. Zie PowerShell gebruiken om toegestane vermeldingen te maken voor vervalste afzenders in de lijst Tenant toestaan/blokkeren en PowerShell gebruiken om blokvermeldingen te maken voor vervalste afzenders in de lijst Tenant toestaan/blokkeren voor meer informatie.

Voer de volgende opdracht uit om de informatie in het spoof intelligence-inzicht weer te geven:

Get-SpoofIntelligenceInsight

Zie Get-SpoofIntelligenceInsight voor gedetailleerde syntaxis- en parameterinformatie.

Andere manieren om spoofing en phishing te beheren

Wees zorgvuldig met betrekking tot adresvervalsing en phishingbeveiliging. Hier volgen gerelateerde manieren om afzenders te controleren die uw domein spoofen en helpen voorkomen dat ze uw organisatie beschadigen: