Configurações avançadas do ASF (Filtro de Spam) no EOP

No Microsoft 365 organizações com caixas de correio em organizações de Exchange Online ou EOP (Proteção do Exchange Online autônomo) sem caixas de correio Exchange Online, as configurações de ASF (Filtro avançado de Spam) em políticas anti-spam permitem que os administradores marquem mensagens como spam com base em propriedades específicas da mensagem. O ASF destina-se especificamente a essas propriedades porque elas são comumente encontradas em spam. Dependendo da propriedade, as detecções de ASF marcam a mensagem como spam ou spam de alta confiança.

Observação

Habilitar uma ou mais configurações do ASF é uma abordagem agressiva para filtragem de spam. Você não pode relatar mensagens filtradas pelo ASF como falsos positivos para a Microsoft. Você pode identificar mensagens filtradas pelo ASF por:

  • Notificações periódicas de quarentena de spam e veredictos de filtro de spam de alta confiança.
  • A presença de mensagens filtradas em quarentena.
  • Os campos de cabeçalho X específicos X-CustomSpam: que são adicionados às mensagens, conforme descrito neste artigo.

O ASF adiciona X-CustomSpam: campos de cabeçalho X às mensagens depois que as mensagens são processadas pelas regras de fluxo de email do Exchange (também conhecidas como regras de transporte), portanto, você não pode usar regras de fluxo de email para identificar e agir em mensagens filtradas pelo ASF. Você pode usar regras de caixa de entrada em caixas de correio para afetar a entrega da mensagem.

As seções a seguir descrevem as configurações e as opções ASF disponíveis em políticas anti-spam no portal Microsoft Defender e em Exchange Online PowerShell ou EOP PowerShell autônomo (New-HostedContentFilterPolicy e Set-HostedContentFilterPolicy). Para obter mais informações, consulte Configure as políticas de anti-spam no EOP.

Habilitar, desabilitar ou testar configurações de ASF

Para cada configuração ASF, as seguintes opções estão disponíveis em políticas anti-spam:

  • On: o ASF adiciona o campo de cabeçalho X correspondente à mensagem e marca a mensagem como Spam (SCL 5 ou 6 para Aumentar configurações de pontuação de spam) ou spam de alta confiança (SCL 9 para Marcar como configurações de spam).
  • Desativado: a configuração ASF está desabilitada. Esse é o valor padrão.
  • Teste: a configuração ASF está no Modo de Teste. O que acontece com a mensagem é determinado pelo valor do modo de teste (TestModeAction):

    • Nenhum: a entrega de mensagens não é afetada pela detecção de ASF. A mensagem ainda está sujeita a outros tipos de filtragem e regras no EOP e Defender para Office 365.

    • Adicionar texto de cabeçalho X padrão (AddXHeader): o valor X-CustomSpam: This message was filtered by the custom spam filter option do cabeçalho X é adicionado à mensagem. Você pode usar esse valor em regras de caixa de entrada (não regras de fluxo de email) para afetar a entrega da mensagem.

    • Enviar mensagem Bcc (BccMessage): os endereços de email especificados (o valor do parâmetro TestModeBccToRecipients no PowerShell) são adicionados ao campo Bcc da mensagem e a mensagem é entregue aos destinatários adicionais do Bcc. No portal Microsoft Defender, você separa vários endereços de email por ponto-e-vírgula (;). No PowerShell, você separa vários endereços de email por vírgulas.

    • O modo de teste não está disponível para as seguintes configurações de ASF:

      • Filtragem de ID do Remetente Condicional: falha dura (MarkAsSpamFromAddressAuthFail)
      • Backscatter NDR(MarkAsSpamNdrBackscatter)
      • Registro SPF: falha dura (MarkAsSpamSpfRecordHardFail)

    • A mesma ação de modo de teste é aplicada a todas as configurações ASF definidas como Teste. Você não pode configurar ações de modo de teste diferentes para diferentes configurações de ASF.

Aumentar as configurações de pontuação de spam

As seguintes configurações de ASF de aumento da pontuação de spam resultam em um aumento na pontuação de spam e, portanto, uma maior chance de ser marcado como spam com um nível de confiança de spam (SCL) de 5 ou 6, que corresponde a um veredicto de filtro de spam e a ação correspondente em políticas anti-spam. Nem todas as mensagens que correspondem às seguintes condições ASF são marcadas como spam.

Configuração de política anti-spam Descrição Cabeçalho X adicionado
Links de imagem para sites remotos (IncreaseScoreWithImageLinks) As mensagens que contêm <Img> links de marca HTML para sites remotos (por exemplo, usando http) são marcadas como spam. X-CustomSpam: Image links to remote sites
Endereço IP numérico na URL (IncreaseScoreWithNumericIps) As mensagens que contêm URLs baseadas em numéricos (normalmente, endereços IP) são marcadas como spam. X-CustomSpam: Numeric IP in URL
Redirecionamento de URL para outra porta (IncreaseScoreWithRedirectToOtherPort) As mensagens que contêm hiperlinks que redirecionam para portas TCP diferentes de 80 (HTTP), 8080 (HTTP alternativo) ou 443 (HTTPS) são marcadas como spam. X-CustomSpam: URL redirect to other port
Links para sites .biz ou .info (IncreaseScoreWithBizOrInfoUrls) Mensagens que contêm .biz ou .info links no corpo da mensagem são marcadas como spam. X-CustomSpam: URL to .biz or .info websites

Marcar como configurações de spam

As seguintes configurações de ASF de marca como spam definem a SCL de mensagens detectadas como 9, que corresponde a um veredicto de filtro de spam de alta confiança e à ação correspondente em políticas anti-spam.

Configuração de política anti-spam Descrição Cabeçalho X adicionado
Mensagens vazias (MarkAsSpamEmptyMessages) Mensagens sem assunto, sem conteúdo no corpo da mensagem e sem anexos são marcadas como spam de alta confiança. X-CustomSpam: Empty Message
Marcas inseridas em HTML (MarkAsSpamEmbedTagsInHtml) As mensagens que contêm <embed> marcas HTML são marcadas como spam de alta confiança.

Essa marca permite a inserção de diferentes tipos de documentos em um documento HTML (por exemplo, sons, vídeos ou imagens).		 X-CustomSpam: Embed tag in html
JavaScript ou VBScript em HTML (MarkAsSpamJavaScriptInHtml) As mensagens que usam JavaScript ou Visual Basic Script Edition em HTML são marcadas como spam de alta confiança.

Essas linguagens de script são usadas em mensagens de email para fazer com que ações específicas ocorram automaticamente.		 X-CustomSpam: Javascript or VBscript tags in HTML
Marcas de formulário em HTML (MarkAsSpamFormTagsInHtml) As mensagens que contêm <form> marcas HTML são marcadas como spam de alta confiança.

Essa marca é usada para criar formulários de site. Email anúncios geralmente incluem essa marca para solicitar informações do destinatário.		 X-CustomSpam: Form tag in html
Marcas de quadro ou iframe em HTML (MarkAsSpamFramesInHtml) Mensagens que contêm <frame> ou <iframe> marcas HTML são marcadas como spam de alta confiança.

Essas marcas são usadas em mensagens de email para formatar a página para exibir texto ou gráficos.		 X-CustomSpam: IFRAME or FRAME in HTML
Bugs da Web em HTML (MarkAsSpamWebBugsInHtml) Um bug da Web (também conhecido como web beacon) é um elemento gráfico (muitas vezes tão pequeno quanto um pixel por um pixel) que é usado em mensagens de email para determinar se o destinatário leu a mensagem.

As mensagens que contêm bugs da Web são marcadas como spam de alta confiança.

Boletins informativos legítimos podem usar bugs da Web, embora muitos considerem isso uma invasão de privacidade.		 X-CustomSpam: Web bug
Marcas de objeto em HTML (MarkAsSpamObjectTagsInHtml) As mensagens que contêm <object> marcas HTML são marcadas como spam de alta confiança.

Essa marca permite que plug-ins ou aplicativos sejam executados em uma janela HTML.		 X-CustomSpam: Object tag in html
Palavras confidenciais (MarkAsSpamSensitiveWordList_) A Microsoft mantém uma lista dinâmica, mas não editável de palavras associadas a mensagens potencialmente ofensivas.

As mensagens que contêm palavras da lista de palavras confidenciais no corpo da mensagem ou assunto são marcadas como spam de alta confiança.		 X-CustomSpam: Sensitive word in subject/body
Registro SPF: falha dura (MarkAsSpamSpfRecordHardFail) As mensagens enviadas de um endereço IP que não está especificado no registro SPF (SPF) do SPF (Sender Policy Framework) no DNS para o domínio de email de origem são marcadas como spam de alta confiança.

O modo de teste não está disponível para essa configuração.		 X-CustomSpam: SPF Record Fail

As seguintes configurações de ASF de marca como spam definem a SCL de mensagens detectadas como 6, o que corresponde a um veredicto de filtro de spam e à ação correspondente em políticas anti-spam.

Configuração de política anti-spam Descrição Cabeçalho X adicionado
Falha na filtragem de ID do remetente (MarkAsSpamFromAddressAuthFail) As mensagens que falham fortemente em uma ID do Remetente condicional marcar são marcadas como spam.

Essa configuração combina um marcar SPF com uma ID do Remetente marcar para ajudar a proteger contra cabeçalhos de mensagem que contêm remetentes forjados.

O modo de teste não está disponível para essa configuração.		 X-CustomSpam: SPF From Record Fail
Backscatter (MarkAsSpamNdrBackscatter) Backscatter são relatórios inúteis de não entrega (também conhecidos como NDRs ou mensagens de salto) causados por remetentes forjados em mensagens de email. Para obter mais informações, consulte Mensagens de backscatter e EOP.

Você não precisa configurar essa configuração nos seguintes ambientes, pois os NDRs legítimos são entregues e o backscatter é marcado como spam:
  • Organizações do Microsoft 365 com caixas de correio Exchange Online.
  • Organizações de email locais para as quais você roteia emails de saída por meio de EOP.


Em ambientes EOP autônomos que protegem o email de entrada para caixas de correio locais, ativar ou desativar essa configuração tem o seguinte resultado:
  • Ativado: NDRs legítimos são entregues e o backscatter é marcado como spam.
  • Desativado: NDRs legítimos e backscatter passam por filtragem de spam normal. A maioria dos NDRs legítimos é entregue ao remetente de mensagens original. Alguns, mas nem todos os backscatter são marcados como spam. Por definição, o backscatter só pode ser entregue ao remetente falsificado, não ao remetente original.


O modo de teste não está disponível para essa configuração.		 X-CustomSpam: Backscatter NDR