Как остановить фишинговые письма в Microsoft 365 и Google Workspace: настройки администратора и когда стоит добавить шлюз

Чтобы остановить фишинговые письма в Microsoft 365, включите предустановленные политики безопасности Standard или Strict, добавьте в защиту от подмены (impersonation protection) людей и домены, которые злоумышленники чаще всего имитируют, оставьте включенным Safe Links и предоставьте пользователям встроенную кнопку «Сообщить о спаме» (Report). В Google Workspace включите расширенные настройки защиты от фишинга и вредоносного ПО от Gmail и опубликуйте SPF, DKIM и DMARC. Если слишком много писем всё же проходит, установите перед ними шлюз MX, такой как iBlockSpam, и ограничьте прямую доставку.

Что защищает ваши почтовые ящики до внесения изменений?

Обе платформы уже фильтруют входящую почту. Вопрос в том, какие дополнительные средства защиты включены в вашу лицензию, а какие отключены.

Microsoft описывает трехступенчатую лестницу защиты в своем обзоре Defender for Office 365. Встроенные функции безопасности для всех облачных почтовых ящиков (часто называемых Exchange Online Protection, или EOP) блокируют массовые известные атаки. Defender for Office 365 Plan 1 добавляет защиту от имитации (impersonation protection), пороги фишинга, Safe Links и Safe Attachments. В качестве примеров продуктов, включающих Plan 1, Microsoft приводит Microsoft 365 Business Premium и Microsoft 365 E3. Plan 2 (например, в Microsoft 365 E5) добавляет обучение симуляции атак и автоматизированное расследование.

В Google Workspace средства защиты находятся в разделе Apps > Google Workspace > Gmail, на страницах Safety и Spam, Phishing and Malware. Некоторые функции зависят от вашего выпуска.

Для получения более полной картины (почему электронная почта остается основным вектором атак и как работает маршрутизация MX), прочитайте наше руководство по защите корпоративной почты.

Как остановить фишинговые письма в Microsoft 365?

Начните с базового уровня, рекомендованного Microsoft, а затем добавьте функции защиты, которые не включены по умолчанию. Работайте в портале Microsoft Defender по адресу security.microsoft.com.

1. 1Включите предустановленную политику безопасности. Перейдите в Email & collaboration > Policies & rules > Threat policies > Preset security policies. На странице предустановленных политик безопасности Microsoft профиль Standard описывается как базовый для большинства пользователей, а Strict — как более агрессивный профиль для высокоценных целей. Большинство настроек фиксированы, и профиль Strict всегда применяется первым, затем Standard, а затем любые пользовательские политики.
2. 2Добавьте людей и домены в защиту от имитации. Предустановленные профили автоматически защищают ваши подтвержденные домены, но вы должны указать конкретных лиц. В профилях Standard или Strict можно добавить до 350 пользователей и 50 пользовательских доменов. Добавьте руководителей, сотрудников финансового отдела и ключевых поставщиков. Microsoft отмечает, что домен-двойник может пройти проверки SPF, DKIM и DMARC, поэтому этот шаг крайне важен.
3. 3Проверьте порог фишинга в пользовательских политиках. В политиках защиты от фишинга в Defender for Office 365 порог варьируется от 1 (Standard, по умолчанию) до 4 (самый агрессивный). Более высокие значения также приводят к пометке большего количества легитимных писем.
4. 4Оставьте включенной функцию spoof intelligence и соблюдайте DMARC. Функции spoof intelligence и подсказка безопасности при первом контакте доступны для всех облачных почтовых ящиков. Настройка Honor DMARC record policy позволяет помещать в карантин или отклонять письма, которые не соответствуют политике отправителя p=quarantine или p=reject.
5. 5Подтвердите, что Safe Links активна. Safe Links сканирует URL-адреса во время прохождения почты и проверяет их повторно, когда пользователь переходит по ссылке. Если у вас есть хотя бы одна Defender for Office 365 лицензия, предустановленный профиль Built-in protection применяет Safe Links ко всем, на кого не распространяется другая политика. Держите параметр Let users click through to the original URL выключенным.
6. 6Включите кнопку «Пожаловаться». В настройках жалоб пользователей активируйте встроенную кнопку «Пожаловаться». Согласно руководству Microsoft по жалобам, пользователи смогут сообщать о фишинге из поддерживаемых приложений Outlook, а отчеты будут направляться в Microsoft, в почтовый ящик для жалоб или и туда, и туда.
7. 7Запустите анализатор конфигурации. Анализатор конфигурации сравнивает ваши политики с настройками Standard и Strict и выводит список всех более слабых параметров.

Карантин Microsoft 365: что пользователи могут и не могут выпускать

Согласно обзору карантина Microsoft, вредоносное ПО и фишинг с высоким уровнем достоверности всегда помещаются в карантин, и только администраторы могут их выпускать. По умолчанию пользователи могут работать со своими собственными обнаруженными спамом, массовыми рассылками, фишингом и подменой (spoofing). Политики карантина определяют, что могут делать пользователи и будут ли они получать уведомления. Спам, удерживаемый по политике по умолчанию, удаляется через 15 дней (период можно настроить от 1 до 30); предустановленные настройки хранят его 30 дней. Включите уведомления, чтобы нужные письма были выпущены до того, как они будут удалены.

Как остановить спам и фишинг в Google Workspace?

В Gmail наибольший эффект достигается за счет расширенных настроек безопасности (Safety) и аутентификации вашего собственного домена. Вам потребуются права администратора Gmail Settings.

1. 1Откройте Gmail Safety. Перейдите в Apps > Google Workspace > Gmail > Safety. Страница расширенной защиты от фишинга и вредоносного ПО от Google разделяет элементы управления на три области: вложения, ссылки и внешние изображения, а также подмена (spoofing) и аутентификация.
2. 2Включите каждый тип защиты и выберите действие. Действие по умолчанию — «Оставить письмо во входящих и показать предупреждение». Вместо этого вы можете переместить письмо в спам или отправить его в карантин администратора, о чем пользователи не будут уведомлены.
3. 3Установите флажок «Применять рекомендуемые настройки автоматически» в каждой области, чтобы новые функции защиты Google включались для вас автоматически.
4. 4Включите расширенное сканирование сообщений перед доставкой. В разделе Spam, Phishing and Malware эта настройка незначительно задерживает подозрительные сообщения, чтобы Gmail могла выполнить дополнительные проверки перед доставкой.
5. 5Включите Security Sandbox, если это предусмотрено в вашем выпуске. Security Sandbox открывает вложения в виртуальной среде. По умолчанию функция выключена, она может задержать доставку до 3 минут и доступна в выпусках Business Standard, Business Plus, Enterprise и Frontline Plus.
6. 6Применяйте настройки на уровне организации, чтобы они распространялись на всех пользователей. Изменения могут вступать в силу до 24 часов.

Защищают ли SPF, DKIM и DMARC вашего домена от входящего фишинга?

Они не позволяют злоумышленникам отправлять сообщения от имени вашего точного домена. Они не защищают от доменов-двойников или взломанных внешних аккаунтов.

• SPF (RFC 7208) содержит список серверов, которым разрешено отправлять сообщения от имени вашего домена. Значение для Workspace см. в руководстве по SPF от Google.
• DKIM (RFC 6376) подписывает каждое сообщение. В Google Workspace создайте ключ в разделе Gmail > Authenticate email, опубликуйте его, а затем нажмите Start authentication (в руководстве по DKIM от Google рекомендуется использовать 2048 бит).
• DMARC (RFC 7489) указывает получателям, что делать, если обе проверки не пройдены. В руководстве по DMARC от Google рекомендуется подождать 48 часов после настройки SPF или DKIM, начать с p=none, а затем перейти к режимам quarantine или reject.

Входящий шлюз не изменяет вашу запись SPF. Добавляйте сервис в SPF только в том случае, если вы отправляете исходящую почту через него.

Когда следует добавить сторонний спам-фильтр перед Microsoft 365 или Google Workspace?

Добавьте шлюз, если настройка встроенного фильтра больше не решает проблему или если вам нужны функции, которые он не предоставляет. Это второй уровень защиты, а не замена существующему.

Microsoft прямо говорит о компромиссах. В ее руководстве по интеграции сторонних сервисов безопасности указано, что добавление новых продуктов ведет к росту затрат, усложнению системы и увеличению количества ложноположительных срабатываний. Также отмечается, что «полная защита никогда не достигает 100 процентов». Распространенные причины для использования шлюза:

• Спам или фишинг все равно попадают во входящие, даже если применены настройки Standard или Strict.
• Ваша лицензия не включает Defender for Office 365, а дополнительные опции для каждого пользователя стоят дороже, чем позволяет ваш бюджет.
• Вам требуется единый карантин и единый набор правил для нескольких доменов или почтовых платформ с простым персональным карантином для каждого пользователя.

Microsoft полностью поддерживает конфигурацию, при которой MX указывает на шлюз, а Enhanced Filtering for Connectors включен. Компания рекомендует избегать маршрутизации типа «in-and-out», когда почта покидает Microsoft 365 для сканирования и возвращается обратно.

Как добавить фильтр шлюза перед Microsoft 365?

Вы создаете входящий коннектор Partner, включаете Enhanced Filtering, переносите MX, а затем блокируете тенант так, чтобы сообщения мог доставлять только шлюз. Порядок действий имеет значение.

1. 1Снизьте MX TTL примерно до 300 секунд за день до внесения изменений.
2. 2Создайте входящий коннектор Partner в центре администрирования Exchange (Mail flow > Connectors) для всех доменов отправителей (*), требующий TLS. Пока оставьте ограничения выключенными.
3. 3Включите Enhanced Filtering for Connectors на странице security.microsoft.com/skiplisting. Без этого, как объясняет Microsoft, каждое сообщение будет выглядеть так, будто оно пришло с IP-адреса шлюза, из-за чего проверка на спуфинг теряет точность. Введите диапазоны IP-адресов шлюза или выберите «Automatically detect and skip the last IP address» для одного перехода. При пилотном тестировании на нескольких пользователях необходимо указать каждый адрес каждого получателя.
4. 4Измените запись MX на хосты шлюза. Не оставляйте MX от Microsoft в качестве резервного варианта. Согласно RFC 5321 section 5.1, отправители могут переключаться на другие указанные хосты MX, а спамеры могут атаковать резервный вариант напрямую.
5. 5Заблокируйте коннектор после истечения старого TTL. В руководстве Microsoft по облачной маршрутизации сторонних организаций указано, что коннектор Partner следует ограничивать с помощью сертификата TLS шлюза (предпочтительно) или IP-адресов. В этом случае почта, отправленная напрямую в ваш тенант, будет отклонена.
6. 6Удалите любые правила обхода SCL -1. Microsoft называет SCL -1 «входным параметром для фильтрации, а не окончательным решением» и предупреждает, что обход общих IP-адресов шлюза может пропустить поддельные и фишинговые письма.
7. 7Отключите перезапись ссылок в шлюзе, если вы используете Safe Links. Microsoft предупреждает, что двойная обертка ссылок может помешать Safe Links проверять ссылки.

Настройка RejectDirectSend opt-in от Microsoft (объявление) также блокирует анонимные сообщения, в которых используются ваши собственные домены в качестве отправителя. Сначала перенесите сканеры и приложения, использующие Direct Send.

Как добавить фильтр шлюза перед Google Workspace?

В Gmail ключевой настройкой является Inbound gateway. Она указывает Gmail, какие IP-адреса следует игнорировать, чтобы определить реального отправителя.

1. 1Снизьте MX TTL за день до изменений.
2. 2Откройте Inbound gateway в разделе Apps > Google Workspace > Gmail > Spam, Phishing and Malware на уровне организации верхнего уровня. Руководство по входящему шлюзу от Google содержит описание всех доступных параметров.
3. 3Добавьте IP-адреса шлюза. Принимаются только публичные IP-адреса. Перечислите все шлюзы, через которые проходит почта.
4. 4Выберите «Автоматически определять внешний IP», чтобы Gmail использовал исходный IP-адрес отправителя для SPF.
5. 5Выберите «Требовать TLS для соединений» и сохраните настройки. Не включайте параметр «Отключить проверку спама Gmail», чтобы Gmail оставался вторым уровнем защиты.
6. 6Дождитесь применения настроек (до 24 часов), затем измените MX на хосты шлюза. Не используйте MX от Google в качестве резервного варианта.
7. 7Выберите «Отклонять все письма, приходящие не с IP-адресов шлюза» после истечения старого TTL и когда тестовые письма начнут поступать через шлюз.

Важное ограничение: в Google указано, что «Gmail не применяет политику DMARC отправителя для сообщений, поступающих через входящий шлюз». Ваш шлюз должен самостоятельно выполнять проверку на спуфинг для этой почты.

Прежде чем вводить ограничения, отправьте тестовое сообщение с внешнего аккаунта и изучите его заголовки. Последним узлом перед Microsoft 365 или Gmail должен быть шлюз, а в SPF должен быть указан исходный IP-адрес отправителя. Чтобы откатить изменения, сначала снимите ограничения, а затем верните MX, иначе арендатор будет отклонять почту, поступающую напрямую.

Как работает iBlockSpam

iBlockSpam — это бренд группы BroadNet (см. все наши бренды). Это входящий фильтр, работающий на уровне MX. Вы направляете MX записи вашего домена на его фильтрующие серверы. Каждое сообщение проверяется на спам, вирусы, вредоносное ПО, фишинг и спуфинг. Очищенная почта передается на платформу, которую вы уже используете: Microsoft 365, Google Workspace, cPanel/WHM, Exchange или другой сервер. Почтовые ящики не перемещаются (как это работает).

Вот что говорится о продукте на сайте iBlockSpam:

• Тарификация для каждого домена. Protect стоит $12 за домен в месяц при ежегодной оплате ($144 в год) или $15 при ежемесячной оплате. Protect Plus стоит $19 за домен в месяц при ежегодной оплате ($228 в год) или $24 при ежемесячной оплате. Цены на странице тарифов являются бета-ценами в USD без учета налогов.
• Все почтовые ящики включены. За почтовые ящики и алиасы домена отдельная плата не взимается. Каждый домен включает 100 000 входящих сообщений в месяц и максимальный размер сообщения 400 МБ.
• Персональный карантин для каждого пользователя с получением сводок по электронной почте каждый час, ежедневно, в выбранный день недели или по индивидуальному графику. Администраторы также получают доступ к общему карантину домена. Подробнее в разделе карантин и сводки.
• Фильтры и списки. Географические фильтры, фильтры по типу вложений и макросам Microsoft Office, настраиваемые правила домена, а также списки разрешений и блокировок с проверкой имени отправителя.
• Пошаговая настройка. Мастер настройки отображает текущие значения DNS и новые значения рядом, а также записывает шаги для отката изменений. Страница настройки Microsoft 365 охватывает коннектор Partner, расширенную фильтрацию (Enhanced Filtering) и блокировку коннектора (connector lockdown). Страница настройки Google Workspace охватывает настройку входящего шлюза (Inbound gateway).
• Буферизация при сбоях. Если ваш почтовый сервер недоступен, почта удерживается до 5 дней. История сообщений хранится в течение 30 дней.
• Мониторинг. Оповещения об изменениях MX, SPF и DMARC (еженедельно в Protect, ежедневно в Protect Plus), мониторинг отчетов DMARC и ежедневный мониторинг похожих доменов (Lookalike Domain Watch). Protect Plus включает ежемесячный отчет владельца и сессию настройки с участием специалиста.

На сайте также четко указаны ограничения. Бесплатного пробного периода нет; вместо этого на первую годовую подписку домена действует 30-дневная гарантия возврата денежных средств. Ежемесячные платежи возврату не подлежат. Почта обрабатывается в США. Ни один фильтр не может уловить всё, поэтому часть спама может пропустить, а часть важных писем может быть задержана. Lookalike Domain Watch обнаруживает похожие домены, но не может их заблокировать. DMARC предоставляет отчеты мониторинга, но не блокирует почту.

Фишинг также может приходить в виде текстовых сообщений; см. наше руководство по защите от смишинга. Для отправки транзакционных писем см. email-сервис от BroadNet.

Хотите узнать состояние вашего домена? Запустите бесплатную проверку состояния почты (Email Health Check), чтобы проанализировать ваши записи MX, SPF, DKIM и DMARC, затем сравните тарифные планы на странице цен iBlockSpam и создайте аккаунт, чтобы начать пошаговую настройку Microsoft 365 или Google Workspace.

Часто задаваемые вопросы

Что представляют собой предустановленные политики безопасности Standard и Strict в Microsoft 365?

Это готовые профили защиты Microsoft для электронной почты. Standard является базовым уровнем для большинства пользователей. Strict — более агрессивный профиль, подходящий для важных целей, таких как руководители и сотрудники финансового отдела. Большинство настроек нельзя изменить. Там, где на Defender for Office 365 имеется лицензия, они также обеспечивают защиту Safe Links, Safe Attachments и защиту от имитации личности. Включите их на портале Microsoft Defender в разделе Threat policies.

Нужен ли мне Defender for Office 365, чтобы остановить фишинг в Microsoft 365?

Для базовой защиты — нет. Каждому облачному почтовому ящику доступны защита от спама, защита от вредоносного ПО, интеллектуальный анализ спуфинга и карантин. Для защиты от имитации личности, пороговых значений фишинга, Safe Links и Safe Attachments требуется Defender for Office 365 Plan 1 или Plan 2. Microsoft приводит в пример Microsoft 365 Business Premium и E3 как варианты, включающие Plan 1, и E5 как вариант, включающий Plan 2. Defender for Office 365 также продается как дополнение.

Как долго Microsoft 365 хранит письма в карантине?

Это зависит от причины задержки сообщения. Спам, помещенный в карантин по умолчанию политикой защиты от спама, хранится 15 дней, а администраторы могут установить срок от 1 до 30 дней. Предустановленные политики Standard и Strict хранят сообщения 30 дней. По истечении периода хранения сообщения удаляются безвозвратно и не подлежат восстановлению.

Какие настройки Gmail должен включить администратор Google Workspace для защиты от фишинга?

В консоли администратора перейдите в Apps, Google Workspace, Gmail, Safety. Включите защиту вложений, ссылок и внешних изображений, а также защиту от спуфинга и аутентификации, и отметьте пункт Apply future recommended settings automatically. В разделе Spam, Phishing and Malware включите расширенное сканирование сообщений перед доставкой и Security Sandbox, если ваш выпуск это поддерживает. Применяйте настройки на уровне всей организации, чтобы они охватывали каждого пользователя.

Могу ли я добавить сторонний спам-фильтр в Google Workspace?

Да. Сначала добавьте диапазоны публичных IP-адресов службы фильтрации в настройках Inbound gateway в разделе Spam, Phishing and Malware, выбрав Automatically detect external IP и Require TLS. Затем направьте ваши MX записи на этот сервис. Как только почта начнет проходить через него, выберите Reject all mail not from gateway IPs. Google не применяет политику отправителя DMARC для почты через шлюз, поэтому шлюз должен самостоятельно проверять спуфинг.

Что произойдет, если я настрою Microsoft 365 на прием почты только через шлюз?

Перестанет работать всё, что отправляет почту напрямую в ваш тенант. Сюда относятся сканеры, принтеры и бизнес-приложения, использующие Direct Send для связи с хостом mail.protection.outlook.com. Сначала переведите их на аутентифицированную отправку через SMTP или настройте для них собственный коннектор. Блокируйте коннектор только после того, как истечет старый TTL MX и вы убедитесь, что тестовые письма приходят через шлюз.

Заменяет ли фильтрация на шлюзе фильтрацию спама в Microsoft 365 или Gmail?

Нет. Шлюз выступает в качестве первого уровня защиты. Microsoft 365 всегда сканирует входящую почту, а при использовании Enhanced Filtering for Connectors он оценивает оригинального отправителя, а не шлюз. Gmail также продолжает сканирование, если только вы не отключите проверку спама для почты через шлюз, что обычно не рекомендуется. Два уровня защиты обеспечивают более высокую эффективность, но увеличивают затраты.