Định cấu hình vệ sinh thư trong Exchange Online Protection

Trong ba blog trước, tôi đã giải thích cách triển khai Exchange Online Protection cho luồng thư đến và đi cũng như cách đặt cấu hình SPF, DKIM và DMARC khi sử dụng Exchange Online Protection. Trong bài đăng trên blog này, tôi sẽ đi sâu vào chi tiết hơn về quá trình xử lý vệ sinh thư.

Để hiểu đúng về Exchange Online Protection, bạn nên có cái nhìn tổng quan về nội bộ của nó. Điều này được thể hiện trong hình sau, trong đó có thể thấy rõ các bước khác nhau trong quá trình xử lý vệ sinh thư:

Theo mặc định, EOP thực hiện rất tốt công việc dọn dẹp thư nhưng có thể định cấu hình nó cho các nhu cầu cụ thể. Có thể định cấu hình thủ công Lọc kết nối (danh sách đen và danh sách trắng), Anti-Mailware, Quy tắc truyền tải và Lọc nội dung. Tôi sẽ thảo luận về những điều này trong các phần sau.

Lọc kết nối

Bước đầu tiên trong mọi giải pháp vệ sinh thư là lọc kết nối. Các máy chủ thư không đáng tin cậy bị từ chối truy cập dựa trên địa chỉ IP của chúng, tính năng lọc kết nối sẽ lọc ra phần lớn tất cả các email độc hại.

Có thể xảy ra trường hợp bạn muốn cho phép một máy chủ thư cụ thể gửi thư đến môi trường của bạn, ngay cả khi địa chỉ IP của nó nằm trong danh sách chặn hoặc bị từ chối truy cập vì một số lý do khác. Để cho phép điều này, bạn có thể thêm địa chỉ IP vào danh sách cho phép IP. Ngược lại, nếu có máy chủ thư gửi email độc hại không bị bộ lọc kết nối chặn, bạn có thể thêm địa chỉ IP này theo cách thủ công vào danh sách chặn IP.

Để thực hiện việc này, hãy đăng nhập vào Trung tâm quản trị Exchange, chọn bảo vệ và nhấp vào tab bộ lọc kết nối. Nhấp vào biểu tượng bút chì để chỉnh sửa chính sách lọc kết nối mặc định. Sử dụng biểu tượng + để thêm địa chỉ IP vào danh sách cho phép IP hoặc danh sách chặn IP. Bạn có thể thêm các địa chỉ IP riêng lẻ có mặt nạ /32 hoặc bạn có thể thêm các phạm vi có mặt nạ /24 hoặc nhỏ hơn. Có thể thêm tổng cộng 1273 mục nhập, một mục nhập có thể là địa chỉ IP hoặc một dải địa chỉ.

Nếu bạn thêm địa chỉ IP vào cả hai danh sách thì danh sách cho phép sẽ được ưu tiên.

Tùy chọn bạn có thể chọn Bật danh sách an toàn. Microsoft đăng ký danh sách an toàn trên internet, xuất bản danh sách các địa chỉ IP được coi là an toàn. Khi sử dụng danh sách an toàn, bạn có thể đảm bảo rằng những người gửi đáng tin cậy không bị coi là người gửi độc hại, vì vậy bạn nên sử dụng tùy chọn danh sách an toàn.

Chống phần mềm độc hại

Chính sách chống phần mềm độc hại trong Exchange Online Protection được bật theo mặc định, quản trị viên Exchange có thể xem và chỉnh sửa chính sách này nhưng không thể xóa được.

Trong chính sách chống phần mềm độc hại, bạn có thể xác định tính năng lọc tệp đính kèm, phản hồi phát hiện, thông báo nội bộ và bên ngoài, thông báo của quản trị viên và bạn có thể tùy chỉnh thông báo.

Để truy cập chính sách chống phần mềm độc hại mặc định, hãy đăng nhập vào Trung tâm quản trị Exchange, chọn bảo vệ trong menu điều hướng và nhấp vào tab phần mềm độc hại. Sử dụng biểu tượng bút chì để xem hoặc chỉnh sửa chính sách chống phần mềm độc hại mặc định, sử dụng biểu tượng + để thêm chính sách phần mềm độc hại mới. Khi bạn mở chính sách phần mềm độc hại, hãy nhấp vào cài đặt và chỉnh sửa cài đặt theo nhu cầu của bạn. Điều này được thể hiện trong ảnh chụp màn hình sau (bấm vào để phóng to):

Bấm Lưu để lưu trữ các cài đặt mới trong Exchange Online Protection và kích hoạt chúng.

Quy tắc luồng thư

Quy tắc luồng thư, đôi khi được gọi là Quy tắc truyền tải là các quy tắc trong Exchange Online Protection có thể thực hiện hành động đối với thư, dựa trên các tiêu chí nhất định. Quy tắc luồng thư trong Exchange Online Protection tương tự như Quy tắc truyền tải trong máy chủ Exchange tại chỗ và cũng tương tự như các quy tắc bạn đã tạo trong Outlook hoặc OWA. Điểm khác biệt chính là quy tắc Luồng thư hoạt động trên các thư đang được chuyển tiếp, trong khi các quy tắc trong Outlook chỉ hoạt động trên các thư đã được gửi tới Hộp thư.

Bằng cách sử dụng quy tắc luồng Thư, bạn có thể áp dụng tuyên bố từ chối trách nhiệm, bỏ qua việc lọc thư rác (chẳng hạn như hữu ích cho hộp thư lạm dụng), sửa đổi thư, kiểm tra thông tin nhạy cảm, v.v. như trong ảnh chụp màn hình sau (nhấp để phóng to):

Để thêm tuyên bố từ chối trách nhiệm cho các tin nhắn gửi đi, hãy chọn Áp dụng tuyên bố từ chối trách nhiệm… và làm theo trình hướng dẫn. Đặt cho tuyên bố từ chối trách nhiệm một cái tên dễ hiểu như Tuyên bố từ chối trách nhiệm (Chỉ gửi đi), chọn địa chỉ người gửi và chọn Bên trong tổ chức rồi nhấp vào Nhập Văn bản để thêm văn bản từ chối trách nhiệm.

Tôi đã sử dụng văn bản sau trong tuyên bố từ chối trách nhiệm:

Email này có thể chứa tài liệu bí mật và đặc quyền. Bạn được yêu cầu không tiết lộ, sao chép hoặc phân phối bất kỳ thông tin nào trong đó. Nếu bạn không phải là người nhận mong muốn (hoặc nhận được e-mail này do nhầm lẫn), vui lòng thông báo ngay cho người gửi và xóa e-mail này. Chúng tôi không chịu trách nhiệm pháp lý đối với những thiệt hại liên quan đến dữ liệu và/hoặc tài liệu được truyền đạt qua thư điện tử.

Để ngăn chặn hàng loạt tuyên bố từ chối trách nhiệm giống hệt nhau đối với các email được gửi qua lại, tôi đã thêm một ngoại lệ vào tuyên bố từ chối trách nhiệm đó. Khi quy tắc luồng thư phát hiện chuỗi “E-mail này có thể chứa tài liệu bí mật và đặc quyền ” tuyên bố từ chối trách nhiệm sẽ không được thêm lại.

Điều này được thể hiện trong ảnh chụp màn hình sau (bấm vào để phóng to):

Nhấp vào Lưu để lưu quy tắc luồng thư. Gửi email từ hộp thư Exchange đến người nhận bên ngoài và bạn sẽ thấy tuyên bố từ chối trách nhiệm được thêm vào như trong ảnh chụp màn hình sau (bấm để phóng to):

Lưu ý. Văn bản chữ ký còn lại trong ảnh chụp màn hình ở trên được Outlook trên Web đặt trực tiếp từ Hộp thư.

Có nhiều tùy chọn để sử dụng quy tắc luồng thư trong Exchange Online Protection, nhưng hầu hết trong số đó đều dành riêng cho công ty và hướng tới quản lý tuân thủ.

Lọc thư rác

Giống như bất kỳ giải pháp dọn dẹp thư nào khác, Exchange Online Protection lọc thư rác. Sử dụng máy học trong Office 365 và hàng tỷ tin nhắn được xử lý mỗi ngày, nó hoạt động khá tốt.

Theo mặc định, các email được xác định sẽ được gửi đến thư mục thư rác của người dùng. Nó thực hiện điều này dựa trên tiêu đề X được Exchange Online Protection thêm vào có tên là X-Forefront-Antispam-Report. Khi tiêu đề X này chứa giá trị SFV:SPM thì nó được xác định là thư rác.

Máy chủ Exchange khi đó biết đó là thư rác và sẽ lưu thư đó vào thư mục thư rác của người dùng. Tuy nhiên, điều này hoạt động tốt trong môi trường kết hợp vì cả hai bên đều tin tưởng lẫn nhau, khi sử dụng EOP trước môi trường Exchange tại chỗ thì điều này không xảy ra. Để đạt được kết quả tương tự, cần tạo hai quy tắc truyền tải trên môi trường Exchange tại chỗ để xử lý các thông báo này một cách tương ứng.

Để tạo các quy tắc truyền tải này trong môi trường Exchange tại chỗ của bạn, hãy chạy ba lệnh sau trong Exchange Management Shell:

New-TransportRule EOPJunkContentFilteredMail -HeaderContainsMessageHeader "X-Forefront-Antispam-Report" -HeaderContainsWords "SFV:SPM" -SetSCL 6
New-TransportRule EOPJunkMailBeforeReachingContentFilter -HeaderContainsMessageHeader "X-Forefront-Antispam-Report" -HeaderContainsWords "SFV:SKS" -SetSCL 6
New-TransportRule EOPJunkMailInSenderBlockList -HeaderContainsMessageHeader "X-Forefront-Antispam-Report" -HeaderContainsWords "SFV:SKB" -SetSCL 6

Khi các quy tắc vận chuyển được tạo, các tin nhắn rác sẽ được chuyển vào thư mục thư rác.

Làm cách nào để kiểm tra quá trình xử lý thư rác? Giống như 'vi-rút' Eicar mà bạn có thể sử dụng để kiểm tra giải pháp chống vi-rút của mình, có một tin nhắn rác thử nghiệm có tên GTube. GTube là một chuỗi văn bản mà bạn có thể thêm vào email của mình và máy chủ thư sẽ phát hiện chuỗi này và đánh dấu nó là thư rác. Chuỗi GTube là:

XJS*C4JDBQADN1.NSBN3*2IDNEN*GTUBE-STANDARD-ANTI-UBE-TEST-EMAIL*C.34X

Sau khi thêm chuỗi này vào thư email từ Gmail sang Exchange, EOP sẽ đánh dấu chuỗi đó là thư rác, rất hữu ích.

Vì vậy, Exchange Online Protection và Exchange sẽ lưu trữ các thư rác trong thư mục thư rác của người dùng. Cũng có thể lưu trữ những tin nhắn này trong vùng cách ly.
Để bật tùy chọn Cách ly, hãy đăng nhập vào Trung tâm quản trị Exchange Online Protection, chọn bảo vệ trong menu điều hướng và nhấp vào tab bộ lọc thư rác. Sử dụng biểu tượng bút chì để mở chính sách lọc thư rác mặc định. Trong tùy chọn thư rác và hành động hàng loạt, hãy chọn Cách ly thư trong hộp thả xuống thư rác và thư rác có độ tin cậy cao như hiển thị trong ảnh chụp màn hình sau (bấm vào để phóng to):

Đây là môi trường cách ly trên toàn tổ chức chỉ dành cho quản trị viên đối tượng thuê. Đăng nhập vào cổng Office 365 rồi chọn Bảo mật và tuân thủ trong Trung tâm quản trị. Bạn cũng có thể điều hướng trực tiếp đến trung tâm quản trị Bảo mật và Tuân thủ thông qua https://protection.microsoft.com. Bạn sẽ tìm thấy phần Kiểm dịch trong phần Quản lý mối đe dọa và Đánh giá. Theo mặc định, thư bị cách ly sẽ được lưu giữ trong 15 ngày trước khi bị xóa. Điều này có thể được mở rộng theo các hành động spam và hàng loạt của chính sách lọc thư rác.

Cũng có thể tạo vùng cách ly dựa trên hộp thư. Chọn tùy chọn điều hướng bảo vệ và nhấp vào tab bộ lọc thư rác. Trong ngăn hành động ở bên phải, cuộn xuống và nhấp vào tùy chọn Định cấu hình thông báo spam của người dùng cuối. Trong hộp bật lên, chọn hộp kiểm bật thông báo spam của người dùng cuối, thay đổi số ngày (mặc định là 3) thông báo sẽ được gửi và ngôn ngữ (mặc định) như minh họa sau ảnh chụp màn hình (bấm vào để phóng to):

Khi người dùng có thư trong vùng cách ly của mình, một tin nhắn thông báo sẽ được gửi đến hộp thư cùng với các thư đã cách ly. Thư có thể được chuyển vào hộp thư đến và có thể được báo cáo không phải là thư rác tới Exchange Online Protection như trong ảnh chụp màn hình sau (bấm để phóng to):

Bằng cách này, chính người dùng có thể xác định tin nhắn nào được gửi đến hộp thư đến của họ và tin nhắn nào không.

Người gửi bị chặn và được phép

Có thể chặn hoặc cho phép người gửi, điều này có thể đạt được trên các địa chỉ email riêng lẻ hoặc trên các miền SMTP. Để chặn hoặc cho phép người gửi, trong Trung tâm quản trị Exchange Online Protection chọn bảo vệ trong menu điều hướng và nhấp vào tab bộ lọc thư rác. Sử dụng biểu tượng bút chì để mở chính sách lọc thư rác mặc định và chọn danh sách chặn hoặc danh sách cho phép. Tại đây bạn có thể nhập địa chỉ email hoặc tên miền sẽ bị chặn hoặc cho phép.

Bản tóm tắt

Exchange Online Protection là giải pháp đám mây của Microsoft để dọn dẹp thư. Nó được tự động sử dụng kết hợp với bất kỳ đăng ký Office 365 nào nhưng cũng có thể được sử dụng kết hợp với triển khai Exchange tại chỗ hoặc bất kỳ môi trường nhắn tin nào khác.

Trong hai blog đầu tiên, tôi đã hướng dẫn bạn cách bật luồng tin nhắn gửi đến và gửi đi, trong blog thứ ba, tôi đã chỉ cho bạn cách định cấu hình SPF, DKIM và DMARC để thiết lập giải pháp luồng tin nhắn an toàn. Khi được triển khai chính xác, máy chủ thư của người nhận có thể xác thực thư email và có thể xác định thư nào bị giả mạo và thư nào không (thay mặt cho miền của bạn).

Trong bài đăng blog cuối cùng này, tôi đã chỉ cho bạn cách định cấu hình giải pháp vệ sinh thư, cách tinh chỉnh tính năng lọc kết nối, cài đặt chống phần mềm độc hại, triển khai quy tắc luồng thư và cách định cấu hình cách ly ở cấp độ người dùng cá nhân.