Re: [請益] foraged sender address

[lovespre (Sprewell)]

謝謝大家的回覆，這兩天跟Microsoft tech support 但沒太多進展
先回覆這篇提到的寄送路徑問題
我做了些測試大家可以看一下

Scanner send by SMTP port 587/25
https://imgur.com/p6nvWnR

Mobile outlook app send to an internal email address by LTE
https://imgur.com/rBlNukW

Exchange mode to Exchange mode (internal)
https://imgur.com/X6RNRll

forged email sending route
https://imgur.com/h2YJuWP

Non-existing email address sending route
https://imgur.com/Z2t7zr2

在O365的寄件只要內對內都沒有經過SPAM(被劃掉長長的是SPAM)
當然一般外部信件一定先進SPAM後再丟給O365
測試所在環境跟O365之間沒有VPN的建立，單純防火牆對外上網
這些headers應該可以幫助大家了解O365 Excahnge運作


這信件就是隨便偽造個相同email address然後寄
微軟的客服相信這個是有密碼外洩，理由是return path 也是寄件人同email address
我就給他用我自己監控系統寄出的報警信件
寄件人隨便打還是可以寄出，return path也是同一個，然後就開始扯別的

講回來這種信都是亂槍打鳥就跟現在交友軟體開口就是要不要約(咦??!!)
不用成本有中有賺，但今天被寄到的公司大頭就不是簡單教育訓練阿......
跟SPAM廠商聯絡多次他們說設備就是這樣運作  然後兩手一攤
目前考慮升上M365 Premium 用ATP(跟微軟確認中)或是更換SPAM廠商

提到的數位簽章有考慮但感覺有更多的教育訓練(哀~~)


大家若還有其他想法或忽略到的歡迎提出



※ 引述《aeolus0829 (阿洽)》之銘言：
: ※ 引述《lovespre (Sprewell)》之銘言：
: : 公司email 是O365 Exchange
: : 另外租了spam 在前面
: : 今天公司某大頭"又"收到了偽造自己寄給自己的勒索信(有非常久一段時間沒收到)
: 看設備有沒有設定規則的功能
: 比如說自己網域寄給自己是用外部 IP 就擋下來
: 缺點是可能會擋到出差寄給自己的信件
: 解法是出差的人要寄給自己就請他寄免費信箱就好
: : 寫信去問spam廠商他們一開始說SPF問題，我把我們O365的設定截圖給對方
: : 對方又改口說SPF並非可以完全阻擋要用其他工具或是"嘗試"設定DKIM
: SPF 擋不下這種信的
: 對方一定是登到你家 mail server 然後用大頭的email 位址寄給大頭 (不需密碼)
: 這種作法給 mail 的規範會被視為合法主機、合理寄信
: 如果 spam 設備的過濾機制失效，單靠 SPF 沒辦法擋這種信件
: DKIM 也是類似的作法，所以我認為也不會有效
: 比較可能有效的是 S/MIME 這種數位簽章的機制，因它需要在 outlook 中塞簽證
: 而簽章這種東西很難仿冒，這樣才能解決 '自己寄自己' 的問題
: : 想請問大家都是怎麼阻擋這種偽造信件的?
: : 感謝幫忙
: 這種程度的擋不下來，你可能需要考慮更換設備
: 如果上面不願意花錢，只能做好教育訓練請他視而不見了

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 72.137.206.138 (加拿大)
※ 文章網址: https://www.ptt.cc/bbs/MIS/M.1592925766.A.C9C.html
推 klass: 有些SPAM設備直接便有阻擋此種方式攻擊的功能，建議你多詢
→ klass: 問其他SPAM廠商。
→ ddoll288: 有設定o365只收anti-spam來的信嗎?
O365只收SPAM filter來的信沒錯　　問題在spam廠商說沒其他方式
有沒有Burracuda的使用者分享下ＸＤ

※ 編輯: lovespre (72.137.206.138 加拿大), 06/24/2020 03:52:58
推 chang0206: Anti SPAM 我只推 NOPAM !
推 klass: 你是跟梭子魚的原廠購買的嗎？這是他們的基本功能啊。
→ klass: 啟用"防退信攻擊機制"，這問題就解了呀
SPAM廠商不是原廠只是使用的設備是Barracuda  我們沒有權限能看設定只能提問題
廠商回復都是SPAM的運作設定就是這些問題在我們EMAIL主機設定沒弄好
這種廠商不換對不起自己是不是~~~
※ 編輯: lovespre (72.137.206.138 加拿大), 06/24/2020 21:39:20