Προστασία γραμματοκιβωτίου

Οι περισσότερες καταλήψεις λογαριασμών δεν τελειώνουν με έναν κλεμμένο κωδικό πρόσβασης. Τελειώνουν με έναν αθόρυβο κανόνα εισερχομένων. Μόλις ένας επιτιθέμενος μπει σε ένα γραμματοκιβώτιο, το πρώτο πράγμα που συνήθως κάνει είναι να δημιουργήσει έναν κανόνα του Outlook που προωθεί την εισερχόμενη αλληλογραφία σε μια διεύθυνση που ελέγχει, και έπειτα τη διαγράφει ή τη σημειώνει ως αναγνωσμένη ώστε ο πραγματικός κάτοχος να μην το αντιληφθεί ποτέ. Αυτή είναι η μηχανή της παραβίασης εταιρικού email (BEC): η απάτη τιμολογίων, η εκτροπή εμβασμάτων και η υπεξαίρεση μισθοδοσίας στηρίζονται όλες σε έναν κανόνα που το θύμα δεν μπορεί να δει.

Η Προστασία γραμματοκιβωτίου διαβάζει τους κανόνες εισερχομένων κάθε γραμματοκιβωτίου στο tenant σας και επισημαίνει όσους ταιριάζουν με αυτό το μοτίβο, ώστε ένας κακόβουλος κανόνας να εμφανιστεί στον πίνακα ελέγχου σας αντί στο καθολικό πληρωτέων λογαριασμών σας.

Απαιτεί πληρωμένο πρόγραμμα

Η Προστασία γραμματοκιβωτίου περιλαμβάνεται στα πληρωμένα προγράμματα. Χωρίς πληρωμένο πρόγραμμα, η σελίδα εμφανίζει μια πρόσκληση αναβάθμισης αντί για αποτελέσματα. Δείτε τη σελίδα προγραμμάτων για το τι περιλαμβάνει κάθε πρόγραμμα.

Απαιτείται συναίνεση για τα γραμματοκιβώτια

Η Προστασία γραμματοκιβωτίου διαβάζει τους κανόνες εισερχομένων με το δικαίωμα MailboxSettings.Read του Microsoft Graph. Πρόκειται για δικαίωμα ανάγνωσης σε επίπεδο γραμματοκιβωτίου που παραχωρείται ξεχωριστά από το υπόλοιπο εργαλείο σάρωσης. Αν το tenant σας δεν το έχει παραχωρήσει ακόμα, η σάρωση ολοκληρώνεται με το μήνυμα "Η πρόσβαση στα γραμματοκιβώτια χρειάζεται συναίνεση" και χωρίς αποτελέσματα. Εκτελέστε ξανά τη συναίνεση διαχειριστή από τη σελίδα Connect για να ενεργοποιήσετε τη σάρωση γραμματοκιβωτίων. Η συναίνεση επαληθεύεται με το να διαβάσει πραγματικά η σάρωση ένα γραμματοκιβώτιο, ποτέ δεν θεωρείται δεδομένη.

Τι ελέγχει

Η Προστασία γραμματοκιβωτίου αξιολογεί κάθε κανόνα εισερχομένων με ενεργή δράση (κανόνες που προωθούν, ανακατευθύνουν, μετακινούν ή διαγράφουν αλληλογραφία) ως προς τα παρακάτω ευρετικά κριτήρια. Οι αβλαβείς κανόνες που απλώς κατηγοριοποιούν ή σημαίνουν την αλληλογραφία αγνοούνται. Κάθε επισημασμένος κανόνας εμφανίζεται στο ευρετήριο με το γραμματοκιβώτιό του, το επίπεδο κινδύνου του και ένα σύντομο σύνολο σημάτων ενέργειας.

Εξωτερική προώθηση

Ένας κανόνας που προωθεί, ανακατευθύνει ή προωθεί ως συνημμένο σε διεύθυνση εκτός των επαληθευμένων τομέων σας. Αυτή είναι η κύρια μέθοδος εξαγωγής δεδομένων του BEC: κάθε εισερχόμενο μήνυμα αντιγράφεται αθόρυβα στον επιτιθέμενο. Ένας κανόνας προώθησης που επιπλέον κρύβει αλληλογραφία ή στοχεύει οικονομικές λέξεις-κλειδιά κλιμακώνεται σε Κρίσιμο, γιατί αυτό είναι το πλήρες μοτίβο "κλέψε και απόκρυψε".

Διόρθωση. Επιβεβαιώστε ότι ο κάτοχος του γραμματοκιβωτίου δημιούργησε τον κανόνα. Αν είναι απροσδόκητος, διαγράψτε τον, επαναφέρετε τον κωδικό πρόσβασης και τις περιόδους σύνδεσης του λογαριασμού και εξετάστε τα αρχεία καταγραφής σύνδεσης για να δείτε πώς αποκτήθηκε πρόσβαση στον λογαριασμό.

Εσωτερική προώθηση

Ένας κανόνας προώθησης ή ανακατεύθυνσης του οποίου όλοι οι προορισμοί βρίσκονται εντός των δικών σας τομέων. Αυτό είναι χαμηλού κινδύνου και συχνά θεμιτό (ανάθεση καθηκόντων, κοινές ροές εργασίας), αλλά αναδεικνύεται ώστε να επιβεβαιώσετε ότι είναι σκόπιμο.

Κρυφοί κανόνες

Ένας κανόνας που σημειώνει την εισερχόμενη αλληλογραφία ως αναγνωσμένη και έπειτα τη διαγράφει ή τη μετακινεί έξω από τα εισερχόμενα. Η απόκρυψη των απαντήσεων είναι ο τρόπος με τον οποίο ένας επιτιθέμενος κρατά ένα παραβιασμένο γραμματοκιβώτιο να φαίνεται φυσιολογικό ενώ διεξάγει μια απάτη στο όνομά του.

Διόρθωση. Επαληθεύστε ότι ο κανόνας είναι θεμιτός. Αν όχι, αφαιρέστε τον και διερευνήστε τον λογαριασμό για παραβίαση.

Κανόνες με οικονομικές λέξεις-κλειδιά

Ένας κανόνας του οποίου οι συνθήκες ταιριάζουν με οικονομικούς όρους (τιμολόγιο, πληρωμή, έμβασμα, SWIFT, IBAN, εξόφληση και παρόμοιους) και έπειτα μετακινεί, διαγράφει ή προωθεί το μήνυμα. Αυτή είναι η υπογραφή της προετοιμασίας απάτης τιμολογίων: ο επιτιθέμενος αποσιωπά ακριβώς εκείνα τα νήματα αλληλογραφίας που θα χρησιμοποιούσε ένα θύμα για να αντιληφθεί μια εκτραπείσα πληρωμή.

Διόρθωση. Επιβεβαιώστε ότι ο κάτοχος του γραμματοκιβωτίου δημιούργησε σκόπιμα έναν κανόνα που ενεργεί σε οικονομική αλληλογραφία. Αν όχι, αφαιρέστε τον και αντιμετωπίστε το γραμματοκιβώτιο ως δυνητικά παραβιασμένο.

Κανόνες αυτόματης διαγραφής

Ένας κανόνας που διαγράφει οριστικά τα μηνύματα που ταιριάζουν (παρακάμπτοντας τα Διαγραμμένα στοιχεία). Η οριστική διαγραφή μπορεί να χρησιμοποιηθεί για την καταστροφή αποδεικτικών στοιχείων μιας εισβολής. Επισημαίνεται ώστε να επιβεβαιώσετε ότι είναι σκόπιμη.

Διασπορά προώθησης

Ένα σήμα σε επίπεδο tenant: η ίδια εξωτερική διεύθυνση είναι ο προορισμός προώθησης κανόνων εισερχομένων σε τρία ή περισσότερα γραμματοκιβώτια. Ένας μοναδικός εξωτερικός συλλέκτης σε πολλά γραμματοκιβώτια είναι ισχυρή ένδειξη ευρύτερης παραβίασης, όχι μεμονωμένου περιστατικού.

Διόρθωση. Αφαιρέστε τους κανόνες, επαναφέρετε τους επηρεαζόμενους λογαριασμούς και αποκλείστε τη διεύθυνση που συλλέγει την αλληλογραφία.

Ανάγνωση των αποτελεσμάτων

Τα συνοπτικά πλακίδια μετρούν τους επισημασμένους κανόνες, πόσοι προωθούν εξωτερικά, πόσοι κρύβουν αλληλογραφία, πόσοι στοχεύουν οικονομικές λέξεις-κλειδιά και πόσα γραμματοκιβώτια επηρεάζονται. Ο πίνακας παραθέτει κάθε επισημασμένο κανόνα με το γραμματοκιβώτιό του, το όνομά του, το επίπεδο κινδύνου και τα σήματα ενέργειας· η επιλογή μιας γραμμής ανοίγει την πλήρη λεπτομέρεια, συμπεριλαμβανομένων των ακριβών προορισμών προώθησης (οι εξωτερικοί επισημαίνονται), των λέξεων-κλειδιών με τις οποίες ταιριάζει ο κανόνας και των ευρημάτων που δημιουργήθηκαν για αυτό το γραμματοκιβώτιο.

Επειδή τα ευρήματα καταγράφονται ανά γραμματοκιβώτιο, ένα γραμματοκιβώτιο που αποκτά νέο ύποπτο κανόνα εμφανίζεται στις ειδοποιήσεις μεταβολών σας ως νέο εύρημα, ώστε να ενημερώνεστε τη στιγμή που εμφανίζεται ένας κανόνας και όχι μόνο όταν ανοίξετε ξανά τη σελίδα.

Πεδίο εφαρμογής και περιορισμοί

Η Προστασία γραμματοκιβωτίου καλύπτει μόνο τους κανόνες εισερχομένων του Outlook (messageRules), εκεί όπου ζουν η προώθηση, η ανακατεύθυνση, η απόκρυψη και η διαγραφή μέσω κανόνων, και που αποτελεί τον κυρίαρχο φορέα BEC.

Δύο συναφείς μηχανισμοί προώθησης δεν καλύπτονται σε αυτή τη φάση, επειδή το Microsoft Graph δεν τους εκθέτει:

• Η προώθηση SMTP σε επίπεδο γραμματοκιβωτίου (ForwardingSmtpAddress / DeliverToMailboxAndForward) είναι ρύθμιση του Exchange Online, αναγνώσιμη μόνο μέσω της διαχείρισης του Exchange, όχι μέσω του Graph.
• Οι κανόνες μεταφοράς του Exchange (κανόνες ροής αλληλογραφίας σε επίπεδο οργανισμού) είναι επίσης διαθέσιμοι μόνο στο Exchange.

Η ανάγνωσή τους απαιτεί ευρύτερη διαχειριστική πρόσβαση στο Exchange από το δικαίωμα ανάγνωσης γραμματοκιβωτίου που χρησιμοποιεί η Προστασία γραμματοκιβωτίου, και προγραμματίζεται για επόμενη φάση. Η Προστασία γραμματοκιβωτίου δεν αναφέρει ποτέ προώθηση που δεν μπορεί πραγματικά να διαβάσει.