Bepaal welke Microsoft-service het bericht ontvangt
“Door Microsoft gehoste e-mail” identificeert geen universeel doorstuurbeleid. Begin door vast te stellen of de bestemming een Microsoft 365 -organisatie, een Outlook .com-consumentenaccount of een route is die via een andere beveiligingsservice loopt voordat deze een Microsoft-postvak bereikt. De administratieve controles en het bewijsmateriaal dat in de ene omgeving beschikbaar is, mogen niet worden aangenomen voor een andere omgeving.
Deze werkstroom maakt gebruik van de huidige Microsoft 365 documentatie voor door de organisatie beheerde e-mail en vereist dat de daadwerkelijke route wordt geverifieerd. Het is een voorgesteld onderzoeks- en wijzigingsplan en geen melding dat eventuele huurderinstellingen zijn geïnspecteerd of aangepast. Zorg eerst voor een directe versus voorwaartse vergelijking en kies vervolgens de kleinste verandering die het aangetoonde falen aanpakt, terwijl de beveiligingscontroles van de organisatie behouden blijven.
Zoek de grens waar de authenticatie is gewijzigd
Teken het pad van de oorspronkelijke afzender via elke doorstuurserver of gateway naar de ontvangende service. Noteer voor elke grens de verbindende host die beschikbaar is envelop afzender, Auteur domein, DKIM handtekeningen en waargenomen transformaties. Onderscheid een inkomende externe tussenpersoon van Exchange Online die e-mail doorstuurt. Het zijn verschillende operationele gevallen, zelfs als beide binnen hetzelfde gesprek voorkomen.
SPF gebruikt de uiteindelijke verbindingsbron voor de daar geëvalueerde identiteit, dus de autorisatie van de oorspronkelijke bron beschrijft mogelijk niet de doorstuurverbinding. RFC 7208 sectie 10.3 verklaart die beperking. Een analist mag de oorspronkelijke afzender niet wijzigen SPF record totdat de betrokken identiteit en de beoogde autorisatie bekend zijn.
Vergelijk de originele en definitieve handtekeningen met behulp van RFC 6376. De inhoudswijziging van een gateway kan een handtekening ongeldig maken wanneer deze daarna het gedekte materiaal wijzigt canonicalisering. Dit is voorwaardelijk en betekent niet dat alle toegevoegde headers of alle doorstuurregels DKIM vernietigen. Bewaar onbewerkte berichtkopieën waar geautoriseerd, zodat de hypothese kan worden getest in plaats van afgeleid uit een leveranciersdiagram.
Lees Microsoft-resultaten zonder ze te hernoemen
Die van Microsoft authenticatie overzicht onderscheidt SPF , DKIM en DMARC van samengestelde authenticatie, geregistreerd als compauth. In dit laatste is een aanvullende beoordeling opgenomen. Bewaar elk veld en de uiteindelijke afhandelingsactie in afzonderlijke kolommen. Een samengestelde pas mag niet in het incidentrecord worden herschreven als een gewone DMARC -pas.
De huidige vertrouwde ARC sealerbegeleiding beschrijft het gebruik van eerdere beoordelingen van legitieme tussenpersonen en biedt een diagnostisch voorbeeld met compauth=pass en reason=130 terwijl dmarc=fail zichtbaar blijft. Het waarschuwt ook dat andere filters nog steeds kunnen werken. Dat is een providerspecifieke interpretatie om te verifiëren in vertrouwde, door de ontvanger gegenereerde resultaten, en niet een belofte dat dezelfde velden in elk account verschijnen.
Vertrouw geen willekeurige Authentication-Results regel simpelweg omdat deze zich bovenaan een geplakte koptekst bevindt. Stel vast welk ontvangend systeem het resultaat heeft gegenereerd en hoe de vertrouwde grens is geïdentificeerd. Als er alleen een screenshot of een verwijderd uittreksel beschikbaar is, noteer dan de ontbrekende herkomst en vraag via het goedgekeurde proces een op de juiste wijze geredigeerd volledig monster aan.
Houd SRS- en ARC beslissingen gescheiden
Die van Microsoft SRS-documentatie betreft toepasselijke doorstuur- en doorstuurscenario's en scheidt expliciet de herschreven MAIL FROM van de zichtbare From. Het documenteert ook uitzonderingen. Ga er niet van uit dat elk bericht dat Microsoft 365 binnenkomt, op dezelfde manier wordt herschreven of behandeld SRS gedrag als oplossing voor een niet-gerelateerde gateway voor inkomend verkeer.
Een herschreven envelop kan SPF voor het herschrijfdomein ondersteunen zonder uitlijning aan de oorspronkelijke auteur. De betreffende domeinrelatie is nog steeds vereist door RFC 9989 sectie 4.4. ARC geeft in plaats daarvan eerdere authenticatiebeoordelingen weer die een ontvanger kan overwegen. RFC 8617 sectie 7.2.1 beschrijft het gebruik van lokaal beleid, en niet de automatische vervanging van het gewone authenticatieresultaat.
Elk voorstel om een zeehondenjager te vertrouwen is een veiligheidsbeslissing. Identificeer de exacte legitieme service, de operationele behoefte ervan en een verantwoordelijke goedkeurder; behoud de eerdere configuratie- en verwijderingscriteria. Voeg geen breed vertrouwen toe alleen maar omdat een bericht een syntactisch geldige ARC set bevat. De huidige ARC -herindelingsontwerp Er wordt aan gewerkt, terwijl RFC 8617 op deze beoordelingsdatum experimenteel blijft.
Fictieve gateway-wijziging met een begrensde acceptatietest
In dit fictieve voorbeeld ontvangt Voorbeeld Services e-mail via een inhoudsgateway vóór een Microsoft 365 -mailbox. Een uitgevonden direct monster verifieert een uitlijning DKIM -handtekening; een gelijkwaardig door een gateway gerouteerd voorbeeld heeft een herschreven bijlage en verifieert die handtekening niet langer. Het scenario gaat uitsluitend uit van deze observaties om het onderzoek te verklaren. Er is geen tenant of bericht geopend.
De eigenaar zou eerst bepalen of de transformatie noodzakelijk is en of een minder disruptieve configuratie ondersteund wordt. Als een op ARC gebaseerde behandeling zou worden voorgesteld, zou voor de beoordeling de feitelijke identiteit van de zeehondenjager, geauthenticeerd ketenbewijs en een specifieke goedkeuring van de huurder nodig zijn. Acceptatiecriteria zouden gewone authenticatie, samengestelde resultaten, beveiligingsfiltering en dispositie afzonderlijk registreren. Alleen een succesvolle verschijning in de inbox zou het beoogde mechanisme niet demonstreren.
Herstelcriteria moeten onder meer een onverwacht breed vertrouwen, nieuwe verkeerde classificatie of het onvermogen om het vereiste bewijsmateriaal te bewaren omvatten. Het terugdraaiplan moet de exact goedgekeurde configuratie identificeren en niet simpelweg iemand instrueren om de beveiligingsverwerking uit te schakelen totdat er berichten binnenkomen.
Sluit alleen de route die is geverifieerd
Vergelijk na een geautoriseerde wijziging nieuwe directe en indirecte steekproeven met de basislijn voor representatieve berichten. Behoud de versie van de instellingen, tijdstempels en eventuele resterende onzekerheid bij de provider of tenant. Een werkpad via één gateway valideert niet elke doorstuurregel in de organisatie.
De origineel-bewijspoort is ongewijzigd en zichtbaar: directe en indirecte leveringsmonsters met route, envelop, handtekeningen en vertrouwde resultaten vergeleken. Dergelijk operationeel bewijs, goedkeuring van de huurder, live test of hersteluitvoering is hier niet opgenomen. Het resultaat is een reviewbare procedure met door de bron ondersteunde onderscheidingen, en niet een voltooid Microsoft 365 herstel.