O Envio Direto é um método de envio Microsoft 365 para dispositivos ou aplicativos que enviam emails diretamente para o ponto de extremidade de email da organização. A Microsoft descreve isso como correio não autenticado de um servidor de email externo. Isso torna a atribuição de rota importante: não infira um dispositivo confiável apenas porque uma mensagem usa um endereço De de aparência interna.
Distinguir os métodos suportados
A comparação atual da Microsoft inclui envio SMTP de cliente, retransmissão SMTP , envio direto e e-mail de alto volume. Seus escopos de autenticação e destinatário são diferentes; esta investigação se concentra no Direct Send. A Microsoft descreve a retransmissão SMTP como usando um conector de entrada, enquanto o Direct Send não é autenticado e não pode retransmitir para destinatários externos por meio Microsoft 365 . As mensagens de envio direto são tratadas como correio anônimo da Internet, com verificação e aplicação de proteções. Orientação sobre método de envio da Microsoft.
Um destinatário interno e a porta 25 são pistas, não uma prova conclusiva de um dispositivo ou configuração específica. Um remetente externo legítimo também pode entregar mensagens a esse destinatário. Evite chamar a rota de retransmissão aberta apenas porque o correio de entrada foi aceito. Verifique o que o serviço aceitou, qual escopo de destinatário estava envolvido e quais evidências confiáveis identificam o caminho.
Colete evidências específicas da rota
Peça a um administrador autorizado para preservar a mensagem original e inspecionar o rastreamento da mensagem para o remetente, destinatário e janela de tempo relevantes. Os registros de rastreamento apoiam a investigação de recebimento, processamento e entrega; seus campos devem ser correlacionados com o original, em vez de tratados como prova de intenção comercial. Documentação de rastreamento de mensagens da Microsoft.
Registre resultados de autenticação confiável, detalhes de origem disponíveis para o receptor, conector ou envolvimento de regras quando observáveis e a ação final. Revise os dispositivos e aplicativos configurados com seus proprietários. Somente um IP de origem pode identificar um ponto de saída compartilhado por vários sistemas. Preserve as incógnitas se o rastreamento ou cabeçalhos disponíveis não estabelecerem o aplicativo responsável.
Evite a correção errada
Não adicione uma fonte desconhecida ao SPF apenas para autenticar uma mensagem suspeita. A autorização SPF é uma decisão de segurança sobre um remetente pretendido. Não crie um conector amplo nem permita regras baseadas apenas em um nome de exibição ou endereço De. DMARC alinhamento e a segurança do conteúdo permanecem questões separadas, mesmo para mensagens entregues em uma caixa de correio interna. RFC 9989.
A documentação da Microsoft alerta que o Direct Send requer uma administração cuidadosa e recomenda considerar outros métodos suportados quando adequado. Os padrões e controles do produto podem mudar; verifique as configurações atuais do locatário e as orientações atuais da Microsoft antes de aplicar uma alteração. Este guia não reivindica uma configuração de envio direto universalmente habilitada ou desabilitada entre locatários.
Leia o exemplo de investigação limitada
No caso escrito DEMO-DIRECT-01, assuma visível de scanner@brand.test e destinatário operations@brand.test na organização. O IP de conexão, a identidade real do envelope e DKIM domínios de assinatura não são fornecidos. A entrega anônima é uma hipótese, não uma descoberta de rastro observada. Ele registra deliberadamente rastreamento não consultado, conector desconhecido e autenticação confiável não exportada. Seu resultado é a hipótese do Direct Send, não confirmada. O caso, portanto, solicita uma exportação autorizada do receptor e uma correlação de inventário antes de atribuir a mensagem a um scanner ou declarar um conector comprometido.
Nenhum locatário da Microsoft foi acessado, nenhuma mensagem foi enviada e nenhuma rota foi bloqueada. Após uma análise de evidências reais, faça qualquer alteração através do processo do proprietário responsável da correspondência. Teste o correio legítimo do dispositivo e a proteção pretendida, documente a reversão e verifique o resultado observado. Fechar uma rota às cegas pode interromper os alertas, deixando intacto o mecanismo original de abuso.
Definir uma solicitação de evidência limitada
O proprietário do e-mail proposto solicita um rastreamento autorizado para o horário e destinatário do incidente, preservando o fuso horário da consulta e o tipo de relatório. O proprietário do dispositivo compara então a rota observada com as configurações aprovadas do dispositivo. Até que esses registros existam, deixe a atribuição da fonte e o envolvimento do conector desconhecidos. Não amplie as permissões apenas para obter um relatório mais conveniente; use a função autorizada com menos privilégios. Nenhuma inadimplência do inquilino é inferida deste exemplo.