作者aeolus0829 (阿洽)
看板MIS
标题Re: [请益] foraged sender address
时间Sat Jun 20 08:46:34 2020
※ 引述《lovespre (Sprewell)》之铭言：
: 公司email 是O365 Exchange
: 另外租了spam 在前面
: 今天公司某大头"又"收到了伪造自己寄给自己的勒索信(有非常久一段时间没收到)
看设备有没有设定规则的功能
比如说自己网域寄给自己是用外部 IP 就挡下来
缺点是可能会挡到出差寄给自己的信件
解法是出差的人要寄给自己就请他寄免费信箱就好
: 写信去问spam厂商他们一开始说SPF问题，我把我们O365的设定截图给对方
: 对方又改口说SPF并非可以完全阻挡要用其他工具或是"尝试"设定DKIM
SPF 挡不下这种信的
对方一定是登到你家 mail server 然後用大头的email 位址寄给大头 (不需密码)
这种作法给 mail 的规范会被视为合法主机、合理寄信
如果 spam 设备的过滤机制失效，单靠 SPF 没办法挡这种信件
DKIM 也是类似的作法，所以我认为也不会有效
比较可能有效的是 S/MIME 这种数位签章的机制，因它需要在 outlook 中塞签证
而签章这种东西很难仿冒，这样才能解决 '自己寄自己' 的问题
: 想请问大家都是怎麽阻挡这种伪造信件的?
: 感谢帮忙
这种程度的挡不下来，你可能需要考虑更换设备
如果上面不愿意花钱，只能做好教育训练请他视而不见了
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 220.132.93.23 (台湾)
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/MIS/M.1592613996.A.1BE.html
※ 编辑: aeolus0829 (220.132.93.23 台湾), 06/20/2020 09:03:54
1F：推 lovespre: 这些都是伪造信件 我在O365上有做一个设定只要是外部 06/20 12:56
2F：→ lovespre: 寄信进来的都会被加注是外部信件防止使用者被骗 06/20 12:57
3F：→ lovespre: 这个在header可以分析後被注记所以不是被盗用 06/20 13:00
4F：→ lovespre: 目前有考虑再订阅365 Business Premium把SPAM厂商换掉 06/20 13:02
5F：→ lovespre: 但就不知道O365的SPAM到底强不强了 06/20 13:02
6F：→ lptin: 这文章前面讲的正确，後面有点问题，若帐号被盗发，根本不 06/20 18:57
7F：→ lptin: 会经过spam设备 06/20 18:57
都说不用密码了 怎麽会讲到帐号被盗... = =a
你连到 mail.domain.com 这台 mail server
用
[email protected] 发给
[email protected].
会被 mail server 拒绝吗？
这边讲的是用 telnet mail.domain.com 25 这种试探、测试信的做法
8F：→ lptin: 然後出差的人可以请他们用webmail，怎麽可能还在用外面的免 06/20 18:58
9F：→ lptin: 费信箱啦 06/20 18:58
上面讲的情境是设了过滤条件还想用 outlook 寄
用 webmail 就是另外一件事了
10F：→ lptin: 补充：若帐号被盗发给自己，是内对内的信件，不会通过spam 06/20 19:11
11F：→ lptin: 系统 06/20 19:11
不是喔 要看路径
如果是在外面寄信，那路径会是
mua - internet - f/w - spam - o365
就算你是
[email protected] ->
[email protected] 仍然是外寄内的信件
还是得经过 spam 的
※ 编辑: aeolus0829 (220.132.93.23 台湾), 06/20/2020 22:08:13
12F：→ asdfghjklasd: 你路径都写出来的,MUA自己直接寄信给o365? 06/21 01:45
13F：→ asdfghjklasd: 还是中间那一台做relay? 06/21 01:46
14F：→ asdfghjklasd: 一般避免被用来本机寄本机,对外的那个25 port 会进 06/21 02:23
15F：→ asdfghjklasd: Spam,而给user 寄信的是比较隐藏的,甚至VPN寄能寄 06/21 02:24
16F：→ asdfghjklasd: 很多地方现在也拒绝用 25 port 直接使用来寄信 06/21 02:24
17F：→ asdfghjklasd: 例如有些的hotel已经封锁25 port 06/21 02:25
18F：→ asdfghjklasd: 所以可以改用smtps.... 06/21 02:25