作者aeolus0829 (阿洽)
看板MIS
標題Re: [請益] foraged sender address
時間Sat Jun 20 08:46:34 2020
※ 引述《lovespre (Sprewell)》之銘言：
: 公司email 是O365 Exchange
: 另外租了spam 在前面
: 今天公司某大頭"又"收到了偽造自己寄給自己的勒索信(有非常久一段時間沒收到)
看設備有沒有設定規則的功能
比如說自己網域寄給自己是用外部 IP 就擋下來
缺點是可能會擋到出差寄給自己的信件
解法是出差的人要寄給自己就請他寄免費信箱就好
: 寫信去問spam廠商他們一開始說SPF問題，我把我們O365的設定截圖給對方
: 對方又改口說SPF並非可以完全阻擋要用其他工具或是"嘗試"設定DKIM
SPF 擋不下這種信的
對方一定是登到你家 mail server 然後用大頭的email 位址寄給大頭 (不需密碼)
這種作法給 mail 的規範會被視為合法主機、合理寄信
如果 spam 設備的過濾機制失效，單靠 SPF 沒辦法擋這種信件
DKIM 也是類似的作法，所以我認為也不會有效
比較可能有效的是 S/MIME 這種數位簽章的機制，因它需要在 outlook 中塞簽證
而簽章這種東西很難仿冒，這樣才能解決 '自己寄自己' 的問題
: 想請問大家都是怎麼阻擋這種偽造信件的?
: 感謝幫忙
這種程度的擋不下來，你可能需要考慮更換設備
如果上面不願意花錢，只能做好教育訓練請他視而不見了
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 220.132.93.23 (臺灣)
※ 文章網址: https://webptt.com/m.aspx?n=bbs/MIS/M.1592613996.A.1BE.html
※ 編輯: aeolus0829 (220.132.93.23 臺灣), 06/20/2020 09:03:54
1F：推 lovespre: 這些都是偽造信件 我在O365上有做一個設定只要是外部 06/20 12:56
2F：→ lovespre: 寄信進來的都會被加註是外部信件防止使用者被騙 06/20 12:57
3F：→ lovespre: 這個在header可以分析後被註記所以不是被盜用 06/20 13:00
4F：→ lovespre: 目前有考慮再訂閱365 Business Premium把SPAM廠商換掉 06/20 13:02
5F：→ lovespre: 但就不知道O365的SPAM到底強不強了 06/20 13:02
6F：→ lptin: 這文章前面講的正確，後面有點問題，若帳號被盜發，根本不 06/20 18:57
7F：→ lptin: 會經過spam設備 06/20 18:57
都說不用密碼了 怎麼會講到帳號被盜... = =a
你連到 mail.domain.com 這台 mail server
用
[email protected] 發給
[email protected].
會被 mail server 拒絕嗎？
這邊講的是用 telnet mail.domain.com 25 這種試探、測試信的做法
8F：→ lptin: 然後出差的人可以請他們用webmail，怎麼可能還在用外面的免 06/20 18:58
9F：→ lptin: 費信箱啦 06/20 18:58
上面講的情境是設了過濾條件還想用 outlook 寄
用 webmail 就是另外一件事了
10F：→ lptin: 補充：若帳號被盜發給自己，是內對內的信件，不會通過spam 06/20 19:11
11F：→ lptin: 系統 06/20 19:11
不是喔 要看路徑
如果是在外面寄信，那路徑會是
mua - internet - f/w - spam - o365
就算你是
[email protected] ->
[email protected] 仍然是外寄內的信件
還是得經過 spam 的
※ 編輯: aeolus0829 (220.132.93.23 臺灣), 06/20/2020 22:08:13
12F：→ asdfghjklasd: 你路徑都寫出來的,MUA自己直接寄信給o365? 06/21 01:45
13F：→ asdfghjklasd: 還是中間那一台做relay? 06/21 01:46
14F：→ asdfghjklasd: 一般避免被用來本機寄本機,對外的那個25 port 會進 06/21 02:23
15F：→ asdfghjklasd: Spam,而給user 寄信的是比較隱藏的,甚至VPN寄能寄 06/21 02:24
16F：→ asdfghjklasd: 很多地方現在也拒絕用 25 port 直接使用來寄信 06/21 02:24
17F：→ asdfghjklasd: 例如有些的hotel已經封鎖25 port 06/21 02:25
18F：→ asdfghjklasd: 所以可以改用smtps.... 06/21 02:25