Konfigurieren von Microsoft 365 mit sicherer E-Mail

Ein Beispiel für die Konfiguration der Mail Flow Policy:

Konfigurieren von E-Mails von Microsoft 365 nach CES

1. Melden Sie sich beim Microsoft Exchange Admin Center an.
2. Navigieren Sie zu .Mail flow > Connectors
3. Klicken Sie[+ Add a connetor]hier, um einen neuen Steckverbinder zu erstellen.
4. Wählen Sie im Popup-Fenster "Mail-Fluss auswählen" Folgendes aus:
   1. Von: Office365
   2. Zu:Partner organization
5. Klicken Sie auf Next.
6. Geben Sie einen Namen für den neuen Connector ein: Outbound to Cisco CES.
7. Geben Sie eine Beschreibung ein (optional).
8. Klicken Sie auf Next.
9. Für "Wann möchten Sie diesen Connector verwenden?":
   1. Auswahl: Only when I have a transport rule set up that redirects messages to this connector.
   2. Klicken Sie auf Next. 
10. Klicken Sie auf Route email through these smart hosts.
11. Klicken Sie auf [+] , und geben Sie die ausgehenden IP-Adressen oder Hostnamen ein, die in Ihrem CES-Begrüßungsschreiben angegeben sind.
12. Klicken Sie auf  Save.
13. Klicken Sie auf  Next.
14. Informationen zum Thema "Wie verbindet sich Office 365 mit dem E-Mail-Server Ihrer Partnerorganisation?" finden Sie unter:
    1. Auswahl: Always use TLS to secure the connection (recommended).
    2. AuswählenAny digital certificate, including self-signed certificates.
    3. Klicken Sie auf Next.
15. Der Bestätigungsbildschirm wird angezeigt.
16. Klicken Sie auf  Next.
17. Geben Sie [+] eine gültige E-Mail-Adresse ein, und klicken Sie auf OK.
18. Klicken Sie auf, Validate und lassen Sie die Validierung laufen.
19. Klicken Sie abschließend auf
20. Klicken Sie auf Save.

Ein Beispiel für den Outbound Connector:

Erstellen einer Mailflow-Regel

1. Melden Sie sich bei Ihrem Exchange Admin Center an.
2. Klicken Sie Mail Flow;und stellen Sie sicher, dass Sie sich auf der Registerkarte Regeln befinden.
3. Klicken Sie auf[+], um eine neue Regel hinzuzufügen.
4. Auswählen Create a new rule.
5. Geben Sie einen Namen für die neue Regel ein: Outbound to Cisco CES.
6. Für *Diese Regel anwenden, wenn... wählen Sie: The sender is located...
   1. Wählen Sie im Popup-Fenster "Absenderstandort auswählen" Folgendes aus: Inside the organization.
   2. Klicken Sie auf OK.
7. Klicken Sie auf More options...
8. Klicken Sie auf die add condition Schaltfläche, und fügen Sie eine zweite Bedingung ein:
   1. Auswählen The recipient...
   2. Auswahl: Is external/internal.
   3. Wählen Sie im Popup-Fenster "Absenderstandort auswählen" Folgendes aus: Outside the organization.
   4. Klicken Sie auf OK.
9. Wählen Sie für * Folgendes aus: Redirect the message to...
   1. Wählen Sie Folgendes aus: den folgenden Anschluss.
   2. Wählen Sie den ausgehenden Anruf für den Cisco CES-Anschluss aus.
   3. Klicken Sie auf OK.
10. Kehren Sie zu "*Folgendes tun..." zurück. und fügen Sie eine zweite Aktion ein:
    1. Auswahl: Modify the message properties...
    2. Auswahl: set the message header.
    3. Legen Sie folgenden Nachrichten-Header fest: X-OUTBOUND-AUTH.
    4. Klicken Sie auf  OK.
    5. Legen Sie den Wert fest: mysecretkey.
       1. mysecretkey is simply a placeholder. Please customize this so it is specific to your environment.
    6. Klicken Sie auf OK.
11. Klicken Sie auf Save.

Hinweis: Um nicht autorisierte Nachrichten von Microsoft zu verhindern, kann ein geheimer x-Header gestempelt werden, wenn Nachrichten Ihre Microsoft 365-Domäne verlassen. Dieser Header wird ausgewertet und vor der Übertragung an das Internet entfernt.

Ein Beispiel für die Microsoft 365 Routing-Konfiguration:

Öffnen des Relays verhindern

Warnung: Dies ist ein entscheidender Schritt. Der Schutz des ausgehenden Listeners ist wichtig, um zu verhindern, dass nicht autorisierte Benutzer E-Mails über das Gerät weiterleiten.

Im Folgenden sind zwei Optionen aufgeführt. Es wird empfohlen, den Nachrichtenfilter (CLI) oder den Content-Filter (GUI) für Benutzer zu verwenden, die mit CLI (Command Line Interface) weniger vertraut sind. 

Option 1: Öffnen des Relays über GUI verhindern

Erstellen Sie in der GUI zwei Content-Filter:

• Der erste Filter ergreift Maßnahmen bei E-Mails, die entweder nicht den X-OUTBOUND-AUTH-Header aufweisen oder den zuvor in Microsoft Office 365 konfigurierten Wert nicht enthalten.
• Der zweite Filter gilt für legitime E-Mails, die vom Microsoft Office 365-Tenant gesendet werden. Dieser Filter entfernt den X-OUTBOUND-AUTH-Header, damit er nicht in Zukunft missbraucht werden kann.

1. Navigieren Sie in der GUI zu Mail Policies >> Outgoing Content Filters >> wählen Sie Stopp_O365_OpenRelay aus (wählen Sie Filter hinzufügen... falls dieser nicht verfügbar ist).
2. Stellen Sie sicher, dass der erste Content-Filter konfiguriert ist:
   • Name: <Dies kann alles sein.>
   • Beschreibung: <Dies kann alles sein.>
   • Regel anwenden: Nur wenn alle Bedingungen übereinstimmen
   • Bedingungen
     • Anderer Header:
       • Header-Name: <Geben Sie den Header-Namen ein, der zuvor bei der Erstellung der Mail Flow Rule (Mail-Fluss-Regel) für Microsoft Office 365 aufgeführt wurde (z. B. X-OUTBOUND-AUTH).
         • Bei einigen Kunden ist diese Konfiguration möglicherweise mithilfe des Header-Werts von X-IronPort-Tenant vordefiniert. Obwohl dies auch verwendet werden kann, ist der entscheidende Teil, einfach sicherzustellen, dass der Header-Wert, der in der Content-Filter-Bedingung eingegeben wurde, mit dem Header-Wert übereinstimmt, der in der Mail Flow Rule auf Microsoft Office 365 konfiguriert wurde. 
       • Header-Wert (ungleich): <Geben Sie den Wert des Headers ein, der zuvor bei der Erstellung der Mail Flow Rule (E-Mail-Fluss-Regel) für Microsoft Office 365 aufgeführt wurde (z. B. mysecretkey).
     • Empfangs-Listener (Ist): Ausgehend
   • Aktionen
     • Protokolleintrag hinzufügen: $header["X-OUTBOUND-AUTH"]
       • Bei einigen Kunden ist diese Konfiguration möglicherweise mithilfe des Header-Werts von X-IronPort-Tenant vordefiniert. Obwohl dies auch verwendet werden kann, ist der entscheidende Teil, sicherzustellen, dass der in der Content-Filter-Bedingung eingegebene Header-Wert mit dem Header-Wert übereinstimmt, der in der Mail Flow Rule auf Microsoft Office 365 konfiguriert wurde. 
     • Quarantäne: <Wählen Sie die entsprechende Quarantäne aus> 
   • Verwenden Sie keine anderen als die zuvor aufgeführten Sonderzeichen (z. B. *, (, | usw.), da sie möglicherweise falsch positive Übereinstimmungen verursachen und dazu führen können, dass legitime E-Mails in Quarantäne gestellt werden.
   • Klicken Sie auf Senden.
3. Wählen Sie anschließend den Strip_Secret_Header-Inhaltsfilter aus, und konfigurieren Sie: (wählen Sie Filter hinzufügen... falls nicht verfügbar):
   • Name: <Dies kann alles sein.>
   • Beschreibung: <Dies kann alles sein.>
   • Bedingungen
     • Anderer Header:
       • Header-Name: <Geben Sie den Header-Namen ein, der zuvor bei der Erstellung der Mail Flow Rule (E-Mail-Fluss-Regel) für Microsoft Office 365 aufgeführt wurde (z. B.  X-OUTBOUND-AUTH).
         • Bei einigen Kunden ist diese Konfiguration möglicherweise mithilfe des Header-Werts von X-IronPort-Tenant vordefiniert. Obwohl dies auch verwendet werden kann, ist der entscheidende Teil, sicherzustellen, dass der in der Content-Filter-Bedingung eingegebene Header-Wert mit dem Header-Wert übereinstimmt, der in der Mail Flow Rule auf Microsoft Office 365 konfiguriert wurde.
       • Header-Wert (Equals): <Geben Sie den Wert des Headers ein, der zuvor bei der Erstellung der Mail Flow Rule (E-Mail-Fluss-Regel) für Microsoft Office 365 aufgeführt wurde (z. B. mysecretkey).
   • Aktionen
     • Header entfernen 
       • Header-Name: <Geben Sie den Header-Namen ein, der zuvor bei der Erstellung der Mail Flow Rule (Mail-Fluss-Regel) für Microsoft Office 365 aufgeführt wurde (z. B.: X-OUTBOUND-AUTH).
         • Bei einigen Kunden ist diese Konfiguration möglicherweise mithilfe des Header-Werts von X-IronPort-Tenant vordefiniert. Obwohl dies auch verwendet werden kann, ist der entscheidende Teil, einfach sicherzustellen, dass der Header-Wert, der in der Content-Filter-Bedingung eingegeben wurde, mit dem Header-Wert übereinstimmt, der in der Mail Flow Rule auf Microsoft Office 365 konfiguriert wurde.
         • Klicken Sie auf Senden, und navigieren Sie zu Mail-Policys >> Mail-Policys für \"Ausgehend\".
4. Stellen Sie sicher, dass die neu erstellten Content-Filter jetzt unter der Standardrichtlinie und allen anderen erforderlichen Richtlinien aktiviert sind.
   • Stellen Sie sicher, dass der Content-Filter Strip_Secret_Header in der richtigen Reihenfolge der Mail-Richtlinien vorhanden ist. Er muss nach dem Stopp_O365_OpenRelay-Inhaltsfilter platziert werden, oder Sie können den E-Mail-Fluss beeinflussen und/oder die Inhaltsfilter funktionieren möglicherweise nicht wie vorgesehen. 
5. Senden >> Bestätigen Sie Ihre Änderungen.
6. Fahren Sie mit dem Testen des ausgehenden E-Mail-Verkehrs fort.

Tipp: Nachdem Ihre Tests erfolgreich abgeschlossen wurden und die Zustellung der E-Mails wie erwartet funktioniert, wird empfohlen, die Aktion im Content-Filter von "quarantine" in "drop" zu ändern.

Stopp_O365_OpenRelay-Inhaltsfilter

Strip_Secret_Header-Inhaltsfilter

Option 2: Verhindern von Open Relay über CLI

Rufen Sie die CLI für Ihr Cisco Secure Email Gateway auf.

Hinweis: Cisco Secure Email Cloud Gateway > CLI-Zugriff (Command Line Interface).

Erstellen Sie einen Nachrichtenfilter, um das Vorhandensein und den Wert des X-Headers zu überprüfen, und entfernen Sie den Header, falls vorhanden. Wenn kein Header vorhanden ist, soll die Nachricht verworfen werden.

1. Melden Sie sich über die CLI bei Ihrem Gateway an.
2. Führen Sie den filters Befehl aus.
3. Wenn Ihr Gateway in einem Cluster zusammengefasst ist, drücken Sie Return (Zurück), um die Filter im Cluster-Modus zu bearbeiten.
4. Verwenden Sie den New Befehl, um einen Nachrichtenfilter zu erstellen, zu kopieren und einzufügen:
   
   

   office365_outbound: if sendergroup == "RELAYLIST" {
   if header("X-OUTBOUND-AUTH") == "^mysecretkey$" {
   strip-header("X-OUTBOUND-AUTH");
   } else {
   drop();
   }
   }

5. Klicken Sie einmal auf Return (Rückgabe), um eine neue, leere Zeile zu erstellen.
6. Geben Sie [.] in der neuen Zeile ein, um den neuen Nachrichtenfilter zu beenden.
7. Klicken Sie return einmal, um das Menü Filters (Filter) zu verlassen.
8. Führen Sie den commit Befehl aus, um die Änderungen an der Konfiguration zu speichern.

Anmerkung: Vermeiden Sie Sonderzeichen für den geheimen Schlüssel. Die im Nachrichtenfilter angezeigten Zeichen ^ und $ sind reguläre Zeichen und werden wie im Beispiel angegeben verwendet.

Anmerkung: Überprüfen Sie den Namen, wie Ihre RELAYLIST konfiguriert ist. Es kann mit einem alternativen Namen konfiguriert werden, oder Sie können einen bestimmten Namen haben, der auf Ihrer Relay-Richtlinie oder Ihrem Mail-Provider basiert.

Ausgehende E-Mails testen

Testen Sie ausgehende E-Mails von Ihrer Microsoft 365-E-Mail-Adresse an einen externen Domänenempfänger. Sie können die Nachrichtenverfolgung über Ihren Cisco Secure Email und Web Manager überprüfen, um sicherzustellen, dass der ausgehende Datenverkehr ordnungsgemäß weitergeleitet wird.

Anmerkung: Überprüfen Sie Ihre TLS-Konfiguration (Systemverwaltung > SSL-Konfiguration) auf dem Gateway und die für ausgehendes SMTP verwendeten Chiffren. Cisco Best Practices empfiehlt:

HIGH:MEDIUM:@STRENGTH:!aNULL:!eNULL:!LOW:!DES:!MD5:!EXP:!PSK:!DSS:!RC2:!RC4:!SEED:!ECDSA:!ADH:!IDEA:!3DES:!SSLv2:!SSLv3:!TLSv1:-aNULL:-EXPORT:-IDEA

Beispiel für die Nachverfolgung bei erfolgreicher Zustellung:

More DetailsKlicken Sie hier, um die vollständigen Nachrichtendetails anzuzeigen:

Ein Beispiel für die Nachrichtenverfolgung, bei der die X-Kopfzeile nicht übereinstimmt:

Zugehörige Informationen 

Cisco Secure Email Gateway-Dokumentation

• Versionshinweise
• Benutzerhandbuch
• CLI-Referenzhandbuch
• API-Programmierhandbücher für Cisco Secure Email Gateway
• Open Source für Cisco Secure Email Gateway
• Installationsanleitung für die Cisco Content Security Virtual Appliance (einschließlich vESA)

Secure Email Cloud Gateway - Dokumentation

• Versionshinweise
• Benutzerhandbuch

Cisco Secure Email und Web Manager-Dokumentation

• Versionshinweise und Kompatibilitätsmatrix
• Benutzerhandbuch
• API-Programmierhandbücher für Cisco Secure Email und Web Manager
• Installationsanleitung für die Cisco Content Security Virtual Appliance (einschließlich vSMA)

Cisco Secure-Produktdokumentation

• Cisco Secure Portfolio Naming Architecture