Configuración de Microsoft 365 con correo electrónico seguro

Un ejemplo de cómo se ve la configuración de la política de flujo de correo:

Configurar el correo de Microsoft 365 a CES

1. Inicie sesión en el Centro de administración de Microsoft Exchange.
2. Vaya a .Mail flow > Connectors
3. Haga clic[+ Add a connetor]para crear un nuevo conector.
4. En la ventana emergente Seleccione su escenario de flujo de correo, elija:
   1. Desde: Office365
   2. A:Partner organization
5. Haga clic en Next.
6. Introduzca un nombre para el nuevo conector: Outbound to Cisco CES.
7. Introduzca una descripción (opcional).
8. Haga clic en Next.
9. Para "¿Cuándo desea utilizar este conector?":
   1. Elija: Only when I have a transport rule set up that redirects messages to this connector.
   2. Haga clic en Next. 
10. Haga clic en Route email through these smart hosts.
11. Haga clic [+] e introduzca las direcciones IP o los nombres de host salientes proporcionados en la carta de bienvenida de CES.
12. Haga clic en Save.
13. Haga clic en Next.
14. Para "¿Cómo se conecta Office 365 al servidor de correo electrónico de su organización partner?":
    1. Elija: Always use TLS to secure the connection (recommended).
    2. ElegirAny digital certificate, including self-signed certificates.
    3. Haga clic en Next.
15. Aparecerá la pantalla de confirmación.
16. Haga clic en Next.
17. Utilícelo [+] para introducir una dirección de correo electrónico válida y hacer clic en OK.
18. Haga clic en Validate y deje que se ejecute la validación.
19. Una vez completada, haga clic en
20. Haga clic enSave.

Un ejemplo de cómo se ve el conector de salida:

Crear una regla de flujo de correo

1. Inicie sesión en el Centro de administración de Exchange.
2. Haga clic Mail Flow;y asegúrese de que está en la ficha de reglas.
3. Haga clic [+] para agregar una nueva regla.
4. Elegir Create a new rule.
5. Introduzca un nombre para la nueva regla: Outbound to Cisco CES.
6. Para *Aplicar esta regla si..., elija: The sender is located...
   1. Para la ventana emergente de selección de ubicación del remitente, seleccione: Inside the organization.
   2. Haga clic en OK.
7. Haga clic en More options...
8. Haga clic en el add condition botón e inserte una segunda condición:
   1. Elegir The recipient...
   2. Elija: Is external/internal.
   3. Para la ventana emergente de selección de ubicación del remitente, seleccione: Outside the organization.
   4. Haga clic en OK.
9. Para *Haga lo siguiente..., elija: Redirect the message to...
   1. Seleccione: el siguiente conector.
   2. Y seleccione el conector Outbound to Cisco CES.
   3. Click OK.
10. Vuelva a "*Haga lo siguiente..." e inserte una segunda acción:
    1. Elija: Modify the message properties...
    2. Elija: set the message header.
    3. Defina el encabezado del mensaje: X-OUTBOUND-AUTH.
    4. Haga clic en OK.
    5. Defina el valor: mysecretkey.
       1. mysecretkey is simply a placeholder. Please customize this so it is specific to your environment.
    6. Haga clic en OK.
11. Haga clic en Save.

Nota: Para evitar mensajes no autorizados de Microsoft, se puede estampar un x-encabezado secreto cuando los mensajes salen de su dominio de Microsoft 365; este encabezado se evalúa y se elimina antes de enviarlo a Internet.

Un ejemplo de cómo se ve su configuración de Microsoft 365 Routing:

Impedir retransmisión abierta

Advertencia: Este es un paso crucial. La protección del Receptor saliente es esencial para evitar que usuarios no autorizados retransmitan correo electrónico a través del dispositivo.

A continuación se enumeran dos opciones. Se recomienda utilizar el filtro de mensajes (CLI) o el filtro de contenido (GUI) para los usuarios menos familiarizados con CLI (interfaz de línea de comandos). 

Opción 1: Impedir la retransmisión abierta a través de GUI

Cree dos filtros de contenido en la GUI:

• El primer filtro realiza acciones en cualquier correo electrónico que no tenga el encabezado X-OUTBOUND-AUTH o que no contenga el valor configurado previamente en Microsoft Office 365.
• El segundo filtro se aplica a los correos electrónicos legítimos enviados desde el arrendatario de Microsoft Office 365. Este filtro quita el encabezado X-OUTBOUND-AUTH para que no se pueda usar incorrectamente en el futuro.

1. Desde la GUI, navegue hasta Políticas de correo >> Filtros de contenido saliente >> seleccione Stop_O365_OpenRelay (seleccione Agregar filtro... si no está disponible).
2. Asegúrese de que el primer filtro de contenido esté configurado:
   • Nombre: <esto puede ser cualquier cosa>
   • Descripción: <esto puede ser cualquier cosa>
   • Aplicar regla: Sólo si todas las condiciones coinciden
   • Condiciones
     • Otro encabezado:
       • Nombre de encabezado: <Escriba el nombre del encabezado que se enumeró anteriormente durante la creación de la regla de flujo de correo en Microsoft Office 365) (por ejemplo, X-OUTBOUND-AUTH).
         • Algunos clientes pueden tener esta configuración predefinida mediante un valor de encabezado de X-IronPort-Tenant. Si bien esto también se puede utilizar, la parte crucial es simplemente asegurarse de que el valor del encabezado ingresado en la condición de filtro de contenido coincida con el valor del encabezado configurado en la regla de flujo de correo en Microsoft Office 365. 
       • Valor del encabezado (no es igual a): <Introduzca el valor del encabezado previamente enumerado durante la creación de la regla de flujo de correo en Microsoft Office 365 (como mysecretkey).
     • Receptor De Recepción (Is): Saliente
   • Acciones
     • Agregar entrada de registro: $Header["X-OUTBOUND-AUTH"]
       • Algunos clientes pueden tener esta configuración predefinida mediante un valor de encabezado de X-IronPort-Tenant. Si bien esto también se puede utilizar, la parte crucial es asegurarse de que el valor del encabezado ingresado en la condición de filtro de contenido coincida con el valor del encabezado configurado en la regla de flujo de correo en Microsoft Office 365. 
     • Cuarentena: <seleccionar la cuarentena correspondiente> 
   • Evite el uso de caracteres especiales distintos de los que aparecen anteriormente (como *, (, |, etc.), ya que pueden provocar coincidencias de falsos positivos y poner en cuarentena correos electrónicos legítimos.
   • Haga clic en Submit (Enviar).
3. A continuación, seleccione el filtro de contenido Strip_Secret_Header y configure: (seleccione Agregar filtro... si no está disponible):
   • Nombre: <esto puede ser cualquier cosa>
   • Descripción: <esto puede ser cualquier cosa>
   • Condiciones
     • Otro encabezado:
       • Nombre de encabezado: <Introduzca el nombre del encabezado que se enumeró anteriormente durante la creación de la regla de flujo de correo en Microsoft Office 365) (por ejemplo,  X-OUTBOUND-AUTH).
         • Algunos clientes pueden tener esta configuración predefinida mediante un valor de encabezado de X-IronPort-Tenant. Si bien esto también se puede utilizar, la parte crucial es asegurarse de que el valor del encabezado ingresado en la condición de filtro de contenido coincida con el valor del encabezado configurado en la regla de flujo de correo en Microsoft Office 365.
       • Valor del encabezado (igual a): <Introduzca el valor del encabezado previamente enumerado durante la creación de la regla de flujo de correo en Microsoft Office 365 (como mysecretkey).
   • Acciones
     • Quitar Encabezado 
       • Nombre de encabezado: <Escriba el nombre del encabezado que se enumeró anteriormente durante la creación de la regla de flujo de correo en Microsoft Office 365) (por ejemplo, X-OUTBOUND-AUTH).
         • Algunos clientes pueden tener esta configuración predefinida mediante un valor de encabezado de X-IronPort-Tenant. Si bien esto también se puede utilizar, la parte crucial es simplemente asegurarse de que el valor del encabezado ingresado en la condición de filtro de contenido, coincida con el valor del encabezado configurado en la regla de flujo de correo en Microsoft Office 365.
         • Haga clic en Enviar y navegue hasta Políticas de correo >> Políticas de correo saliente.
4. Asegúrese de que los filtros de contenido recién creados están ahora habilitados bajo la Política predeterminada y cualquier otra política requerida.
   • Asegúrese de que el filtro de contenido Strip_Secret_Header esté en el orden correcto en las políticas de correo. Debe colocarse después del filtro de contenido Stop_O365_OpenRelay, o puede afectar al flujo de correo y/o puede que los filtros de contenido no funcionen como se esperaba. 
5. Enviar >> Registrar los cambios.
6. Continúe con la prueba del tráfico de correo electrónico saliente.

Consejo: Una vez que las pruebas se hayan completado correctamente y la entrega de correo funcione según lo esperado, se recomienda cambiar la acción del filtro de contenido de "cuarentena" a "descartar".

Stop_O365_OpenRelay Content Filter

Filtro de contenido Strip_Secret_Header

Opción 2: Impedir Open Relay a través de CLI

Acceda a la CLI de Cisco Secure Email Gateway.

Nota: Cisco Secure Email Cloud Gateway > Acceso mediante interfaz de línea de comandos (CLI).

Cree un filtro de mensajes para inspeccionar la presencia y el valor del x-encabezado y eliminar el encabezado si existe. Si no existe un encabezado, descarte el mensaje.

1. Inicie sesión en la puerta de enlace mediante la CLI.
2. Ejecute el comando . filters
3. Si la puerta de enlace está agrupada en clústeres, pulse Return para editar los filtros en el modo de clúster.
4. Utilice el New comando para crear un filtro de mensajes, copiar y pegar:
   
   

   office365_outbound: if sendergroup == "RELAYLIST" {
   if header("X-OUTBOUND-AUTH") == "^mysecretkey$" {
   strip-header("X-OUTBOUND-AUTH");
   } else {
   drop();
   }
   }

5. Presione Volver una vez para crear una nueva línea en blanco.
6. Introduzca [.] en la nueva línea para finalizar el nuevo filtro de mensajes.
7. Haga clic return una vez para salir del menú Filtros.
8. Ejecute el commit comando para guardar los cambios en la configuración.

Nota: Evite los caracteres especiales para la clave secreta. Los caracteres ^ y $ que se muestran en el filtro de mensajes son caracteres regex y se utilizan como se indica en el ejemplo.

Nota: Revise el nombre de la configuración de RELAYLIST. Se puede configurar con un nombre alternativo o puede tener un nombre específico basado en su política de retransmisión o proveedor de correo.

Probar correo electrónico saliente

Pruebe el correo saliente de su dirección de correo electrónico de Microsoft 365 a un destinatario de dominio externo. Puede revisar el rastreo de mensajes desde Cisco Secure Email and Web Manager para asegurarse de que se enruta correctamente hacia el exterior.

Nota: Revise la configuración de TLS (Administración del sistema > Configuración SSL) en la puerta de enlace y los cifrados utilizados para SMTP saliente. Las prácticas recomendadas de Cisco recomiendan:

HIGH:MEDIUM:@STRENGTH:!aNULL:!eNULL:!LOW:!DES:!MD5:!EXP:!PSK:!DSS:!RC2:!RC4:!SEED:!ECDSA:!ADH:!IDEA:!3DES:!SSLv2:!SSLv3:!TLSv1:-aNULL:-EXPORT:-IDEA

Un ejemplo de seguimiento con entrega exitosa:

More DetailsHaga clic para ver los detalles completos del mensaje:

Un ejemplo de Rastreo de mensajes donde el x-encabezado no coincide:

Información Relacionada 

Documentación de Cisco Secure Email Gateway

• Release Notes
• Guía del usuario
• Guía de referencia de CLI
• Guías de programación de API para Cisco Secure Email Gateway
• Código abierto utilizado en Cisco Secure Email Gateway
• Guía de instalación del appliance virtual de seguridad de contenido de Cisco (incluye vESA)

Documentación de Secure Email Cloud Gateway

• Release Notes
• Guía del usuario

Documentación de Cisco Secure Email and Web Manager

• Notas de la versión y matriz de compatibilidad
• Guía del usuario
• Guías de programación de API para Cisco Secure Email y Web Manager
• Guía de instalación del appliance virtual de seguridad de contenido de Cisco (incluye vSMA)

Documentación de productos de Cisco Secure

• Cisco Secure Portfolio Naming Architecture