Configurazione di Microsoft 365 con Secure Email

Esempio di configurazione dei criteri di flusso della posta:

Configurazione dell'e-mail da Microsoft 365 a CES

1. Accedere all'interfaccia di amministrazione di Microsoft Exchange.
2. Passare a Mail flow > Connectors.
3. Fare clic su[+ Add a connetor]per creare un nuovo connettore.
4. Nella finestra popup Selezionare lo scenario del flusso di posta, scegliere:
   1. Da: Office365
   2. A:Partner organization
5. Fare clic su Next.
6. Immettere un nome per il nuovo connettore: Outbound to Cisco CES.
7. Immettere una descrizione (facoltativo).
8. Fare clic su Next.
9. Per "Quando si desidera utilizzare questo connettore?":
   1. Scegli: Only when I have a transport rule set up that redirects messages to this connector.
   2. Fare clic su Next. 
10. Fare clic su Route email through these smart hosts.
11. Fare clic su [+] e immettere gli indirizzi IP in uscita o i nomi host forniti nella lettera di benvenuto del CES.
12. Fare clic su  Save.
13. Fare clic su  Next.
14. Per "Come si connette Office 365 al server di posta elettronica dell'organizzazione partner?":
    1. Scegli: Always use TLS to secure the connection (recommended).
    2. ScegliAny digital certificate, including self-signed certificates.
    3. Fare clic su Next.
15. Viene visualizzata la schermata di conferma.
16. Fare clic su  Next.
17. Utilizzare [+] per immettere un indirizzo e-mail valido e fare clic su OK.
18. Fare clic su Validate e consentire l'esecuzione della convalida.
19. Al termine, fare clic su
20. Fare clic su Save.

Di seguito è riportato un esempio dell'aspetto del connettore in uscita:

Regola Crea un flusso di posta

1. Accedere all'interfaccia di amministrazione di Exchange.
2. Fare clic su Mail Flow;e verificare di essere nella scheda Regole.
3. Fare clic [+] per aggiungere una nuova regola.
4. Scegli Create a new rule.
5. Immettere un nome per la nuova regola: Outbound to Cisco CES.
6. Per *Applicare questa regola se..., scegliere: The sender is located...
   1. Per il popup di selezione della località del mittente, scegliere: Inside the organization.
   2. Fare clic su OK.
7. Fare clic su More options...
8. Fare clic sul add condition pulsante e inserire una seconda condizione:
   1. Scegli The recipient...
   2. Scegli: Is external/internal.
   3. Per il popup di selezione della località del mittente, scegliere: Outside the organization.
   4. Fare clic su OK.
9. Per *Fare quanto segue..., scegliere: Redirect the message to...
   1. Selezionare: il seguente connettore.
   2. E selezionare il connettore Outbound to Cisco CES.
   3. Fare clic su OK.
10. Tornare a "*Fare quanto segue..." e inserire una seconda azione:
    1. Scegli: Modify the message properties...
    2. Scegli: set the message header.
    3. Impostare l'intestazione del messaggio su: X-OUTBOUND-AUTH.
    4. Fare clic su  OK.
    5. Impostare il valore: mysecretkey.
       1. mysecretkey is simply a placeholder. Please customize this so it is specific to your environment.
    6. Fare clic su OK.
11. Fare clic su Save.

Nota: per impedire la ricezione di messaggi non autorizzati da parte di Microsoft, è possibile contrassegnare un'intestazione x segreta quando i messaggi lasciano il dominio Microsoft 365. questa intestazione viene valutata e rimossa prima della consegna a Internet.

Esempio di configurazione del routing di Microsoft 365:

Impedisci apertura inoltro

Avviso: Si tratta di un passo fondamentale. La protezione del listener in uscita è essenziale per impedire agli utenti non autorizzati di inoltrare messaggi e-mail attraverso il dispositivo.

Di seguito sono elencate due opzioni. Si consiglia di utilizzare il filtro messaggi (CLI) o il filtro contenuti (GUI) per gli utenti meno esperti di CLI (Command Line Interface). 

Opzione 1: Impedisci apertura relay tramite GUI

Creare due filtri dei contenuti nella GUI:

• Il primo filtro esegue un'azione su tutti i messaggi di posta elettronica che non dispongono dell'intestazione X-OUTBOUND-AUTH o che non contengono il valore configurato in precedenza in Microsoft Office 365.
• Il secondo filtro si applica ai messaggi di posta elettronica legittimi inviati dal tenant Microsoft Office 365. Questo filtro rimuove l'intestazione X-OUTBOUND-AUTH in modo che non possa essere utilizzata in modo errato in futuro.

1. Dalla GUI, selezionare Mail Policies > Outgoing Content Filters >> (Policy di posta > Filtri contenuti in uscita >> selezionare Stop_O365_OpenRelay (selezionare Aggiungi filtro... se non è disponibile).
2. Verificare che il primo filtro contenuti sia configurato:
   • Nome: <qualsiasi cosa>
   • Descrizione: <qualsiasi cosa>
   • Applica regola: Solo se tutte le condizioni corrispondono
   • Condizioni
     • Altra intestazione:
       • Nome intestazione: <Immettere il nome dell'intestazione elencato in precedenza durante la creazione della regola del flusso di posta in Microsoft Office 365) (ad esempio, X-OUTBOUND-AUTH).
         • Alcuni clienti possono avere questa configurazione predefinita utilizzando il valore di intestazione X-IronPort-Tenant. Anche se è possibile utilizzare questa funzionalità, la parte fondamentale consiste semplicemente nel verificare che il valore dell'intestazione immesso nella condizione del filtro contenuti corrisponda al valore dell'intestazione configurato nella regola del flusso di posta in Microsoft Office 365. 
       • Valore intestazione (diverso da): <Immettere il valore dell'intestazione elencata in precedenza durante la creazione della regola del flusso di posta in Microsoft Office 365 (ad esempio, mysecretkey).
     • Listener Di Ricezione (Is): In uscita
   • Azioni
     • Aggiungi voce di log: $Header["X-OUTBOUND-AUTH"]
       • Alcuni clienti possono avere questa configurazione predefinita utilizzando il valore di intestazione X-IronPort-Tenant. Anche se è possibile utilizzare questa funzionalità, è fondamentale verificare che il valore dell'intestazione immesso nella condizione del filtro contenuti corrisponda al valore dell'intestazione configurato nella regola del flusso di posta in Microsoft Office 365. 
     • Quarantena: <seleziona la rispettiva quarantena> 
   • Evita di utilizzare caratteri speciali diversi da quelli elencati in precedenza (ad esempio *, (, |, ecc.), in quanto possono causare false corrispondenze positive e possono comportare la messa in quarantena delle e-mail legittime.
   • Fare clic su Invia.
3. Selezionare quindi il filtro contenuto Strip_Secret_Header e configurare: (selezionare Aggiungi filtro... se non disponibile):
   • Nome: <qualsiasi cosa>
   • Descrizione: <qualsiasi cosa>
   • Condizioni
     • Altra intestazione:
       • Nome intestazione: <Immettere il nome dell'intestazione elencato in precedenza durante la creazione della regola del flusso di posta in Microsoft Office 365) (ad esempio,  X-OUTBOUND-AUTH).
         • Alcuni clienti possono avere questa configurazione predefinita utilizzando il valore di intestazione X-IronPort-Tenant. Anche se è possibile utilizzare questa funzionalità, è fondamentale verificare che il valore dell'intestazione immesso nella condizione del filtro contenuti corrisponda al valore dell'intestazione configurato nella regola del flusso di posta in Microsoft Office 365.
       • Valore intestazione (uguale a): <Immettere il valore dell'intestazione elencata in precedenza durante la creazione della regola del flusso di posta in Microsoft Office 365 (ad esempio, mysecretkey).
   • Azioni
     • Intestazione striscia 
       • Nome intestazione: <Immettere il nome dell'intestazione elencato in precedenza durante la creazione della regola del flusso di posta in Microsoft Office 365) (ad esempio, X-OUTBOUND-AUTH).
         • Alcuni clienti possono avere questa configurazione predefinita utilizzando il valore di intestazione X-IronPort-Tenant. Anche se è possibile utilizzare questa funzionalità, la parte fondamentale consiste semplicemente nel verificare che il valore dell'intestazione immesso nella condizione del filtro contenuti corrisponda al valore dell'intestazione configurato nella regola del flusso di posta in Microsoft Office 365.
         • Fare clic su Invia, quindi passare a Criteri posta >> Criteri posta in uscita.
4. Verificare che i nuovi filtri contenuti creati siano abilitati nel criterio predefinito e in tutti gli altri criteri necessari.
   • Verificare che il filtro contenuto Strip_Secret_Header sia nell'ordine corretto nei criteri di posta. Deve essere posizionato dopo il filtro contenuti Stop_O365_OpenRelay, altrimenti si potrebbe influire sul flusso di posta e/o i filtri contenuti potrebbero non funzionare come previsto. 
5. Invia >> Conferma le modifiche.
6. Continuare con il test del traffico e-mail in uscita.

Suggerimento: Dopo il completamento dei test e il corretto funzionamento del recapito della posta, si consiglia di modificare l'azione nel filtro contenuto da "quarantena" a "drop".

Stop_O365_OpenRelay Filtro contenuti

Filtro contenuto Strip_Secret_Header

Opzione 2: Impedisci Open Relay tramite CLI

Accedere alla CLI per Cisco Secure Email Gateway.

Nota: Cisco Secure Email Cloud Gateway > Accesso all'interfaccia della riga di comando (CLI).

Creare un filtro messaggi per controllare la presenza e il valore dell'intestazione x e rimuovere l'intestazione, se esistente. Se non esiste alcuna intestazione, il messaggio viene scartato.

1. Accedere al gateway tramite la CLI.
2. Eseguire il filters comando.
3. Se il gateway è di tipo cluster, fare clic su Ritorna per modificare i filtri in modalità cluster.
4. Utilizzare il New comando per creare un filtro messaggi, copiarlo e incollarlo:
   
   

   office365_outbound: if sendergroup == "RELAYLIST" {
   if header("X-OUTBOUND-AUTH") == "^mysecretkey$" {
   strip-header("X-OUTBOUND-AUTH");
   } else {
   drop();
   }
   }

5. Premere Ritorno una volta per creare una nuova riga vuota.
6. Immettere [.] nella nuova riga per terminare il nuovo filtro messaggi.
7. Fare clic return una volta per uscire dal menu Filtri.
8. Eseguire il comando commit per salvare le modifiche apportate alla configurazione.

Nota: Evitare di utilizzare caratteri speciali per la chiave segreta. ^ e $ mostrati nel filtro messaggi sono caratteri regex e vengono utilizzati come indicato nell'esempio.

Nota: Controllare il nome della configurazione di RELAYLIST. Può essere configurato con un nome alternativo oppure è possibile avere un nome specifico basato sul criterio di inoltro o sul provider di posta.

Test posta elettronica in uscita

Verifica la posta in uscita dal tuo indirizzo di posta elettronica Microsoft 365 a un destinatario del dominio esterno. È possibile rivedere il Message Tracking da Cisco Secure Email e Web Manager per verificare che sia instradato correttamente in uscita.

Nota: Verificare la configurazione TLS (Amministrazione sistema > Configurazione SSL) sul gateway e le cifrature utilizzate per SMTP in uscita. Best Practices di Cisco consiglia:

HIGH:MEDIUM:@STRENGTH:!aNULL:!eNULL:!LOW:!DES:!MD5:!EXP:!PSK:!DSS:!RC2:!RC4:!SEED:!ECDSA:!ADH:!IDEA:!3DES:!SSLv2:!SSLv3:!TLSv1:-aNULL:-EXPORT:-IDEA

Un esempio di monitoraggio con consegna riuscita:

More DetailsFare clic per visualizzare i dettagli completi del messaggio:

Esempio di verifica messaggi in cui l'intestazione x non corrisponde:

Informazioni correlate 

Documentazione di Cisco Secure Email Gateway

• Note sulla release
• Guida dell'utente
• Guida di riferimento CLI
• Guide alla programmazione API per Cisco Secure Email Gateway
• Open Source utilizzato in Cisco Secure Email Gateway
• Guida all'installazione di Cisco Content Security Virtual Appliance (include vESA)

Documentazione su Secure Email Cloud Gateway

• Note sulla release
• Guida dell'utente

Documentazione di Cisco Secure Email e Web Manager

• Note sulla versione e matrice di compatibilità
• Guida dell'utente
• Guide alla programmazione API per Cisco Secure Email e Web Manager
• Guida all'installazione di Cisco Content Security Virtual Appliance (include vSMA)

Documentazione del prodotto Cisco Secure

• Architettura di denominazione del portfolio Cisco Secure