Microsoft 365 configureren met beveiligde e-mail

Een voorbeeld van hoe de configuratie van het e-mailstroombeleid eruit ziet:

E-mail configureren van Microsoft 365 naar CES

1. Meld u aan bij het Microsoft Exchange Admin Center.
2. Navigeer naar Mail flow > Connectors.
3. Klik op[+ Add a connetor]om een nieuwe connector te maken.
4. Kies in het pop-upvenster Uw mailflowscenario selecteren:
   1. Van: Office365
   2. in:Partner organization
5. Klik op de knop Next.
6. Voer een naam in voor de nieuwe connector: Outbound to Cisco CES.
7. Voer een beschrijving in (optioneel).
8. Klik op de knop Next.
9. Voor "Wanneer wilt u deze connector gebruiken?":
   1. Kiezen: Only when I have a transport rule set up that redirects messages to this connector.
   2. Klik op de knop Next. 
10. Klik op de knop Route email through these smart hosts.
11. Klik op [+] en voer de uitgaande IP-adressen of hostnamen in uw CES welkomstbrief.
12. Klik op de knop  Save.
13. Klik op de knop  Next.
14. Voor "Hoe maakt Office 365 verbinding met de e-mailserver van uw partnerorganisatie?":
    1. Kiezen: Always use TLS to secure the connection (recommended).
    2. kiezenAny digital certificate, including self-signed certificates.
    3. Klik op de knop Next.
15. U krijgt het bevestigingsscherm te zien.
16. Klik op de knop  Next.
17. Gebruik [+] om een geldig e-mailadres in te voeren en klik op OK.
18. Klik op Validate en laat de validatie uitvoeren.
19. Klik na voltooiing op
20. Klik op de knop Save.

Een voorbeeld van hoe uw uitgaande connector eruit ziet:

Een e-mailstroomregel maken

1. Meld u aan bij uw Exchange Admin Center.
2. Klik Mail Flow;en zorg ervoor dat u op het tabblad Regels bent.
3. Klik op [+] om een nieuwe regel toe te voegen.
4. kiezen Create a new rule.
5. Voer een naam in voor de nieuwe regel: Outbound to Cisco CES.
6. Voor *Pas deze regel toe als..., kies: The sender is located...
   1. Kies voor het pop-upvenster Locatie van afzender selecteren: Inside the organization.
   2. Klik op de knop OK.
7. Klik op de knop More options...
8. Klik op de knop add condition en voeg een tweede voorwaarde in:
   1. kiezen The recipient...
   2. Kiezen: Is external/internal.
   3. Kies voor het pop-upvenster Locatie van afzender selecteren: Outside the organization.
   4. Klik op de knop OK.
9. Voor *Doe het volgende... kies: Redirect the message to...
   1. Selecteer: de volgende connector.
   2. En selecteer uw uitgaande naar Cisco CES-connector.
   3. Klik op OK.
10. Ga terug naar "*Doe het volgende..." en voer een tweede actie in:
    1. Kiezen: Modify the message properties...
    2. Kiezen: set the message header.
    3. Stel de berichtkop in: X-OUTBOUND-AUTH.
    4. Klik op de knop  OK.
    5. Stel de waarde in: mysecretkey.
       1. mysecretkey is simply a placeholder. Please customize this so it is specific to your environment.
    6. Klik op de knop OK.
11. Klik op de knop Save.

Opmerking: om ongeautoriseerde berichten van Microsoft te voorkomen, kan een geheime x-header worden gestempeld wanneer berichten uw Microsoft 365-domein verlaten; deze header wordt geëvalueerd en verwijderd voordat deze naar het internet wordt verzonden.

Een voorbeeld van hoe uw Microsoft 365-routeringsconfiguratie eruit ziet:

Open relais voorkomen

Let op: dit is een cruciale stap. Het beveiligen van de uitgaande luisteraar is essentieel om te voorkomen dat ongeautoriseerde gebruikers e-mail via het apparaat doorgeven.

Hieronder staan twee opties vermeld. Het wordt aanbevolen om het berichtenfilter (CLI) of het inhoudsfilter (GUI) te gebruiken voor mensen die minder bekend zijn met CLI (Command Line Interface). 

Optie 1: Open Relay via GUI voorkomen

Maak twee inhoudfilters in de GUI:

• Het eerste filter treedt op bij e-mails die geen X-OUTBOUND-AUTH-header hebben of die niet de waarde bevatten die eerder in Microsoft Office 365 is geconfigureerd.
• Het tweede filter is van toepassing op legitieme e-mails die zijn verzonden door de Microsoft Office 365-huurder. Dit filter verwijdert de X-OUTBOUND-AUTH-header zodat deze in de toekomst niet kan worden misbruikt.

1. Navigeer vanuit de GUI naar Mail Policies >> Outgoing Content Filters >> selecteer Stop_O365_OpenRelay (selecteer Filter toevoegen... als dit niet beschikbaar is).
2. Controleer of het eerste inhoudfilter is geconfigureerd:
   • Naam: <dit kan van alles zijn>
   • Beschrijving: <dit kan van alles zijn>
   • Regel toepassen: Alleen als alle voorwaarden overeenkomen
   • Voorwaarden
     • Andere koptekst:
       • Naam koptekst: <Geef de naam van de koptekst op die eerder is vermeld tijdens het maken van de regel voor e-mailstromen op Microsoft Office 365) (bijvoorbeeld X-OUTBOUND-AUTH).
         • Bij sommige klanten is deze configuratie mogelijk vooraf gedefinieerd met behulp van een header-waarde van X-IronPort-Tenant. Hoewel dit ook kan worden gebruikt, is het cruciale onderdeel gewoon om ervoor te zorgen dat de header-waarde die is ingevoerd in de Content Filter-voorwaarde overeenkomt met de header-waarde die is geconfigureerd in de Mail Flow Rule op Microsoft Office 365. 
       • Header-waarde (is niet gelijk): <Voer de waarde in van de header die eerder is vermeld tijdens het maken van de regel voor e-mailstromen op Microsoft Office 365 (zoals mysecretkey).
     • Ontvangende luisteraar (IS): Uitgaand
   • Acties
     • Logitem toevoegen: $header["X-OUTBOUND-AUTH"]
       • Bij sommige klanten is deze configuratie mogelijk vooraf gedefinieerd met behulp van een header-waarde van X-IronPort-Tenant. Hoewel dit ook kan worden gebruikt, is het cruciale onderdeel om ervoor te zorgen dat de header-waarde die is ingevoerd in de voorwaarde Content Filter overeenkomt met de header-waarde die is geconfigureerd in de Mail Flow Rule op Microsoft Office 365. 
     • Quarantaine: <selecteer de betreffende quarantaine> 
   • Vermijd het gebruik van andere speciale tekens dan die welke eerder zijn vermeld (zoals *, (, |, enz.), omdat deze vals-positieve matches kunnen veroorzaken en kunnen leiden tot het in quarantaine plaatsen van legitieme e-mails.
   • Klik op Verzenden.
3. Selecteer vervolgens het inhoudsfilter van Strip_Secret_Header en configureer: (selecteer Filter toevoegen... indien niet beschikbaar):
   • Naam: <dit kan van alles zijn>
   • Beschrijving: <dit kan van alles zijn>
   • Voorwaarden
     • Andere koptekst:
       • Naam koptekst: <Voer de naam van de koptekst in die eerder is vermeld tijdens het maken van de regel voor e-mailstromen op Microsoft Office 365) (bijvoorbeeld,  X-OUTBOUND-AUTH).
         • Bij sommige klanten is deze configuratie mogelijk vooraf gedefinieerd met behulp van een header-waarde van X-IronPort-Tenant. Hoewel dit ook kan worden gebruikt, is het cruciale onderdeel om ervoor te zorgen dat de header-waarde die is ingevoerd in de voorwaarde Content Filter overeenkomt met de header-waarde die is geconfigureerd in de Mail Flow Rule op Microsoft Office 365.
       • Header-waarde (gelijk aan): <Voer de waarde in van de header die eerder is vermeld tijdens het maken van de regel voor e-mailstromen op Microsoft Office 365 (zoals mysecretkey).
   • Acties
     • stripkoptekst 
       • Naam koptekst: <Geef de naam van de koptekst op die eerder is vermeld tijdens het maken van de regel voor e-mailstromen op Microsoft Office 365) (zoals, X-OUTBOUND-AUTH).
         • Bij sommige klanten is deze configuratie mogelijk vooraf gedefinieerd met behulp van een header-waarde van X-IronPort-Tenant. Hoewel dit ook kan worden gebruikt, is het cruciale onderdeel gewoon om ervoor te zorgen dat de header-waarde die is ingevoerd in de Content Filter-voorwaarde, overeenkomt met de header-waarde die is geconfigureerd in de Mail Flow Rule op Microsoft Office 365.
         • Klik op Indienen en navigeer vervolgens naar Mail Policies >> Outgoing Mail Policies.
4. Zorg ervoor dat de nieuw gemaakte inhoudfilters nu zijn ingeschakeld onder het standaardbeleid en alle andere vereiste beleidsregels.
   • Zorg ervoor dat het inhoudsfilter van Strip_Secret_Header in de juiste volgorde staat in het e-mailbeleid. Het moet worden geplaatst na het Stop_O365_OpenRelay-inhoudfilter, of u kunt de e-mailstroom beïnvloeden en/of de inhoudfilters werken mogelijk niet zoals bedoeld. 
5. Verzenden >> Verbinden van wijzigingen.
6. Ga verder met het testen van uw uitgaande e-mailverkeer.

Tip: Nadat uw tests met succes zijn voltooid en de postbezorging werkt zoals verwacht, wordt het aanbevolen om de actie in het inhoudsfilter te wijzigen van "quarantaine" in "drop".

Stop_O365_OpenRelay-inhoudsfilter

Inhoudsfilter strip_secret_header

Optie 2: Open Relay via CLI voorkomen

Toegang tot de CLI voor uw Cisco Secure Email Gateway.

Opmerking: Cisco Secure Email Cloud Gateway > CLI-toegang (Command Line Interface).

Maak een berichtenfilter om de aanwezigheid en waarde van de x-header te inspecteren en verwijder de header als deze bestaat. Als er geen header is, wijs het bericht dan af.

1. Log in op je Gateway via de CLI.
2. Voer het filters -commando uit.
3. Als uw gateway geclusterd is, drukt u op Terug om de filters in de clustermodus te bewerken.
4. Gebruik de opdracht New om een berichtenfilter te maken, te kopiëren en te plakken:
   
   

   office365_outbound: if sendergroup == "RELAYLIST" {
   if header("X-OUTBOUND-AUTH") == "^mysecretkey$" {
   strip-header("X-OUTBOUND-AUTH");
   } else {
   drop();
   }
   }

5. Druk één keer op Enter om een nieuwe lege regel te maken.
6. Voer [.] in op de nieuwe regel om het nieuwe berichtenfilter te beëindigen.
7. Klik één keer op return om het menu Filters af te sluiten.
8. Voer de opdracht commit uit om de wijzigingen in uw configuratie op te slaan.

Opmerking: Vermijd speciale tekens voor de geheime sleutel. De ^ en $ in het berichtenfilter zijn regex-tekens en worden gebruikt zoals aangegeven in het voorbeeld.

Opmerking: Controleer de naam van de configuratie van uw RELAYLIST. Het kan worden geconfigureerd met een alternatieve naam, of u kunt een specifieke naam hebben op basis van uw relay-beleid of e-mailprovider.

Uitgaande e-mail testen

Test uitgaande e-mail van uw Microsoft 365-e-mailadres naar een externe domeinontvanger. U kunt het volgen van berichten bekijken vanuit uw Cisco Secure Email and Web Manager om ervoor te zorgen dat deze op de juiste manier naar buiten wordt geleid.

Opmerking: controleer uw TLS-configuratie (Systeembeheer > SSL-configuratie) op de gateway en de cijfers die worden gebruikt voor uitgaande SMTP. Cisco Best Practices adviseert:

HIGH:MEDIUM:@STRENGTH:!aNULL:!eNULL:!LOW:!DES:!MD5:!EXP:!PSK:!DSS:!RC2:!RC4:!SEED:!ECDSA:!ADH:!IDEA:!3DES:!SSLv2:!SSLv3:!TLSv1:-aNULL:-EXPORT:-IDEA

Een voorbeeld van Tracking (Tracering) met succesvolle levering:

More DetailsKlik om de volledige berichtdetails te zien:

Een voorbeeld van Message Tracking waarbij de x-header niet overeenkomt:

Gerelateerde informatie 

Cisco Secure Email Gateway-documentatie

• Release-opmerkingen
• Gebruikershandleiding
• CLI-referentiehandleiding
• API-programmeerhulplijnen voor Cisco Secure Email Gateway
• Open Source Gebruikt in Cisco Secure Email Gateway
• Cisco Content Security Virtual Appliance Installation Guide (inclusief vESA)

Documentatie over beveiligde e-mailcloudgateway

• Release-opmerkingen
• Gebruikershandleiding

Documentatie voor Cisco Secure Email en Web Manager

• Releaseopmerkingen en compatibiliteitsmatrix
• Gebruikershandleiding
• API-programmeerhulplijnen voor Cisco Secure Email en Web Manager
• Cisco Content Security Virtual Appliance Installation Guide (inclusief vSMA)

Cisco Secure-productdocumentatie

• Cisco Secure Portfolio Naming Architecture