E-mailbeveiligingstoestel configureren om gesimuleerde phishingcampagnes toe te staan

Inleiding

In dit document wordt beschreven hoe u de Email Security Appliance (ESA) configureert zodat gesimuleerde campagnes van het phishingplatform met succes kunnen worden doorgegeven.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• Berichten- en inhoudsfilters maken op het Cisco Email Security Appliance (ESA).
• Configuratie van de Host Access Table (HAT).
• De Cisco ESA-pijplijn voor inkomende e-mail.

Gebruikte componenten

Dit document is niet beperkt tot specifieke software- en hardware-versies.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

Met gesimuleerde phishingplatforms kunnen beheerders phishingcampagnes uitvoeren voor het testen van het beveiligingsbewustzijn.

Oorzaak

Wanneer Cisco ESA niet is geconfigureerd om de gesimuleerde phishing-platformhosts te vertrouwen, kunnen beveiligingsscans en beleidscontroles campagneberichten stoppen. Dit gedrag kan campagnefalen veroorzaken of de effectiviteit van de simulatie verminderen.

Oplossing

Waarschuwing: in dit configuratievoorbeeld wordt het TRUSTED-poststroombeleid geselecteerd zodat de Cisco ESA grotere gesimuleerde phishingcampagnes zonder enige beperking kan doorlopen. Het uitvoeren van continue phishingcampagnes met een hoog volume kan de prestaties van e-mailverwerking beïnvloeden.

Om ervoor te zorgen dat Cisco ESA campagneberichten niet stopt, configureert u een speciale afzendergroep en omzeilt u het scannen naar de platformhosts.

1. Navigeer naar GUI > E-mailbeleid > HAT-overzicht.

2. Maak een nieuwe afzendergroep aan en verbind deze aan het TRUSTED-beleid voor e-mailstromen. U kunt ook een nieuw beleid met vergelijkbare opties maken onder GUI > E-mailbeleid > E-mailstroombeleid.

3. Voeg de verzendende hosts of IP-adressen van het gesimuleerde phishingplatform toe aan deze afzendergroep. Als het gesimuleerde phishingplatform een groot IP-adresbereik gebruikt, voegt u indien van toepassing gedeeltelijke hostnamen of IP-bereiken toe.

4. Bestel de afzendergroep die voorafgaat aan uw BLOCKLIST-afzendergroep om ervoor te zorgen dat deze statisch wordt afgestemd in plaats van SBRS.

5. Navigeer naar GUI > E-mailbeleid > E-mailstroombeleid > VERTROUWD, of naar het nieuw gemaakte e-mailstroombeleid.

6. Schakel alle beveiligingsfuncties voor dat vertrouwde beleid uit, zoals wordt weergegeven in de schermafbeelding.

6. Dien de wijzigingen in en verbind de configuratie.

AsyncOS 13.x en eerder

Waarschuwing: in dit configuratievoorbeeld wordt het TRUSTED-poststroombeleid geselecteerd zodat de Cisco ESA grotere gesimuleerde phishingcampagnes zonder enige beperking kan doorlopen. Het uitvoeren van continue phishingcampagnes met een hoog volume kan de prestaties van e-mailverwerking beïnvloeden.

Om ervoor te zorgen dat de phishing-campagneberichten niet worden gestopt door een beveiligingscomponent van de Cisco ESA, moet de configuratie worden ingesteld.

1. Navigeer naar GUI > E-mailbeleid > HAT-overzicht.

2. Maak een nieuwe afzendergroep aan en verbind deze aan het TRUSTED-beleid voor e-mailstromen.

3. Voeg de verzendende host(s) of IP(s) van het gesimuleerde phishingplatform toe aan deze afzendergroep. Als het gesimuleerde phishingplatform een groot aantal IP's heeft, kunt u in plaats daarvan gedeeltelijke hostnamen of IP-bereiken toevoegen, indien van toepassing.

4. Bestel de Sender Group voorafgaand aan uw BLOCKLIST Sender Group om ervoor te zorgen dat deze statisch wordt gematcht in plaats van BS.

5. Indienen en vastleggen van deze wijzigingen, 

6. Ga naar de opdrachtregelinterface (CLI).

7. Voer filters uit.

8. Maak een nieuw berichtenfilter aan. Kopieer de syntaxis, wijzig deze voor de omgeving en voeg het filter toe.

skip_engines_for_simulated_phishing:
if (sendergroup == "name_of_the_newly_created_sender_group")
{
insert-header("x-sp", "uniquevalue");
log-entry("Skipped scanning engines for simulated phishing");
skip-spamcheck();
skip-viruscheck();
skip-ampcheck();
skip-marketingcheck();
skip-socialcheck();
skip-bulkcheck();
skip-vofcheck();
skip-filters();
}
.

9. Bestel het berichtenfilter in de lijst om ervoor te zorgen dat het niet wordt overgeslagen door een ander berichtenfilter met actie voor overslaan-filters.

10. Druk op Enter om terug te keren naar de hoofdopdrachtprompt van AsyncOS.

11. Voer commit uit om de wijzigingen op te slaan.

12. Druk niet op Ctrl+C. Het verwijdert de veranderingen.

13. Navigeer naar GUI > E-mailbeleid > Inkomende inhoudsfilters.

14. Maak een nieuw filter voor binnenkomende inhoud.

15. Stel de voorwaarde in op Andere koptekst.

16. Configureer het filter om te zoeken naar de aangepaste header x-sp en de unieke waarde die is geconfigureerd in het berichtenfilter.

17. Stel de actie in op Resterende inhoudsfilters overslaan (Laatste actie).

18. Bestel het inhoudsfilter op 1 om ervoor te zorgen dat andere filters geen actie ondernemen tegen het gesimuleerde phishingbericht.

19. Navigeer naar GUI > E-mailbeleid > Beleid voor inkomende e-mail.

20. Wijs het inhoudsfilter toe aan het vereiste beleid.

21. Wijzigingen indienen en vastleggen.

22. Voer de gesimuleerde phishing-platformcampagne uit.

23. Controleer de mail_logs of Berichtentracering om de overeenkomende berichtenstroom en beleidsregels te controleren.

24. Verwachte uitkomst: Cisco ESA accepteert de campagneberichten, komt overeen met de geconfigureerde afzendergroep en filters en omzeilt de geconfigureerde scanacties voor het vertrouwde beleid.

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
3.0	21-Jul-2026	Hercertificering.
2.0	22-Dec-2021	Het berichtenfilter is bijgewerkt zodat het een opgenomen regel bevat. Inclusief een update van versie 14 om het overslaan van e-mailstroombeleid mogelijk te maken.
1.0	29-Apr-2020	Eerste vrijgave