Configurar o Microsoft 365 com Secure Email

Um exemplo de como é a configuração da Política de fluxo de e-mail:

Configurar e-mail do Microsoft 365 para o CES

1. Faça login no Centro de administração do Microsoft Exchange.
2. Navegue até Mail flow > Connectors.
3. Clique[+ Add a connetor]para criar um novo conector.
4. Na janela pop-up Selecionar cenário do fluxo de e-mail, escolha:
   1. De: Office365
   2. Para:Partner organization
5. Clique em Next.
6. Digite um nome para o novo conector: Outbound to Cisco CES.
7. Digite uma descrição (opcional).
8. Clique em Next.
9. Para "Quando você deseja usar este conector?":
   1. Escolha : Only when I have a transport rule set up that redirects messages to this connector.
   2. Clique em Next. 
10. Clique em Route email through these smart hosts.
11. Clique [+] e insira os endereços IP de saída ou os nomes de host fornecidos em sua carta de boas-vindas do CES.
12. Clique em  Save.
13. Clique em  Next.
14. Para "Como o Office 365 se conecta ao servidor de email da sua organização parceira?":
    1. Escolha : Always use TLS to secure the connection (recommended).
    2. Escolha Any digital certificate, including self-signed certificates.
    3. Clique em Next.
15. Você verá a tela de confirmação.
16. Clique em  Next.
17. Use [+] para inserir um endereço de e-mail válido e clique em OK.
18. Clique em Validate e permita que a validação seja executada.
19. Depois de concluir, clique em
20. Clique em Save.

Um exemplo de como é a aparência do Conector de Saída:

Criar uma regra de fluxo de e-mails

1. Faça login no Centro de administração do Exchange.
2. Clique Mail Flow;e verifique se você está na guia regras.
3. Clique em [+] para adicionar uma nova regra.
4. Escolha  Create a new rule.
5. Digite um nome para a nova regra: Outbound to Cisco CES.
6. Para *Aplicar esta regra se..., escolha: The sender is located...
   1. Para o pop-up selecionar local do remetente, escolha: Inside the organization.
   2. Clique em OK.
7. Clique em More options...
8. Clique no add condition botão e insira uma segunda condição:
   1. Escolha  The recipient...
   2. Escolha : Is external/internal.
   3. Para o pop-up selecionar local do remetente, escolha: Outside the organization.
   4. Clique em OK.
9. Para *Fazer o seguinte..., escolha: Redirect the message to...
   1. Selecione: o seguinte conector.
   2. E selecione seu conector Outbound to Cisco CES.
   3. Click OK.
10. Voltar para "*Faça o seguinte..." e inserir uma segunda ação:
    1. Escolha : Modify the message properties...
    2. Escolha : set the message header.
    3. Defina o cabeçalho da mensagem: X-OUTBOUND-AUTH.
    4. Clique em  OK.
    5. Defina o valor: mysecretkey.
       1. mysecretkey is simply a placeholder. Please customize this so it is specific to your environment.
    6. Clique em OK.
11. Clique em Save.

Observação: para evitar mensagens não autorizadas da Microsoft, um cabeçalho x secreto pode ser carimbado quando as mensagens saírem do seu domínio Microsoft 365; esse cabeçalho é avaliado e removido antes da entrega à Internet.

Um exemplo de como é a sua configuração do Microsoft 365 Routing:

Impedir Retransmissão Aberta

aviso: Este é um passo crucial. Proteger o ouvinte de saída é essencial para impedir que usuários não autorizados retransmitam e-mails através do dispositivo.

Há duas opções listadas abaixo. Recomenda-se usar o Filtro de Mensagens (CLI) ou o Filtro de Conteúdo (GUI) para aqueles menos familiarizados com a CLI (Command Line Interface - Interface de Linha de Comando). 

Opção 1: Impedir o Open Relay via GUI

Crie dois filtros de conteúdo na GUI:

• O primeiro filtro age em qualquer email que não tenha o cabeçalho X-OUTBOUND-AUTH ou que não contenha o valor configurado anteriormente no Microsoft Office 365.
• O segundo filtro se aplica a emails legítimos enviados do locatário do Microsoft Office 365. Esse filtro remove o cabeçalho X-OUTBOUND-AUTH para que ele não seja usado incorretamente no futuro.

1. Na GUI, navegue até Mail Policies > Outgoing Content Filters >> selecione Stop_O365_OpenRelay (selecione Add Filter... se não estiver disponível).
2. Certifique-se de que o primeiro filtro de conteúdo esteja configurado:
   • Nome: <isso pode ser qualquer coisa>
   • Descrição: <isso pode ser qualquer coisa>
   • Aplicar regra: Somente se todas as condições corresponderem
   • Condições
     • Outro cabeçalho:
       • Nome do cabeçalho: <Insira o nome do cabeçalho listado anteriormente durante a criação da Regra de fluxo de e-mail no Microsoft Office 365) (por exemplo, X-OUTBOUND-AUTH).
         • Alguns clientes podem ter essa configuração predefinida usando um valor de cabeçalho de X-IronPort-Tenant. Embora isso também possa ser usado, a parte crucial é simplesmente verificar se o valor do cabeçalho inserido na condição Filtro de conteúdo corresponde ao valor do cabeçalho que foi configurado na Regra de fluxo de e-mail no Microsoft Office 365. 
       • Valor do cabeçalho (diferente de): <Insira o valor do cabeçalho listado anteriormente durante a criação da Regra de fluxo de email no Microsoft Office 365 (como mysecretkey).
     • Recebendo Ouvinte (Is): Saída
   • Ações
     • Adicionar Entrada de Log: $Header["X-OUTBOUND-AUTH"]
       • Alguns clientes podem ter essa configuração predefinida usando um valor de cabeçalho de X-IronPort-Tenant. Embora isso também possa ser usado, a parte crucial é garantir que o valor do cabeçalho inserido na condição Filtro de conteúdo corresponda ao valor do cabeçalho que foi configurado na Regra de fluxo de e-mail no Microsoft Office 365. 
     • Quarentena: <selecionar quarentena respectiva> 
   • Evite usar caracteres especiais diferentes dos listados anteriormente (como *, (, |, etc.), pois podem causar falsos positivos e resultar em e-mails legítimos em quarentena.
   • Clique em Submit.
3. Em seguida, selecione o filtro de conteúdo Strip_Secret_Header e configure: (selecione Adicionar filtro... se não estiver disponível):
   • Nome: <isso pode ser qualquer coisa>
   • Descrição: <isso pode ser qualquer coisa>
   • Condições
     • Outro cabeçalho:
       • Nome do cabeçalho: <Insira o nome do cabeçalho listado anteriormente durante a criação da Regra de fluxo de e-mail no Microsoft Office 365) (por exemplo,  X-OUTBOUND-AUTH).
         • Alguns clientes podem ter essa configuração predefinida usando um valor de cabeçalho de X-IronPort-Tenant. Embora isso também possa ser usado, a parte crucial é garantir que o valor do cabeçalho inserido na condição Filtro de conteúdo corresponda ao valor do cabeçalho que foi configurado na Regra de fluxo de e-mail no Microsoft Office 365.
       • Valor do cabeçalho (igual a): <Insira o valor do cabeçalho listado anteriormente durante a criação da Regra de fluxo de email no Microsoft Office 365 (como mysecretkey).
   • Ações
     • Cabeçalho da Faixa 
       • Nome do cabeçalho: <Insira o nome do cabeçalho listado anteriormente durante a criação da Regra de fluxo de e-mail no Microsoft Office 365) (como, X-OUTBOUND-AUTH).
         • Alguns clientes podem ter essa configuração predefinida usando um valor de cabeçalho de X-IronPort-Tenant. Embora isso também possa ser usado, a parte crucial é simplesmente verificar se o valor do cabeçalho inserido na condição Filtro de conteúdo corresponde ao valor do cabeçalho que foi configurado na Regra de fluxo de e-mail no Microsoft Office 365.
         • Clique em Enviar e navegue para Políticas de e-mail > Políticas de envio de e-mail.
4. Certifique-se de que os filtros de conteúdo recém-criados estejam agora habilitados na política padrão e em qualquer outra política necessária.
   • Verifique se o filtro de conteúdo Strip_Secret_Header está na ordem correta na(s) política(s) de e-mail. Ele deve ser colocado após o filtro de conteúdo Stop_O365_OpenRelay, ou você pode impactar o fluxo de e-mail e/ou os filtros de conteúdo podem não funcionar como esperado. 
5. Enviar >> Confirmar suas alterações.
6. Continue com o teste do tráfego de e-mail de saída.

Tip: Depois que os testes forem concluídos com êxito e a entrega de e-mails estiver funcionando conforme esperado, é recomendável alterar a ação no Filtro de conteúdo de "quarentena" para "descartar".

Stop_O365_OpenRelay Filtro de conteúdo

Filtro de conteúdo Strip_Secret_Header

Opção 2: Impedir retransmissão aberta via CLI

Acesse a CLI do Cisco Secure Email Gateway.

Observação: Cisco Secure Email Cloud Gateway > Acesso à Interface de Linha de Comando (CLI).

Crie um filtro de mensagem para inspecionar a presença e o valor do cabeçalho x e remova o cabeçalho, se ele existir. Se não houver cabeçalho, descarte a mensagem.

1. Faça login no Gateway via CLI.
2. Execute o filters comando.
3. Se o Gateway estiver clusterizado, pressione return para editar os filtros no modo Cluster.
4. Use o New comando para criar, copiar e colar um filtro de mensagens:
   
   

   office365_outbound: if sendergroup == "RELAYLIST" {
   if header("X-OUTBOUND-AUTH") == "^mysecretkey$" {
   strip-header("X-OUTBOUND-AUTH");
   } else {
   drop();
   }
   }

5. Pressione Retornar uma vez para criar uma nova linha em branco.
6. Digite [.] na nova linha para finalizar o novo filtro de mensagens.
7. Clique return uma vez para sair do menu Filtros.
8. Execute o commit comando para salvar as alterações na sua configuração.

Note: Evite caracteres especiais para a chave secreta. Os ^ e $ mostrados no filtro da mensagem são caracteres regex e são usados conforme fornecido no exemplo.

Note: Revise o nome de como sua RELAYLIST está configurada. Ele pode ser configurado com um nome alternativo ou você pode ter um nome específico com base na sua política de retransmissão ou no seu provedor de e-mail.

Testar email de saída

Teste os emails de saída do seu endereço de email do Microsoft 365 para um destinatário de domínio externo. Você pode rever o Rastreamento de mensagens do Cisco Secure Email e do Web Manager para garantir que ele seja encaminhado corretamente para a saída.

Note: Revise sua configuração TLS (Administração do sistema > Configuração SSL) no Gateway e as cifras usadas para SMTP de saída. As Melhores formas de aprendizado da Cisco recomendam:

HIGH:MEDIUM:@STRENGTH:!aNULL:!eNULL:!LOW:!DES:!MD5:!EXP:!PSK:!DSS:!RC2:!RC4:!SEED:!ECDSA:!ADH:!IDEA:!3DES:!SSLv2:!SSLv3:!TLSv1:-aNULL:-EXPORT:-IDEA

Um exemplo de rastreamento com entrega bem-sucedida:

More DetailsClique para ver os detalhes completos da mensagem:

Um exemplo de Rastreamento de Mensagem onde o cabeçalho x não corresponde:

Informações Relacionadas 

Documentação do Cisco Secure Email Gateway

• Notas de versão
• Guia do usuário
• Guia de referência CLI
• Guias de programação de API para Cisco Secure Email Gateway
• Fonte aberta usada no Cisco Secure Email Gateway
• Guia de instalação do Cisco Content Security Virtual Appliance (inclui vESA)

Documentação do Secure Email Cloud Gateway

• Notas de versão
• Guia do usuário

Documentação do Cisco Secure Email and Web Manager

• Notas de versão e matriz de compatibilidade
• Guia do usuário
• Guias de programação de API para Cisco Secure Email e Web Manager
• Guia de instalação do Cisco Content Security Virtual Appliance (inclui vSMA)

Documentação do produto Cisco Secure

• Arquitetura de nomeação de portfólio seguro da Cisco