Configurar o Email Security Appliance para permitir campanhas simuladas de phishing

Introdução

Este documento descreve como configurar o Email Security Appliance (ESA) para permitir que campanhas simuladas da plataforma de phishing sejam aprovadas com sucesso.

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

• Criação de filtros de mensagens e conteúdo no Cisco Email Security Appliance (ESA).
• Configuração da HAT (Host Access Table, tabela de acesso de host).
• Compreensão do pipeline de e-mail de entrada do Cisco ESA.

Componentes Utilizados

Este documento não se restringe a versões de software e hardware específicas.

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Informações de Apoio

Plataformas simuladas de phishing permitem que os administradores executem campanhas de phishing para testes de reconhecimento de segurança.

Causa

Quando o Cisco ESA não está configurado para confiar nos hosts simulados da plataforma de phishing, a varredura de segurança e os controles de política podem interromper as mensagens da campanha. Esse comportamento pode causar falha na campanha ou reduzir a eficácia da simulação.

Solução

Caution: Neste exemplo de configuração, a política de fluxo de e-mail TRUSTED é selecionada para permitir que o Cisco ESA passe por campanhas de phishing simuladas maiores sem qualquer limitação. A execução de campanhas contínuas de phishing de grande volume pode afetar o desempenho do processamento de e-mails.

Para garantir que o Cisco ESA não pare as mensagens de campanha, configure um grupo de remetente dedicado e ignore a verificação dos hosts da plataforma.

1. Navegue até GUI > Políticas de e-mail > Visão geral do HAT.

2. Crie um novo Grupo de Remetente e vincule-o à política de fluxo de e-mail TRUSTED. Como alternativa, crie uma nova política com opções semelhantes em GUI > Mail Policies > Mail Flow Policies.

3. Adicione os hosts de envio ou os endereços IP da plataforma de phishing simulada a este grupo de remetente. Se a plataforma de phishing simulada usar um grande intervalo de endereços IP, adicione nomes de host parciais ou intervalos de IP, se aplicável.

4. Ordene o Grupo de Remetentes que precede o Grupo de Remetentes da LISTA DE BLOQUEIO para garantir que ele seja correspondido estaticamente em vez de SBRS.

5. Navegue até GUI > Políticas de e-mail > Políticas de fluxo de e-mail > CONFIÁVEL, ou até a política de fluxo de e-mail recém-criada.

6. Desative todos os recursos de segurança dessa política confiável, conforme mostrado na captura de tela.

6. Envie as alterações e confirme a configuração.

AsyncOS 13.x e anterior

Caution: Neste exemplo de configuração, a política de fluxo de e-mail TRUSTED é selecionada para permitir que o Cisco ESA passe por campanhas de phishing simuladas maiores sem qualquer limitação. A execução de campanhas contínuas de phishing de grande volume pode afetar o desempenho do processamento de e-mails.

Para garantir que as mensagens da campanha de phishing não sejam interrompidas por nenhum componente de segurança do Cisco ESA, a configuração precisa ser implementada.

1. Navegue até GUI > Políticas de e-mail > Visão geral do HAT.

2. Crie um novo Grupo de Remetente e vincule-o à política de fluxo de e-mail TRUSTED.

3. Adicione o(s) host(s) ou IP(s) emissor(es) da plataforma de phishing simulada a este grupo de remetente. Se a plataforma de phishing simulada tiver um grande intervalo de IPs, você poderá adicionar nomes de host parciais ou intervalos de IP, se aplicável.

4. Ordene o Grupo de Remetentes que precede o Grupo de Remetentes da LISTA DE BLOQUEIO para garantir que ele seja correspondido estaticamente em vez de BS.

5. Envie e confirme essas alterações, 

6. Navegue até a interface de linha de comando (CLI).

7. Execute filtros.

8. Crie um novo filtro de mensagens. Copie a sintaxe, modifique-a para o ambiente e adicione o filtro.

skip_engines_for_simulated_phishing:
if (sendergroup == "name_of_the_newly_created_sender_group")
{
insert-header("x-sp", "uniquevalue");
log-entry("Skipped scanning engines for simulated phishing");
skip-spamcheck();
skip-viruscheck();
skip-ampcheck();
skip-marketingcheck();
skip-socialcheck();
skip-bulkcheck();
skip-vofcheck();
skip-filters();
}
.

9. Ordene o filtro de mensagens para cima na lista para garantir que ele não seja ignorado por outro filtro de mensagens que inclua a ação ignorar-filtros.

10. Pressione Enter para voltar ao prompt de comando principal do AsyncOS.

11. Execute commit para salvar as alterações.

12. Não pressione Ctrl+C. Apaga as alterações.

13. Navegue até GUI > Políticas de e-mail > Filtros de conteúdo de entrada.

14. Crie um novo Filtro de Conteúdo de Entrada.

15. Defina a condição como Outro Cabeçalho.

16. Configure o filtro para procurar o cabeçalho personalizado x-sp e o valor exclusivo configurado no filtro de mensagem.

17.  Defina a ação como Ignorar filtros de conteúdo restantes (ação final).

18. Ordene o filtro de conteúdo como 1 para garantir que outros filtros não executem ações contra a mensagem de phishing simulada.

19. Navegue até GUI > Políticas de e-mail > Políticas de recebimento de e-mail.

20. Atribua o filtro de conteúdo à política necessária.

21. Enviar e confirmar as alterações.

22. Execute a campanha simulada da plataforma de phishing.

23. Monitore mail_logs ou o Rastreamento de Mensagem para verificar o fluxo de mensagens e a correspondência de regras de política.

24. Resultado esperado: O Cisco ESA aceita as mensagens da campanha, corresponde ao grupo de remetente configurado e aos filtros e ignora as ações de varredura configuradas para a política confiável.

Histórico de revisões

Revisão	Data de publicação	Comentários
3.0	21-Jul-2026	Recertificação.
2.0	22-Dec-2021	Filtro de mensagens atualizado para conter uma regra incluída. Incluída uma atualização na versão 14 para permitir ignorar via política de fluxo de email.
1.0	29-Apr-2020	Versão inicial