檢測ESA上的欺騙性電子郵件並建立例外

建立郵件篩選器

接下來，您需要建立郵件過濾器，以便利用剛建立的詞典「VALID_INTERNAL_DOMAINS」:

1. 連線到ESA的命令列介面(CLI)。
2. 運行命令Filters。
3. 運行命令New以建立新的消息過濾器。
4. 複製並貼上此過濾器示例，根據需要編輯實際的發件人組名稱：
   
   
   

   mark_spoofed_messages:
   if(
        (mail-from-dictionary-match("VALID_INTERNAL_DOMAINS", 1)) 
    OR  (header-dictionary-match("VALID_INTERNAL_DOMAINS","From", 1))) 
    AND ((sendergroup != "RELAYLIST") 
    AND (sendergroup != "MY_TRUSTED_SPOOF_HOSTS")
     ) 
   {
   insert-header("X-Spoof", "");
   } 

5. 返回主CLI提示符並運行Commit以儲存配置。
6. 導航到GUI > Mail Policies > Incoming Content Filters
7. 建立對欺騙標頭X-Spoof執行操作的傳入內容過濾器：

   1. 新增其他標頭

   2. 報頭名稱：X-Spoof

   3. 標頭存在單選按鈕

   4. 新增操作： duplicate-quarantine(Policy)。 
      

      注意：此處顯示的「重複郵件」功能會保留郵件的副本，並繼續向收件人傳送原始郵件。 

      
      
      
      
      
      
8. 在GUI > Mail Policies > Incoming Mail Policies處，將內容過濾器連結到傳入郵件策略。
9. 提交和提交更改。

向MY_TRUSTED_SPOOF_HOSTS新增欺騙異常

最後，您需要將欺騙異常（IP地址或主機名）新增到MY_TRUSTED_SPOOF_HOSTS發件人組。 

1. 通過Web GUI導航：郵件策略> HAT概述
2. 按一下並開啟MY_TRUSTED_SPOOF_HOSTS發件人組。
3. 按一下Add Sender..以新增IP地址、範圍、主機名或部分主機名。
4. 按一下Submit儲存發件人更改。
5. 最後，按一下Commit Changes以儲存配置。

範例：

驗證

驗證偽裝郵件是否已隔離

傳送測試消息，指定其中一個域作為信封發件人。通過對郵件執行郵件跟蹤來驗證過濾器是否按預期工作。預期的結果是郵件被隔離，因為您尚未為允許欺騙的發件人建立任何例外。 

Thu Apr 23 07:09:53 2015 Info: MID 102 ICID 9 RID 0 To: <xxxx_xxxx@domain.com>
Thu Apr 23 07:10:07 2015 Info: MID 102 Subject 'test1'
Thu Apr 23 07:10:07 2015 Info: MID 102 ready 177 bytes from <user_1@example.com>
Thu Apr 23 07:10:07 2015 Info: MID 102 matched all recipients for per-recipient policy DEFAULT in the inbound table
Thu Apr 23 07:10:11 2015 Info: MID 102 interim verdict using engine: CASE spam negative
Thu Apr 23 07:10:11 2015 Info: MID 102 using engine: CASE spam negative
Thu Apr 23 07:10:11 2015 Info: MID 102 interim AV verdict using Sophos CLEAN
Thu Apr 23 07:10:11 2015 Info: MID 102 antivirus negative
Thu Apr 23 07:10:12 2015 Info: MID 102 quarantined to "Policy" (message filter:quarantine_spoofed_messages)
Thu Apr 23 07:10:12 2015 Info: Message finished MID 102 done

驗證是否正在傳送欺騙異常消息

欺騙例外發件人是上面過濾器中引用的發件人組中的IP地址。

之所以引用RELAYLIST，是因為它被ESA用於傳送出站郵件。由RELAYLIST傳送的郵件通常是出站郵件，如果不包括此項，則會產生誤報，或者由上面的過濾器隔離出站郵件。

新增到MY_TRUSTED_SPOOF_HOSTS的欺騙異常IP地址的郵件跟蹤示例。預期的操作是傳送，而不是隔離。（此IP允許偽裝）。

Thu Apr 23 07:25:57 2015 Info: Start MID 108 ICID 11
Thu Apr 23 07:25:57 2015 Info: MID 108 ICID 11 From: <user_1@example.com>
Thu Apr 23 07:26:02 2015 Info: MID 108 ICID 11 RID 0 To: <user_xxxx@domain.com>
Thu Apr 23 07:26:10 2015 Info: MID 108 Subject 'test2'
Thu Apr 23 07:26:10 2015 Info: MID 108 ready 163 bytes from <user_1@example.com>
Thu Apr 23 07:26:10 2015 Info: MID 108 matched all recipients for per-recipient policy DEFAULT in the inbound table
Thu Apr 23 07:26:10 2015 Info: MID 108 interim AV verdict using Sophos CLEAN
Thu Apr 23 07:26:10 2015 Info: MID 108 antivirus negative
Thu Apr 23 07:26:10 2015 Info: MID 108 queued for delivery
Thu Apr 23 07:26:10 2015 Info: Delivery start DCID 16 MID 108 to RID [0]
Thu Apr 23 07:26:11 2015 Info: Message done DCID 16 MID 108 to RID [0]
Thu Apr 23 07:26:11 2015 Info: MID 108 RID [0] Response '2.0.0 t58EVG9N031598 Message accepted for delivery'
Thu Apr 23 07:26:11 2015 Info: Message finished MID 108 done

相關資訊

• ESA詐騙郵件過濾
• 使用發件人驗證進行欺騙保護