Порядок и приоритет защиты электронной почты

В организациях Microsoft 365 с почтовыми ящиками в Exchange Online или автономных Exchange Online Protection (EOP) без Exchange Online почтовых ящиков входящие сообщения электронной почты могут быть помечены несколькими формами защиты. Например, защита от спуфингов, доступная всем клиентам Microsoft 365, и защита от олицетворения, доступная только для Microsoft Defender для Office 365 клиентов. Сообщения также проходят несколько проверок на наличие вредоносных программ, спама, фишинга и т. д. Учитывая все это действие, может возникнуть некоторая путаница в отношении того, какая политика применяется.

Как правило, политика, применяемая к сообщению, определяется в заголовке X-Forefront-Antispam-Report в свойстве CAT (Category). Дополнительные сведения см. в статье Заголовки сообщений о защите от нежелательной почты.

Существует два основных фактора, определяющих, какая политика применяется к сообщению:

• Порядок обработки для типа защиты электронной почты. Этот порядок не настраивается и описан в следующей таблице:

  Порядок	защита Email	Категория	Где управлять
  1	Вредоносная программа	CAT:MALW	Настройка политик защиты от вредоносных программ в EOP
  2	Фишинг с высокой вероятностью	CAT:HPHSH	Настройка политик защиты от спама в EOP
  3	Фишинг	CAT:PHSH	Настройка политик защиты от спама в EOP
  4	Нежелательная почта с высокой вероятностью	CAT:HSPM	Настройка политик защиты от спама в EOP
  5	Спуфинг	CAT:SPOOF	Аналитика спуфинга в EOP
  6*	Олицетворение пользователя (защищенные пользователи)	CAT:UIMP	Настройка политик защиты от фишинга в Microsoft Defender для Office 365
  7*	Олицетворение домена (защищенные домены)	CAT:DIMP	Настройка политик защиты от фишинга в Microsoft Defender для Office 365
  8*	Аналитика почтовых ящиков (граф контактов)	CAT:GIMP	Настройка политик защиты от фишинга в Microsoft Defender для Office 365
  9	Спам	CAT:SPM	Настройка политик защиты от спама в EOP
  10	Массовая рассылка	CAT:BULK	Настройка политик защиты от спама в EOP

  ^*Эти функции доступны только в политиках защиты от фишинга в Microsoft Defender для Office 365.

• Порядок приоритетов политик. Порядок приоритета политики показан в следующем списке:

  1. Политики защиты от нежелательной почты, защиты от вредоносных программ, защиты от фишинга, безопасных ссылок^* и безопасных^* вложений в предустановленной политике безопасности Strict (если она включена).

  2. Политики защиты от нежелательной почты, защиты от вредоносных программ, защиты от фишинга, безопасных ссылок^* и безопасных^* вложений в стандартной предустановленной политике безопасности (если она включена).

  3. Пользовательские политики защиты от нежелательной почты, вредоносных программ, фишинга, безопасных ссылок^* и безопасных^* вложений (при создании).

     Пользовательским политикам присваивается значение приоритета по умолчанию при создании политики (более новое значение равно более высокому), но вы можете изменить значение приоритета в любое время. Это значение приоритета влияет на порядок применения пользовательских политик этого типа (защита от нежелательной почты, защита от вредоносных программ, защита от фишинга и т. д.), но не влияет на то, где применяются пользовательские политики в общем порядке.

  4. Защита от фишинга, безопасные ссылки и безопасные вложения в Defender для Office 365 политики оценки (если они включены).

  5. Равное значение:

     • Политики безопасных ссылок и безопасных вложений в предустановленной политике^* безопасности встроенной защиты.
     • Политики по умолчанию для защиты от вредоносных программ, нежелательной почты и фишинга.

     Вы можете настроить исключения для предустановленной политики безопасности встроенной защиты, но нельзя настроить исключения для политик по умолчанию (они применяются ко всем получателям, и вы не можете отключить их).

  ^*только Defender для Office 365.

  Приоритет имеет значение, если один и тот же получатель намеренно или непреднамеренно включен в несколько политик, так как к нему применяется только первая политика этого типа (защита от нежелательной почты, защита от вредоносных программ, защита от фишинга и т. д.), независимо от количества других политик, в которые включен получатель. Для получателя никогда не происходит слияние или объединение параметров в нескольких политиках. На получателя не влияют параметры остальных политик этого типа.

Например, группа с именем Contoso Executives включена в следующие политики:

• Строгая предустановленная политика безопасности
• Настраиваемая политика защиты от нежелательной почты со значением приоритета 0 (наивысший приоритет)
• Настраиваемая политика защиты от нежелательной почты со значением приоритета 1.

Какие параметры политики защиты от нежелательной почты применяются к членам руководителей Contoso? Строгая предустановленная политика безопасности. Параметры в пользовательских политиках защиты от нежелательной почты игнорируются для членов contoso Executives, так как сначала всегда применяется предустановленная политика безопасности Strict.

В качестве другого примера рассмотрим следующие настраиваемые политики защиты от фишинга в Microsoft Defender для Office 365, которые применяются к тем же получателям, и сообщение, содержащее как олицетворение пользователя, так и спуфингом:

1. Сообщение определяется как спуфингой, так как спуфингой (5) оценивается перед олицетворением пользователя (6) в порядке обработки для типа защиты электронной почты.
2. Политика А применяется в первую очередь, так как она имеет более высокий приоритет, чем политика Б.
3. В зависимости от параметров в политике A никакие действия с сообщением не принимаются, так как защита от спуфингов отключена.
4. Обработка политик защиты от фишинга прекращается для всех включенных получателей, поэтому политика Б никогда не применяется к получателям, которые также находятся в политике А.

Чтобы убедиться, что получатели получают нужные параметры защиты, используйте следующие рекомендации по членству в политиках:

• Назначьте меньшее число пользователей политикам с более высоким приоритетом, а большее число пользователей — политикам с более низким приоритетом. Помните, что политики по умолчанию всегда применяются последним.
• Настройте политики с более высоким приоритетом для более строгих или более специализированных параметров, чем политики с более низким приоритетом. Вы имеете полный контроль над параметрами в пользовательских политиках и политиках по умолчанию, но не контролируете большинство параметров в предустановленных политиках безопасности.
• Рекомендуется использовать меньше настраиваемых политик (используйте пользовательские политики только для пользователей, которым требуются более специализированные параметры, чем стандартные или строгие предустановленные политики безопасности или политики по умолчанию).

Приложение

Важно понимать, как пользователь разрешает и блокирует, клиент разрешает и блоки, а также как решения стека фильтрации в EOP и Defender для Office 365 дополняют или противоречат друг другу.

• Сведения о фильтрации стеков и их объединении см. в статье Пошаговая защита от угроз в Microsoft Defender для Office 365.
• После того как стек фильтрации определит вердикт, только после этого оцениваются политики клиента и их настроенные действия.
• Если один и тот же адрес электронной почты или домен существует в списке надежных отправителей пользователя и заблокированных отправителях, приоритет имеет список надежных отправителей.
• Если одна и та же сущность (адрес электронной почты, домен, подделаная инфраструктура отправки, файл или URL-адрес) существует в записи разрешения, а запись блока в списке разрешенных и заблокированных клиентов имеет приоритет.

Пользователь разрешает и блокирует

Записи в коллекции списков безопасности пользователя (список надежных отправителей, список надежных получателей и список заблокированных отправителей в каждом почтовом ящике) могут переопределять некоторые вердикты стека фильтрации, как описано в следующей таблице.

• В Exchange Online разрешение домена в списке надежных отправителей может не работать, если сообщение помещено в карантин в соответствии с любым из следующих условий:
  • Сообщение идентифицируется как вредоносное ПО или фишинг с высокой степенью достоверности (вредоносные программы и фишинговые сообщения с высокой степенью достоверности помещаются в карантин).
  • Действия в политиках защиты от нежелательной почты настраиваются для карантина, а не для перемещения почты в папку "Нежелательная Email".
  • Адрес электронной почты, URL-адрес или файл в сообщении электронной почты также находится в записи блока в списке разрешенных и заблокированных клиентов.

Дополнительные сведения о сборе списков безопасности и параметрах защиты от нежелательной почты в почтовых ящиках пользователей см. в статье Настройка параметров нежелательной почты в почтовых ящиках Exchange Online.

Клиент разрешает и блокирует

Клиент позволяет и блоки могут переопределять некоторые решения стека фильтрации, как описано в следующих таблицах:

• Расширенная политика доставки (пропустить фильтрацию для назначенных почтовых ящиков SecOps и URL-адреса имитации фишинга):

  Вердикт стека фильтрации	Расширенная политика доставки разрешает
  Вредоносная программа	Клиент выигрывает: Email доставлены в почтовый ящик
  Фишинг с высокой вероятностью	Клиент выигрывает: Email доставлены в почтовый ящик
  Фишинг	Клиент выигрывает: Email доставлены в почтовый ящик
  Нежелательная почта с высокой вероятностью	Клиент выигрывает: Email доставлены в почтовый ящик
  Спам	Клиент выигрывает: Email доставлены в почтовый ящик
  Массовая рассылка	Клиент выигрывает: Email доставлены в почтовый ящик
  Не спам	Клиент выигрывает: Email доставлены в почтовый ящик

• Правила потока обработки почты exchange (также известные как правила транспорта):

  Вердикт стека фильтрации	Правило потока обработки почты разрешает*	Блоки правил потока обработки почты
  Вредоносная программа	Фильтрация побед: Email помещена в карантин	Фильтрация побед: Email помещена в карантин
  Фишинг с высокой вероятностью	Фильтрация побед: Email карантине, за исключением сложной маршрутизации	Фильтрация побед: Email помещена в карантин
  Фишинг	Клиент выигрывает: Email доставлены в почтовый ящик	Клиент выигрывает: действие фишинга в применимой политике защиты от нежелательной почты
  Нежелательная почта с высокой вероятностью	Клиент выигрывает: Email доставлены в почтовый ящик	Клиент выигрывает: Email доставлен в папку "Нежелательная Email" пользователя
  Спам	Клиент выигрывает: Email доставлены в почтовый ящик	Клиент выигрывает: Email доставлен в папку "Нежелательная Email" пользователя
  Массовая рассылка	Клиент выигрывает: Email доставлены в почтовый ящик	Клиент выигрывает: Email доставлен в папку "Нежелательная Email" пользователя
  Не спам	Клиент выигрывает: Email доставлены в почтовый ящик	Клиент выигрывает: Email доставлен в папку "Нежелательная Email" пользователя

  ^* Организациям, которые используют стороннюю службу безопасности или устройство перед Microsoft 365, следует рассмотреть возможность использования цепочки получения с проверкой подлинности (ARC) ( обратитесь к стороннему поставщику за доступностью) и расширенной фильтрации для соединителей (также известной как пропустить список) вместо правила потока обработки почты SCL=-1. Эти улучшенные методы позволяют сократить проблемы с проверкой подлинности электронной почты и способствовать глубокой защите электронной почты.

• Список разрешенных IP-адресов и список заблокированных IP-адресов в политиках фильтрации подключений:

  Вердикт стека фильтрации	Список разрешенных IP-адресов	Список блокировок IP-адресов
  Вредоносная программа	Фильтрация побед: Email помещена в карантин	Фильтрация побед: Email помещена в карантин
  Фишинг с высокой вероятностью	Фильтрация побед: Email помещена в карантин	Фильтрация побед: Email помещена в карантин
  Фишинг	Клиент выигрывает: Email доставлены в почтовый ящик	Клиент побеждает: Email автоматически удален
  Нежелательная почта с высокой вероятностью	Клиент выигрывает: Email доставлены в почтовый ящик	Клиент побеждает: Email автоматически удален
  Спам	Клиент выигрывает: Email доставлены в почтовый ящик	Клиент побеждает: Email автоматически удален
  Массовая рассылка	Клиент выигрывает: Email доставлены в почтовый ящик	Клиент побеждает: Email автоматически удален
  Не спам	Клиент выигрывает: Email доставлены в почтовый ящик	Клиент побеждает: Email автоматически удален

• Разрешить и заблокировать параметры в политиках защиты от нежелательной почты:

  • Список разрешенных отправителей и доменов.
  • Список заблокированных отправителей и доменов.
  • Блокировать сообщения из определенных стран или регионов или на определенных языках.
  • Блокировать сообщения на основе параметров расширенного фильтра нежелательной почты (ASF).

  Вердикт стека фильтрации	Политика защиты от нежелательной почты разрешает	Блоки политики защиты от нежелательной почты
  Вредоносная программа	Фильтрация побед: Email помещена в карантин	Фильтрация побед: Email помещена в карантин
  Фишинг с высокой вероятностью	Фильтрация побед: Email помещена в карантин	Фильтрация побед: Email помещена в карантин
  Фишинг	Клиент выигрывает: Email доставлены в почтовый ящик	Клиент выигрывает: действие фишинга в применимой политике защиты от нежелательной почты
  Нежелательная почта с высокой вероятностью	Клиент выигрывает: Email доставлены в почтовый ящик	Клиент выигрывает: Email доставлен в папку "Нежелательная Email" пользователя
  Спам	Клиент выигрывает: Email доставлены в почтовый ящик	Клиент выигрывает: Email доставлен в папку "Нежелательная Email" пользователя
  Массовая рассылка	Клиент выигрывает: Email доставлены в почтовый ящик	Клиент выигрывает: Email доставлен в папку "Нежелательная Email" пользователя
  Не спам	Клиент выигрывает: Email доставлены в почтовый ящик	Клиент выигрывает: Email доставлен в папку "Нежелательная Email" пользователя

• Разрешить записи в списке разрешенных и заблокированных клиентов. Существует два типа разрешенных записей:

  • На уровне сообщения допускаются записи, действующие для всего сообщения, независимо от сущностей в сообщении. Разрешенные записи для адреса электронной почты и доменов — это разрешенные записи на уровне сообщений.
  • Разрешенные записи на уровне сущностей действуют в соответствии с вердиктом фильтрации сущностей. Разрешенные записи для URL-адресов, поддельных отправителей и файлов — это разрешенные записи на уровне сущности. Чтобы переопределить вредоносные программы и вердикты фишинга с высокой степенью достоверности, необходимо использовать разрешенные записи на уровне сущности, которые можно создать путем отправки только из-за защиты по умолчанию в Microsoft 365.

  Вердикт стека фильтрации	адрес или домен Email
  Вредоносная программа	Фильтрация побед: Email помещена в карантин
  Фишинг с высокой вероятностью	Фильтрация побед: Email помещена в карантин
  Фишинг	Клиент выигрывает: Email доставлены в почтовый ящик
  Нежелательная почта с высокой вероятностью	Клиент выигрывает: Email доставлены в почтовый ящик
  Спам	Клиент выигрывает: Email доставлены в почтовый ящик
  Массовая рассылка	Клиент выигрывает: Email доставлены в почтовый ящик
  Не спам	Клиент выигрывает: Email доставлены в почтовый ящик

• Блокируются записи в списке разрешенных и заблокированных клиентов:

  Вердикт стека фильтрации	адрес или домен Email	Обманывать	File	URL-адрес
  Вредоносная программа	Фильтрация побед: Email помещена в карантин	Фильтрация побед: Email помещена в карантин	Клиент выигрывает: Email карантин	Фильтрация побед: Email помещена в карантин
  Фишинг с высокой вероятностью	Клиент выигрывает: Email карантин	Фильтрация побед: Email помещена в карантин	Клиент выигрывает: Email карантин	Клиент выигрывает: Email карантин
  Фишинг	Клиент выигрывает: Email карантин	Клиент выигрывает: подделывает действие в применимой политике защиты от фишинга	Клиент выигрывает: Email карантин	Клиент выигрывает: Email карантин
  Нежелательная почта с высокой вероятностью	Клиент выигрывает: Email карантин	Клиент выигрывает: подделывает действие в применимой политике защиты от фишинга	Клиент выигрывает: Email карантин	Клиент выигрывает: Email карантин
  Спам	Клиент выигрывает: Email карантин	Клиент выигрывает: подделывает действие в применимой политике защиты от фишинга	Клиент выигрывает: Email карантин	Клиент выигрывает: Email карантин
  Массовая рассылка	Клиент выигрывает: Email карантин	Клиент выигрывает: подделывает действие в применимой политике защиты от фишинга	Клиент выигрывает: Email карантин	Клиент выигрывает: Email карантин
  Не спам	Клиент выигрывает: Email карантин	Клиент выигрывает: подделывает действие в применимой политике защиты от фишинга	Клиент выигрывает: Email карантин	Клиент выигрывает: Email карантин

Конфликт параметров пользователя и клиента

В следующей таблице описано, как устраняются конфликты, если на сообщение электронной почты влияют параметры разрешения и блокировки пользователя и разрешения или блокировки клиента.