Skapa listor över betrodda avsändare i EOP

Om du är Microsoft 365-kund med postlådor i Exchange Online eller en fristående Exchange Online Protection (EOP) utan Exchange Online postlådor erbjuder EOP flera sätt att se till att användarna får e-post från betrodda avsändare. Tillsammans kan du betrakta dessa alternativ som säkra avsändarlistor.

Följande lista innehåller de tillgängliga metoderna för att tillåta avsändare i EOP från de flesta rekommenderade till minst rekommenderade:

1. Tillåt poster för domäner och e-postadresser (inklusive falska avsändare) i listan Tillåt/blockera klientorganisation.
2. Flödesregler för Exchange-e-post (kallas även transportregler).
3. Säkra Outlook-avsändare (listan Betrodda avsändare i varje postlåda som endast påverkar postlådan).
4. Lista över tillåtna IP-adresser (anslutningsfiltrering)
5. Tillåtna avsändarlistor eller tillåtna domänlistor (principer för skräppostskydd)

Resten av den här artikeln innehåller information om varje metod.

Använd tillåtna poster i listan Tillåt/blockera klientorganisation

Vårt främsta rekommenderade alternativ för att tillåta e-post från avsändare eller domäner är listan Tillåt/blockera klientorganisation. Anvisningar finns i Skapa tillåtna poster för domäner och e-postadresser och Skapa tillåtna poster för falska avsändare.

Endast om du inte kan använda listan Tillåt/blockera klientorganisation av någon anledning bör du överväga att använda en annan metod för att tillåta avsändare.

Använda e-postflödesregler

E-postflödesregler i Exchange Online och fristående EOP använder villkor och undantag för att identifiera meddelanden och åtgärder för att ange vad som ska göras med dessa meddelanden. Mer information finns i E-postflödesregler (transportregler) i Exchange Online.

I följande exempel förutsätts att du behöver e-post från contoso.com för att hoppa över skräppostfiltrering. Konfigurera följande inställningar:

1. Tillämpa den här regeln om (villkor): Avsändardomänen>är> contoso.com.

2. Konfigurera någon av följande inställningar:

   • Tillämpa den här regeln om (ytterligare villkor): Meddelanderubrikerna>innehåller något av följande ord:

     • Ange text (rubriknamn): Authentication-Results
     • Ange ord (rubrikvärde): dmarc=pass eller dmarc=bestguesspass (lägg till båda värdena).

     Det här villkoret kontrollerar e-postautentiseringsstatusen för den sändande e-postdomänen för att säkerställa att den sändande domänen inte förfalskas. Mer information om e-postautentisering finns i Email autentisering i Microsoft 365.

   • Lista över tillåtna IP-adresser: Ange källans IP-adress eller adressintervall i principen för anslutningsfilter. Anvisningar finns i Konfigurera anslutningsfiltrering.

     Använd den här inställningen om den sändande domänen inte använder e-postautentisering. Var så restriktiv som möjligt när det gäller käll-IP-adresserna i listan över tillåtna IP-adresser. Vi rekommenderar ett IP-adressintervall på /24 eller mindre (mindre är bättre). Använd inte IP-adressintervall som tillhör konsumenttjänster (till exempel outlook.com) eller delade infrastrukturer.

   Viktigt

   • Konfigurera aldrig e-postflödesregler med endast avsändardomänen som villkor för att hoppa över skräppostfiltrering. Om du gör det ökar sannolikheten för att angripare kan förfalska den sändande domänen (eller personifiera den fullständiga e-postadressen), hoppa över all skräppostfiltrering och hoppa över avsändarautentiseringskontroller så att meddelandet tas emot i mottagarens inkorg.

   • Använd inte domäner som du äger (även kallade godkända domäner) eller populära domäner (till exempel microsoft.com) som villkor i e-postflödesregler eftersom det skapar möjligheter för angripare att skicka e-post som annars skulle filtreras.

   • Om du tillåter en IP-adress som finns bakom en NAT-gateway (network address translation) måste du känna till de servrar som ingår i NAT-poolen. IP-adresser och NAT-deltagare kan ändras. Du måste regelbundet kontrollera posterna i listan över tillåtna IP-adresser som en del av standardprocedurerna för underhåll.

3. Valfria villkor:

   • > Avsändarenär intern/extern>Utanför organisationen: Det här villkoret är implicit, men det är ok att använda det för att ta hänsyn till lokala e-postservrar som kanske inte är korrekt konfigurerade.
   • Ämnet eller brödtexten>ämne eller brödtext innehåller något av dessa ord><>nyckelord: Om du kan begränsa meddelandena ytterligare med nyckelord eller fraser i ämnesraden eller meddelandetexten kan du använda dessa ord som ett villkor.

4. Gör följande (åtgärder): Konfigurera båda följande åtgärder i regeln:

   1. Ändra meddelandeegenskaperna>ange förtroendenivå för skräppost (SCL)>Kringgå skräppostfiltrering.

   2. Ändra meddelandeegenskaperna>ange ett meddelandehuvud:

      • Ange text (rubriknamn): Till exempel X-ETR.
      • Ange ord (rubrikvärde): Till exempel Bypass spam filtering for authenticated sender 'contoso.com'.

      För mer än en domän i regeln kan du anpassa rubriktexten efter behov.

När ett meddelande hoppar över skräppostfiltrering på grund av en e-postflödesregel stämplas värdevärdet SFV:SKN i rubriken X-Forefront-Antispam-Report . Om meddelandet kommer från en källa som finns i listan över tillåtna IP-adresser läggs även värdet IPV:CAL till. Dessa värden kan hjälpa dig med felsökning.

Använda säkra Avsändare i Outlook

I stället för en organisationsinställning kan användare eller administratörer lägga till avsändarens e-postadresser i listan Säkra avsändare i postlådan. Poster i listan Betrodda avsändare i postlådan påverkar endast den postlådan. Anvisningar finns i följande artiklar:

• Användare: Lägg till mottagare av mina e-postmeddelanden i listan Betrodda avsändare.
• Administratörer: Konfigurera inställningar för skräppost på Exchange Online postlådor i Microsoft 365.

Den här metoden är inte önskvärd i de flesta situationer eftersom avsändare kringgår delar av filtreringsstacken. Även om du litar på avsändaren kan avsändaren fortfarande komprometteras och skicka skadligt innehåll. Du bör låta våra filter kontrollera varje meddelande och sedan rapportera falska positiva/negativa till Microsoft om vi har fel. Om du kringgår filtreringsstacken störs även automatisk rensning på noll timmar (ZAP).

När meddelanden hoppar över skräppostfiltrering på grund av poster i en användares lista över säkra avsändare innehåller rubrikfältet X-Forefront-Antispam-Report värdet SFV:SFE, vilket indikerar att filtrering efter skräppost, förfalskning och nätfiske (inte nätfiske med hög konfidens) har kringgåts.

• I Exchange Online beror om poster i listan Betrodda avsändare fungerar eller inte fungerar på domen och åtgärden i principen som identifierade meddelandet:
  • Flytta meddelanden till mappen Skräppost Email: Domänposter och e-postadressposter för avsändare respekteras. Meddelanden från dessa avsändare flyttas inte till mappen Skräppost Email.
  • Karantän: Domänposter respekteras inte (meddelanden från dessa avsändare sätts i karantän). Email adressposter respekteras (meddelanden från dessa avsändare sätts inte i karantän) om något av följande påståenden är sant:
    • Meddelandet identifieras inte som skadlig kod eller nätfiske med hög konfidens (skadlig kod och nätfiskemeddelanden med hög konfidens sätts i karantän).
    • E-postadressen, URL:en eller filen i e-postmeddelandet finns inte heller i en blockpost i listan Tillåt/blockera klientorganisation.
• Poster för blockerade avsändare och blockerade domäner respekteras (meddelanden från dessa avsändare flyttas till mappen Skräppost Email). Inställningar för säker e-postlista ignoreras.

Använd listan över tillåtna IP-adresser

Det näst bästa alternativet är att lägga till källans e-postservrar i listan över tillåtna IP-adresser i principen för anslutningsfilter. Mer information finns i Konfigurera anslutningsfiltrering i EOP.

• Det är viktigt att du håller antalet tillåtna IP-adresser till ett minimum, så undvik att använda hela IP-adressintervall när det är möjligt.
• Använd inte IP-adressintervall som tillhör konsumenttjänster (till exempel outlook.com) eller delade infrastrukturer.
• Granska regelbundet posterna i listan över tillåtna IP-adresser och ta bort de poster som du inte längre behöver.

Använda tillåtna avsändarlistor eller tillåtna domänlistor

Det minst önskvärda alternativet är att använda tillåtna avsändarlistor eller tillåtna domänlistor i anpassade principer för skräppostskydd eller i standardprincipen för skräppostskydd. Du bör undvika det här alternativet om det alls är möjligt eftersom avsändare kringgår all skräppost, förfalskning, nätfiskeskydd (förutom nätfiske med hög konfidens) och avsändarautentisering (SPF, DKIM, DMARC). Den här metoden används bäst endast för tillfällig testning. Detaljerade steg finns i Konfigurera principer för skräppostskydd i EOP.

Den maximala gränsen för dessa listor är cirka 1 000 poster, men du kan ange högst 30 poster i Microsoft Defender-portalen. Använd PowerShell för att lägga till fler än 30 poster.

Överväganden för massutskick

Ett standard-SMTP-e-postmeddelande kan innehålla olika e-postadresser för avsändare enligt beskrivningen i Varför internet-e-post behöver autentisering. När e-post skickas åt någon annan kan adresserna vara olika. Det här villkoret inträffar ofta för massutskick av e-postmeddelanden.

Anta till exempel att Blue Yonder Airlines anlitade Margie's Travel för att skicka e-postmeddelanden om annonsering. Meddelandet du får i inkorgen har följande egenskaper:

• MAIL FROM-adressen (kallas 5321.MailFrom även adress, P1-avsändare eller kuvertsändare) är blueyonder.airlines@margiestravel.com.
• Från-adressen (kallas 5322.From även adress eller P2-avsändare) är blueyonder@news.blueyonderairlines.com, vilket är vad du ser i Outlook.

Listor över säkra avsändare och säkra domänlistor i principer för skräppostskydd i EOP kontrollerar endast Från-adresserna. Det här beteendet liknar Säkra Outlook-avsändare som använder Från-adressen.

Om du vill förhindra att det här meddelandet filtreras kan du utföra följande steg:

• Lägg till blueyonder@news.blueyonderairlines.com (Från-adressen) som en säker Avsändare i Outlook.
• Använd en e-postflödesregel med ett villkor som söker efter meddelanden från blueyonder@news.blueyonderairlines.com (Från-adressen), blueyonder.airlines@margiestravel.com (MAIL FROM-adressen) eller båda.