Header Bearbeitung durch Exchange

[NorbertFe 1.829]

vor 1 Minute schrieb Lukikum:

dass sie kein SPF Record gepublished haben um einen SPF_Fail/Softfail im Spamassasin auszulösen

äußerst unwahrscheinlich. Keinen SPF Record zu haben ist zwar ein Kriterium anhand dessen man Rückschlüsse ziehen darf, aber es ist kein Grund eine Mail deswegen abzulehnen. Keinen SPF Record zu haben führt aber bei vielen inzwischen dazu eben als "verdächtig" klassifiziert zu werden. Ist aber meist nur ein (kleiner) Punkt von mehreren, denn wenn man keinen SPF hat, hat man meist auch kein DKIM und erst recht kein DMARC im Einsatz. Man sollte die genannten Dinge aber aus reinem Eigeninteresse durchaus nutzen, damit sicher(er)gestellt ist, dass die eigenen Mails eben auch im Posteingang landen und nicht im Junkfolder und vor allem, dass die eigene Domain weniger einfach für Phishing genutzt werden kann. Und selbst dann hat man noch genug zu tun. ;)

 

Bye

Norbert

[testperson 1.547]

Ich finde es an der Stelle gar nicht verkehrt, dass Gmail jetzt mit dezenten Hinweisen an das Thema rangeht:

[Lukikum 6]

vor 11 Minuten schrieb NorbertFe:

äußerst unwahrscheinlich. Keinen SPF Record zu haben ist zwar ein Kriterium anhand dessen man Rückschlüsse ziehen darf, aber es ist kein Grund eine Mail deswegen abzulehnen. Keinen SPF Record zu haben führt aber bei vielen inzwischen dazu eben als "verdächtig" klassifiziert zu werden. Ist aber meist nur ein (kleiner) Punkt von mehreren, denn wenn man keinen SPF hat, hat man meist auch kein DKIM und erst recht kein DMARC im Einsatz. Man sollte die genannten Dinge aber aus reinem Eigeninteresse durchaus nutzen, damit sicher(er)gestellt ist, dass die eigenen Mails eben auch im Posteingang landen und nicht im Junkfolder und vor allem, dass die eigene Domain weniger einfach für Phishing genutzt werden kann. Und selbst dann hat man noch genug zu tun. ;)

 

Bye

Norbert

Danke für die ausführliche Antwort

vor 7 Minuten schrieb testperson:

Ich finde es an der Stelle gar nicht verkehrt, dass Gmail jetzt mit dezenten Hinweisen an das Thema rangeht:

Ja das finde ich auch nicht schlecht, so in die Richtung wollte ich es auch machen. Nur etwas einfacher markiert ;)

[NorbertFe 1.829]

vor 6 Minuten schrieb Lukikum:

Ja das finde ich auch nicht schlecht, so in die Richtung wollte ich es auch machen. Nur etwas einfacher markiert ;)

Das können die großen Provider im Webinterface zwar relativ easy umsetzen, bei eigenen Mailsystemen mit Fat-Clients ist das aber im Falle von Outlook mit Nachteilen behaftet:

1. Das Ding steht im Zweifel über jeder Externen Mail (so machen das leider inzwischen viele) "Achtung dies ist eine externe Mail klicken Sie bla bla nicht".

2. Beim Einfügen von Infos in die Mail zerstört man digital signierte Mails und damit das sicherste Kriterium anhand dessen man prüfen kann, ob die Mail wirklich von der angegebenen Quelle stammt.

3. Tritt im Allgemeinen ein Gewöhnungseffekt ein, wenn 1. umgesetzt wird. Mal vom optisch schlechten Ergebnis, wenn die Mailkonversation ein paarmal hin und her geht.

 

 

Da du oben die Antwort mit dem Pipeline Tracing als Lösung markiert hast, sei die Frage gestattet, ob du die Lösung deines Problems auch gefunden hast. Würde mich interessieren, was rauskam.

 

Bye

Norbert

bearbeitet 20. Juli 2022 von NorbertFe

[Lukikum 6]

vor 26 Minuten schrieb NorbertFe:

Das können die großen Provider im Webinterface zwar relativ easy umsetzen, bei eigenen Mailsystemen mit Fat-Clients ist das aber im Falle von Outlook mit Nachteilen behaftet:

1. Das Ding steht im Zweifel über jeder Externen Mail (so machen das leider inzwischen viele) "Achtung dies ist eine externe Mail klicken Sie bla bla nicht".

2. Beim Einfügen von Infos in die Mail zerstört man digital signierte Mails und damit das sicherste Kriterium anhand dessen man prüfen kann, ob die Mail wirklich von der angegebenen Quelle stammt.

3. Tritt im Allgemeinen ein Gewöhnungseffekt ein, wenn 1. umgesetzt wird. Mal vom optisch schlechten Ergebnis, wenn die Mailkonversation ein paarmal hin und her geht.

 

 

Da du oben die Antwort mit dem Pipeline Tracing als Lösung markiert hast, sei die Frage gestattet, ob du die Lösung deines Problems auch gefunden hast. Würde mich interessieren, was rauskam.

 

Bye

Norbert

Da stimm ich dir zu, bis jetzt war nur die Planung nur Mails zu markieren, die unsere E-Mail Domänen benutzen, aber von außerhalb kommen und einen SPF_Fail oder Softfail vorweisen. Also sichere Phishingmails. Bevor ich dort aber zu viel Zeit investiere schau ich aber erstmal ob das blocken bei SPF_Fail nicht einfach viel sinnvoller ist, bzw. ich bespreche es mal mit unserem Informationssicherheitsbeauftragten.

Das Pipeline tracing ist in der org noch nicht konfiguriert gewesen, das muss ich erstmal einrichten und dann noch ein paar Tests machen. Ich gebe dir Bescheid was dabei rum kam.

LG

[NorbertFe 1.829]

vor 13 Minuten schrieb Lukikum:

aber von außerhalb kommen und einen SPF_Fail oder Softfail vorweisen. Also sichere Phishingmails.

Das läßt sich anhand des SPF Records NICHT eindeutig als Phishingmails klassifizieren.

[Lukikum 6]

vor 2 Minuten schrieb NorbertFe:

Das läßt sich anhand des SPF Records NICHT eindeutig als Phishingmails klassifizieren.

Doch würde ich schon sagen, wenn unsere Mail Domäne von einer IP-Adresse verschickt wird, die nicht im SPF Record hinterlegt ist, muss es sich um eine Fälschung handeln. Oder jemand hat versäumt uns mitzuteilen, dass das System mit im Record aufgenommen werden muss.

[NorbertFe 1.829]

Das kannst du ohne dmarc Check aber gar nicht erkennen. ;)

Mail from und Sender sind eben nicht zwingenderweise gleich.

bearbeitet 20. Juli 2022 von NorbertFe

[Lukikum 6]

Am 20.7.2022 um 11:13 schrieb NorbertFe:

Da du oben die Antwort mit dem Pipeline Tracing als Lösung markiert hast, sei die Frage gestattet, ob du die Lösung deines Problems auch gefunden hast. Würde mich interessieren, was rauskam.

Hi Norbert,

kurzes Update für dich. Kurz vor meinem Urlaub hat sich herausgestellt, dass die Mails nun richtig markiert werden. Zum Pipeline Tracing bin ich nicht mehr gekommen, allerdings habbe ich nichts geändert, also scheint es wohl doch am Smarthost Anbieter gelegen zu haben.

LG

[NorbertFe 1.829]

Also ein Fehler bei eurem Smarthost?

[Lukikum 6]

vor 5 Minuten schrieb NorbertFe:

Also ein Fehler bei eurem Smarthost?

Ja, sie haben mir nicht mitgeteilt was das Problem war. Jedenfalls hat nicht unser Exchange die Header bearbeitet

[NorbertFe 1.829]

;) soso.