14
Mailspoofing am Exchange Server verhindern
Hallo Zusammen,
wir haben aktuell das Problem, dass vermehrt Mails von vermeintlichen Mitarbeiter an andere Mitarbeiter gesendet werden - im Anhang natürlich ein Trojaner. Es kommt häuft vor, dass z. B. eine Mail von "scanner@firma.de" an "mitarbeiter@firma.de" geht. Für den User sieht das natürlich normal aus. Wie lässt sich das nun verhindern, dass intern kein Mailspoofing mehr betrieben wird? Ich hab mich etwas informiert und bin auf den SPF Record gestoßen. Nun war ich mir allerdings nicht sicher, inwieweit ich den SenderID Agent am Exchange aktivieren und dort was konfigurieren muss? Aktuell setzen wir noch Exchange 2010 ein, welcher aber bis Jahresende auf 2016 migriert werden soll. Unser Exchange empfäng Mails über MX und sendet selbst über einen Smarthost (in unserem Fall der Hoster der Domain). Ich habe im DNS des Providers den SPF Record "v=spf1 mx -all" gesetzt, wenn ich es verstanden habe heißt das, dass nur der im MX eingetragene Mailserver versenden darf (unser Exchange).
wir haben aktuell das Problem, dass vermehrt Mails von vermeintlichen Mitarbeiter an andere Mitarbeiter gesendet werden - im Anhang natürlich ein Trojaner. Es kommt häuft vor, dass z. B. eine Mail von "scanner@firma.de" an "mitarbeiter@firma.de" geht. Für den User sieht das natürlich normal aus. Wie lässt sich das nun verhindern, dass intern kein Mailspoofing mehr betrieben wird? Ich hab mich etwas informiert und bin auf den SPF Record gestoßen. Nun war ich mir allerdings nicht sicher, inwieweit ich den SenderID Agent am Exchange aktivieren und dort was konfigurieren muss? Aktuell setzen wir noch Exchange 2010 ein, welcher aber bis Jahresende auf 2016 migriert werden soll. Unser Exchange empfäng Mails über MX und sendet selbst über einen Smarthost (in unserem Fall der Hoster der Domain). Ich habe im DNS des Providers den SPF Record "v=spf1 mx -all" gesetzt, wenn ich es verstanden habe heißt das, dass nur der im MX eingetragene Mailserver versenden darf (unser Exchange).
Auf Facebook teilen
Auf Twitter teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 351552
Url: https://administrator.de/contentid/351552
Ausgedruckt am: 22.11.2024 um 10:11 Uhr
14 Kommentare
Neuester Kommentar
Hi,
setzt ihr denn keinen E-Mailschutz ein? Der sollte solche Versuche direkt unterbinden, insofern die E-Mails tatsächlich von extern kommen und nicht durch die Übernahme des genannten Accounts verschickt werden.
Ansonsten das hier schon probiert? https://www.frankysweb.de/exchange-server-mailspoofing-verhindern/
Gruß,
Thomas
setzt ihr denn keinen E-Mailschutz ein? Der sollte solche Versuche direkt unterbinden, insofern die E-Mails tatsächlich von extern kommen und nicht durch die Übernahme des genannten Accounts verschickt werden.
Ansonsten das hier schon probiert? https://www.frankysweb.de/exchange-server-mailspoofing-verhindern/
Gruß,
Thomas
setzt ihr denn keinen E-Mailschutz ein? Der sollte solche Versuche direkt unterbinden, insofern die E-Mails tatsächlich von extern kommen und nicht durch die Übernahme des genannten Accounts verschickt werden.
Vergessen zu erwähnen - wir setzten eine Watchguard Firewall ein, die auch auf SPAM prüft. Es wird jede Menge SPAM erkannt, aber die Mails mit "scanner@firma.de", die lt. Header von Extern kommen, werden nicht gefiltert.Wenn ich auf der Seite http://www.sendanonymousemail.net/ bei Receiver und Sender ein internes Postfach eintrage, kommt hier keine Mail an.
Dann scheint es ja bei euch zu funktionieren. Hast du diese Mails genauer untersucht, kommen die wirklich von extern und nicht durch einen übernommen Account oder einem Trojaner aus dem internen Netz? Ich meine damit nicht, das Senderfeld anzugucken, sondern den Mailheader. Den zeigt Outlook standardmäßig nicht an.
Ich meine damit nicht, das Senderfeld anzugucken, sondern den Mailheader. Den zeigt Outlook standardmäßig nicht a
Ich habe den Header schon analysiert und die Mails kommen tatsächlich von Extern.
Ja wird schwierig gegen diese Welle anzukommen
https://www.heise.de/security/meldung/Achtung-Aktuelle-Spam-Mails-faelsc ...
Haben diverse Kunden die auch solche Mails bekommen und andere nicht gibt dafür wohl momentan keine richtige Lösung.
https://www.heise.de/security/meldung/Achtung-Aktuelle-Spam-Mails-faelsc ...
Haben diverse Kunden die auch solche Mails bekommen und andere nicht gibt dafür wohl momentan keine richtige Lösung.
Zitat von @Mobsmonster:
Ja wird schwierig gegen diese Welle anzukommen
https://www.heise.de/security/meldung/Achtung-Aktuelle-Spam-Mails-faelsc ...
Haben diverse Kunden die auch solche Mails bekommen und andere nicht gibt dafür wohl momentan keine richtige Lösung.
Ich dachte eben, dass genau für sowas der SPF Record sinnvoll ist?Ja wird schwierig gegen diese Welle anzukommen
https://www.heise.de/security/meldung/Achtung-Aktuelle-Spam-Mails-faelsc ...
Haben diverse Kunden die auch solche Mails bekommen und andere nicht gibt dafür wohl momentan keine richtige Lösung.
Ich habe im DNS des Providers den SPF Record "v=spf1 mx -all" gesetzt, wenn ich es verstanden habe heißt das,
dass nur der im MX eingetragene Mailserver versenden darf (unser Exchange).
dass nur der im MX eingetragene Mailserver versenden darf (unser Exchange).
Richtig. Hilft dir selbst aber nur dann, wenn auf eurem SPAM Filter nach SPF gefiltert wird.
Haben diverse Kunden die auch solche Mails bekommen und andere nicht gibt dafür wohl momentan keine richtige Lösung.
Doch. Der SPAM Filter muss nur so konfiguriert werden, dass Mails von Domänen, die als autoritative Domänen im Exchange eingetragen und von extern kommen nicht angenommen werden.
LG Günther
Zitat von @GuentherH:
Richtig. Hilft dir selbst aber nur dann, wenn auf eurem SPAM Filter nach SPF gefiltert wird.
Doch. Der SPAM Filter muss nur so konfiguriert werden, dass Mails von Domänen, die als autoritative Domänen im Exchange eingetragen und von extern kommen nicht angenommen werden.
LG Günther
Ich habe im DNS des Providers den SPF Record "v=spf1 mx -all" gesetzt, wenn ich es verstanden habe heißt das,
dass nur der im MX eingetragene Mailserver versenden darf (unser Exchange).
dass nur der im MX eingetragene Mailserver versenden darf (unser Exchange).
Richtig. Hilft dir selbst aber nur dann, wenn auf eurem SPAM Filter nach SPF gefiltert wird.
Haben diverse Kunden die auch solche Mails bekommen und andere nicht gibt dafür wohl momentan keine richtige Lösung.
Doch. Der SPAM Filter muss nur so konfiguriert werden, dass Mails von Domänen, die als autoritative Domänen im Exchange eingetragen und von extern kommen nicht angenommen werden.
LG Günther
Kann ich dann mit unserem aktuellen SPF Record "v=spf1 mx -all" was anfangen? In der Firewall aktivieren ich dann SPF und diese sollte dann prüfen, ob der Mailserver mit dem SPF Record übereinstimmt?
Nachtrag: Ich hab nun in der Firewall eingestellt, dass alle Mails, die von außen kommen und von "*@unserefirma.de" senden, von unserer Firewall zurückgewiesen werden. Jetzt ist ruhe.
Was bringt mir dann genau der SPF Record? Das habe ich noch nicht ganz verstanden und leuchtet mir auch anhand diverser Artikel nicht ein. Ich meine wir sind dadurch ja jetzt "sicher". Es kann aber doch sein, dass externe Benutzer Mails vermeintlich von uns erhalten.
Was bringt mir dann genau der SPF Record? Das habe ich noch nicht ganz verstanden und leuchtet mir auch anhand diverser Artikel nicht ein. Ich meine wir sind dadurch ja jetzt "sicher". Es kann aber doch sein, dass externe Benutzer Mails vermeintlich von uns erhalten.
Was bringt mir dann genau der SPF Record?
Im SPF Record sind die Mailserver eingetragen, die für die jeweiligen Domänen senden dürfen. Das heißt, wenn bei euch der SPF Record gesetzt ist, kann der Empfänger überprüfen ob die Mail tatsächlich von euch stammt.
Das Problem ist, dass der SPF Record nicht zwingend verbindlich ist, weil sich wie üblich ein paar Große wieder nicht einigen konnten. Somit ist der SPF Record nur ein Teil der SPAM - Filterkette, da bei nur aktiviertem SPF Filter jede Menge False Positive Treffer auftreten (daher, erwünschte Mails ohne SPF Eintrag landen im SPAM).
Ich hab nun in der Firewall eingestellt, dass alle Mails, die von außen kommen
und von "*@unserefirma.de" senden, von unserer Firewall zurückgewiesen werden.
und von "*@unserefirma.de" senden, von unserer Firewall zurückgewiesen werden.
Das ist die einfachste Methode bei diesem Problem.
LG Günther
Das heißt für mich, dass mir der SPF Record, den ich im DNS setze aktiv nichts bringt? Spam und das Spoofing kann ich durch die Firewall verhindern. Was ich nicht verhindern kann ist, dass unsere Domain für den Versand missbraucht wird, oder? Über einen PHP Mailer kann ich ja so Mails versenden, dass der Empfänger Domain XYZ sieht.
Das heißt für mich, dass mir der SPF Record, den ich im DNS setze aktiv nichts bringt?
Sicher. Deine Domäne ist damit wesentlich sicherer nicht versehtlich als Spammer auf einer Blacklist zu landen.
Spam und das Spoofing kann ich durch die Firewall verhindern.
Das gilt ja für den Empfang und nicht für den Versand
Was ich nicht verhindern kann ist, dass unsere Domain für den Versand missbraucht wird, oder?
Doch, genau dafür ist ja des SPF Record da.
Über einen PHP Mailer kann ich ja so Mails versenden, dass der Empfänger Domain XYZ sieht.
Klar. Aber wenn ich das z.B. mache, und eine E-Mail mit dem Namen eurer Domäne versende, dann stimmt meine IP Adresse mit der ich sende nicht mit der in eurem SPF Record überein und Empfänger weiß, dass er diese Mail als Mail verwerfen kann.
LG Günther
Dann hier noch meine letzte Frage: Der SPF Record schützt meine Domain dann nur insoweit, dass der Empfänger Mailserver prüfen muss, ob die Mail auch von dem Server kommt, der im SPF Record steht. Der Exchange arbeitet ja anscheinend per default nicht so, dass er das prüft. Dazu hab ich noch keine Infos gefunden, wie das dann zu konfigurieren ist.
Muss im SPF Record dann zusätzlich zur Domain die IP bzw der externe DNS des Exchange stehen? In unserem Fall sendet der Exchange nicht direkt, sondern über den Smarthost des Providers.
Genügt dazu der SPF v=spf1 mx -all, Der schließt ja den MX Record ein, der ja auf den Exchange zeigt. Im Mailheader steht als Sender der öffentliche DNS Name cas.domain.de. Muss dieser dann zusätzlich in den SPF Record, also v=spf1 mx a:cas.domain.de -all
Muss im SPF Record dann zusätzlich zur Domain die IP bzw der externe DNS des Exchange stehen? In unserem Fall sendet der Exchange nicht direkt, sondern über den Smarthost des Providers.
Genügt dazu der SPF v=spf1 mx -all, Der schließt ja den MX Record ein, der ja auf den Exchange zeigt. Im Mailheader steht als Sender der öffentliche DNS Name cas.domain.de. Muss dieser dann zusätzlich in den SPF Record, also v=spf1 mx a:cas.domain.de -all
Der SPF Record schützt meine Domain dann nur insoweit, dass der Empfänger Mailserver prüfen muss,
ob die Mail auch von dem Server kommt, der im SPF Record steht.
ob die Mail auch von dem Server kommt, der im SPF Record steht.
Korrekt
Der Exchange arbeitet ja anscheinend per default nicht so, dass er das prüft.
Doch, nennt sich Sender-ID - https://technet.microsoft.com/de-de/library/bb125259(v=exchg.141).aspx
In unserem Fall sendet der Exchange nicht direkt, sondern über den Smarthost des Providers.
Dann muss natürlich die IP des Smarthost angegeben werden. Der darf ja für eure Domäne Nachrichten versenden.
Verwende diesen Assistenten zum Erstellen des Eintrages - http://www.spf-record.de/generator
LG Günther
