G DATA Mail Protection
Pourquoi faut-il créer un connecteur et une règle dans Microsoft Exchange Online ?
Comment les attaquants contournent les solutions de sécurité tierces basées dans le cloud
Dès qu’un domaine a été ajouté à votre environnement Microsoft Exchange Online et vérifié, chaque locataire se voit attribuer un domaine par défaut par Microsoft. Les attaquants savent que les enregistrements MX habituels des domaines onmicrosoft.com sont généralement de la forme "Firmenname.onmicrosoft.com".
À partir des résultats des requêtes MX sur "Firmennamen.onmicrosoft.com", les attaquants peuvent constituer des bases de données entières recensant les organisations dont les e-mails sont hébergés chez Microsoft 365 et celles qui ont fait pointer leur enregistrement MX vers une solution de sécurité tierce.
Grâce à ces informations, ils peuvent ensuite envoyer directement des e-mails à Microsoft Exchange Online, que Microsoft accepterait également. Une telle passerelle de sécurité de messagerie peut ainsi être contournée.
L’utilisation de connecteurs et de règles protège Microsoft Exchange Online contre ces contournements et peut éviter de modifier l’enregistrement MX.
Faire pointer l’enregistrement MX vers une passerelle de sécurité de messagerie ne suffit pas, comme le montre la section "Comment les attaquants contournent les solutions de sécurité tierces basées dans le cloud".
De plus, la configuration DNS simplifiée proposée par Microsoft pour Microsoft Exchange Online ne peut pas être utilisée avec un routage DNS personnalisé. Pour les utilisateurs expérimentés qui gèrent eux-mêmes leur DNS, modifier en plus l’enregistrement MX ne pose aucun problème ; pour les utilisateurs moins expérimentés, cela peut représenter un travail supplémentaire complexe. Vous trouverez de plus amples informations dans notre section Faire pointer l’enregistrement MX de votre domaine vers G DATA Mail Protection
Le connecteur entrant
Pour assurer la fluidité des échanges d’e-mails, il est nécessaire de créer un connecteur entrant spécifique. Microsoft utilise en effet le greylisting (mise sur liste grise), tandis que G DATA Mail Protection utilise différentes adresses IP d’envoi. Sans ce connecteur, des retards inutiles peuvent survenir lors de la réception des e-mails.
Conclusion
Pour empêcher le contournement de G DATA Mail Protection et éviter les problèmes de réception liés au greylisting, il est impératif de créer les connecteurs partenaires (entrant et sortant) ainsi qu’une règle.
Renseignez tous les domaines qui doivent être surveillés par G DATA Mail Protection. Ainsi, tous les e-mails provenant de l’extérieur et destinés aux domaines inscrits dans la règle sont d’abord acheminés vers G DATA Mail Protection. Microsoft Exchange Online n’accepte que les e-mails qui lui sont remis après avoir été contrôlés par G DATA Mail Protection.
Si certains points sont respectés, il n’est plus nécessaire de modifier l’enregistrement MX ; cette modification reste toutefois possible si vous le souhaitez.