masterphil
Goto Top

Mailspoofing am Exchange Server verhindern

Hallo Zusammen,

wir haben aktuell das Problem, dass vermehrt Mails von vermeintlichen Mitarbeiter an andere Mitarbeiter gesendet werden - im Anhang natürlich ein Trojaner. Es kommt häuft vor, dass z. B. eine Mail von "scanner@firma.de" an "mitarbeiter@firma.de" geht. Für den User sieht das natürlich normal aus. Wie lässt sich das nun verhindern, dass intern kein Mailspoofing mehr betrieben wird? Ich hab mich etwas informiert und bin auf den SPF Record gestoßen. Nun war ich mir allerdings nicht sicher, inwieweit ich den SenderID Agent am Exchange aktivieren und dort was konfigurieren muss? Aktuell setzen wir noch Exchange 2010 ein, welcher aber bis Jahresende auf 2016 migriert werden soll. Unser Exchange empfäng Mails über MX und sendet selbst über einen Smarthost (in unserem Fall der Hoster der Domain). Ich habe im DNS des Providers den SPF Record "v=spf1 mx -all" gesetzt, wenn ich es verstanden habe heißt das, dass nur der im MX eingetragene Mailserver versenden darf (unser Exchange).

Content-Key: 351552

Url: https://administrator.de/contentid/351552

Ausgedruckt am: 28.03.2024 um 14:03 Uhr

Mitglied: Thomas2
Thomas2 12.10.2017 um 12:04:39 Uhr
Goto Top
Hi,

setzt ihr denn keinen E-Mailschutz ein? Der sollte solche Versuche direkt unterbinden, insofern die E-Mails tatsächlich von extern kommen und nicht durch die Übernahme des genannten Accounts verschickt werden.
Ansonsten das hier schon probiert? https://www.frankysweb.de/exchange-server-mailspoofing-verhindern/

Gruß,
Thomas
Mitglied: MasterPhil
MasterPhil 12.10.2017 um 12:12:50 Uhr
Goto Top
setzt ihr denn keinen E-Mailschutz ein? Der sollte solche Versuche direkt unterbinden, insofern die E-Mails tatsächlich von extern kommen und nicht durch die Übernahme des genannten Accounts verschickt werden.
Vergessen zu erwähnen - wir setzten eine Watchguard Firewall ein, die auch auf SPAM prüft. Es wird jede Menge SPAM erkannt, aber die Mails mit "scanner@firma.de", die lt. Header von Extern kommen, werden nicht gefiltert.

Wenn ich auf der Seite http://www.sendanonymousemail.net/ bei Receiver und Sender ein internes Postfach eintrage, kommt hier keine Mail an.
Mitglied: Thomas2
Thomas2 12.10.2017 um 12:30:07 Uhr
Goto Top
Dann scheint es ja bei euch zu funktionieren. Hast du diese Mails genauer untersucht, kommen die wirklich von extern und nicht durch einen übernommen Account oder einem Trojaner aus dem internen Netz? Ich meine damit nicht, das Senderfeld anzugucken, sondern den Mailheader. Den zeigt Outlook standardmäßig nicht an.
Mitglied: MasterPhil
MasterPhil 12.10.2017 um 12:47:06 Uhr
Goto Top
Ich meine damit nicht, das Senderfeld anzugucken, sondern den Mailheader. Den zeigt Outlook standardmäßig nicht a
Ich habe den Header schon analysiert und die Mails kommen tatsächlich von Extern.
Mitglied: Mobsmonster
Mobsmonster 12.10.2017 um 13:47:18 Uhr
Goto Top
Ja wird schwierig gegen diese Welle anzukommen
https://www.heise.de/security/meldung/Achtung-Aktuelle-Spam-Mails-faelsc ...
Haben diverse Kunden die auch solche Mails bekommen und andere nicht gibt dafür wohl momentan keine richtige Lösung.
Mitglied: MasterPhil
MasterPhil 12.10.2017 um 14:00:34 Uhr
Goto Top
Zitat von @Mobsmonster:

Ja wird schwierig gegen diese Welle anzukommen
https://www.heise.de/security/meldung/Achtung-Aktuelle-Spam-Mails-faelsc ...
Haben diverse Kunden die auch solche Mails bekommen und andere nicht gibt dafür wohl momentan keine richtige Lösung.
Ich dachte eben, dass genau für sowas der SPF Record sinnvoll ist?
Mitglied: GuentherH
GuentherH 12.10.2017 um 14:03:46 Uhr
Goto Top
Ich habe im DNS des Providers den SPF Record "v=spf1 mx -all" gesetzt, wenn ich es verstanden habe heißt das,
dass nur der im MX eingetragene Mailserver versenden darf (unser Exchange).

Richtig. Hilft dir selbst aber nur dann, wenn auf eurem SPAM Filter nach SPF gefiltert wird.

Haben diverse Kunden die auch solche Mails bekommen und andere nicht gibt dafür wohl momentan keine richtige Lösung.

Doch. Der SPAM Filter muss nur so konfiguriert werden, dass Mails von Domänen, die als autoritative Domänen im Exchange eingetragen und von extern kommen nicht angenommen werden.

LG Günther
Mitglied: MasterPhil
MasterPhil 12.10.2017 um 14:18:25 Uhr
Goto Top
Zitat von @GuentherH:

Ich habe im DNS des Providers den SPF Record "v=spf1 mx -all" gesetzt, wenn ich es verstanden habe heißt das,
dass nur der im MX eingetragene Mailserver versenden darf (unser Exchange).

Richtig. Hilft dir selbst aber nur dann, wenn auf eurem SPAM Filter nach SPF gefiltert wird.

Haben diverse Kunden die auch solche Mails bekommen und andere nicht gibt dafür wohl momentan keine richtige Lösung.

Doch. Der SPAM Filter muss nur so konfiguriert werden, dass Mails von Domänen, die als autoritative Domänen im Exchange eingetragen und von extern kommen nicht angenommen werden.

LG Günther

Kann ich dann mit unserem aktuellen SPF Record "v=spf1 mx -all" was anfangen? In der Firewall aktivieren ich dann SPF und diese sollte dann prüfen, ob der Mailserver mit dem SPF Record übereinstimmt?
Mitglied: MasterPhil
MasterPhil 12.10.2017 um 15:14:28 Uhr
Goto Top
Nachtrag: Ich hab nun in der Firewall eingestellt, dass alle Mails, die von außen kommen und von "*@unserefirma.de" senden, von unserer Firewall zurückgewiesen werden. Jetzt ist ruhe.

Was bringt mir dann genau der SPF Record? Das habe ich noch nicht ganz verstanden und leuchtet mir auch anhand diverser Artikel nicht ein. Ich meine wir sind dadurch ja jetzt "sicher". Es kann aber doch sein, dass externe Benutzer Mails vermeintlich von uns erhalten.
Mitglied: GuentherH
GuentherH 12.10.2017 um 15:56:43 Uhr
Goto Top
Was bringt mir dann genau der SPF Record?

Im SPF Record sind die Mailserver eingetragen, die für die jeweiligen Domänen senden dürfen. Das heißt, wenn bei euch der SPF Record gesetzt ist, kann der Empfänger überprüfen ob die Mail tatsächlich von euch stammt.
Das Problem ist, dass der SPF Record nicht zwingend verbindlich ist, weil sich wie üblich ein paar Große wieder nicht einigen konnten. Somit ist der SPF Record nur ein Teil der SPAM - Filterkette, da bei nur aktiviertem SPF Filter jede Menge False Positive Treffer auftreten (daher, erwünschte Mails ohne SPF Eintrag landen im SPAM).

Ich hab nun in der Firewall eingestellt, dass alle Mails, die von außen kommen
und von "*@unserefirma.de" senden, von unserer Firewall zurückgewiesen werden.

Das ist die einfachste Methode bei diesem Problem. face-smile

LG Günther
Mitglied: MasterPhil
MasterPhil 12.10.2017 aktualisiert um 16:22:22 Uhr
Goto Top
Das heißt für mich, dass mir der SPF Record, den ich im DNS setze aktiv nichts bringt? Spam und das Spoofing kann ich durch die Firewall verhindern. Was ich nicht verhindern kann ist, dass unsere Domain für den Versand missbraucht wird, oder? Über einen PHP Mailer kann ich ja so Mails versenden, dass der Empfänger Domain XYZ sieht.
Mitglied: GuentherH
GuentherH 12.10.2017 um 18:52:00 Uhr
Goto Top
Das heißt für mich, dass mir der SPF Record, den ich im DNS setze aktiv nichts bringt?

Sicher. Deine Domäne ist damit wesentlich sicherer nicht versehtlich als Spammer auf einer Blacklist zu landen.

Spam und das Spoofing kann ich durch die Firewall verhindern.

Das gilt ja für den Empfang und nicht für den Versand

Was ich nicht verhindern kann ist, dass unsere Domain für den Versand missbraucht wird, oder?

Doch, genau dafür ist ja des SPF Record da.

Über einen PHP Mailer kann ich ja so Mails versenden, dass der Empfänger Domain XYZ sieht.

Klar. Aber wenn ich das z.B. mache, und eine E-Mail mit dem Namen eurer Domäne versende, dann stimmt meine IP Adresse mit der ich sende nicht mit der in eurem SPF Record überein und Empfänger weiß, dass er diese Mail als Mail verwerfen kann.

LG Günther
Mitglied: MasterPhil
MasterPhil 12.10.2017 um 21:23:53 Uhr
Goto Top
Dann hier noch meine letzte Frage: Der SPF Record schützt meine Domain dann nur insoweit, dass der Empfänger Mailserver prüfen muss, ob die Mail auch von dem Server kommt, der im SPF Record steht. Der Exchange arbeitet ja anscheinend per default nicht so, dass er das prüft. Dazu hab ich noch keine Infos gefunden, wie das dann zu konfigurieren ist.

Muss im SPF Record dann zusätzlich zur Domain die IP bzw der externe DNS des Exchange stehen? In unserem Fall sendet der Exchange nicht direkt, sondern über den Smarthost des Providers.

Genügt dazu der SPF v=spf1 mx -all, Der schließt ja den MX Record ein, der ja auf den Exchange zeigt. Im Mailheader steht als Sender der öffentliche DNS Name cas.domain.de. Muss dieser dann zusätzlich in den SPF Record, also v=spf1 mx a:cas.domain.de -all
Mitglied: GuentherH
GuentherH 12.10.2017 um 21:42:32 Uhr
Goto Top
Der SPF Record schützt meine Domain dann nur insoweit, dass der Empfänger Mailserver prüfen muss,
ob die Mail auch von dem Server kommt, der im SPF Record steht.

Korrekt

Der Exchange arbeitet ja anscheinend per default nicht so, dass er das prüft.

Doch, nennt sich Sender-ID - https://technet.microsoft.com/de-de/library/bb125259(v=exchg.141).aspx

In unserem Fall sendet der Exchange nicht direkt, sondern über den Smarthost des Providers.

Dann muss natürlich die IP des Smarthost angegeben werden. Der darf ja für eure Domäne Nachrichten versenden.

Verwende diesen Assistenten zum Erstellen des Eintrages - http://www.spf-record.de/generator

LG Günther