Help-inhoud zoeken

ESET Cloud Office Security – Inhoudsopgave

E-mailregels

Breadcrumbs

Online-Help van ESET > ESET Cloud Office Security > Navigeren in ESET Cloud Office Security > Beleid > E-mailregels

URL van huidige artikel kopiëren Delen via e-mail

Dit artikel (PDF) Volledige documentatie (PDF)

Met deze functie kunt u voorwaarden opgeven en gefilterde e-mailacties toewijzen. U kunt uw aangepaste regels voor afzenderverificatie en anti-adresvervalsing definiëren door gebruik te maken van voorwaarden die verificatiemethoden bevatten zoals SPF, DKIM, DMARC en ARC. Ga tijdens het maken van een beleidsregel naar Regels en klik op Bewerken naast E-mailregels om een nieuwe regel te maken of een bestaande regel te wijzigen.

1.Als u nieuwe regels wilt maken, klikt u op Maken om een wizard te openen.

2.Kies een vooraf gedefinieerde sjabloon of klik op Overslaan en kies Nieuw om een nieuwe regel te maken.

3.Typ een naam voor de regel (kies iets dat u gemakkelijk kunt herkennen). De naam wordt vervolgens weergegeven in de lijst met regels. Als u de regel wilt voorbereiden maar deze pas later wilt gebruiken, kunt u op de wisselknop klikken naast Actief om de regel te deactiveren.

4.Volg de wizard om voorwaarden en acties op te geven. Wanneer u op Nieuwe voorwaarde toevoegen klikt, selecteert u de Bron van de voorwaarde in de vervolgkeuzelijst en configureert u de gewenste waarden.

5.U moet eerst de voorwaarden definiëren en vervolgens de bijbehorende acties opgeven. U kunt meerdere voorwaarden en acties toevoegen aan één regel. Als u dit doet, moet aan alle voorwaarden worden voldaan om de regel toe te passen. Alle voorwaarden zijn met elkaar verbonden door de logische operator AND. Zelfs als aan de meeste voorwaarden is voldaan en er slechts één voorwaarde is waaraan niet is voldaan, wordt het resultaat van de beoordeling van de voorwaarden beschouwd als niet voldaan en wordt de bijbehorende actie voor de regel niet uitgevoerd.

Sjabloon

Selecteer de vooraf gedefinieerde sjabloon in het vervolgkeuzemenu.

Sjabloon	Beschrijving
Banner voor externe verzender toevoegen	Voegt een banner toe aan e-mails die afkomstig zijn van buiten uw organisatie, zodat gebruikers externe berichten snel kunnen herkennen.
Banner voor interne verzender toevoegen	Markeert e-mails van interne afzenders met een banner die bevestigt dat het bericht afkomstig is van binnen uw organisatie. Hierdoor wordt verwarring voorkomen en het vertrouwen versterkt. Verkeerd geconfigureerde SPF- of relaisproblemen kunnen verhinderen dat de banner verschijnt of leiden tot een onjuiste markering.
De waarden voor 'Van' en 'Afzender' weergeven in de banner	Toont zowel de header 'Van' als 'Afzender'. Dit versterkt de transparantie, zodat gebruikers spoofingpogingen kunnen detecteren waarbij aanvallers de echte afzender verbergen. Sommige legitieme mailingsystemen (bijvoorbeeld nieuwsbrieven) gebruiken verschillende waarden voor 'Afzender' en dit kan verwarring veroorzaken.
Waarschuwing voor een veelvoorkomend homogliefteken in de header 'Van'.	Waarschuwt gebruikers wanneer het 'Van'-adres cyrillische of Griekse karakters bevat die Latijnse letters nabootsen (een veelgebruikte imitatietactiek). Dit helpt homogliefaanvallen te voorkomen. Deze waarschuwing kan ook worden geactiveerd door legitieme internationale e-mails.
Waarschuwing voor een veelvoorkomend homogliefteken in de header 'Afzender'.	Waarschuwt gebruikers wanneer het 'Afzender'-adres cyrillische of Griekse karakters bevat die Latijnse letters nabootsen (een veelgebruikte imitatietactiek). Dit helpt homogliefaanvallen te voorkomen. Deze waarschuwing kan ook worden geactiveerd door legitieme internationale e-mails.
Filter voor verdachte trefwoorden	Markeert e-mails met veelvoorkomende phishing- of bedrieglijke zinnen zoals 'Verifieer onmiddellijk uw identiteit' of 'U hebt gewonnen', die vaak worden gebruikt bij pogingen tot fraude. Marketing-e-mails of legitieme waarschuwingen kunnen af en toe vergelijkbare taal gebruiken, dus voorzichtigheid is geboden. Het wordt aanbevolen om een lijst met verdachte trefwoorden te maken, afgestemd op de behoeften van uw organisatie.
Filter voor promotionele e-mails	Identificeert promotionele e-mails door koppelingen voor afmelding en niet-zakelijke domeinen te detecteren. Hierdoor kunnen gebruikers prioriteit geven aan belangrijke berichten. Sommige transactionele e-mails (bijvoorbeeld facturen) bevatten ook koppelingen voor afmelding en kunnen ten onrechte worden gemarkeerd.
TLD-domeinen met hoog risico markeren	Waarschuwt gebruikers voor e-mails van domeinen met hoge misbruikpercentages (bijvoorbeeld .tk, .ml, .xyz). Deze TLD's worden vaak gebruikt voor spam en phishing. Sommige legitieme diensten maken ook gebruik van deze domeinen, dus verificatie is belangrijk.
Header Beantwoorden - Aan verschilt van afzender	Waarschuwt gebruikers wanneer het Beantwoorden - Aan-adres verschilt van dat van de afzender. Dit is een veelgebruikte phishingtactiek om reacties om te leiden. Sommige mailingsystemen gebruiken verschillende Beantwoorden - Aan-adressen voor ondersteuning of tickets. Dit kan leiden tot vals-positieven.
Niet-geverifieerde e-mails verplaatsen naar ongewenste e-mail (SPF mislukt)	Markeert e-mails waarvoor de SPF-controles mislukken. Dit kan wijzen op spoofing. SPF valideert de authenticiteit van de afzender. Onjuist geconfigureerde SPF-records of doorstuurservices kunnen vals-positieven veroorzaken.
Niet-geverifieerde e-mails verplaatsen naar ongewenste e-mail (SPF soft fail)	Markeert e-mails waarvoor de SPF-controles mislukken. Dit kan wijzen op spoofing. SPF valideert de authenticiteit van de afzender. Onjuist geconfigureerde SPF-records of doorstuurservices kunnen vals-positieven veroorzaken.
Waarschuwing bij urgente e-mails zonder SPF	Waarschuwt gebruikers wanneer een e-mail met hoge prioriteit geen SPF-validatie heeft. Aanvallers markeren phishing-e-mails vaak als urgent om druk uit te oefenen op ontvangers. In sommige legitieme systemen is SPF mogelijk onjuist ingesteld, dus verificatie wordt aanbevolen voordat u verdergaat.
Waarschuwing bij mislukte ARC- en DMARC-controles	Markeert e-mails waarvoor DMARC- en ARC-controles mislukken (respectievelijk voor controle van de afzenderidentiteit en de integriteit van berichten). Dit voorkomt spoofing en manipulatie. Deze controles mislukken bij doorgestuurde e-mails of mailinglijsten en dit kan leiden tot vals-positieven.
Markering van e-mails via PHP-mailer	Waarschuwt gebruikers voor e-mails die via PHP-mailer worden verzonden. Deze worden vaak misbruikt door spammers in systemen met weinig beveiliging. Aangezien PHP-mailer vaak wordt gebruikt in legitieme webtoepassingen, moeten ontvangers de authenticiteit verifiëren.
Banner voor mislukte ARC	Waarschuwt gebruikers wanneer ARC-verificatie mislukt. Dit kan wijzen op mogelijke manipulatie bij het doorsturen van berichten. ARC helpt authenticatie te behouden in het geval van doorstuurketens. Sommige e-maildoorstuurservices kunnen lieden tot mislukte ARC.
E-mails met bijlagen met ingeschakelde macro's in quarantaine plaatsen	Waarschuwt gebruikers wanneer een e-mail Office-bestanden met geactiveerde macro's bevat. Deze kunnen schadelijke code uitvoeren. Dit is een veelgebruikte methode voor het verspreiden van malware. Sommige legitieme workflows kunnen gebruikmaken van bestanden met geactiveerde macro's, dus beheerders moeten deze verifiëren voordat ze de bestanden blokkeren.
E-mails met uitvoerbare bijlagen in quarantaine plaatsen	Blokkeert e-mails met uitvoerbare bestanden om malware-infecties te voorkomen. Uitvoerbare bestanden zijn een bestandstype met hoog risico. Zeldzame legitieme gebruiksscenario's (bijvoorbeeld softwaredistributie) kunnen hierdoor worden beïnvloed.
E-mails met bijlagen met wachtwoordbeveiliging in quarantaine plaatsen	Blokkeert e-mails die met wachtwoorden beveiligde bestanden bevatten waarin mogelijk kwaadaardige inhoud is verborgen. Aanvallers gebruiken vaak versleuteling om scans te omzeilen. Legitieme, veilige bestandsoverdrachten worden mogelijk ook geblokkeerd.
E-mails met bijlagen met dubbele extensies in quarantaine plaatsen	Blokkeert e-mails met bijlagen met dubbele extensies (bijvoorbeeld factuur.pdf.exe). Dit is een veelgebruikte malwaretactiek om uitvoerbare bestanden te verbergen. Deze regel kan ook worden geactiveerd door zeldzame legitieme naamgevingsconventies.
Spoofing van interne domeinen voorkomen (SPAF mislukt) Spoofing van interne domeinen voorkomen (DKIM mislukt) Spoofing van interne domeinen voorkomen (DMARC mislukt) Spoofing van interne domeinen voorkomen (header Afzender)	E-mails die afkomstig lijken te zijn van uw domein maar waarvoor authenticatiecontroles mislukken, worden in quarantaine geplaatst. Dit helpt om interne spoofing-aanvallen te voorkomen. Onjuist geconfigureerde DNS-records of relaysystemen kunnen vals-positieven veroorzaken.
Urgente e-mails met mislukte DKIM blokkeren	Blokkeert e-mails die zijn gemarkeerd als 'urgent' en waarvoor DKIM-authenticatie is mislukt. Aanvallers maken vaak gebruik ban urgentie om druk uit te oefenen op ontvangers en beveiligingscontroles te omzeilen. Deze regel helpt om pogingen tot social engineering te voorkomen. DKIM kan soms ook mislukken voor sommige legitieme, urgente e-mails of vanwege verkeerd geconfigureerde e-mailservers.

Voorwaarden

Selecteer de voorwaarde Bron in de vervolgkeuzelijst. Parametervelden veranderen afhankelijk van de geselecteerde bron. Als u een Reguliere expressie wilt opgeven, selecteert u Type overeenkomst: RegEx-overeenkomst.

Bron van voorwaarde

Beschrijving

Afzender

Is van toepassing op berichten die door een specifieke afzender zijn verzonden.

IP-adres van afzender

Is van toepassing op berichten die vanaf een specifiek IP-adres zijn verzonden. Wanneer u een nieuw adres als voorwaarde toevoegt, worden zowel IPv4 als IPv6 geaccepteerd.

Domein van afzender

Is van toepassing op berichten van een afzender met een specifiek domein in zijn e-mailadres.

Van / Van naam

“Van:”-waarde in kopteksten van berichten. Dit is de weergavenaam die zichtbaar is voor de ontvanger, maar er worden geen controles uitgevoerd om na te gaan of het verzendende systeem geautoriseerd is om namens dat adres te verzenden. Dit veld wordt vaak gebruikt door aanvallers bij het vervalsen van de afzender. Met deze voorwaarde worden het domein of de domeinen in de koptekst 'Van' van de e-mail en de afzender van de envelop vergeleken met de domeinlijsten.

Onderwerp

Is van toepassing op berichten die een specifieke tekenreeks (of een reguliere expressie) wel of niet in het onderwerp bevatten.

Berichttekst

Het tekstgedeelte van het bericht wordt onderzocht op de opgegeven frase. U kunt de functie HTML-tags verwijderen gebruiken om HTML-tags, kenmerken en waarden te verwijderen en alleen tekst te behouden. De hoofdtekst wordt vervolgens doorzocht.

Bijlagenaam

Is van toepassing op berichten met bijlagen met een specifieke naam. Dit geldt ook voor bestanden in een archief.

Alleen evalueren voor bijlagen op het hoogste niveau: wanneer deze optie is ingeschakeld, worden bestanden in een archief niet geëvalueerd.

Volledig pad gebruiken voor objecten in bijlage: wanneer deze optie is ingeschakeld, wordt het volledige pad van het object geëvalueerd, niet alleen de bestandsnaam.

Bijlage-extensie

Is van toepassing op berichten met een bijlage die niet aan een specifieke grootte voldoet, binnen een specifiek groottebereik valt, of een specifieke grootte overschrijdt.

Bijlagetype

Is van toepassing op berichten met een specifiek bestandtype als bijlage. Bestandstypen worden gecategoriseerd in groepen, zodat ze gemakkelijk kunnen worden geselecteerd. U kunt meerdere bestandstypen of hele categorieën selecteren. In ESET Cloud Office Security wordt het werkelijke bestandstype gedetecteerd, ongeacht de bestandsextensie. Hetzelfde geldt voor de inhoud van een archief.

Alleen evalueren voor bijlagen op het hoogste niveau: wanneer deze optie is ingeschakeld, worden bestanden in een archief niet geëvalueerd.

De regelvoorwaarde Bijlagetype heeft een bekende beperking, namelijk dat de ESET Cloud Office Security-detectie-engine geen zeer kleine tekstbestanden van minder dan 10 bytes kan detecteren in ASCII/ANSI-codering.

Tijd van ontvangst

Is van toepassing op berichten die voor of na een specifieke datum, of tijdens een specifiek datumbereik zijn ontvangen.

SPF resultaat
SPF-resultaat - Uit koptekst
SPF resultaat HELO

Van toepassing op berichten met de volgende evaluatieresultaten van SPF (Sender Policy Framework):

Gelukt: Het IP-adres is geautoriseerd om vanuit het domein te verzenden (SPF met kwalificatie "+").

Mislukt: SPF-record bevat niet de verzendende server of de kwalificatie (SPF) voor het IP-adres ("-")

Beperkte werking: het IP-adres kan wel of niet zijn geautoriseerd om vanuit het domein te verzenden (SPF met kwalificatie "~").

Neutraal: betekent dat de domeineigenaar zoals aangegeven in de SPF-record niet wil beweren dat het IP-adres is geautoriseerd om vanuit het domein (SPF met kwalificatie "?") te verzenden.

Onbekend: als het SPF-resultaat None is, betekent dit dat er geen records zijn gepubliceerd door het domein of dat er geen controleerbaar afzenderdomein kan worden bepaald op grond van de gegeven identiteit.

U kunt RFC 4408 lezen voor meer details over SPF.

DMARC resultaat

Is van toepassing op berichten die bij de verificatie door SPF, DKIM (of allebei) zijn aangemerkt ofwel als Geslaagd ofwel als Mislukt, indien de status Onbekend is.

DKIM

Is van toepassing op berichten die bij de verificatie door DKIM zijn aangemerkt ofwel als Geslaagd ofwel als Mislukt, indien de status Onbekend is.

ARC

Is van toepassing op berichten die bij de verificatie door ARC zijn aangemerkt ofwel als Geslaagd ofwel als Mislukt, indien de status Onbekend is.

Kopteksten

De namen en waarden van de koptekstvelden van e-mailberichten worden gebruikt als voorwaarde. Type vergelijking:

Koptekstnamen: overeenkomende koptekstnamen. Aan de voorwaarde wordt voldaan wanneer de opgegeven koptekstnaam bestaat.

Koptekstwaarden: overeenkomende koptekstnamen en koptekstwaarden. Het type overeenkomst wordt alleen gebruikt voor de koptekstwaarden op basis van het geselecteerde type vergelijking. Aan de voorwaarde wordt voldaan wanneer de opgegeven koptekstnamen exact overeenkomen (het Type overeenkomst heeft geen invloed op de waarden van koptekstnamen).

Resultaat van malwarescan

Kies in het vervolgkeuzemenu de berichten waarop de regel moet worden toegepast. Optie: Niet gescand, Opgeschoond, Geïnfecteerd, Uitgeschakeld.

Resultaat van phishing-scan

Kies in het vervolgkeuzemenu de berichten waarop de regel moet worden toegepast. Optie: Niet gescand, Schoon, Phishing, Uitgeschakeld.

Resultaat van spamscan

Kies in het vervolgkeuzemenu de berichten waarop de regel moet worden toegepast. Optie: Niet gescand, Opgeschoond, Spam, Uitgeschakeld.

Scanresultaat

Kies in het vervolgkeuzemenu de berichten waarop de regel moet worden toegepast. Optie: Uitgeschakeld, Malware, Phishing, Spam, Analyseren, Fout, Opgeschoond, Niet gescand.

Acties

U kunt acties toevoegen voor berichten en/of bijlagen die overeenkomen met de regelvoorwaarden.

Actienaam	Beschrijving
Quarantainebericht	Het bericht wordt niet bezorgd bij de geadresseerde en wordt naar de e-mailquarantaine verplaatst.
Bericht verwijderen	Verwijdert een geïnfecteerd bericht.
Bijlagen verwijderen	Verwijdert een berichtbijlage. Het bericht wordt zonder bijlage bij de ontvanger bezorgd.
Scan overslaan	Het bericht wordt niet gescand door de beveiliging tegen malware, phishing en spam.
Eigenaar op de hoogte stellen	Definieer het Onderwerp en de tekst van het Bericht dat naar het e-mailadres van de ontvanger/eigenaar wordt verzonden als melding. Alle parameters voor berichttekst moeten tussen accolades staan, bijvoorbeeld {Parameternaam}.
Beheerders informeren	Voer E-mailadressen van beheerder in en definieer het Onderwerp en de Berichttekst die naar beheerders worden verzonden als melding. Alle parameters voor berichttekst moeten tussen accolades staan, bijvoorbeeld {Parameternaam}.
Prefix voor onderwerp toevoegen	Voegt een voorvoegsel toe aan een onderwerp.
Volgende regels evalueren	Maakt de beoordeling van andere regels mogelijk, waardoor de gebruiker meerdere voorwaardenverzamelingen en uit te voeren acties kan definiëren voor bepaalde voorwaarden.
Verplaatsen naar Ongewenste e-mail	Het bericht wordt in de map Ongewenste e-mail/spam van het postvak van de gebruiker geplaatst.
Koptekst toevoegen als banner	Een banner wordt toegevoegd aan een e-mailbericht en weergegeven voor de ontvanger. U kunt het uiterlijk van de banner aanpassen wanneer deze in het bericht is opgenomen.

˄˅