Office365 - Alan adımız üzerinden Spam mail atılması

Kişinin cihazına bulaşma olabilir kontrol edin, hesapların girildiği noktaları kontrol etmelisiniz.

Merhaba, teşekkür ederim bilgi için.

Ama bu mail adresinden çıkan bir mail görünmüyor. Outlook üzerinden kontrol ediyorum, ayrıca exchange online üzerinden messages trace de bakıyorum direk sunucu üzerinden çıkan bir mail yok.

Açık yakalanmadıkça bu zor zaten, gönderimler 365 bacağından yapılmıyorsa raporlayamazsınız panelden. PS ile bulup hangi noktalardan o mail ile auth. var araştırılabilir. Burada ki işaret kişiye NDR düşmesi, demek ki bir cihazda birşey var başka bir smtp kullanılıyor olabilir yanıt adresi olarak kişiye dönüyor olabilir. Sadece adresi girerek spoofing yapıyor olsalar ndr size düşmez gönderene gider.
Siz yaptığınız ayarla sorunun kaynağını bulmuş olmuyorsunuz reddetmiş oluyorsunuz sadece. Local exch den log'ları bulmak kolay ama support dan ticketla buna istinaden konuşun.

Teşekkür ederim bilgi için

"PS ile bulup hangi noktalardan o mail ile auth. var araştırılabilir" konusuna bakacağım.

Aynı olmayabilir fakat bugün benzer bir durumu bizde yaşadık. İlk defa bu içerikte ki durumu görmüş oldum.
Bir kullanıcıya yüzlerce NDR düştüğü görüldü. İlk girişim ve gönderim hybrid yapıda ki local exch den idi. 

https://serverfault.com/questions/1154095/spf-spf-protection-outlook-com-is-invalid-for-messages-within-tenant/1154098#1154098
Arada ilginç v6 IP'ler gördük incelemeyi devam ettirdik. Kaynaklara bakıp Headerları inceleyince daha anlaşılır oldu.

https://www.reddit.com/r/Office365/comments/x66c0v/is_office_365_currently_allowing_open_relay/
Bir açık olmasından şüphelendik fakat değil, sanırım açıklar söz konusu benzer benzemez çok şikayet var bu konuda net'de.

Bizim durumda kullanıcı şifresiyle relay başlatıldığını connector ve trace loglarından tespit ettik. Bir ilk doğrulama almışlar sanırım yazılım ve datacenter'lar üzerinden spam basıyorlar. Fakat gönderim aracıları yukarıda ki linkte ki gibi bazıları ilginç.
Kullanıcı şifresini nasıl elde ettiklerini bulamadık (muhtemel word attack ile). Şifre ve kuyruk temizliği ile, dmarc güncellemeleriyle durumu şimdilik kapattık. Detay yapılandırma değişiklikleri ile devam ettirilecek.

Bunları da buraya bırakmış olayım. İlgili konular;

https://practical365.com/how-to-ensure-your-third-party-filtering-gateway-is-secure/
https://www.hakanuzuner.com/office-365-icin-iis-ile-smtp-relay-yapilandirmasi/

Merhaba Deniz Bey, teknik olarak bir başkası sizin domainizi kullanarak email gönderebilir fakat spf dkim ve dmarc kayıtları da tam olarak sistemlerin bu emailleri ayırt edip önlemesini kolaylaştırmak için var. sizin dmarc kaydınız none iken sadece raporlama modundaydı fakat reject olarak güncellediğinizde tüm dış dünyaya spf veya dkim ile uyuşmayan emailleri reddetmesini söylemiş oluyorsunuz. bu sayede atağı durdurabildiniz. sizin domaininiz ile yetkisiz email gönderimleri engellendiği için buna istinaden ndr’lar da almamış oluyorsunuz.

@tayfuntech 

Hocam, yazılarınızı takip eden biri olarak desteğiniz çok kıymetli. teşekkür ediyorum öncelikle.

"teknik olarak bir başkası sizin domainizi kullanarak email gönderebilir" demişsiniz... 

Sistem relaya açık olmadıktan, MFA açık olmasına rağmen de mümkün müdür?

bazı forumlarda şunu gördüm, 

https://www.reddit.com/r/Office365/comments/x66c0v/is_office_365_currently_allowing_open_relay/?rdt=34447

biz office365 kiracısıyız, yine herhangi bir kötü niyetli office365 kiralayarak, bizim adımıza mail gönderebilen durumlar yaşanmış.

burada böyle bir sorun yaşamış olabilir miyiz, SPF, DMarc, DKIM kayıtları sadece bu maillerin bana düşmemesini sağlar ama benim adıma mail gönderilmesini yaşamıyor olmamız lazım, bu büyük bir sorun olur.

yani burada DMARC, SPF ve DKIM ayarlarını yapmamış mail sistemlerin de ciddi bir açık oluşur.