EXCHANGE

Sending Reset Password links may be considered as phishing

Andres Bohren

Hi All,

A few Weeks ago i received the Mail below that was filtered out as Junk-E-Mail. So i took a closer look as it is legitimate. It contained a “Forgot Password” Link to theyr Portal. These are classic Phishing Techniques

DMARC Advisor

Andres Bohren
Hallo zusammen,

Ich teste ja gerne hin und wieder DMARC Auswertungstools. Aktuell habe ich https://dmarcadvisor.com/ getestet. Man kann dort eine kostenlose Trialversion anfordern.


Dazu muss man einfach einen Account eröffnen




Anschliessend erhält man eine Email, bei dem man auf den Aktivierungslink klicken muss.

Danach kann man sich mit dem Account einloggen


Es wird einem gleich ein neuer DMARC Record vorgeschlagen. Im gegensatz zum vorgeschlagenen Record habe ich auch gleich noch das Value für sp (subdomain) erstellt. Es macht sicher Sinn, da erst mal mit "None" laufen zu lassen um eine übersicht zu erhalten. Und dann langsam auf "Quarantine" und später dann auf "Reject" umzustellen.

Ich habe meinen DMARC Record im Azure DNS umgestellt.

"v=DMARC1; p=none; sp=none; rua=mailto:wclmh3mw@ag.eu.dmarcadvisor.com;"


Danach sieht es im Portal so aus. Am besten man sendet gleich mal ein Mail an eine @gmail.com adresse. Von dort werden nämlich DMARC Reports wieder zurück an den RUA gesendet. Sieht man aber meist erst am nächsten Tag.


Ich habe meine icewolf.ch Domäne schon vor ein paar Tagen so aufgesetzt und den DMARC Record auf für die Hauptdomäne auf Reject gesetzt.


Wirklich cool finde ich den Detailviewer. Da sieht man, von welcher IP die Mails versendet wurden und ob SPF, DKIM und DMARC richtig waren.


Ausserdem kann man sich auch Alerts setzen. Damit habe ich aber noch nicht so viel herumgespielt.


Alles in allem ein solides DMARC Analyzer tool, viel besser als der kürzlich getestete DMARC Monitor von Valimail.

Liebe Grüsse
Andres


EOP Report Zero-hour auto purge (ZAP)Actions

Andres Bohren
Hallo zusammen,

Dass ich das "Advanced Hunting" in Office 365 Defender mag, hat man wohl schon beim lesen meines ersten Blog Artikels gemerkt https://blog.icewolf.ch/archive/2021/08/23/defender-for-office-365-advanced-hunting.aspx

Kürzlich habe ich mich gefragt, wie viel denn Zero-hour auto purge (ZAP) überhaupt angewindet wird und ob das was bringt.

Zero-hour auto purge (ZAP) in Exchange Online

Dafür habe ich mir folgende Query zusammengebaut

EmailPostDeliveryEvents  |  summarize count () by bin(Timestamp, 1d), Action, ActionType  | order by count_ | render columnchart



Man sieht, dass täglich über 5'500 Mails durch ZAP entfernt werden.
Dies bei einem Tenant mit knapp 40'000 Mailboxen und einem täglich mehr als 60'000 Incoming Mails.
Ich finde das kann sich sehen lassen.

Liebe Grüsse
Andres Bohren


Exchange Online Protection Common Attachment Filter Update

Andres Bohren
Hallo zusammen,

Microsoft hat im M365 Defender Portal das GUI für die Antimalware File Types überarbeitet.
Bisher waren nur folgende 13 File Extensions im Common Attachment Filter vorhanden.
  • ace
  • ani
  • app
  • cab
  • docm
  • exe
  • iso
  • jar
  • jnlp
  • reg
  • scr
  • vbe
  • vbs



Neu sind bis zu 96 Extensions in einer Liste auswählbar.


Get-MalwareFilterPolicy -Identity <Identity> | select -ExpandProperty FileTypes | measure


Get-MalwareFilterPolicy -Identity <Identity> | select -ExpandProperty FileTypes


Nun sind folgende 96 Extensions auswählbar

  • ace
  • ani
  • app
  • docm
  • exe
  • jar
  • reg
  • scr
  • vbe
  • vbs
  • ade
  • adp
  • asp
  • bas
  • bat
  • cer
  • chm
  • cmd
  • com
  • cpl
  • crt
  • csh
  • der
  • dll
  • dos
  • fxp
  • gadget
  • hlp
  • Hta
  • Inf
  • Ins
  • Isp
  • Its
  • js
  • Jse
  • Ksh
  • Lnk
  • mad
  • maf
  • mag
  • mam
  • maq
  • mar
  • mas
  • mat
  • mau
  • mav
  • maw
  • mda
  • mdb
  • mde
  • mdt
  • mdw
  • mdz
  • msc
  • msh
  • msh1
  • msh1xml
  • msh2
  • msh2xml
  • mshxml
  • msi
  • msp
  • mst
  • obj
  • ops
  • os2
  • pcd
  • pif
  • plg
  • prf
  • prg
  • ps1
  • ps1xml
  • ps2
  • ps2xml
  • psc1
  • psc2
  • pst
  • rar
  • scf
  • sct
  • shb
  • shs
  • tmp
  • url
  • vb
  • vsmacros
  • vsw
  • vxd
  • w16
  • ws
  • wsc
  • wsf
  • wsh
  • xnk

Oder man kann die Liste auf 159 erweitern. Ich habe mir die Erweiterungen aus folgenden Quellen zusammengetragen

URL (Quellen) 

Exchange Online PowerShell v2 Modul ohne WinRM Basic Auth

Andres Bohren
Hallo zusammen,

Im Exchange Team Blog hat Microsoft die Preview von ExchangeOnlineManagement Modul ohne WinRM Basic Auth angekündigt.

Um die WinRM Einstellungen abzurufen, muss der Service natürlich laufen


Läuft der Service nicht, so erhält man folgende Fehlermeldung


Mit dem folgenden Befehl fragt man die Einstellungen für den Client ab. Wie man sieht, ist da Basic Auth noch aktiviert.

winrm get winrm/config/client


Mit dem folgenden Befehl deaktiviere ich die Basic Auth

winrm set winrm/config/client/auth @{Basic="false"}


Wenn ich mich nun mit dem ExchangeOnlineManagement PowerShell Modul 2.0.5 mit ExchangeOnline verbinde, gibt es einen Fehler

Connect-ExchangeOnline


Nun deinstalliere ich das Modul und installiere die Preview

Uninstall-Module ExchangeOnlineManagement

Exchange Server Updates November 2021

Andres Bohren
Hallo zusammen,

Gestern war Microsoft Patchday und es wurden wieder Security Updates für Exchange Server 2013/2016/2019 veröffentlicht

In diesem Blog Artikel habe ich das Update auf meinem Exchange Server 2016 durchgeführt

Security Update For Exchange Server 2016 CU22 (KB5007409)

Denkt daran, das Exchange Update aus einem CMD "Als Administrator" auszuführen.











Liebe Grüsse
Andres Bohren