Gateway-Umgehung: Direct Send abweisen und den eigenen Weg erzwingen

MailGuard prüft jede Nachricht, die durch das Gateway läuft. Alles, was daran vorbeikommt, ist ungeprüft. Es gibt drei Wege daran vorbei, und alle drei sind schließbar.

1. Direct Send bei Microsoft 365

Microsoft 365 nimmt Post für Ihre eigenen Domänen von jedem Absender im Internet an, wenn sie an den Endpunkt ihre-domaene-de.mail.protection.outlook.com geht. Dafür braucht niemand ein Konto, ein Kennwort oder einen Konnektor. Der Weg heißt Direct Send und ist für Geräte im eigenen Netz gedacht, etwa Drucker und Fachanwendungen, die keine Anmeldung beherrschen.

Für einen Angreifer ist er die Umgehung: er schickt an diesen Endpunkt, das Gateway sieht die Nachricht nie, und der Empfänger bekommt sie ohne Prüfung. Der einzige Schutz, der dann noch greift, ist der von Microsoft selbst.

So schließen Sie den Weg. Eine Einstellung in der Exchange-Online-Organisation:

Set-OrganizationConfig -RejectDirectSend $true

Danach weist Exchange Online Post für Ihre Domänen ab, die nicht über einen Konnektor kommt. Der geführte Einrichtungsweg von Conbool setzt die Einstellung auf Wunsch mit, unter Einstellungen, Microsoft 365, Exchange einrichten. Sie können sie auch selbst setzen, der Rückweg ist $false.

Vorher prüfen. Alles, was heute über Direct Send einliefert, hört danach auf zu funktionieren. Das betrifft typischerweise:

• Multifunktionsdrucker mit Scan-to-Mail
• Warenwirtschaft, Zeiterfassung, Ticketsysteme im eigenen Netz
• Überwachungssysteme, die Alarme per Mail schicken

Für jedes dieser Geräte gibt es zwei saubere Ersatzwege: die Anmeldung mit einem eigenen Postfach über SMTP AUTH, oder ein eigener Konnektor für die fest bekannte Ausgangsadresse Ihres Standorts. Der zweite Weg ist für Geräte gedacht, die keine Anmeldung beherrschen.

Eine Liste der betroffenen Einlieferungen finden Sie in der Nachrichtenverfolgung von Microsoft 365: filtern Sie auf eingehende Post ohne Konnektor.

2. Der MX-Eintrag zeigt woanders hin

Das Gateway bekommt Post nur, wenn der MX-Eintrag Ihrer Domäne darauf zeigt. Steht dort noch das alte Ziel, läuft alles am Gateway vorbei, obwohl im Portal alles eingerichtet aussieht.

Conbool prüft das täglich für jede verifizierte Domäne. Zeigt der MX nicht auf uns, wechselt der Schutzzustand der Domäne auf MX fehlt und die Verwaltung bekommt eine Meldung. Sie sehen den Zustand im Modul unter MailGuard, Übersicht.

Prüfen können Sie es selbst mit:

dig MX ihre-domaene.de

Erwartet wird mail.conbool.com.

3. Der zweite MX-Eintrag

Ein zweiter MX-Eintrag mit höherer Vorzugszahl ist als Ausfallreserve gedacht. Ein Angreifer liest ihn genauso wie jeder andere und liefert absichtlich dort ein, weil er dort keine Prüfung erwartet. Zeigt der zweite Eintrag auf Ihr Zielsystem und nicht auf uns, ist er eine offene Tür.

Für Ausfallreserve ist bei Conbool der Notfallbetrieb gebaut: er nimmt Post an und hält sie, solange Ihr Postfach nicht erreichbar ist. Ein zweiter MX-Eintrag am Zielsystem ist damit unnötig.

Was Conbool nicht sehen kann

Ob über Direct Send eingeliefert wird, sieht nur Microsoft. Eine Nachricht, die nie bei uns ankommt, hinterlässt bei uns keine Spur, und wir haben keinen Zugriff auf die Nachrichtenverfolgung Ihres Mandanten. Die Prüfung dieser Lücke ist deshalb Ihre, und diese Seite ist die Anleitung dazu.

Was wir sehen und melden, ist der MX-Eintrag jeder verifizierten Domäne, täglich.