Bijgewerkt
Waarom de standaardinstelling niet genoeg is
Automatisch doorsturen naar externe adressen wordt geregeld in het uitgaande antispambeleid van Exchange Online Protection. Er zijn drie standen: 'Automatic - System-controlled' (de standaard), 'On - Forwarding is enabled' en 'Off - Forwarding is disabled'.
'Automatic' betekent niet altijd uit. Microsoft heeft het voor nieuwe tenants en tenants die geen doorsturen gebruikten op blokkeren gezet, maar in tenants die het al gebruikten kan het zich nog als On gedragen. Microsoft adviseert zelf om het expliciet op Off te zetten.
Is doorsturen geblokkeerd, dan wordt het doorgestuurde bericht geweigerd met de fout 5.7.520 Access denied. Een bedrijfsproces dat op doorsturen leunt, valt dus snel op.
Zo controleert u het
De menunamen hieronder zijn die van de Engelstalige portal.
- Ga in de Microsoft Defender portal naar Email & collaboration > Policies & rules > Threat policies > Anti-spam. Open 'Anti-spam outbound policy (Default)' en kijk bij Protection settings > Forwarding rules > Automatic forwarding rules. Controleer ook eventueel eigen uitgaand beleid.
- Zoek mailboxen die al doorsturen, en inboxregels die doorsturen of omleiden. Met Exchange Online PowerShell:
Get-Mailbox -ResultSize Unlimited |
Where-Object { $_.ForwardingSmtpAddress -or $_.ForwardingAddress } |
Select-Object UserPrincipalName, ForwardingSmtpAddress, DeliverToMailboxAndForward
Get-Mailbox -ResultSize Unlimited | ForEach-Object {
Get-InboxRule -Mailbox $_.UserPrincipalName |
Where-Object { $_.ForwardTo -or $_.ForwardAsAttachmentTo -or $_.RedirectTo } |
Select-Object MailboxOwnerId, Name, ForwardTo, RedirectTo
}Let goed op inboxregels met vreemde namen (een enkele punt, een paar letters) en regels die berichten met woorden als factuur, betaling of bank verplaatsen of verwijderen. Aanvallers gebruiken ze om het gesprek voor de echte gebruiker te verbergen.
Zo lost u het op
- Zet Automatic forwarding rules in het standaard uitgaande beleid op 'Off - Forwarding is disabled', of voer Set-HostedOutboundSpamFilterPolicy -Identity Default -AutoForwardingMode Off uit.
- Heeft een mailbox een echte zakelijke reden, maak dan een apart uitgaand beleid met doorsturen op On voor alleen die mailbox, en leg vast waarom.
- Verwijder doorstuur- en inboxregels die u niet kunt verklaren, en behandel elke regel als mogelijke inbraak: reset het wachtwoord, trek sessies in en controleer de aanmeldlogboeken van die gebruiker.
- Controleer onder Policies & rules > Alert policy of de standaardmeldingen 'Suspicious email forwarding activity' en 'Creation of forwarding/redirect rule' aanstaan, en of iemand de meldingen ook echt ontvangt.
Veelgestelde vragen
Kunnen gebruikers dan nog handmatig een mail doorsturen?
Ja. De instelling gaat over automatisch doorsturen: doorsturen op de mailbox en via inboxregels. Een gebruiker die bij één bericht op Doorsturen klikt, merkt er niets van.
Een directeur wil mail naar een privéadres laten doorsturen. Kan dat nog?
Technisch wel, met een apart uitgaand beleid voor die mailbox. Het blijft een risico: bedrijfsmail komt terecht in een account waar u geen controle over heeft. Een mobiele app of toegang tot een gedeelde mailbox is meestal het betere antwoord.
Kan een aanvaller om een doorstuurblokkade heen?
Deels. Hij kan de mailbox blijven lezen via een app waarvoor toestemming is gegeven, of via een gestolen sessie. Daarom zijn de instelling voor app-toestemming en meldingen bij aanmeldingen net zo belangrijk als de doorstuurblokkade.