Phishing Report Button e-mail doorsturen & triage

U kunt de SoSafe Phishing Report Button configureren om gerapporteerde e-mails (inclusief het .EML-bestand) door te sturen naar een abuse mailbox, MS Defender en/of SoSafe's interne triageoplossing - Threat Inbox.

Abuse mailbox

Compatibiliteit

• Outlook: alle API's worden ondersteund
• Google Workspace: niet ondersteund

Werking

Wanneer gebruikers verdachte e-mails rapporteren, kan de Phishing Report Button deze berichten doorsturen naar een opgegeven abuse mailbox. Het sandboxsysteem van uw keuze kan deze mailbox vervolgens bewaken en inkomende e-mails analyseren op bedreigingen zoals phishinglinks of malware. Als er een bedreiging wordt gedetecteerd, kan het systeem de betreffende e-mail automatisch in quarantaine plaatsen en eventuele doorgestuurde kopieën uit de inboxen van gebruikers verwijderen.

Instellen

1. Richt een abuse mailbox in in uw beveiligingsoplossing. Raadpleeg voor gedetailleerde instructies de documentatie van uw provider.

2. Navigeer in de SoSafe Manager naar Phishing Report Button / Report handling en scrol naar de sectie Set up abuse mailbox. Activeer de schakelaar.

   

    

    

3. Voer uw abuse mailbox-adres in en selecteer Save om te bevestigen.

Technische details

• Doorgestuurde e-mails bevatten speciale headers (references en in-reply-to) die verwijzen naar de originele e-mail. Hierdoor kunnen beveiligingstools gesprekken volgen en de berichtenstroom analyseren.

• De doorgestuurde e-mail bevat de originele e-mail niet als bijlage.

• In plaats daarvan bevat de doorgestuurde e-mail basismetadata in platte tekst van de originele e-mail.

MS Defender

U kunt de Phishing Report Button integreren met Microsoft Defender voor de afhandeling van rapporten. Dit betekent dat e-mails die worden gerapporteerd via de PRB verschijnen in het inzenddashboard van uw SOC-team in Defender. Als u beschikt over Microsoft Defender for Office 365 Plan 2, kunt u ook een Automated Investigation and Response (AIR) activeren voor zowel de analyse van de gerapporteerde e-mail als herstelvoorstellen. Meer informatie over deze mogelijkheid vindt u op https://learn.microsoft.com/en-us/defender-office-365/air-auto-remediation.

Vereisten en beperkingen

Alle API's die beschikbaar zijn voor de PRB worden ondersteund. Echter beperkt Exchange Web Services (EWS) de grootte van bijlagen tot 500 kB, waardoor de originele e-mail niet als .eml-bestand kan worden bijgevoegd als deze te groot is. In deze gevallen worden de rapporten wel naar de inbox voor gebruikersinzendingen verzonden, maar verschijnen ze niet in het gebruikersinzenddashboard van Microsoft Defender. Wij raden daarom het gebruik van deze integratie met de EWS API af.

Microsoft Defender-inzendingen werken niet wanneer rapporten worden ingediend vanuit een on-premise mailbox of van buiten de organisatie. Rapporteurs moeten zich op dezelfde Azure-instantie van MS Defender bevinden.

Instellen in Microsoft Defender

1. Ga naar de Microsoft Defender-portal. Navigeer naar System / Settings / Email & collaboration / User reported settings. U kunt ook rechtstreeks naar deze pagina gaan: https://security.microsoft.com/userSubmissionsReportMessage
2. Zorg ervoor dat het selectievakje voor Monitor reported messages in Outlook is aangevinkt.
3. Selecteer Use a non-Microsoft add-in button.

4. Zorg er onder Reported message destinations voor dat Send reported messages to: is ingesteld op Microsoft and my reporting mailbox.
5. Voer onder Add an exchange online mailbox to send reported messages to: de inbox in die u wilt gebruiken.

Instellen in de SoSafe Manager

Navigeer in de SoSafe Manager naar Phishing Report Button / Report handling en zoek de sectie voor Microsoft Defender emails. Selecteer de schakelaar om deze te activeren en voer dezelfde inbox in die u eerder hebt opgegeven. Selecteer Save om te bevestigen.

Door gebruikers gerapporteerde e-mails worden nu doorgestuurd naar uw dashboard voor gebruikersinzendingen in Defender (navigeer naar Investigation & response / Actions & submissions / Submissions). Meer informatie over wat u daar kunt doen, vindt u op de ondersteuningspagina's van Microsoft. Gesimuleerde phishing-e-mails verzonden door SoSafe worden niet doorgestuurd.

Threat Inbox

Threat Inbox is uw centrale hub voor het triageren van rapporten die uw gebruikers hebben ingediend via de SoSafe Phishing Report Button (PRB). In plaats van rapporten te beheren via een standaard e-mailinbox biedt Threat Inbox een specifieke omgeving om potentiële bedreigingen te doorzoeken, te filteren, te beoordelen en te classificeren, er actie op te ondernemen en de medewerkers die ze hebben gerapporteerd zinvolle feedback te geven die veilig gedrag binnen uw organisatie versterkt.

Threat Inbox kan uw wachtrij ook voor u afwerken. AI-analyse stelt voor elk rapport bij binnenkomst een tag voor. Mailbox remediation verplaatst een gerapporteerde e-mail uit de inbox van de ontvanger en kan bij Google Workspace ook de afzender blokkeren. Beide functies zijn optioneel en blijven uitgeschakeld totdat u ze inschakelt.

Belangrijkste functies

Met Threat Inbox kunt u diepgaande onderzoeken uitvoeren naar gerapporteerde e-mails, rechtstreeks in de SoSafe Manager.

• Detailweergaven: Krijg toegang tot context op hoofdlijnen, waaronder de identiteit van de melder, het tijdstip en alle gegevens van de afzender.

• Technische analyses: Bekijk de volledige e-mailheaders, linkbestemmingen en details van bijlagen.

• Bestandsinspectie: Bij e-mails met bijlagen kunt u snel bestandsdetails bekijken en bestandshashes kopiëren voor verdere vergelijking in uw interne beveiligingstools.

• AI-analyse: Als u AI-analyse hebt ingeschakeld, wordt elk rapport geleverd met een voorgestelde tag Safe, Spam of Malicious die u kunt beoordelen. Suggesties zijn adviserend. U neemt de uiteindelijke beslissing.

• Uitleg in gewone taal: Open een rapport en u kunt lezen waarom de AI tot die suggestie is gekomen, in begrijpelijke taal en specifiek voor die e-mail.

• Mailbox remediation: Als u een Google Workspace- of Microsoft-integratie hebt gekoppeld, kunt u op de e-mail zelf handelen in plaats van alleen op het record. Verplaats de e-mail uit de inbox van de ontvanger naar de spam- of prullenbakmap van uw provider en blokkeer met Google Workspace de afzender of het verzendende domein.

• Minder extra werk bij gerapporteerde e-mails: Als u eerder aarzelde om de SoSafe Phishing Report Button te implementeren, kunt u dat nu doen met de zekerheid dat er een duidelijke manier is om gerapporteerde e-mails te beheren zonder extra werk te creëren.

Slim filteren en triageren

Om uw team georganiseerd te houden, biedt Threat Inbox verschillende weergaven om u te helpen de meest kritieke bedreigingen te prioriteren. U kunt de wachtrij ook sorteren, doorzoeken en op meerdere rapporten tegelijk handelen.

Zoeken. Doorzoek de wachtrij op e-mailonderwerp, op e-mailadres van de melder of op datum.

Bulksgewijs afhandelen. Selecteer meerdere rapporten en handel ze allemaal in één actie af in plaats van elk rapport afzonderlijk te openen. Alles selecteren is alleen van toepassing op de rapporten die overeenkomen met het filter dat u momenteel hebt ingesteld, niet op de volledige wachtrij. U ziet hoeveel rapporten zijn geselecteerd en bevestigt dit voordat de actie wordt uitgevoerd. Er wordt een feedback-e-mail verzonden naar elke melder bij wie feedback is ingeschakeld, en een opmerking die u toevoegt, wordt in al deze e-mails opgenomen. U kunt de classificatie van een rapport ook na het afhandelen nog wijzigen, waarna de melder opnieuw een feedback-e-mail ontvangt. U kunt het .EML-bestand ook na het afhandelen nog downloaden.

Filteren op AI-analyse. Als u AI-analyse hebt ingeschakeld, kunt u de wachtrij ook filteren op tag en direct naar alles gaan wat als Malicious is getagd. Deze filters worden alleen weergegeven zolang AI-analyse is ingeschakeld. Als u de functie uitschakelt, verdwijnen de filters en werken de bovenstaande weergaven precies zoals voorheen.

Wanneer u AI-analyse inschakelt, verwerkt Threat Inbox uw volledige achterstand en voegt AI-analyse toe aan bestaande rapporten.

AI-analyse is optioneel en blijft uitgeschakeld totdat u deze inschakelt.

Wanneer AI-analyse is ingeschakeld, worden uit een gerapporteerde e-mail eerst alle persoonlijk identificeerbare gegevens verwijderd. Meerdere gegevenspunten van wat overblijft, waaronder de afzender, de links en eventuele bijlagen, worden gecontroleerd aan de hand van databases met threat intelligence die de industriestandaard volgen. In de meeste gevallen is dit voldoende om vast te stellen of een e-mail Safe, Spam of Malicious is.

Vervolgens beoordeelt een AI-laag die privacy vooropstelt het resultaat, om meer zekerheid te bieden wanneer reputatiegegevens alleen niet doorslaggevend zijn.

Het resultaat is altijd een suggestie: de tag Safe, Spam of Malicious. Uw team beoordeelt deze en bevestigt deze wanneer u het rapport afhandelt. Als u het er niet mee eens bent, classificeert u het rapport zelf.

De feedbacklus sluiten

Feedback aan gebruikers maakt van een gesloten ticket een leermoment en motiveert tot meer meldingen. Wanneer u bij een rapport Resolve selecteert, classificeert u de e-mail in een van drie categorieën: Safe, Spam of Malicious.

Als AI-analyse is ingeschakeld, heeft elk rapport in uw beoordelingswachtrij bij het openen een voorgestelde tag: Safe, Spam of Malicious. De tag is de suggestie van de AI en is niet bevestigd. Zodra u het rapport afhandelt, is de classificatie van u. U kunt de suggestie accepteren of een andere kiezen.

• Geautomatiseerde feedback: Elke classificatie is gekoppeld aan een unieke feedback-e-mail die de classificatie aan de medewerker toelicht. Feedback-e-mails gebruiken een standaardset templates en u kunt bij het afhandelen een opmerking voor de melder toevoegen.

• Gedragsversterking: Door deze updates te versturen voelen gebruikers zich gehoord en gewaardeerd, wat het aantal toekomstige meldingen en de kwaliteit van de gegevens verbetert.

• Flexibiliteit voor beheerders: Feedback wordt standaard automatisch verzonden om uw team tijd te besparen, maar u kunt dit voor specifieke gevallen eenvoudig uitschakelen door het selectievakje Send feedback email uit te schakelen.

Het classificeren van een rapport legt een beslissing vast. Mailbox remediation handelt op de e-mail zelf.

Wat mailbox remediation kan doen, hangt ervan af of uw organisatie Microsoft 365 of Google Workspace gebruikt. Daarom is niet elke onderstaande actie in elke omgeving beschikbaar. Vanuit een rapport in Threat Inbox kunt u:

• De e-mail uit de inbox van de ontvanger verplaatsen. Spam gaat naar de eigen spammap van uw provider (Spam in Gmail, Junk Email in Outlook). Malicious gaat naar de eigen prullenbak van uw provider (Trash in Gmail, Deleted Items in Outlook). SoSafe maakt geen eigen mappen aan. De e-mail wordt verplaatst en niet door SoSafe verwijderd, maar de normale regels van uw provider voor die map zijn daarna van toepassing, inclusief eventuele automatische opruiming.

• De afzender blokkeren*, zodat verdere e-mails van dat adres uw gebruikers niet bereiken.

• Het verzendende domein blokkeren*, zodat verdere e-mails van dat domein uw gebruikers niet bereiken.

*Alleen Google Workspace.

Eén beperking is goed om te weten voordat u erop vertrouwt. Mailbox remediation werkt op het exemplaar dat is gerapporteerd en is geen organisatiebrede opschoning. Als dezelfde e-mail bij vijftig personen is bezorgd en één persoon deze heeft gerapporteerd, werkt mailbox remediation op het exemplaar van die ene persoon.

Mailbox remediation wordt door u geactiveerd voor een afzonderlijk rapport.

Instellen. Koppel mailbox remediation onder Settings / Integrations. U kunt één mailbox remediation-integratie tegelijk gekoppeld hebben. De benodigde machtigingen worden getoond op het toestemmingsscherm van uw e-mailomgeving wanneer u de koppeling goedkeurt. Gebruiken. Wanneer u een rapport afhandelt, vanuit het afhandelvenster of de detailweergave van het rapport, vinkt u de gewenste mailbox remediation-acties aan. Mailbox remediation wordt alleen uitgevoerd voor de rapporten waarvoor u dit kiest.

Mailbox remediation is niet hetzelfde als de instelling Delete emails permanently after reporting onder Phishing Report Button / General settings. Die instelling werkt op elk rapport op het moment dat het wordt ingediend en verwijdert de e-mail. Mailbox remediation werkt op één rapport nadat dit is beoordeeld en verplaatst de e-mail. Als u rapporten ook doorstuurt naar een abuse mailbox, controleer dan of uw sandbox nog toegang heeft tot de spam- en prullenbakmappen van uw provider.

Als u Threat Inbox uitschakelt, worden alle gerapporteerde e-mails en alle classificatiegegevens permanent verwijderd. U wordt gevraagd dit te bevestigen voordat het gebeurt.

Om toegang te krijgen tot de hub, navigeert u naar Phishing Report Button / Threat Inbox in de SoSafe Manager. Als de functie nog niet actief is, vindt u een activatieschakelaar rechtstreeks op die pagina.

Hoewel Threat Inbox is ontworpen als een complete onderzoeksoplossing, begrijpen wij dat veel teams gebruikmaken van externe ticketsystemen. Als u de voorkeur geeft aan het triageren van rapporten via tools zoals Jira of ServiceNow, kunt u deze verbindingen configureren onder Settings / Integrations.