Konfigurieren der erweiterten Übermittlungsrichtlinie für Nicht-Microsoft-Phishingsimulationen und E-Mail-Übermittlung an SecOps-Postfächer

Um Ihre organization standardmäßig sicher zu halten, lässt Microsoft 365 keine Zulassungslisten oder Filterumgehung für Nachrichten zu, die als Schadsoftware oder Phishing mit hoher Zuverlässigkeit identifiziert werden. Es gibt jedoch bestimmte Szenarien, in denen die Übermittlung ungefilterter Nachrichten erforderlich ist. Zum Beispiel:

• Nicht von Microsoft stammende Phishing-Simulationen: Simulierte Angriffe können Ihnen helfen, anfällige Benutzer zu identifizieren und zu trainieren, bevor sich ein echter Angriff auf Ihre organization auswirkt.
• Security Operations(SecOps)-Postfächer: Dedizierte Postfächer, die von Sicherheitsteams verwendet werden, um ungefilterte Nachrichten zu sammeln und zu analysieren (sowohl gut als auch schlecht).

Verwenden Sie die erweiterte Zustellungsrichtlinie in Microsoft 365, um die Filterung eingehender Nachrichten bei Nicht-Microsoft-Phishingsimulationen, SecOps-Postfächern und anderen Szenarien, die eine Filterumgehung erfordern, zu verhindern. Die Richtlinie für die erweiterte Zustellung stellt sicher, dass Nachrichten in den Szenarien für Phishingsimulation und SecOps-Postfächer ohne Microsoft die folgenden Ergebnisse erzielen:

• Filter in Microsoft 365 ergreifen keine Maßnahmen für diese Nachrichten. Die Filterung von Schadsoftware wird nur für SecOps-Postfächer umgangen.
• Zap (Zero-Hour Auto Purge) für Spam und Phishing ergreift keine Aktion für diese Nachrichten. ZAP für Schadsoftware wird nur für SecOps-Postfächer umgangen.
• Sichere Links in Defender für Office 365 blockieren oder detonieren die angegebenen URLs in diesen Nachrichten zum Zeitpunkt des Klickens nicht. URLs sind weiterhin umschlossen, aber nicht blockiert.
• Safe Attachments in Defender for Office 365 überprüft Anlagen in diesen Nachrichten nicht.
• Standardsystemwarnungen werden nicht für Szenarien ausgelöst, die nicht Microsoft Phishingsimulation und SecOps-Postfachszenarien sind.
• Air und Clustering in Defender für Office 365 ignorieren diese Nachrichten.
• Speziell für Nicht-Microsoft-Phishingsimulationen:
  • Admin Übermittlung generiert eine automatische Antwort, die besagt, dass die Nachricht Teil einer Phishingsimulationskampagne ist und keine echte Bedrohung darstellt. Warnungen und AIR werden nicht ausgelöst. Die Benutzeroberfläche für Administratorübermittlungen zeigt diese Nachrichten als simulierte Bedrohung an.
  • Wenn ein Benutzer eine Phishingsimulationsnachricht über die integrierte Schaltfläche Bericht in Outlook meldet, generiert das System keine Warnung, Untersuchung oder einen Incident. Die Links oder Dateien werden nicht detoniert, aber die Meldung wird auf der Registerkarte Benutzer gemeldet auf der Seite Übermittlungen angezeigt.

Von der erweiterten Übermittlungsrichtlinie identifizierte Nachrichten sind keine Sicherheitsbedrohungen, sodass die Nachrichten mit Systemüberschreibungen gekennzeichnet sind. Administratoransichten zeigen Nachrichten an, die von der erweiterten Übermittlungsrichtlinie als Phishing-Simulation- oder SecOps-Postfach-Systemüberschreibungen identifiziert werden. Administratoren können die Phishingsimulation und das SecOps-Postfachsystem Werte außer Kraft setzen, um Nachrichten in den folgenden Erfahrungen zu filtern und zu analysieren:

• Threat Explorer (Explorer) oder Echtzeiterkennungen in Defender for Office 365: Administratoren können nach Quelle der Systemüberschreibung filtern und Phishingsimulation oder SecOps-Postfach auswählen.
• Die E-Mail-Entitätsseite: Administratoren können im Abschnitt Außerkraftsetzungen unter Mandantenüberschreibung eine Nachricht einsehen, die gemäß der Organisationsrichtlinie durch das SecOps-Postfach oder die Phishing-Simulation zugelassen wurde.
• Der Threat Protection-Statusbericht: Administratoren können im Dropdown-Menü nach Daten nach Systemüberschreibung anzeigen filtern und Nachrichten anzeigen, die aufgrund einer Systemüberschreibung für Phishingsimulationen zugelassen wurden. Um die Nachrichten anzuzeigen, die durch die Postfachüberschreibung für SecOps zugelassen werden, können Sie in der Dropdownliste Diagrammaufschlüsselung nach Grund die Option Diagrammaufschlüsselung nach Zustellungsort auswählen.
• Erweiterte Suche in Microsoft Defender for Endpoint: Phishingsimulation und SecOps-Postfachsystemüberschreibungen sind Optionen in OrgLevelPolicy in EmailEvents.
• Kampagnenansicht: Ein Admin kann nach der Quelle für die Systemüberschreibung filtern und entweder Phishing-Simulation oder SecOps-Postfach auswählen.

Was sollten Sie wissen, bevor Sie beginnen?

• Sie öffnen das Microsoft Defender-Portal unter https://security.microsoft.com. Um direkt zur Seite Erweiterte Übermittlung zu wechseln, verwenden Sie https://security.microsoft.com/advanceddelivery.

• Wie Sie eine Verbindung mit Exchange Online PowerShell herstellen, finden Sie unter Herstellen einer Verbindung mit Exchange Online PowerShell.

• Ihnen müssen Berechtigungen zugewiesen werden, bevor Sie die Verfahren in diesem Artikel ausführen können. Sie haben folgende Optionen:

  • Microsoft Defender XDR einheitliche rollenbasierte Zugriffssteuerung (RBAC) (Wenn E-Mail & Zusammenarbeit>Defender for Office 365-Berechtigungen Aktiv sind. Betrifft nur das Defender-Portal, nicht PowerShell): Autorisierung und Einstellungen/Sicherheitseinstellungen/Kernsicherheitseinstellungen (verwalten) oder Autorisierung und Einstellungen/Sicherheitseinstellungen/Kernsicherheitseinstellungen (Lesen).

  • E-Mail- und Zusammenarbeitsberechtigungen im Microsoft Defender-Portal und Exchange Online-Berechtigungen:

    • Erstellen, Ändern oder Entfernen konfigurierter Einstellungen in der erweiterten Übermittlungsrichtlinie: Mitgliedschaft in den Rollengruppen "Sicherheitsadministrator" in Email & RBAC für die Zusammenarbeit und Mitgliedschaft in der Rollengruppe "Organisationsverwaltung" in Exchange Online RBAC.
    • Schreibgeschützter Zugriff auf die erweiterte Zustellungsrichtlinie: Mitgliedschaft in den Rollengruppen Globaler Leser oder Sicherheitsleser in RBAC für E-Mail und Zusammenarbeit.
      • Ansichtsgeschützte Organisationsverwaltung in Exchange Online RBAC.

  • Microsoft Entra Berechtigungen: Durch die Mitgliedschaft in den Rollen "Globaler Administrator^*", "Sicherheitsadministrator", "Globaler Leser" oder "Sicherheitsleseberechtigter" erhalten Benutzer die erforderlichen Berechtigungen und Berechtigungen für andere Features in Microsoft 365.

    Wichtig

    ^* Microsoft setzt sich nachdrücklich für das Prinzip der geringsten Rechte ein. Wenn Sie Konten nur die minimalen Berechtigungen zuweisen, die zum Ausführen ihrer Aufgaben erforderlich sind, können Sie Sicherheitsrisiken reduzieren und den allgemeinen Schutz Ihrer organization stärken. Globaler Administrator ist eine Rolle mit hohen Berechtigungen, die Sie auf Notfallszenarien beschränken sollten oder wenn Sie keine andere Rolle verwenden können.

Verwenden des Microsoft Defender-Portals zum Konfigurieren von SecOps-Postfächern in der erweiterten Übermittlungsrichtlinie

Führen Sie die folgenden Schritte aus, um secOps-Postfächer zur Erweiterten Übermittlungsrichtlinie im Microsoft Defender-Portal hinzuzufügen.

1. Rufen Sie im Microsoft Defender-Portal unter https://security.microsoft.comE-Mail und Zusammenarbeit>Richtlinien und Regeln>Bedrohungsrichtlinien>Erweiterte Übermittlung im Abschnitt Regeln auf. Oder verwenden Sie , um direkt die Seite https://security.microsoft.com/advanceddelivery aufzurufen.

   Überprüfen Sie auf der Seite Erweiterte Zustellung , ob die Registerkarte SecOps-Postfach ausgewählt ist.

2. Wählen Sie auf der Registerkarte SecOps-Postfach im Bereich Keine SecOps-Postfächer konfiguriert auf der Seite die Schaltfläche Hinzufügen aus.

   Wenn auf der Registerkarte SecOps-Postfach bereits Einträge vorhanden sind, wählen Sie Bearbeiten aus (die Schaltfläche Hinzufügen ist nicht verfügbar).

3. Geben Sie im geöffneten Flyout SecOps-Postfächer hinzufügen ein vorhandenes Exchange Online Postfach ein, das Sie als SecOps-Postfach festlegen möchten, indem Sie einen der folgenden Schritte ausführen:

   • Klicken Sie in das Feld, lassen Sie die Liste der Postfächer auflösen, und wählen Sie dann das Postfach aus.

   • Klicken Sie in das Feld Beginnen Sie mit der Eingabe eines Bezeichners für das Postfach (Name, Anzeigename, Alias, E-Mail-Adresse, Kontoname usw.), und wählen Sie das Postfach (Anzeigename) aus den Ergebnissen aus.

     Wiederholen Sie diesen Schritt so oft wie nötig. Verteilergruppen sind nicht zulässig.

     Um einen vorhandenen Wert zu entfernen, wählen Sie neben dem Wert „Entfernen“ aus.

4. Wenn Sie mit dem Flyout SecOps-Postfächer hinzufügen fertig sind, wählen Sie Hinzufügen aus.

5. Überprüfen Sie die Informationen im Flyout Änderungen an der SecOps-Postfachüberschreibung gespeichert, und wählen Sie dann Schließen aus.

Auf der Registerkarte SecOps-Postfach werden nun die von Ihnen konfigurierten SecOps-Postfacheinträge aufgelistet:

• Die Spalte Anzeigename enthält den Anzeigenamen der Postfächer.
• Die Spalte Email enthält die E-Mail-Adresse für jeden Eintrag.
• Wenn Sie die Liste der Einträge von normal in kompakten Abstand ändern möchten, wählen Sie Listenabstand in komprimieren oder normal ändern und dann Liste komprimieren aus.

Verwenden des Microsoft Defender-Portals zum Ändern oder Entfernen von SecOps-Postfächern in der erweiterten Übermittlungsrichtlinie

Führen Sie die folgenden Schritte aus, um SecOps-Postfächer im Microsoft Defender-Portal zu ändern oder zu entfernen.

1. Rufen Sie im Microsoft Defender-Portal unter https://security.microsoft.comE-Mail und Zusammenarbeit>Richtlinien und Regeln>Bedrohungsrichtlinien>Erweiterte Übermittlung im Abschnitt Regeln auf. Oder verwenden Sie , um direkt die Seite https://security.microsoft.com/advanceddelivery aufzurufen.

   Überprüfen Sie auf der Seite Erweiterte Zustellung , ob die Registerkarte SecOps-Postfach ausgewählt ist.

2. Wählen Sie auf der Registerkarte SecOps-Postfachdie Option Bearbeiten aus.

3. Fügen Sie im daraufhin geöffneten Flyout SecOps-Postfächer bearbeiten Postfächer hinzu oder entfernen Sie sie, wie in Schritt 3 im Abschnitt Verwenden des Microsoft Defender-Portals zum Konfigurieren von SecOps-Postfächern in der erweiterten Übermittlungsrichtlinie beschrieben.

   Um alle Postfächer zu entfernen, wählen Sie neben jedem Wert Entfernen aus, bis keine Postfächer mehr ausgewählt sind.

4. Wenn Sie im Flyout SecOps-Postfächer bearbeiten fertig sind, wählen Sie Speichern aus.

5. Überprüfen Sie die Informationen im Flyout Änderungen an der SecOps-Postfachüberschreibung gespeichert, und wählen Sie dann Schließen aus.

Zurück auf der Registerkarte SecOps-Postfach werden die von Ihnen konfigurierten SecOps-Postfacheinträge angezeigt. Wenn Sie alle Einträge entfernt haben, ist die Liste leer.

Verwenden des Microsoft Defender-Portals zum Konfigurieren von Nicht-Microsoft-Phishingsimulationen in der erweiterten Übermittlungsrichtlinie

Um eine Nicht-Microsoft-Phishingsimulation zu konfigurieren, müssen Sie die folgenden Informationen angeben:

• Mindestens eine Domäne: Die Domäne aus der MAIL FROM-Adresse (auch als 5321.MailFrom Adresse, P1-Absender oder Umschlagsender bezeichnet), die bei der SMTP-Übertragung der Nachricht oder einer DKIM-Domäne verwendet wird, wie vom Anbieter der Phishingsimulation angegeben. Verwenden Sie für internationalisierte Domänennamen (IDNA) Punycode.
• Mindestens eine Absender-IP-Adresse.
• Für Nicht-E-Mail-Phishingsimulationen (z. B. Microsoft Teams-Nachrichten, Word-Dokumente oder Excel-Tabellen) können Sie optional die Simulations-URLs identifizieren, damit diese beim Klicken nicht als echte Bedrohungen behandelt werden sollten: Die URLs werden nicht blockiert oder detoniert, und es werden keine URL-Klickwarnungen oder daraus resultierende Vorfälle generiert. Die URLs werden beim Klicken umschlossen, aber nicht blockiert.

Es muss eine Übereinstimmung für mindestens eine Domäne und eine sendenden IP-Adresse vorhanden sein, aber es wird keine Zuordnung zwischen Werten beibehalten.

Wenn Ihr MX-Eintrag nicht auf Microsoft 365 verweist, muss die IP-Adresse im Authentication-results Header mit der IP-Adresse in der erweiterten Übermittlungsrichtlinie übereinstimmen. Wenn die IP-Adressen nicht übereinstimmen, müssen Sie möglicherweise die erweiterte Filterung für Connectors konfigurieren, damit die richtige IP-Adresse erkannt wird.

1. Rufen Sie im Microsoft Defender-Portal unter https://security.microsoft.comE-Mail und Zusammenarbeit>Richtlinien und Regeln>Bedrohungsrichtlinien>Erweiterte Übermittlung im Abschnitt Regeln auf. Oder verwenden Sie , um direkt die Seite https://security.microsoft.com/advanceddelivery aufzurufen.

   Wählen Sie auf der Seite Erweiterte Zustellung die Registerkarte Phishingsimulation aus.

2. Wählen Sie auf der Registerkarte Phishingsimulation im Bereich Keine Phishingsimulationen von Drittanbietern konfiguriert auf der Seite die Schaltfläche Hinzufügen aus.

   Wenn auf der Registerkarte Phishingsimulation bereits Einträge vorhanden sind, wählen Sie Bearbeiten aus (die Schaltfläche Hinzufügen ist nicht verfügbar).

3. Konfigurieren Sie im Flyout Phishingsimulationen von Drittanbietern hinzufügen, das geöffnet wird, die folgenden Einstellungen:

   • Domäne: Erweitern Sie diese Einstellung, und geben Sie mindestens eine E-Mail-Adressdomäne ein. Klicken Sie in das Feld, geben Sie einen Wert ein (z. B. contoso.com), und drücken Sie dann die EINGABETASTE, oder wählen Sie den Wert unter dem Feld aus. Wiederholen Sie diesen Schritt so oft wie nötig. Sie können bis zu 50 Einträge hinzufügen. Verwenden Sie einen der folgenden Werte:

     • Die Domäne in der 5321.MailFrom Adresse (auch als MAIL FROM-Adresse , P1-Absender oder Umschlagsender bezeichnet), die bei der SMTP-Übertragung der Nachricht verwendet wird.
     • Die DKIM-Domäne, wie vom Anbieter der Phishingsimulation angegeben.

   • Ip-Adresse senden: Erweitern Sie diese Einstellung, und geben Sie mindestens eine gültige IPv4-Adresse ein. Klicken Sie in das Feld, geben Sie einen Wert ein, und drücken Sie dann die EINGABETASTE, oder wählen Sie den Wert unterhalb des Felds aus. Wiederholen Sie diesen Schritt so oft wie nötig. Sie können bis zu 10 Einträge hinzufügen. Gültige Werte sind:

     • Einzelne IP-Adresse: Beispiel: 192.168.1.1.
     • IP-Bereich: Beispiel: 192.168.0.1-192.168.0.254.
     • CIDR-IP: Beispiel: 192.168.0.1/25.

   • Zulässige Simulations-URLs: Diese Einstellung ist für Links in E-Mail-Phishing-Simulationen nicht erforderlich. Verwenden Sie diese Einstellung, um optional Links in Nicht-E-Mail-Phishing-Simulationen (Links in Teams-Nachrichten oder in Office-Dokumenten) zu identifizieren, die zum Zeitpunkt des Klickens nicht als echte Bedrohungen behandelt werden sollten.

     Fügen Sie URL-Einträge hinzu, indem Sie diese Einstellung erweitern, in das Feld klicken, einen Wert eingeben und dann die EINGABETASTE drücken oder den unter dem Feld angezeigten Wert auswählen. Sie können bis zu 30 Einträge hinzufügen. Informationen zur URL-Syntax finden Sie unter URL-Syntax für die Mandanten-Zulassungs-/Sperrliste.

   Um einen vorhandenen Domain-, IP- oder URL-Wert zu entfernen, wählen Sie neben dem Wert Entfernen aus.

   Das folgende Beispiel zeigt einen Authentifizierungsheader als Beispiel aus einer Phishingsimulationsnachricht, die nicht von Microsoft stammt. Überprüfen Sie die Headerwerte, um die sendende IP-Adresse, MAIL FROM-Domäne und DKIM-Domäne zu identifizieren, die Sie für die Konfiguration der erweiterten Übermittlungsrichtlinie benötigen:

   Authentication-Results: spf=pass (sender IP is 172.17.17.7)
   smtp.mailfrom=contoso.com; dkim=pass (signature was verified)
   header.d=contoso-simulation.com; dmarc=pass action=none header.from=contoso-simulation.com;
   
   DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=contoso-simulation.com;
   s=selector1;
   h=From:Date:Subject:Message-ID:Content-Type:MIME-Version:X-MS-Exchange-SenderADCheck;
   bh=UErATeHehIIPIXPeUAfZWiKo0w2cSsOhb9XM9ulqTX0=;
   

   • Die VERBINDUNGS-IP-Adresse ist 172.17.17.7.
   • Die Domäne in der MAIL FROM-Adresse (smtp.mailfrom) ist contoso.com.
   • Die DKIM-Domäne (header.d) ist contoso-simulation.com.

   Im Beispiel können Sie eine der folgenden Kombinationen verwenden, um eine Nicht-Microsoft-Phishingsimulation zu konfigurieren:

   Domäne: contoso.com
   Senden der IP-Adresse: 172.17.17.7

   Domäne: contoso-simulation.com
   Senden der IP-Adresse: 172.17.17.7

4. Wenn Sie im Flyout Phishingsimulationen von Drittanbietern hinzufügen fertig sind, wählen Sie Hinzufügen aus.

5. Überprüfen Sie die Informationen im Flyout Änderungen an der Phishingsimulationsüberschreibung gespeichert, und wählen Sie dann Schließen aus.

Zurück auf der Registerkarte Phishingsimulation werden die von Ihnen konfigurierten Nicht-Microsoft-Phishingsimulationseinträge jetzt aufgelistet:

• Die Spalte Wert enthält die Domäne, DIE IP-Adresse oder den URL-Eintrag.
• Die Spalte Typ enthält den Wert Sende-IP, Domäne oder Zulässige Simulations-URL für jeden Eintrag.
• In der Spalte Datum wird angezeigt, wann der Eintrag erstellt wurde.
• Wenn Sie die Liste der Einträge von normal in kompakten Abstand ändern möchten, wählen Sie Listenabstand in komprimieren oder normal ändern und dann Liste komprimieren aus.

Verwenden des Microsoft Defender-Portals zum Ändern oder Entfernen von Nicht-Microsoft-Phishingsimulationen in der erweiterten Übermittlungsrichtlinie

1. Rufen Sie im Microsoft Defender-Portal unter https://security.microsoft.comE-Mail und Zusammenarbeit>Richtlinien und Regeln>Bedrohungsrichtlinien>Erweiterte Übermittlung im Abschnitt Regeln auf. Oder verwenden Sie , um direkt die Seite https://security.microsoft.com/advanceddelivery aufzurufen.

   Wählen Sie auf der Seite Erweiterte Zustellung die Registerkarte Phishingsimulation aus.

2. Wählen Sie auf der Registerkarte Phishingsimulationdie Option Bearbeiten aus.

3. Fügen Sie in dem daraufhin geöffneten Flyout „Nicht-Microsoft-Phishingsimulation bearbeiten“ Einträge für Domäne, Sende-IP und Simulations-URLs hinzu oder entfernen Sie diese, wie in Schritt 3 im Abschnitt Verwenden des Microsoft Defender-Portals zum Konfigurieren von Nicht-Microsoft-Phishingsimulationen in der Richtlinie für die erweiterte Übermittlung beschrieben.

   Um alle Einträge zu entfernen, wählen Sie neben jedem Wert Entfernen aus, bis keine Domänen, IP-Adressen oder URLs mehr ausgewählt sind.

4. Wenn Sie im Flyout Nicht-Microsoft-Phishingsimulation bearbeiten fertig sind, wählen Sie Speichern aus.

5. Überprüfen Sie die Informationen im Flyout Änderungen an der Phishingsimulationsüberschreibung gespeichert, und wählen Sie dann Schließen aus.

Zurück auf der Registerkarte Phishing simulation werden die von Ihnen konfigurierten Einträge für Phishingsimulationen anderer Anbieter als Microsoft angezeigt. Wenn Sie alle Einträge entfernt haben, ist die Liste leer.

Andere Szenarien, die eine Filterumgehung erfordern

Zusätzlich zu Phishingsimulationen, die nicht von Microsoft stammen, und SecOps-Postfächern, bei denen Sie die erweiterte Übermittlungsrichtlinie verwenden können, gibt es weitere Szenarien, in denen Sie die Filterung von Nachrichten umgehen müssen:

• Nicht-Microsoft-Filter: Wenn der MX-Eintrag Ihrer Domäne nicht auf Office 365 verweist (Nachrichten werden zuerst an eine andere Stelle weitergeleitet), ist die Sicherheit standardmäßignicht verfügbar. Wenn Sie Schutz hinzufügen möchten, müssen Sie die erweiterte Filterung für Connectors (auch als Überspringen von Einträgen bezeichnet) aktivieren. Weitere Informationen finden Sie unter Verwalten des Nachrichtenflusses mithilfe eines Nicht-Microsoft-Clouddiensts mit Exchange Online. Wenn Sie kein erweitertes Filtern für Connectors wollen, verwenden Sie Mail-Flow-Regeln (Transportregeln), um die Microsoft-Filterung für Nachrichten zu umgehen, die der Nicht-Microsoft-Filterdienst bereits ausgewertet hat. Weitere Informationen finden Sie unter Verwenden von Nachrichtenflussregeln zum Festlegen der SCL in Nachrichten.
• False Positive-Ergebnisse in der Überprüfung: Möglicherweise möchten Sie vorübergehend zulassen, dass gute Nachrichten, die fälschlicherweise als schlecht (False Positive-Ergebnisse) identifiziert wurden, über Administratorübermittlungen an Microsoft gemeldet wurden, und diese Nachrichten werden analysiert. Wie bei allen Ausnahmen empfehlen wir nachdrücklich, dass diese Ausnahmen nur vorübergehend sind.

PowerShell-Verfahren für SecOps-Postfächer in der erweiterten Übermittlungsrichtlinie

In PowerShell sind die grundlegenden Elemente von SecOps-Postfächern in der erweiterten Übermittlungsrichtlinie:

• Die SecOps-Überschreibungsrichtlinie: Verwaltet durch die *-SecOpsOverridePolicy-Cmdlets.
• Die SecOps-Außerkraftsetzungsregel: Wird durch die Cmdlets *-ExoSecOpsOverrideRule gesteuert.

Dieses Verhalten hat die folgenden Ergebnisse:

• Sie erstellen zuerst die Richtlinie und dann die Regel, die die Richtlinie identifiziert, auf die die Regel angewendet wird.
• Wenn Sie eine Richtlinie aus PowerShell entfernen, wird auch die entsprechende Regel entfernt.
• Wenn Sie eine Regel aus PowerShell entfernen, wird die entsprechende Richtlinie nicht entfernt. Sie müssen die entsprechende Richtlinie manuell entfernen.

Verwenden von PowerShell zum Konfigurieren von SecOps-Postfächern

Das Konfigurieren eines SecOps-Postfachs in der erweiterten Übermittlungsrichtlinie in PowerShell ist ein zweistufiger Prozess:

1. Erstellen Sie die SecOps-Ausnahmerichtlinie.
2. Erstellen Sie die SecOps-Überschreibungsregel, die die Richtlinie angibt, für die die Regel gilt.

Schritt 1: Verwenden von PowerShell zum Erstellen der SecOps-Außerkraftsetzungsrichtlinie

Erstellen Sie in Exchange Online PowerShell eine SecOps-Außerkraftsetzungsrichtlinie, um die Postfächer festzulegen, deren Nachrichten die Filterung für die SecOps-Überprüfung umgehen sollten:

New-SecOpsOverridePolicy -Name SecOpsOverridePolicy -SentTo <EmailAddress1>,<EmailAddress2>,...<EmailAddressN>

Unabhängig vom angegebenen Name-Wert lautet der Richtlinienname SecOpsOverridePolicy, sodass Sie auch diesen Wert verwenden können.

In diesem Beispiel wird die SecOps-Postfachrichtlinie erstellt.

New-SecOpsOverridePolicy -Name SecOpsOverridePolicy -SentTo secops@contoso.com

Ausführliche Informationen zu Syntax und Parametern finden Sie unter New-SecOpsOverridePolicy.

Schritt 2: Verwenden Sie PowerShell, um die SecOps-Außerkraftsetzungsregel zu erstellen

Führen Sie in Exchange Online PowerShell den folgenden Befehl aus:

New-ExoSecOpsOverrideRule -Name SecOpsOverrideRule -Policy SecOpsOverridePolicy

Unabhängig vom angegebenen Name-Wert lautet _Exe:SecOpsOverrid:<GUID\> der Regelname [sic], wobei <GUID> ein eindeutiger GUID-Wert ist (z. B. 312c23cf-0377-4162-b93d-6548a9977efb9).

Ausführliche Informationen zu Syntax und Parametern finden Sie unter New-ExoSecOpsOverrideRule.

Verwenden von PowerShell zum Anzeigen der SecOps-Außerkraftsetzungsrichtlinie

In Exchange Online PowerShell gibt dieses Beispiel detaillierte Informationen zur einzigen SecOps-Postfachrichtlinie zurück.

Get-SecOpsOverridePolicy

Ausführliche Informationen zu Syntax und Parametern finden Sie unter Get-SecOpsOverridePolicy.

Verwenden Sie PowerShell, um SecOps-Ausnahmeregeln anzuzeigen

In Exchange Online PowerShell gibt dieses Beispiel ausführliche Informationen zu SecOps-Überschreibungsregeln zurück.

Get-ExoSecOpsOverrideRule

Obwohl der vorherige Befehl nur eine Regel zurückgeben sollte, kann eine Regel, deren Löschvorgang aussteht, auch in den Ergebnissen enthalten sein.

In diesem Beispiel werden die gültige Regel (1) und alle ungültigen Regeln identifiziert.

Get-ExoSecOpsOverrideRule | Format-Table Name,Mode

Nachdem Sie die ungültigen Regeln identifiziert haben, können Sie sie mithilfe des Cmdlets Remove-ExoSecOpsOverrideRule entfernen, wie unter Verwendung von PowerShell zum Entfernen von SecOps-Außerkraftsetzungsregeln beschrieben.

Ausführliche Informationen zu Syntax und Parametern finden Sie unter Get-ExoSecOpsOverrideRule.

Verwenden von PowerShell zum Ändern der SecOps-Außerkraftsetzungsrichtlinie

Fügen Sie in Exchange Online PowerShell E-Mail-Adressen des SecOps-Postfachs zu einer vorhandenen Außerkraftsetzungsrichtlinie hinzu, oder entfernen Sie sie:

Set-SecOpsOverridePolicy -Identity SecOpsOverridePolicy [-AddSentTo <EmailAddress1>,<EmailAddress2>,...<EmailAddressN>] [-RemoveSentTo <EmailAddress1>,<EmailAddress2>,...<EmailAddressN>]

In diesem Beispiel wird secops2@contoso.com der vorhandenen Empfängerliste der SecOps-Außerkraftsetzungsrichtlinie hinzugefügt.

Set-SecOpsOverridePolicy -Identity SecOpsOverridePolicy -AddSentTo secops2@contoso.com

Ausführliche Informationen zu Syntax und Parametern finden Sie unter Set-SecOpsOverridePolicy.

Verwenden Sie PowerShell, um eine SecOps-Ausnahmeregel zu ändern.

Das Cmdlet Set-ExoSecOpsOverrideRule ändert die E-Mail-Adressen in der SecOps-Überschreibungsregel nicht. Verwenden Sie das Cmdlet Set-SecOpsOverridePolicy, um die E-Mail-Adressen in der SecOps-Überschreibungsregel zu ändern.

Ausführliche Informationen zu Syntax und Parametern finden Sie unter Set-ExoSecOpsOverrideRule.

Verwenden von PowerShell zum Entfernen der SecOps-Außerkraftsetzungsrichtlinie

In Exchange Online PowerShell entfernt dieses Beispiel die SecOps-Postfachrichtlinie und die entsprechende Regel, wenn die Umgehung der SecOps-Postfachfilterung nicht mehr benötigt wird.

Remove-SecOpsOverridePolicy -Identity SecOpsOverridePolicy

Ausführliche Informationen zu Syntax und Parametern finden Sie unter Remove-SecOpsOverridePolicy.

Verwenden Sie PowerShell, um SecOps-Außerkraftsetzungsregeln zu entfernen

Verwenden Sie in Exchange Online PowerShell die folgenden Befehle:

• Entfernen Sie alle SecOps-Überschreibungsregeln:

  Get-ExoSecOpsOverrideRule | Remove-ExoSecOpsOverrideRule
  

• Entfernen Sie die angegebene SecOps-Überschreibungsregel:

  Remove-ExoSecOpsOverrideRule -Identity "_Exe:SecOpsOverrid:312c23cf-0377-4162-b93d-6548a9977efb"
  

Ausführliche Informationen zu Syntax und Parametern finden Sie unter Remove-ExoSecOpsOverrideRule.

PowerShell-Verfahren für Nicht-Microsoft-Phishingsimulationen in der erweiterten Übermittlungsrichtlinie

In PowerShell sind die grundlegenden Elemente von Nicht-Microsoft-Phishingsimulationen in der Erweiterten Übermittlungsrichtlinie:

• Die Außerkraftsetzungsrichtlinie für die Phishingsimulation: Wird durch die Cmdlets *-PhishSimOverridePolicy gesteuert.
• Die Außerkraftsetzungsregel für Phishingsimulationen: Wird von den *-ExoPhishSimOverrideRule-Cmdlets verwaltet.
• Die zulässigen (nicht blockierten) URLs für Phishing-Simulationen: werden durch die *-TenantAllowBlockListItems-Cmdlets gesteuert.

Dieses Verhalten hat die folgenden Ergebnisse:

• Sie erstellen zuerst die Richtlinie und dann die Regel, die die Richtlinie identifiziert, auf die die Regel angewendet wird.
• Sie ändern die Einstellungen in der Richtlinie und der Regel separat.
• Wenn Sie eine Richtlinie aus PowerShell entfernen, wird auch die entsprechende Regel entfernt.
• Wenn Sie eine Regel aus PowerShell entfernen, wird die entsprechende Richtlinie nicht entfernt. Sie müssen die entsprechende Richtlinie manuell entfernen.

Verwenden von PowerShell zum Konfigurieren von Nicht-Microsoft-Phishingsimulationen

Das Konfigurieren einer Nicht-Microsoft-Phishingsimulation in PowerShell ist ein mehrstufiger Prozess:

1. Erstellen Sie die Außerkraftsetzungsrichtlinie für die Phishingsimulation.
2. Erstellen Sie die Ausnahmeregel für die Phishingsimulation, die Folgendes angibt:
   • Die Richtlinie, für die die Regel gilt.
   • Die IPv4- oder IPv6-Quelladresse der Phishingsimulationsnachrichten.
3. Optional können Sie die URLs für Phishing-Simulationen in Nicht-E-Mail-Phishing-Simulationen (Links in Teams-Nachrichten oder in Office-Dokumenten) identifizieren, die beim Anklicken nicht als echte Bedrohungen behandelt werden sollten.

Schritt 1: Erstellen der Außerkraftsetzungsrichtlinie für die Phishingsimulation mithilfe von PowerShell

In Exchange Online PowerShell erstellt dieses Beispiel die Richtlinie zum Außerkraftsetzen der Phishingsimulation.

New-PhishSimOverridePolicy -Name PhishSimOverridePolicy

Unabhängig vom angegebenen Name-Wert lautet der Richtlinienname PhishSimOverridePolicy, sodass Sie auch diesen Wert verwenden können.

Ausführliche Informationen zu Syntax und Parametern finden Sie unter New-PhishSimOverridePolicy.

Schritt 2: Verwenden Sie PowerShell, um die Phishingsimulations-Außerkraftsetzungsregel zu erstellen

Verwenden Sie in Exchange Online PowerShell die folgende Syntax:

New-ExoPhishSimOverrideRule -Name <ArbitraryTextValue> -Policy PhishSimOverridePolicy -Domains <Domain1>,<Domain2>,...<Domain10> -SenderIpRanges <IPAddressEntry1>,<IPAddressEntry2>,...<IPAddressEntry10>

Unabhängig vom angegebenen Name-Wert lautet _Exe:PhishSimOverr:<GUID\> der Regelname [sic], wobei <GUID> ein eindeutiger GUID-Wert ist (z. B. 6fed4b63-3563-495d-a481-b24a311f8329).

Ein gültiger IPv4- oder IPv6-Adresseintrag ist einer der folgenden Werte:

• Einzelne IP-Adresse: Beispiel: 192.168.1.1.
• IP-Bereich: Beispiel: 192.168.0.1-192.168.0.254.
• CIDR-IP: Beispiel: 192.168.0.1/25.

In diesem Beispiel wird die Überschreibungsregel für die Phishing-Simulation mit den angegebenen Einstellungen erstellt.

New-ExoPhishSimOverrideRule -Policy PhishSimOverridePolicy -Domains fabrikam.com,wingtiptoys.com -SenderIpRanges 192.168.1.55

Ausführliche Informationen zu Syntax und Parametern finden Sie unter New-ExoPhishSimOverrideRule.

Schritt 3: (Optional) Verwenden Sie PowerShell, um die URLs der Phishingsimulation zu identifizieren, die zugelassen werden sollen.

Verwenden Sie in Exchange Online PowerShell die folgende Syntax:

New-TenantAllowBlockListItems -Allow -ListType Url -ListSubType AdvancedDelivery -Entries "<URL1>","<URL2>",..."<URL10>" <[-NoExpiration] | [-ExpirationDate <DateTime>]>

Ausführliche Informationen zur URL-Syntax finden Sie unter URL-Syntax für die Mandanten-Zulassungs-/Sperrliste.

In diesem Beispiel wird ein URL-Zulassungseintrag für die angegebene Nicht-Microsoft-URL für Phishingsimulationen ohne Ablaufdatum hinzugefügt.

New-TenantAllowBlockListItems -Allow -ListType Url -ListSubType AdvancedDelivery -Entries *.fabrikam.com -NoExpiration

Ausführliche Informationen zu Syntax und Parametern finden Sie unter New-TenantAllowBlockListItems.

Verwenden von PowerShell zum Anzeigen der Außerkraftsetzungsrichtlinie für die Phishingsimulation

In Exchange Online PowerShell gibt dieses Beispiel detaillierte Informationen zur einzigen Richtlinie zur Außerkraftsetzung der Phishingsimulation zurück.

Get-PhishSimOverridePolicy

Ausführliche Informationen zu Syntax und Parametern finden Sie unter Get-PhishSimOverridePolicy.

Verwenden von PowerShell zum Anzeigen von Außerkraftsetzungsregeln für die Phishingsimulation

In Exchange Online PowerShell) werden in diesem Beispiel ausführliche Informationen zu Außerkraftsetzungsregeln für die Phishingsimulation zurückgegeben.

Get-ExoPhishSimOverrideRule

Obwohl der vorherige Befehl nur eine Regel zurückgeben sollte, können alle Regeln, deren Löschung aussteht, auch in die Ergebnisse einbezogen werden.

In diesem Beispiel werden die gültige Regel (1) und alle ungültigen Regeln identifiziert.

Get-ExoPhishSimOverrideRule | Format-Table Name,Mode

Nachdem Sie die ungültigen Regeln identifiziert haben, können Sie sie mithilfe des Cmdlets Remove-ExoPhishSimOverrideRule entfernen, wie unter Verwendung von PowerShell zum Entfernen von Phishingsimulationsüberschreibungsregeln beschrieben.

Ausführliche Informationen zu Syntax und Parametern finden Sie unter Get-ExoPhishSimOverrideRule.

Verwenden von PowerShell zum Anzeigen der zulässigen URL-Einträge für die Phishingsimulation

Lassen Sie sich in Exchange Online PowerShell die aktuellen URL-Zulassungseinträge anzeigen, die für die erweiterte Zustellung von Phishingsimulationen konfiguriert sind, damit Sie Einträge überprüfen oder identifizieren können, die Sie ändern oder entfernen möchten:

Get-TenantAllowBlockListItems -ListType Url -ListSubType AdvancedDelivery

Ausführliche Informationen zu Syntax und Parametern finden Sie unter Get-TenantAllowBlockListItems.

Verwenden von PowerShell zum Ändern der Außerkraftsetzungsrichtlinie für die Phishingsimulation

Aktualisieren Sie in Exchange Online PowerShell den Kommentar- oder aktivierten Status einer vorhandenen Phishingsimulationsüberschreibungsrichtlinie:

Set-PhishSimOverridePolicy -Identity PhishSimOverridePolicy [-Comment "<DescriptiveText>"] [-Enabled <$true | $false>]

In diesem Beispiel wird die Außerkraftsetzungsrichtlinie für Phishingsimulationen deaktiviert.

Set-PhishSimOverridePolicy -Identity PhishSimOverridePolicy -Enabled $false

Ausführliche Informationen zu Syntax und Parametern finden Sie unter Set-PhishSimOverridePolicy.

Verwenden von PowerShell zum Ändern von Außerkraftsetzungsregeln für die Phishingsimulation

Fügen Sie in Exchange Online PowerShell Absenderdomänen und IP-Adressbereiche zu einer vorhandenen Phishingsimulations-Außerkraftsetzungsregel hinzu oder entfernen Sie sie. Verwenden Sie das Pipelineformular, um die von Get-ExoPhishSimOverrideRule abgerufene Regel zu aktualisieren:

Get-ExoPhishSimOverrideRule | Set-ExoPhishSimOverrideRule [-Comment "<DescriptiveText>"] [-AddSenderDomainIs <DomainEntry1>,<DomainEntry2>,...<DomainEntryN>] [-RemoveSenderDomainIs <DomainEntry1>,<DomainEntry2>,...<DomainEntryN>] [-AddSenderIpRanges <IPAddressEntry1>,<IPAddressEntry2>,...<IPAddressEntryN>] [-RemoveSenderIpRanges <IPAddressEntry1>,<IPAddressEntry2>,...<IPAddressEntryN>]

Alternativ können Sie eine bestimmte Phishingsimulations-Außerkraftsetzungsregel anhand ihres Identitätswerts aktualisieren:

Set-ExoPhishSimOverrideRule -Identity <PhishSimOverrideRuleIdentity> [-Comment "<DescriptiveText>"] [-AddSenderDomainIs <DomainEntry1>,<DomainEntry2>,...<DomainEntryN>] [-RemoveSenderDomainIs <DomainEntry1>,<DomainEntry2>,...<DomainEntryN>] [-AddSenderIpRanges <IPAddressEntry1>,<IPAddressEntry2>,...<IPAddressEntryN>] [-RemoveSenderIpRanges <IPAddressEntry1>,<IPAddressEntry2>,...<IPAddressEntryN>]

Verwenden Sie das Cmdlet Get-ExoPhishSimOverrideRule , um den Regelidentitätswert zu finden, der für den <Parameter PhishSimOverrideRuleIdentity> verwendet werden soll. Der Name der Regel verwendet die folgende Syntax: _Exe:PhishSimOverr:<GUID\> [sic], wobei <GUID> ein eindeutiger GUID-Wert ist (z. B. 6fed4b63-3563-495d-a481-b24a311f8329).

In diesem Beispiel wird die regel zur Außerkraftsetzung der vorhandenen Phishingsimulation aktualisiert, indem die Domäne blueyonderairlines.com hinzugefügt und die IP-Adresse 192.168.1.55 entfernt wird. Diese Änderungen wirken sich nicht auf andere vorhandene Einträge in der Regel aus.

Get-ExoPhishSimOverrideRule| Set-ExoPhishSimOverrideRule -AddSenderDomainIs blueyonderairlines.com -RemoveSenderIpRanges 192.168.1.55

Ausführliche Syntax- und Parameterinformationen finden Sie unter Set-ExoPhishSimOverrideRule.

Verwenden von PowerShell zum Ändern der zulässigen URL-Einträge für die Phishingsimulation

Sie können die URL-Werte nicht direkt ändern. Sie können vorhandene URL-Einträge entfernen und neue URL-Einträge hinzufügen.

Verwenden Sie in Exchange Online PowerShell die folgende Syntax, um andere Eigenschaften eines zulässigen URL-Eintrags für die Phishingsimulation zu ändern (z. B. das Ablaufdatum oder Kommentare):

Set-TenantAllowBlockListItems <-Entries "<URL1>","<URL2>",..."<URLN>" | -Ids <Identity> -ListType URL -ListSubType AdvancedDelivery <[-NoExpiration] | [-ExpirationDate <DateTime>]> [-Notes <String>]

Sie identifizieren den zu ändernden Eintrag anhand der URL-Werte (der Parameter Entries) oder anhand des Identity-Werts aus der Ausgabe des Cmdlets Get-TenantAllowBlockListItems (der Parameter Ids).

In diesem Beispiel wird das Ablaufdatum für den vorhandenen zulässigen URL-Eintrag der Phishingsimulation geändert.

Set-TenantAllowBlockListItems -ListType Url -ListSubType AdvancedDelivery -Entries "*.fabrikam.com" -ExpirationDate 9/11/2021

Ausführliche Informationen zu Syntax und Parametern finden Sie unter Set-TenantAllowBlockListItems.

Verwenden von PowerShell zum Entfernen einer Außerkraftsetzungsrichtlinie für eine Phishingsimulation

In Exchange Online PowerShell entfernt dieses Beispiel die Richtlinie zum Überschreiben der Phishingsimulation und die entsprechende Regel.

Remove-PhishSimOverridePolicy -Identity PhishSimOverridePolicy

Ausführliche Informationen zu Syntax und Parametern finden Sie unter Remove-PhishSimOverridePolicy.

Verwenden von PowerShell zum Entfernen von Außerkraftsetzungsregeln für die Phishingsimulation

Verwenden Sie in Exchange Online PowerShell die folgenden Befehle:

• Entfernen Sie alle Außerkraftsetzungsregeln für die Phishingsimulation:

  Get-ExoPhishSimOverrideRule | Remove-ExoPhishSimOverrideRule
  

• Entfernen Sie die angegebene Ausnahmeregel für die Phishing-Simulation:

  Remove-ExoSPhishSimOverrideRule -Identity "_Exe:PhishSimOverr:6fed4b63-3563-495d-a481-b24a311f8329"
  

Ausführliche Informationen zu Syntax und Parametern finden Sie unter Remove-ExoPhishSimOverrideRule.

Verwenden von PowerShell zum Entfernen der zulässigen URL-Einträge für die Phishingsimulation

Entfernen Sie in Exchange Online PowerShell einträge mit erweiterter Übermittlungs-URL, indem Sie die URL-Werte (den Entries-Parameter) oder den Identitätswert (den Ids-Parameter) angeben:

Remove-TenantAllowBlockListItems <-Entries "<URL1>","<URL2>",..."<URLN>" | -Ids <Identity> -ListType URL -ListSubType AdvancedDelivery

Sie identifizieren den zu ändernden Eintrag anhand der URL-Werte (der Parameter Entries) oder anhand des Identity-Werts aus der Ausgabe des Cmdlets Get-TenantAllowBlockListItems (der Parameter Ids).

In diesem Beispiel wird der angegebene Zulassungseintrag für die Advanced Delivery-URL aus der Mandanten-Zulassungs-/Sperrliste entfernt.

Remove-TenantAllowBlockListItems -ListType Url -ListSubType AdvancedDelivery -Entries "*.fabrikam.com" -ExpirationDate 9/11/2021

Ausführliche Informationen zur Syntax und zu den Parametern finden Sie unter Remove-TenantAllowBlockListItems.