THAI DATA CLOUD
Manual Microsoft 365

Anti-phishing Policy: กันอีเมลปลอมเป็นผู้บริหารและคู่ค้า

ตั้ง Anti-phishing policy ใน Microsoft Defender กันอีเมลปลอมเป็นผู้บริหารและโดเมนคู่ค้า เปิด Spoof, DMARC, Impersonation protection และป้ายเตือนผู้ใช้

โดย ทีมงาน THAI DATA CLOUD อ่าน 15 นาที

แชร์FacebookXLINELinkedIn
Anti-phishing — Anti-phishing Policy: กันอีเมลปลอมเป็นผู้บริหารและคู่ค้า
Anti-phishing Policy: กันอีเมลปลอมเป็นผู้บริหารและคู่ค้า

คำตอบสั้น ๆ: ตั้ง Anti-phishing policy ใน Microsoft Defender กันอีเมลปลอมเป็นผู้บริหารและโดเมนคู่ค้า เปิด Spoof, DMARC, Impersonation protection และป้ายเตือนผู้ใช้

คู่มือนี้อธิบาย Anti-phishing ทีละขั้นตอน พร้อมคำสั่งที่ใช้ได้จริงและปัญหาที่พบบ่อย

Anti-phishing policy ใน Microsoft Defender คือชุดการตั้งค่าที่บอก Microsoft 365 ว่าจะจัดการกับอีเมลที่แอบอ้างเป็นคนหรือโดเมนที่องค์กรไว้ใจอย่างไร นโยบาย Anti-phishing มีสองระดับ ระดับพื้นฐานมีในทุกองค์กรที่ใช้กล่องจดหมาย Exchange Online ได้แก่ Spoof intelligence, การเคารพนโยบาย DMARC ของผู้ส่ง และ First contact safety tip ส่วนระดับที่จับการปลอมตัว (Impersonation) เช่น อีเมลที่ใช้ชื่อกรรมการผู้จัดการแต่ส่งจาก Gmail หรือโดเมนที่สะกดคล้ายคู่ค้า ต้องมี Microsoft Defender for Office 365 Plan 1 หรือ Plan 2 ซึ่งรวมอยู่ใน Microsoft 365 Business Premium (Plan 1) และ Microsoft 365 E5 (Plan 2) หรือซื้อเป็น add-on

คู่มือนี้เขียนให้ผู้ดูแลระบบขององค์กรที่เคยได้อีเมลแบบ "ผู้บริหารสั่งโอนเงินด่วน" หรือ "คู่ค้าแจ้งเปลี่ยนเลขบัญชี" เมื่อทำครบ คุณจะเปิดการป้องกันพื้นฐานให้ครบ สร้างนโยบาย Anti-phishing ที่คุ้มครองชื่อผู้บริหารและโดเมนคู่ค้า เลือกการกระทำที่เหมาะสม เปิดป้ายเตือนให้พนักงานเห็น และติดตามผลเพื่อปรับลดการกักผิด

สิ่งที่ต้องเตรียม

  • ไลเซนส์: การตั้งค่า Spoof และ First contact safety tip ใช้ได้ทุกแผนที่มี Exchange Online ส่วน Impersonation protection, Mailbox intelligence และ Phishing email threshold ต้องมี Defender for Office 365 ถ้าเปิดหน้านโยบายแล้วไม่เห็นหน้า Phishing threshold & protection แปลว่าองค์กรยังไม่มีไลเซนส์นี้
  • สิทธิ์: บทบาท Security Administrator หรือสมาชิก role group Organization Management ใน Exchange Online บทบาท Security Reader ดูได้อย่างเดียว
  • รายชื่อผู้ที่ต้องคุ้มครอง: ชื่อที่แสดงและอีเมลของกรรมการ ผู้บริหารฝ่ายการเงิน และผู้มีอำนาจอนุมัติจ่ายเงิน รวมถึงผู้ติดต่อสำคัญของคู่ค้า นโยบายหนึ่งใส่ได้สูงสุด 350 คน
  • รายชื่อโดเมนคู่ค้า: ธนาคาร ผู้ขายรายใหญ่ ลูกค้าหลัก ใส่ได้สูงสุด 50 โดเมนต่อหนึ่งนโยบาย
  • การยืนยันตัวตนของโดเมนตัวเอง: ควรตั้ง SPF, DKIM และ DMARC ให้เรียบร้อยก่อน ดู ตั้งค่า SPF, DKIM และ DMARC ไม่เช่นนั้นอีเมลจริงของคุณเองอาจถูกมองว่าปลอม
  • Quarantine policy ที่แจ้งเตือนผู้ใช้ ถ้ายังไม่ได้ตั้ง ดู Quarantine: ตรวจและปล่อยอีเมลที่ถูกกัก

ขั้นตอนที่ 1: ตรวจนโยบาย Anti-phishing ที่มีอยู่และ Preset security policies

ลงชื่อเข้าใช้ https://security.microsoft.com ไปที่ Email & collaboration > Policies & rules > Threat policies แล้วดูสองจุด

  • Preset security policies: ถ้าผู้ใช้กลุ่มใดอยู่ใน Standard protection หรือ Strict protection นโยบายสำเร็จรูปนี้จะถูกใช้ก่อนนโยบายที่สร้างเอง ลำดับคือ Strict, Standard, นโยบาย Anti-phishing ที่สร้างเอง แล้วจึงเป็นนโยบาย Default ถ้าตั้งค่าในนโยบาย Anti-phishing ที่สร้างเองแล้วไม่มีผลกับผู้บริหาร ให้ตรวจข้อนี้ก่อน
  • Anti-phishing ในส่วน Policies: จะเห็นนโยบาย Office365 AntiPhish Default (Default) ซึ่งใช้กับทุกคน และนโยบายที่เคยสร้างไว้พร้อมลำดับ Priority

องค์กรขนาดเล็กที่ไม่อยากตั้งค่าละเอียดอาจเปิด Standard protection ใน Preset security policies แล้วใส่รายชื่อผู้บริหารและโดเมนคู่ค้าในหน้า Impersonation ของ preset ก็ได้ ขั้นตอนต่อไปนี้เป็นวิธีสร้างเองเพื่อควบคุมการกระทำแต่ละแบบ

ตารางเปรียบเทียบความสามารถของนโยบาย Anti-phishing ระดับพื้นฐานในทุกแผน Exchange Online กับ Defender for Office 365
การกันอีเมลปลอมเป็นผู้บริหารหรือโดเมนคล้ายคู่ค้าต้องมี Defender for Office 365

ขั้นตอนที่ 2: เปิดการป้องกันพื้นฐานในนโยบาย Anti-phishing ตัว Default

คลิกที่แถวของนโยบาย Office365 AntiPhish Default (คลิกที่ชื่อ ไม่ใช่ช่องติ๊ก) flyout รายละเอียดจะเปิดขึ้น คลิก Edit ในแต่ละส่วนเพื่อแก้ค่า ตั้งค่าที่ใช้ได้ในทุกแผนดังนี้

  • Enable spoof intelligence: เปิดไว้ (เป็นค่าเริ่มต้น)
  • Honor DMARC record policy when the message is detected as spoof: เปิด ให้กรณี p=quarantine เป็น Quarantine the message และกรณี p=reject เป็น Reject the message ซึ่งเป็นค่าเริ่มต้นและค่าที่ Microsoft แนะนำ
  • If the message is detected as spoof by spoof intelligence: ค่าเริ่มต้นคือย้ายไป Junk Email ถ้าต้องการเข้มขึ้นเลือก Quarantine the message ตามระดับ Strict
  • Show first contact safety tip: เปิด ค่าเริ่มต้นของนโยบาย Default ปิดไว้ แต่ระดับ Standard และ Strict เปิด ป้ายนี้เตือนผู้รับว่าไม่ค่อยได้รับอีเมลจากผู้ส่งรายนี้ ซึ่งเป็นสัญญาณแรกของอีเมลหลอกเปลี่ยนเลขบัญชี
  • Show (?) for unauthenticated senders for spoof และ Show "via" tag: เปิด

บันทึกแล้วรอไม่เกิน 30 นาทีให้มีผล ถ้าองค์กรไม่มี Defender for Office 365 การตั้งค่าในขั้นนี้คือทั้งหมดที่ทำได้ ข้ามไปขั้นตอนที่ 6 เรื่องการติดตามผล

ขั้นตอนที่ 3: สร้างนโยบาย Anti-phishing ที่คุ้มครองผู้บริหารและคู่ค้า

ในหน้า Anti-phishing คลิก Create เพื่อเปิดตัวช่วยสร้างนโยบาย Anti-phishing ใหม่

  1. หน้า Policy name: ตั้งชื่อ เช่น AP - Impersonation - All staff
  2. หน้า Users, groups, and domains: ช่อง Domains ใส่โดเมนขององค์กร เช่น example.com เพื่อให้คุ้มครองผู้รับทุกคน ช่องนี้คือผู้รับที่นโยบายดูแล ไม่ใช่คนที่ถูกแอบอ้าง
  3. หน้า Phishing threshold & protection:
    • Phishing email threshold: ค่าเริ่มต้นคือ 1 - Standard ระดับ Standard ของ Microsoft ใช้ 3 - More aggressive และ Strict ใช้ 4 - Most aggressive ยิ่งสูงยิ่งจับมากและยิ่งกักผิดมาก แนะนำเริ่มที่ 2 หรือ 3 แล้วดูผลสองสัปดาห์
    • ติ๊ก Enable users to protect คลิก Manage (nn) sender(s) แล้ว Add user ใส่ชื่อที่แสดงและอีเมลของผู้บริหารแต่ละคน รวมผู้ติดต่อภายนอกที่สำคัญได้
    • ติ๊ก Enable domains to protect แล้วติ๊ก Include the domains I own และ Include custom domains เพื่อเพิ่มโดเมนคู่ค้า
    • Add trusted senders and domains: ใส่เฉพาะผู้ส่งที่ถูกจับผิดซ้ำจริง เช่น ระบบแจ้งเตือนของ Microsoft Teams อย่าใส่โดเมนอีเมลสาธารณะ
    • ติ๊ก Enable mailbox intelligence และ Enable intelligence for impersonation protection ให้ระบบเรียนรู้ว่าใครติดต่อกับใครเป็นประจำ
    • ปล่อย Enable spoof intelligence ไว้ตามเดิม
หน้าจอจำลองการสร้างนโยบาย Anti-phishing ใน Microsoft Defender เปิดการคุ้มครองผู้บริหาร โดเมนของตัวเอง และโดเมนคู่ค้า
ช่อง Users to protect คือคนที่อาจถูกแอบอ้าง ไม่ใช่ผู้รับที่นโยบายดูแล (ภาพจำลอง)

ขั้นตอนที่ 4: เลือกการกระทำของ Anti-phishing และป้ายเตือนในหน้า Actions

ค่าเริ่มต้นของการปลอมตัวทุกแบบคือ Don't apply any action ซึ่งหมายความว่าตรวจเจอแล้วปล่อยผ่าน ต้องเปลี่ยนเอง ค่าที่สอดคล้องกับระดับ Standard ของ Microsoft คือ

  • If a message is detected as user impersonation: Quarantine the message
  • If the message is detected as an impersonated domain: Quarantine the message
  • If mailbox intelligence detects an impersonated user: Move the message to the recipients' Junk Email folders (ระดับ Strict ใช้ Quarantine)
  • ส่วน Safety tips & indicators: ติ๊ก Show first contact safety tip, Show user impersonation safety tip, Show domain impersonation safety tip และ Show user impersonation unusual characters safety tip

เมื่อเลือก Quarantine ระบบจะให้เลือก Quarantine policy ถ้าไม่เลือก จะใช้ DefaultFullAccessPolicy ซึ่งผู้ใช้ปล่อยอีเมลเองได้ สำหรับอีเมลปลอมเป็นผู้บริหาร ควรเลือกนโยบายที่ผู้ใช้ทำได้แค่ขอปล่อย เพื่อให้ไอทีตรวจก่อน

ขั้นตอนที่ 5: บันทึกนโยบาย Anti-phishing และจัดลำดับ

หน้า Review ตรวจทุกส่วนของนโยบาย Anti-phishing แล้วคลิก Submit และ Done นโยบายใหม่จะได้ลำดับต่อจากนโยบายที่สร้างไว้เดิม ถ้ามีนโยบาย Anti-phishing หลายตัวครอบผู้รับคนเดียวกัน ตัวที่ลำดับสูงกว่าจะถูกใช้และหยุดแค่นั้น ใช้ Increase priority ปรับลำดับ รอไม่เกิน 30 นาทีให้มีผล

ผู้ดูแลที่ต้องทำหลาย tenant ใช้ Exchange Online PowerShell ได้ ตัวอย่างด้านล่างสร้างนโยบายเดียวกัน (นโยบาย Anti-phishing ใน PowerShell แยกเป็น policy กับ rule)

Connect-ExchangeOnline -UserPrincipalName [email protected]
New-AntiPhishPolicy -Name "AP - Impersonation - All staff" -PhishThresholdLevel 3 `
  -EnableTargetedUserProtection $true `
  -TargetedUsersToProtect "สมชาย ใจดี;[email protected]","Suda Finance;[email protected]" `
  -TargetedUserProtectionAction Quarantine `
  -EnableOrganizationDomainsProtection $true -EnableTargetedDomainsProtection $true `
  -TargetedDomainsToProtect "partner.example.net" -TargetedDomainProtectionAction Quarantine `
  -EnableMailboxIntelligenceProtection $true -MailboxIntelligenceProtectionAction MoveToJmf `
  -EnableFirstContactSafetyTips $true -EnableSimilarUsersSafetyTips $true `
  -EnableSimilarDomainsSafetyTips $true -EnableUnusualCharactersSafetyTips $true
New-AntiPhishRule -Name "AP - Impersonation - All staff" `
  -AntiPhishPolicy "AP - Impersonation - All staff" -RecipientDomainIs "example.com"
เช็กลิสต์การตั้งค่าการกระทำในนโยบาย Anti-phishing ที่สอดคล้องกับระดับ Standard และสิ่งที่ไม่ควรทำ
ค่าเริ่มต้น Don't apply any action แปลว่าตรวจเจอแล้วปล่อยผ่าน ต้องเปลี่ยนเองทุกนโยบาย

ขั้นตอนที่ 6: ติดตามผลและลดการกักผิด

สองสัปดาห์แรกหลังเปิดนโยบาย Anti-phishing ให้เปิดดูทุกวัน

  • Quarantine กรองเหตุผล Phishing เพื่อดูอีเมลที่นโยบาย Anti-phishing กักไว้จากการปลอมตัว ถ้าเป็นอีเมลจริงให้ปล่อยและส่ง Submission ไปที่ Microsoft
  • Impersonation insight (เปิดได้จากหน้า Anti-phishing หรือ https://security.microsoft.com/impersonationinsight) แสดงผู้ส่งและโดเมนที่ถูกจับว่าปลอมตัว ใช้ตัดสินว่าควรเพิ่มใครเป็น trusted sender ในนโยบาย Anti-phishing
  • ถ้าผู้บริหารส่งอีเมลจากบัญชีส่วนตัวที่ใช้ชื่อเดียวกัน อีเมลนั้นจะถูกจับว่าปลอมตัว ซึ่งเป็นพฤติกรรมที่ถูกต้อง ทางแก้ที่ปลอดภัยคือขอให้ใช้บัญชีองค์กร ไม่ใช่ใส่ Gmail ของผู้บริหารเป็น trusted sender

นโยบาย Anti-phishing ไม่ได้จับได้ทุกฉบับ โดยเฉพาะเมื่อผู้ส่งกับผู้รับเคยติดต่อกันมาก่อน ระบบ Mailbox intelligence จะไม่ถือว่าเป็นการปลอมตัว จึงต้องมีขั้นตอนทางธุรกิจรองรับด้วย เช่น โทรยืนยันทุกครั้งที่มีการเปลี่ยนเลขบัญชี อ่านแนวทางได้ใน BEC: ป้องกันอีเมลหลอกเปลี่ยนเลขบัญชีโอนเงิน และให้พนักงานกดรายงานอีเมลน่าสงสัยด้วย ปุ่ม Report Phishing ใน Outlook รายละเอียดทุกตัวเลือกอยู่ในเอกสาร Configure anti-phishing policies in Microsoft Defender for Office 365

ลำดับการตรวจอีเมลที่ใช้ชื่อผู้บริหารแต่ส่งจากบัญชีภายนอก ผ่านการตรวจ Spoof, Impersonation และ Mailbox intelligence ของนโยบาย Anti-phishing
อีเมลปลอมตัวมักผ่าน SPF และ DKIM ได้ ตัวที่จับได้คือ Impersonation protection

ปัญหาที่พบบ่อยเกี่ยวกับ Anti-phishing

ใช้ Business Standard อยู่ ตั้งค่าป้องกันการปลอมเป็นผู้บริหารได้ไหม?

Business Standard มีเฉพาะ Anti-phishing ระดับพื้นฐาน ใช้ Spoof intelligence, DMARC และ First contact safety tip ได้ แต่ไม่มี Impersonation protection ต้องซื้อ Defender for Office 365 Plan 1 เพิ่มให้ผู้ใช้ที่ต้องการคุ้มครอง หรืออัปเกรดเป็น Business Premium ระหว่างนี้ใช้ป้ายเตือนอีเมลจากภายนอกช่วยได้บางส่วน ดู External Tagging

Spoofing กับ Impersonation ต่างกันอย่างไร?

Spoofing คือปลอมที่อยู่ผู้ส่งให้เป็นโดเมนของคุณหรือของคนอื่นตรง ๆ ซึ่ง SPF, DKIM และ DMARC ตรวจได้ Impersonation คือใช้โดเมนหรือชื่อที่คล้ายของจริง เช่น ชื่อผู้บริหารกับอีเมล Gmail หรือโดเมนที่สะกดต่างหนึ่งตัว อีเมลเหล่านี้ผ่าน SPF และ DKIM ได้เพราะผู้โจมตีเป็นเจ้าของโดเมนนั้นจริง จึงต้องใช้ Impersonation protection

อีเมลจากคู่ค้าตัวจริงถูกกักเพราะถูกมองว่าปลอมตัว แก้อย่างไร?

ปล่อยอีเมลจาก Quarantine แล้วดูใน Impersonation insight ของ Anti-phishing ว่าถูกจับเพราะโดเมนหรือชื่อผู้ใช้ ถ้าเป็นโดเมนจริงของคู่ค้าที่คล้ายกับโดเมนที่คุณคุ้มครอง ให้เพิ่มโดเมนนั้นใน Add trusted senders and domains ของนโยบายเดียวกัน

ใส่ผู้บริหารได้มากที่สุดกี่คนในนโยบาย Anti-phishing หนึ่งนโยบาย?

สูงสุด 350 คนต่อนโยบาย และโดเมนแบบกำหนดเองสูงสุด 50 โดเมนต่อนโยบาย ถ้าเกินให้แบ่งเป็นหลายนโยบาย และถ้าเพิ่มคนที่อยู่ในรายชื่อคุ้มครองของอีกนโยบายแล้ว พอร์ทัลอาจขึ้นข้อผิดพลาด The email address already exists ให้จัดรายชื่อไม่ให้ซ้ำกัน

ถ้าองค์กรเคยถูกหลอกโอนเงินหรือต้องการให้ทีมงานทบทวนนโยบาย Anti-phishing, DMARC และการกักอีเมลทั้งระบบ ติดต่อทีมงาน THAI DATA CLOUD ได้ และดูบริการเฝ้าระวังภัยทางอีเมลได้ที่ Managed Security Services

อ่านเพิ่มเติมเกี่ยวกับ Anti-phishing

แชร์FacebookXLINELinkedIn

มีคำถามเรื่องบริการ? ติดต่อทีมงาน