Business email compromise không cần mã độc, không cần link. Một email ngắn từ “Giám đốc” gửi từ giamdoc@kh0ngkho.com (số 0 thay chữ o) “Em chuyển gấp 320 triệu đặt cọc hợp đồng cho đối tác theo số tài khoản bên dưới, anh đang họp không nghe máy được, chiều anh ký bổ sung“. SPF, DKIM, DMARC của tên miền giả đều pass, vì kẻ gian sở hữu tên miền đó thật. Theo báo cáo IC3 của FBI, BEC liên tục là một trong những loại tội phạm mạng gây thiệt hại tài chính lớn nhất.
Exchange Online Protection không bắt được kiểu này. Business Premium có Defender for Office 365 Plan 1, với ba lớp chống BEC: User impersonation (tên hiển thị giống người cần bảo vệ), Domain impersonation (tên miền na ná tên miền công ty) và Mailbox intelligence (học xem mỗi người thường liên lạc với ai). Ở bài 1, mình đã bật preset Standard nhưng bỏ qua phần impersonation, vì Defender không tự biết giám đốc của bạn là ai.
Bài này mình sẽ hướng dẫn bạn khai báo người và tên miền cần bảo vệ, chọn preset Standard hay Strict cho từng nhóm, siết Safe Links và Safe Attachments, rồi kiểm tra bằng email thử nghiệm và Real-time detections.
Điều kiện cần
| Yêu cầu | Chi tiết |
|---|---|
| License | Microsoft 365 Business Premium (Defender for Office 365 Plan 1). Threat Explorer, Attack simulation training cần Plan 2 |
| Quyền | Security Administrator; Security Reader để xem Real-time detections |
| Đã làm | Microsoft 365 Business Premium & Tính năng bảo mật (preset Standard đã bật); SPF, DKIM, DMARC cho tên miền |
Kiến trúc tổng quan
Bước 1: Chọn người và tên miền cần bảo vệ
Mục đích là có danh sách cụ thể để khai báo, vì Impersonation protection chỉ bảo vệ những gì bạn nói cho nó.
| Loại | Ví dụ trong tenant demo | Ghi chú |
|---|---|---|
| Người cần bảo vệ (tối đa 350) | Trần Minh – Giám đốc minh.tran@khongkho.com; Kế toán trưởng ketoan@khongkho.com; Trưởng phòng nhân sự | Chọn người hay bị mạo danh, không phải người hay bị nhắm tới |
| Tên miền của công ty | ví dụ khongkho.com | Bật Include domains I own |
| Tên miền đối tác quan trọng | Ngân hàng, nhà cung cấp lớn, khách hàng lớn | Kẻ gian cũng mạo danh tên miền đối tác để đổi số tài khoản thanh toán |
| Trusted senders | Địa chỉ cá nhân đã xác minh của giám đốc (nếu có) | Để không bị đánh dấu nhầm |
Lưu ý: Người cần bảo vệ là người có quyền ra lệnh (giám đốc, kế toán trưởng). Người hay nhận lệnh (kế toán viên, thủ quỹ) cần được bảo vệ bằng preset Strict ở bước 3.
Bước 2: Khai báo Impersonation trong preset Standard
Mục đích là bật user và domain impersonation protection cho toàn công ty.
- Defender portal → Email & collaboration → Policies & rules → Threat policies → Preset security policies → Standard protection → Manage protection settings
- Đi tới trang Impersonation protection:
- Protect email senders: thêm
Trần Minh/minh.tran@khongkho.com,Kế toán trưởng/ketoan@khongkho.com… - Protect email domains: bật Include domains I own; thêm tên miền đối tác ở Custom domains
- Trusted senders and domains: thêm địa chỉ đã xác minh (nếu cần)
- Protect email senders: thêm
- Next → Confirm
Hành vi mặc định trong preset (không chỉnh được trong preset, cần custom policy nếu muốn khác):
| Phát hiện | Standard | Strict |
|---|---|---|
| User impersonation | Quarantine | Quarantine |
| Domain impersonation | Quarantine | Quarantine |
| Mailbox intelligence impersonation | Junk | Quarantine |
| Phishing email threshold | 3 – More aggressive | 4 – Most aggressive |
Bước 3: Strict cho nhóm nhận lệnh chuyển tiền
Mục đích là người có quyền chuyển tiền nhận mức bảo vệ cao nhất.
- Tạo nhóm
MDO-Strictgồm ban giám đốc, kế toán, thủ quỹ, nhân sự - Preset security policies → Strict protection → Manage protection settings
- Apply Exchange Online Protection và Apply Defender for Office 365 protection: Specific recipients → nhóm
MDO-Strict - Trang Impersonation protection: khai báo giống bước 2
- Confirm
Từ thực tế: Tuần đầu bật Strict cho kế toán, quarantine thường giữ lại vài email thật: thông báo từ ngân hàng gửi qua dịch vụ email marketing, hóa đơn điện tử từ nhà cung cấp có cấu hình DMARC kém. Đừng thêm cả tên miền ngân hàng vào allow list. Release từng email, xem lý do bị giữ, và gửi Submission “Should not have been blocked” để Microsoft học.
Bước 4: Kiểm tra Safe Attachments và Safe Links
Mục đích là xác nhận preset đã bật đúng, và bật thêm thiết lập toàn cục mà preset không bao gồm.
- Threat policies → Safe Attachments → Global settings:
- Turn on Defender for Office 365 for SharePoint, OneDrive, and Microsoft Teams: On
- Save
- Threat policies → Safe Links: kiểm tra policy Standard Preset Security Policy có:
- Bật cho Email, Microsoft Teams, Office 365 apps
- Apply real-time URL scanning for suspicious links and links that point to files: On
- Wait for URL scanning to complete before delivering the message: On
- Let users click through to the original URL: Off
Bước 5: Thêm quy trình xác minh chuyển tiền
Mục đích là lớp cuối khi email BEC lọt qua: con người.
Công nghệ không chặn được 100%, đặc biệt khi kẻ gian chiếm được hộp thư thật của đối tác (email từ đúng tên miền đối tác, đúng chuỗi thư trước đó). Ban hành quy tắc:
QUY TẮC XÁC MINH THANH TOÁN - [Tên công ty]
1. Mọi yêu cầu chuyển tiền hoặc ĐỔI SỐ TÀI KHOẢN nhận tiền qua email
phải được xác minh bằng điện thoại tới số đã lưu trong hồ sơ
(KHÔNG dùng số trong email).
2. Khoản trên [50] triệu: cần 2 người phê duyệt.
3. Email có nhãn "External" hoặc safety tip màu vàng/đỏ mà xưng là
giám đốc → mặc định nghi ngờ.
4. Phát hiện email đáng ngờ: bấm Report → Report phishing trên Outlook.
Bước 6: Kiểm tra và verify
- User impersonation: từ Gmail thử nghiệm, đặt tên hiển thị
Trần Minh, gửi tới kế toán → email vào quarantine, lý do Phish với detection technology Impersonation user - Safe Links: gửi email chứa URL kiểm thử
http://spamlink.contoso.com(URL Microsoft dành cho kiểm thử Safe Links) → bấm link → trang cảnh báo của Safe Links - Safe Attachments: gửi file đính kèm EICAR → email bị chặn
- Real-time detections: Defender portal → Email & collaboration → Real-time detections → lọc Detection technology: Impersonation user → thấy email thử nghiệm
Lưu ý: Mailbox intelligence cần thời gian để học thói quen liên lạc. Microsoft ghi nhận cần khoảng 30 ngày để mailbox intelligence đạt hiệu quả tốt cho hộp thư mới. Đừng kết luận nó không hoạt động sau tuần đầu.
Lỗi thường gặp
| Lỗi | Nguyên nhân | Cách sửa |
|---|---|---|
| Email thật của giám đốc từ địa chỉ cá nhân bị quarantine | Bị coi là impersonation | Thêm vào Trusted senders, hoặc yêu cầu giám đốc chỉ dùng hộp thư công ty |
| Email thử nghiệm impersonation vẫn vào Inbox | Preset chưa áp cho người nhận, hoặc tên hiển thị chưa đủ giống | Kiểm tra người nhận thuộc phạm vi preset; dùng đúng tên đã khai báo |
| Link chưa bị bọc Safe Links | User chưa có license Business Premium | Gán license, chờ 1-2 giờ |
| Không tìm thấy Threat Explorer | Explorer cần Plan 2 | Dùng Real-time detections (Plan 1) |
| Quarantine giữ nhiều email ngân hàng | Bên gửi cấu hình xác thực kém, Strict quá nhạy | Release + Submission; dùng Tenant Allow/Block List có thời hạn cho trường hợp đặc biệt |
Tổng kết
| Thành phần | Đã làm |
|---|---|
| Danh sách bảo vệ | Người có quyền ra lệnh, tên miền công ty và đối tác |
| Preset Standard | Toàn công ty, có impersonation |
| Preset Strict | Ban giám đốc, kế toán, thủ quỹ, nhân sự |
| Safe Attachments | Email + SharePoint, OneDrive, Teams |
| Safe Links | Email, Teams, Office apps, không cho click through |
| Quy trình | Xác minh chuyển tiền qua điện thoại, 2 người duyệt |
Tài liệu tham khảo
- Microsoft Defender for Office 365 overview
- Anti-phishing policies – impersonation settings
- Preset security policies
- Safe Links in Microsoft Defender for Office 365
- Safe Attachments for SharePoint, OneDrive, and Microsoft Teams
- Real-time detections
Công ty bạn đã từng nhận email mạo danh giám đốc chưa? Kẻ gian dùng tên miền na ná hay Gmail? Chia sẻ trong comment (nhớ che thông tin) để mọi người cảnh giác.