Microsoft Defender for Office 365 (Exchange Online Protection)
Как перевести фильтрацию почты Microsoft 365 на Спаморез: Спаморез принимает почту первым, проверяет её и передаёт в Exchange Online, где встроенная защита Defender остаётся вторым уровнем.
Размещение Спамореза перед Microsoft 365 даёт дополнительную защиту почты от входящих атак и фишинга. Нужно настроить Exchange Online так, чтобы он доверял Спаморезу и видел настоящий адрес отправителя. Defender добавит к защите дополнительную проверку.
Что подготовить
- Права: Organization Management в Exchange Online и Security Administrator (или эквивалент) в портале Defender.
- Доступ к DNS-зоне, текущие записи MX, SPF, DKIM, DMARC. За сутки до работ снизьте TTL MX до 300 секунд.
- Адреса серверов Спамореза: они указаны в письме с данными подключения.
- Список защищаемых доменов тенанта и серверов, отправляющих почту наружу (принтеры, CRM, сайты).
Что выгрузить из Microsoft 365
| Что | Где взять | Куда перенести в Спаморез |
|---|---|---|
| Разрешённые и заблокированные отправители организации | Портал Defender → Policies & rules → Threat policies → Tenant Allow/Block Lists; PowerShell Get-TenantAllowBlockListItems -ListType Sender | Белые и чёрные списки |
| Разрешённые и заблокированные отправители и домены в политиках антиспама | Политики Anti-spam (Threat policies); PowerShell Get-HostedContentFilterPolicy | fl AllowedSenders,AllowedSenderDomains,BlockedSenders,BlockedSenderDomains | Белые и чёрные списки |
| Правила потока почты (transport rules) | Центр администрирования Exchange → Mail flow → Rules | Правила обработки; правила с обходом антиспама (SCL -1) переносить не нужно: их заменяют белые списки Спамореза |
| Существующие коннекторы | Exchange → Mail flow → Connectors | Список внешних серверов-отправителей для «Релей клиенты» (Настройка smarthost) |
Сохраните выгрузку и скриншоты текущих настроек: они нужны для отката.
Порядок подключения
1
Добавьте домен в Спаморез
В панели: Домены → Добавить. В поле «Целевой сервер» укажите MX-адрес тенанта вида
В панели: Домены → Добавить. В поле «Целевой сервер» укажите MX-адрес тенанта вида
company-com.mail.protection.outlook.com (Домены, Маршрутизация). Этот адрес берётся из текущей MX-записи домена.
2
Создайте входящий коннектор в Exchange Online
Exchange → Mail flow → Connectors → Add a connector: From «Partner organization», To «Office 365». Выберите определение отправителя по IP-адресам и укажите адреса Спамореза. Включите вариант «Reject email messages if they aren't sent from within this IP address range», если хотите, чтобы тенант принимал почту только от Спамореза. Включайте его после смены MX и проверки приёма, иначе можно потерять почту.
Exchange → Mail flow → Connectors → Add a connector: From «Partner organization», To «Office 365». Выберите определение отправителя по IP-адресам и укажите адреса Спамореза. Включите вариант «Reject email messages if they aren't sent from within this IP address range», если хотите, чтобы тенант принимал почту только от Спамореза. Включайте его после смены MX и проверки приёма, иначе можно потерять почту.
3
Включите Enhanced Filtering for Connectors (skip listing)
Портал Defender → Email & collaboration → Policies & rules → Threat policies → Enhanced filtering: выберите созданный коннектор и укажите IP-адреса Спамореза как пропускаемые (или режим автоопределения последнего адреса). Тогда Defender оценивает письмо по настоящему адресу отправителя, а не по адресу Спамореза, и не нарушает проверки SPF, DKIM и DMARC. Подробнее — справка Microsoft.
Портал Defender → Email & collaboration → Policies & rules → Threat policies → Enhanced filtering: выберите созданный коннектор и укажите IP-адреса Спамореза как пропускаемые (или режим автоопределения последнего адреса). Тогда Defender оценивает письмо по настоящему адресу отправителя, а не по адресу Спамореза, и не нарушает проверки SPF, DKIM и DMARC. Подробнее — справка Microsoft.
4
Уберите обход антиспама
Если у вас есть правила потока почты, ставящие SCL -1 (обход проверок) для писем от старого фильтра или от адресов Спамореза, отключите их после включения Enhanced Filtering: по рекомендации Microsoft они пересекаются с пропуском адресов и дают лишние пропуски спама.
Если у вас есть правила потока почты, ставящие SCL -1 (обход проверок) для писем от старого фильтра или от адресов Спамореза, отключите их после включения Enhanced Filtering: по рекомендации Microsoft они пересекаются с пропуском адресов и дают лишние пропуски спама.
5
Проверьте цепочку без смены MX
Отправьте тестовое письмо прямо на адрес Спамореза с доменом тенанта в получателе. В Трекере письмо должно быть принято и доставлено, а в ящике нужно проверить в заголовке
Отправьте тестовое письмо прямо на адрес Спамореза с доменом тенанта в получателе. В Трекере письмо должно быть принято и доставлено, а в ящике нужно проверить в заголовке
Authentication-Results настоящий IP отправителя.
6
Смените MX и SPF
Замените MX домена на адреса Спамореза (Смена MX-записей). В SPF добавьте Спаморез:
Замените MX домена на адреса Спамореза (Смена MX-записей). В SPF добавьте Спаморез:
v=spf1 include:spf.spamorez.ru include:spf.protection.outlook.com ~all (SPF / DMARC / DKIM). Старую MX-запись Microsoft временно оставьте с большим числом приоритета только если вы не включали ограничение по IP-адресам из шага 2.
7
Включите ограничение приёма
Через 1–2 суток, когда в Трекере идёт вся почта, включите «Reject email messages if they aren't sent from within this IP address range» в коннекторе. После этого прямая доставка из интернета на адрес
Через 1–2 суток, когда в Трекере идёт вся почта, включите «Reject email messages if they aren't sent from within this IP address range» в коннекторе. После этого прямая доставка из интернета на адрес
*.mail.protection.outlook.com блокируется, и спам не обходит Спаморез.
Исходящая почта (по желанию)
Чтобы исходящие письма тоже проходили через Спаморез (подпись DKIM, скрытие исходного сервера, лимиты), создайте коннектор «Office 365 → Partner organization» с отправкой через smarthost Спамореза и правило потока почты, направляющее на него внешних получателей. Адрес Exchange Online добавьте в «Релей клиенты» (Настройка smarthost). Настройку лучше проводить отдельным этапом, после перевода входящей почты.
Топ функций Defender for Office 365 и их настройка в Спаморезе
Главные функции защиты и их настройка в панели Спамореза. Строки «Нет аналога» не обещайте клиенту.
| Функция в старой системе | Как это настроить в Спаморезе |
|---|---|
| Anti-spam и репутация (Exchange Online Protection) | Включён для всех доменов сразу. Отдельных настроек порога не требуется; исключения и усиления задаются правилами и списками (Как работает фильтрация). |
| Anti-malware (антивирус вложений) | Встроенный ClamAV работает сразу. Внешний антивирус (Kaspersky Scan Engine, Dr.Web, c-icap) подключается в Интеграции → Антивирус по ICAP, с основным и резервным сервером и выбором действий при угрозе и сбое (Антивирус и песочница). |
| Safe Attachments (детонация вложений) | Интеграции → Песочница (ICAP): PT Sandbox, Kaspersky KATA. Встроенной песочницы нет; по умолчанию проверяются исполняемые файлы, документы и архивы (Антивирус и песочница). |
| Safe Links (проверка ссылок при клике) | В SPZGate есть Link Shield: ссылки подменяются на проверочную страницу /secure/, опасные блокируются. Проверьте наличие функции и её включение в вашей версии. Анализ ссылок при клике на уровне крупных вендоров (Time of Click, глубокая детонация) пока не заявляйте. |
| Tenant Allow/Block List: разрешённые отправители | Правила → Белый список: адрес, домен (@company.com) или IP/подсеть. Не добавляйте публичные домены (gmail.com, yandex.ru). Пользователи могут вести личный список в кабинете (Белые списки). |
| Tenant Allow/Block List: заблокированные | Правила → Чёрный список: адрес, домен или IP/подсеть; блокировка на уровне SMTP, до приёма тела письма. Репутацию IP по RBL проверяет шлюз автоматически (Чёрные списки). |
| Mail flow rules (правила потока почты) | Правила: условия «От кого / Кому / Тема / IP / Заголовок / Слово в теле» через AND/OR, действия «Пометить как спам, Доставить, Отклонить (550), Переслать, Добавить в тему или заголовок». Порядок правил задаётся перетаскиванием (Правила обработки). |
| Quarantine и политики карантина, уведомления пользователей | Раздел Карантин: доставить, доставить и добавить в белый список, удалить, пожаловаться. Дайджесты включаются в настройках; срок хранения по умолчанию 30 дней, меняется в настройках домена (Карантин). |
| Проверка SPF, DKIM, DMARC, спуфинг | Выполняется автоматически на этапе проверки отправителя. Для своей исходящей почты настройте SPF, DKIM и DMARC в DNS (SPF / DMARC / DKIM). |
| Исходящая защита и лимиты отправки | Релей клиенты: добавьте IP почтового сервера, выберите домен и режим «Скрыть сервер». Исходящая почта проверяется антиспамом и лимитами, подписывается DKIM (Настройка smarthost, Скрытие исходного сервера). |
| Threat Explorer, отчёты | Раздел Трекер: путь каждого письма и причина решения. События во внешнюю систему: Настройки → SIEM / Syslog (SIEM и Syslog), метрики для Zabbix/Prometheus (Мониторинг). |
| Anti-phishing: имперсонация и защита пользователей | Нет аналога. Частично закрывают проверка SPF/DKIM/DMARC, правила по теме и имени отправителя и белые/чёрные списки. Не обещайте клиенту функции, которых нет. |
| DLP (Purview) и шифрование сообщений | Нет аналога. Если DLP нужен, оставьте его в вашей системе или подключите отдельным продуктом. |
| Archive | Нет аналога. Архив и шифрование оставьте в прежнем сервисе или у почтового сервера. Непрерывность частично решает очередь шлюза и резервный MX. |
Проверка
- В Трекере видна входящая почта домена с вердиктами и причинами.
- Письма из белых списков доставляются, из чёрных блокируются.
- В заголовках письма в ящике видно настоящий IP отправителя; SPF и DKIM проходят.
- Исходящие письма уходят, SPF проходит (если настроена отправка через Спаморез).
- Письма, помещённые Defender в карантин, не теряются: проверьте Quarantine в портале Defender в первые дни.
Если что-то не работает
| Проблема | Что проверить |
|---|---|
| Exchange Online отклоняет почту от Спамореза | Включено ограничение по IP, а в коннекторе не все адреса Спамореза; либо коннектор создан для другого типа отправителя. Добавьте недостающие адреса. |
| Много писем попадает в «Нежелательную почту» или в карантин Defender | Не включён Enhanced Filtering или не указаны адреса Спамореза: Defender оценивает письмо по адресу Спамореза. Проверьте шаг 3. |
| SPF/DMARC падает у получателей | В SPF нет include:spf.spamorez.ru или остались лишние include; см. SPF / DMARC / DKIM. |
| Часть почты идёт мимо Спамореза | В DNS остался старый MX Microsoft или не включено ограничение по IP (шаг 7). |
| Нужно срочно вернуться | Верните прежние MX (TTL 300 с); отключите ограничение по IP в коннекторе, если оно включено. |