رابط التوقيع يُحجز كتصيّد احتيالي في Microsoft 365: الحل

يمكن أن يؤدي رابط في توقيع البريد الإلكتروني إلى حجز الرسالة كلها في الحجر. تحجز Microsoft Defender for Office 365 الرسائل التي تصنفها تصيّدًا احتياليًا عالي الثقة، وتقول Microsoft إنها تُحجز افتراضيًا. ولا تُفرج قوائم المرسلين الآمنين ومعظم قوائم السماح عن هذه الرسائل. الحل هو إرسال الرسالة إلى Microsoft كإيجابية خاطئة من حساب المسؤول، ثم إضافة إدخال في Tenant Allow/Block List إذا كانت الرسالة نفسها تحتاج إلى المرور بعد ذلك.

يغطي هذا الدليل Microsoft 365 مع Defender for Office 365. فلكل من مرشحات Google طريقة مختلفة، ولا يتناولها هذا الدليل.

لماذا يُحجز رابط توقيعي؟

تحجز Defender الرسائل التي تراها تصيّدًا احتياليًا عالي الثقة. تقول صفحة Microsoft عن الأمان الافتراضي إن البريد الذي «يُحدَّد على أنه تصيّد احتيالي عالي الثقة يُحجز افتراضيًا»، وإن هذا السلوك ليس إعدادًا يمكن إيقافه. وفي منتدى أسئلة Microsoft وأجوبتها موضوع كان فيه رابط في توقيع الشركة هو العنصر المُبلَّغ عنه: الرسائل الداخلية التي تحمل التوقيع حُجزت، بينما وصلت الرسائل من دونه. لا تنشر Microsoft الإشارات التي تقف وراء كل حكم، لذلك تأكد من السبب في حجر الرسائل لديك بدلًا من افتراضه.

لماذا لا تنفع إضافة المرسل إلى قائمة المرسلين الآمنين؟

لا تطبّق Microsoft عدة استثناءات على الرسائل الخبيثة والتصيّد عالي الثقة. تذكر صفحة الأمان الافتراضي قوائم المرسلين والنطاقات المسموح بها في سياسات مكافحة الرسائل المزعجة، وقوائم المرسلين الآمنين في Outlook، وقائمة السماح بعناوين IP في مرشح الاتصال الافتراضي، وقواعد تدفق البريد في Exchange. ولا يفرج أي منها عن رسالة محجوزة من هذا النوع. لهذا يفشل النصح في المنتديات بـ«أضف النطاق إلى المرسلين الآمنين».

وهناك استثناء مهم. ينطبق الأمان الافتراضي فقط عندما يشير سجل MX لنطاقك إلى Microsoft 365. فإذا كان يشير إلى مرشح طرف ثالث، فقد تُسلَّم الرسالة بفعل الاستثناءات المذكورة، ويختلف الحكم.

كيف أتأكد أن التوقيع هو السبب؟

١. افتح رسالة محجوزة في حجر Defender في بوابة Microsoft Defender، ودوّن الحكم الصادر عليها. يستطيع المسؤولون الإفراج عن الرسائل، أما المستخدمون فيمكنهم طلب الإفراج فقط. ٢. أرسل رسالتين اختباريتين من الصندوق نفسه إلى عنوان خارجي تتحكم فيه: واحدة بالتوقيع وأخرى من دونه. قارن النتيجتين. ٣. إذا كان التوقيع هو السبب، فأزل رابطًا واحدًا في كل مرة وأعد الإرسال حتى تصل الرسالة.

كيف أوصل الرسالة؟

خطوات المسؤول، وفق مقالة Microsoft عن الإرسالات:

١. انتقل إلى Actions & submissions ثم Submissions في بوابة Defender، أو افتح security.microsoft.com/reportsubmission. تأكد من اختيار تبويب Emails. ٢. اختر Submit to Microsoft for analysis. ٣. للمعرّف، استخدم قيمة GUID الموجودة في الترويسة X-MS-Office365-Filtering-Correlation-Id للرسالة المحجوزة. ويمكنك أيضًا رفع ملف .eml أو .msg. ٤. اختر مستلمًا تأثر بالمشكلة، لأن فحص السياسات يعتمد على ذلك المستلم. ٥. إذا كنت تعلم أن الرسالة سليمة، فاختر I've confirmed it's clean ثم Next. اختر It appears clean فقط إذا أردت أن تصدر Microsoft الحكم. ٦. في الصفحة الثانية، اختر Allow this message لإنشاء إدخالات في Tenant Allow/Block List للمرسل والروابط. اختر Submit إن أردت الإبلاغ فقط. ٧. إذا اخترت السماح، فحدّد موعد انتهاء الإدخال. القيمة الافتراضية هي ٤٥ يومًا بعد آخر استخدام. والخيارات الأخرى هي ١ يوم أو ٧ أيام أو ٣٠ يومًا أو تاريخ محدد لا يتجاوز ٣٠ يومًا من اليوم. ٨. اختر Submit ثم Done. تظهر الإدخالات في صفحة Tenant Allow/Block Lists بعد لحظات.

لماذا يتوقف الحل عن العمل؟

• انتهى إدخال السماح. يذكر موضوع في منتدى أسئلة Microsoft وأجوبتها أن الإدخال أعاد التسليم ثم انتهى، وأن بعض المستلمين لم يتلقوا الرسائل. استخدم مدة الانتهاء الافتراضية، وراجع قائمة Tenant Allow/Block List بعد أسبوع.
• ما زالت الفحوص الأخرى تعمل. تقول Microsoft إن إدخال السماح يتجاوز المرشحات المرتبطة بذلك الكيان فقط. وتُقيَّم بقية عناصر الرسالة، ولا تُسلَّم الرسالة إلا إذا اجتازتها. أعد الاختبار بعد إضافة الإدخال.
• حجبها حماية انتحال الهوية. لا يُنشأ إدخال سماح للرسائل التي حجبتها حماية انتحال النطاق أو المستخدم. يُضاف المرسل بدلًا من ذلك إلى قسم Trusted senders and domains في سياسة مكافحة التصيّد.
• انتهت صلاحية الرسالة. تبقى الرسائل التصيدية المحجوزة بسياسات مكافحة الرسائل المزعجة ١٥ يومًا في السياسة الافتراضية، أو ٣٠ يومًا في السياسات المعدّة مسبقًا Standard وStrict. بعد ذلك تحذفها Microsoft نهائيًا. اطلب من المرسل إعادة الإرسال.

كيف أمنع الروابط في التوقيع من تفعيل هذه المشكلة؟

لا تنشر Microsoft قائمة مراجعة للتوقيعات، لذلك فهذه عادات عملية وليست إرشادات من Microsoft:

• استخدم نطاقك الخاص لروابط الموقع والملف الشخصي.
• تجنب مقصّرات الروابط وأغلفة تتبع الروابط. فالمقصّر يُخفي الوجهة التي يحاول المرشح تقييمها.
• قلّل عدد الروابط. فكل رابط إضافي شيء آخر يجب اجتيازه.
• اختبر أي نطاق جديد للتوقيع بالإرسال الاختباري قبل تعميمه على الجميع.

كيف تساعد Sendoff؟

لا تستطيع Sendoff تغيير حكم Microsoft، ولا تفحص إن كان الرابط في قائمة حظر. لكن أداة فحص التوقيع تفيد قبل الاختبار: تُظهر عدد الروابط والصور في الـHTML، وتحذّر من الصور المقدمة عبر http://، وتُبلغ عن وسوم script التي ترفضها بعض البرامج. أنشئ التوقيع في مولّد توقيع البريد الإلكتروني المجاني، ثم مرّر الـHTML على الفاحص، ونفّذ الإرسال الاختباري المذكور أعلاه. وللإعداد على Microsoft 365 راجع صفحة التكامل مع Microsoft 365.

المصادر

• Microsoft Learn، «Secure by default in Office 365»: https://learn.microsoft.com/en-us/defender-office-365/secure-by-default
• Microsoft Learn، «Quarantined email messages in Microsoft 365»: https://learn.microsoft.com/en-us/defender-office-365/quarantine-about
• Microsoft Learn، «Submit messages, URLs, and attachments for analysis in the Microsoft Defender portal»: https://learn.microsoft.com/en-us/defender-office-365/submissions-admin
• منتدى أسئلة Microsoft وأجوبتها، «Emails marked as malcious URL but we are safe» (نقاش من المجتمع): https://learn.microsoft.com/en-us/answers/questions/5522965/emails-marked-as-malcious-url-but-we-are-safe