Schakel Mailboxregel Uit [FIX-9001]
Deze remediation schakelt één inbox-regel (mailboxregel) uit op de mailbox van een gebruiker in Exchange Online. Het doel identificeert de mailbox en de regel-identiteit; de regel wordt uitgeschakeld in plaats van verwijderd, zodat hij zichtbaar blijft voor onderzoek maar niet meer wordt uitgevoerd.
Het wordt gebruikt om een kwaadaardige inbox-regel te neutraliseren (bijvoorbeeld één die mail automatisch doorstuurt, verwijdert of verplaatst om de activiteit van een aanvaller te verbergen) zonder het bewijs van wat de regel deed te vernietigen.
Reden
Het aanmaken van een inbox-regel is een klassieke post-compromise actie bij business email compromise (BEC). Na het verkrijgen van toegang tot een mailbox voegt een aanvaller vaak een regel toe die binnenkomende mail doorstuurt naar een extern adres, of die antwoorden op zijn phishing- en factuurfraude-berichten verplaatst en als gelezen markeert zodat de echte gebruiker het nooit merkt. Met deze regels kan de aanvaller mail blijven lezen of verbergen, zelfs nadat de initiële sessie is beëindigd.
Het uitschakelen van de regel stopt direct dat hij op nieuwe mail wordt toegepast. De regel uitgeschakeld laten staan in plaats van verwijderen behoudt de exacte condities en acties voor het onderzoek (welke adressen werden geraakt, wat werd doorgestuurd, wat werd verborgen), wat waardevol is voor het bepalen van de scope van het incident en voor eventuele rapportageverplichtingen. Zodra het onderzoek is afgerond kan de regel handmatig worden verwijderd.
Deze remediation voert Disable-InboxRule uit op de mailbox via de Exchange Online connector en leest de regel terug met Get-InboxRule ter bevestiging. Het vereist de Exchange.ManageAsApp permissie plus een directory role die cross-mailbox regelbeheer toestaat (zoals Exchange Administrator).
Fix
Een geautomatiseerde fix is beschikbaar via Attic.
Handmatige stappen:
- Open PowerShell en verbind met Exchange Online:
Connect-ExchangeOnline - Toon de regels voor de getroffen gebruiker:
Get-InboxRule -Mailbox gebruiker@domein.com - Schakel de specifieke regel uit op naam of ID:
Disable-InboxRule -Mailbox gebruiker@domein.com -Identity "RegelNaam" - Verifieer dat de regel is uitgeschakeld:
Get-InboxRule -Mailbox gebruiker@domein.com | Select Name, Enabled
Impact
- De aangewezen inbox-regel stopt met uitvoeren en stuurt mail niet meer door, verplaatst of verwijdert die niet meer.
- De regel is uitgeschakeld, niet verwijderd; hij blijft zichtbaar voor onderzoek en kan handmatig opnieuw worden ingeschakeld of verwijderd.
- Alleen de opgegeven regel wordt geraakt; de overige regels van de gebruiker blijven werken.
- Mail die de regel al had verwerkt vóór het uitschakelen (bijv. reeds doorgestuurde berichten) wordt niet teruggedraaid.
Terugdraaien
Draai een regel pas terug als uit onderzoek blijkt dat hij legitiem is; een door een aanvaller aangemaakte regel hoort verwijderd te worden, niet opnieuw ingeschakeld.
- Maak verbinding met Exchange Online:
Connect-ExchangeOnline - Schakel de regel weer in:
Enable-InboxRule -Mailbox user@domain.com -Identity "RuleName" - Controleer:
Get-InboxRule -Mailbox user@domain.com | Select Name, Enabled
De gebruiker kan de regel ook zelf weer inschakelen in Outlook via Instellingen > E-mail > Regels.
De regel behoudt zijn oorspronkelijke condities en acties, dus door het uitschakelen gaat niets verloren. Mail die binnenkwam terwijl de regel uit stond wordt niet alsnog verwerkt; die blijft staan waar hij is afgeleverd.