Rafael Pfister

Consulting

Penetrationstest av e-post: e-postflödet som attackyta

Allmänna penetrationstester granskar nätverk och webbapplikationer; e-postflödet lämnas ofta utanför, trots att e-post är en av de vanligaste ingångarna vid attacker mot företag. Jag testar din e-postinfrastruktur med en angripares metoder: om avsändare kan förfalskas, om gatewayen kan kringgås och vilka tjänster som går att nå utifrån.

Rådgivningen sker på tyska eller engelska.

  • Penetrationstest
  • Spoofing
  • SPF/DKIM/DMARC
  • Kringgående av gateway
  • Exchange
  • Microsoft 365

Testområden

  • Spoofing och autentiseringKan din domän förfalskas utifrån? SPF, DKIM och DMARC testas mot verkliga mottagare, inklusive underdomäner och domäner som liknar din.
  • Kringgående av gatewayDirekt leverans till Exchange Online eller e-postservern förbi den föregående gatewayen, Direct Send, otillräckligt skyddade connectorer och reläer.
  • Nåbara tjänsterSMTP, OWA, EWS, ActiveSync, Autodiscover och gatewayernas administrationsgränssnitt: versioner, kända sårbarheter, TLS-konfiguration och autentiseringsmetoder.
  • Filtrering och leveransHur gatewayen hanterar preparerade bilagor, länkar och headers, testat med harmlösa testmönster i stället för riktig skadlig kod.
  • Postlådesäkerhet i Microsoft 365Äldre autentisering, extern vidarebefordran, app-medgivanden och granskningskonfiguration, som en konfigurationsgranskning.

Ramar och uppdrag

Varje test börjar med ett skriftligt uppdrag: omfång, tidsfönster, kontaktpersoner och undantagna system fastställs i förväg. Endast system som uppdragsgivaren har rätt att förfoga över testas; för tester mot Microsoft 365 gäller dessutom Microsofts Rules of Engagement för penetrationstester i molnet. Phishingsimuleringar mot medarbetare ingår inte i standardomfånget och genomförs endast efter samråd med de ansvariga för personal och dataskydd.

Så går ett uppdrag till

  1. Uppdrag och omfångFastställ mål, system, tidsfönster och nödkontakt skriftligt.
  2. RekognoseringUtvärdera offentligt synlig information: DNS, MX, certifikat, exponerade tjänster.
  3. TesterInom det överenskomna tidsfönstret, varje steg loggat och spårbart.
  4. Rapport och omtestFynd prioriterade efter risk, med konkreta åtgärder; efter genomförandet ett omtest av de kritiska punkterna.

Exempel från praktiken