Passer au contenu principal

Whitelister Arsen dans Cisco Secure Email (CES)

La mise sur liste blanche évite que Cisco Secure Email (CES) bloque, réécrive ou clique sur les liens des simulations Arsen, ce qui fausse les résultats des campagnes.

1 - Objectifs

  • Reconnaître une interférence de Cisco CES avec le suivi des campagnes

  • Exempter Arsen dans les zones Cisco concernées

  • Tester la configuration

2 - Prérequis

  • Un accès administrateur à l'interface web de Cisco CES.

  • La liste des domaines de phishing Arsen actifs.

  • Les adresses IP d'envoi Arsen : 161.38.204.14 et 185.211.123.249.

  • Les menus ci-dessous suivent la documentation Cisco AsyncOS et peuvent varier selon la version. Si un paramètre est absent, contactez le support Cisco ou votre administrateur de sécurité e-mail.

3 - Symptôme typique

L'e-mail de campagne est bien distribué, mais le destinataire apparaît comme clicked presque immédiatement, avant toute interaction réaliste. Cela indique généralement que Cisco CES a analysé ou réécrit le lien avant la distribution.
​

Avec l'envoi par API (Microsoft Email Delivery), les e-mails ne viennent pas des IP Arsen : seules les exemptions par domaine (sections 6 et 7) sont à vérifier.

4 - Exporter la liste complète des domaines Arsen

  1. Ouvrez Arsen phishing domains.
    ​

  2. Cliquez sur export.
    ​

  3. Ajoutez chaque domaine actif aux exemptions Cisco des sections 6 et 7.

5 - Zones Cisco à vérifier

Une seule exemption est souvent insuffisante. Vérifiez chaque zone.

Zone

Menu Cisco

À saisir

Expéditeurs autorisés (HAT)

Mail Policies > HAT Overview > ALLOWED_LIST

IP Arsen

Outbreak Filters

Mail Policies > Incoming Mail Policies > Outbreak Filters > Bypass Domain Scanning

Domaines Arsen

URL Filtering

Mail Policies > URL Lists, puis Security Services > URL Filtering > Edit Global Settings

Domaines Arsen

Filtres de contenu et de messages

Mail Policies > Incoming Content Filters (filtres de messages en CLI)

Liste d'URL autorisées

6 - Exempter Arsen d'Outbreak Filters

Outbreak Filters réécrit les URL et les analyse dans le cloud Talos. Les domaines saisis dans Bypass Domain Scanning sont exclus de cette réécriture.

  1. Ouvrez Mail Policies > Incoming Mail Policies > Outbreak Filters.
    ​

  2. Modifiez la politique concernée (au minimum Default).
    ​

  3. Dans Message Modification, ajoutez les domaines Arsen dans Bypass Domain Scanning, séparés par des virgules.
    ​

  4. Cliquez sur Submit, puis Commit Changes.

7 - Ajouter Arsen à la liste d'URL autorisées (URL Filtering)

Les URL de la liste d'autorisation globale ne sont évaluées ni par l'URL Filtering, ni par l'anti-spam, ni par Outbreak Filters, ni par les filtres de contenu et de messages. Cette liste est indépendante de Bypass Domain Scanning : renseignez les deux.

  1. Ouvrez Mail Policies > URL Lists et créez une liste, par exemple arsen_phishing_urls.

  2. Ajoutez-y les domaines Arsen.

  3. Ouvrez Security Services > URL Filtering > Edit Global Settings et sélectionnez cette liste.

  4. Cliquez sur Submit, puis Commit Changes.

8 - Vérifier les filtres de contenu et de messages

Un filtre personnalisé peut réécrire ou mettre en quarantaine les liens malgré les exemptions précédentes.

  1. Ouvrez Mail Policies > Incoming Content Filters.
    ​

  2. Dans chaque filtre qui utilise une condition ou une action URL Reputation ou URL Category, renseignez la liste d'URL autorisées de la section 7.
    ​

  3. Faites passer en revue les filtres de messages, gérés uniquement en ligne de commande (filters).
    ​

  4. Cliquez sur Commit Changes.

9 - Whitelister Arsen par adresse IP (HAT)

Si vous utilisez Email Delivery via notre intégration API, cette étape ne vous concerne pas.

Les membres du groupe ALLOWED_LIST ne sont pas soumis à l'anti-spam ni à la limitation de débit. L'antivirus reste actif.

  1. Ouvrez Mail Policies > HAT Overview et sélectionnez le listener entrant.

  2. Cliquez sur ALLOWED_LIST, puis Add Sender.

  3. Saisissez 161.38.204.14 et 185.211.123.249.

  4. Cliquez sur Submit, puis Commit Changes.

10 - Tester votre configuration

  1. Créez une campagne pour 1 ou 2 utilisateurs de test internes.

  2. Envoyez la campagne.

  3. Dans Monitor > Message Tracking, vérifiez que le lien n'est pas réécrit (rewritten URL dans les logs).

  4. Dans Arsen, vérifiez qu'aucun clic n'est enregistré avant l'action de l'utilisateur.

11 - Si des clics automatiques persistent

  1. Vérifiez que le domaine de phishing exact de la campagne figure dans les sections 6 et 7.

  2. Vérifiez si le lien a été réécrit avant la distribution.

  3. Vérifiez les autres couches de sécurité, par exemple Microsoft Safe Links et la politique de livraison avancée.

  4. Atttention : Si Cisco Secure Email Cloud Mailbox Defense est utilisé (analyse après livraison), faites-le vérifier par Cisco : un défaut avec les simulations de phishing a été signalé par la communauté Cisco.

  5. Relevez l'IP source et le user-agent des clics dans Arsen : une IP Cisco ou Microsoft indique l'outil en cause.

12 - Que partager avec le support Arsen si le problème continue

  • Le produit Cisco et sa version (par exemple CES 16.5.0-780).

  • Le nom de la campagne et le destinataire de test concernés.

  • Le domaine de phishing exact utilisé dans la campagne.

  • Des captures des exemptions Cisco déjà configurées.

  • Les logs Cisco ou le détail du Message Tracking.

  • La confirmation que le lien a été réécrit ou non avant la distribution.

Articles connexes
Avez-vous trouvé la réponse à votre question ?