Vind elk apparaat dat nog mail verstuurt via SMTP basic auth

Microsoft heeft aangekondigd dat Basic authentication voor SMTP AUTH in Exchange Online wordt uitgefaseerd. De apparaten die als eerste uitvallen, zijn de apparaten waarvan niemand meer weet dat ze zijn ingesteld: scanners, multifunctionele printers en oude applicatieservers waarbij een mailboxwachtwoord in een webformulier is ingetypt. De planning voor de uitfasering is aangepast, dus raadpleeg de laatste aankondiging van Microsoft voor de actuele mijlpalen en vertrouw niet op een datum uit een blogartikel, ook niet uit dit artikel. Het inventarisatiewerk is hoe dan ook hetzelfde.

Waarom deze nog openstaat

Basic authentication is in Exchange Online al uitgeschakeld voor Exchange ActiveSync, POP, IMAP, Remote PowerShell, EWS, OAB, Autodiscover en de Outlook-clients. SMTP AUTH bleef ongemoeid waar het in gebruik was, en werd uitgeschakeld in tenants waar het niet werd gebruikt.

Volgens de analyse van Microsoft in de richtlijnen voor het blokkeren van legacy authentication maakt meer dan 97 procent van de credential stuffing-aanvallen en meer dan 99 procent van de password spray-aanvallen gebruik van legacy authentication.

SMTP AUTH wordt gebruikt door POP3- en IMAP4-clients die moeten kunnen verzenden, en door applicaties, rapportageservers en multifunctionele apparaten die mail genereren.

Zoek op wat het nog gebruikt

Mogelijk vindt u niets. Als security defaults is ingeschakeld, is SMTP AUTH in Exchange Online al uitgeschakeld. Ook voor organisaties die na januari 2020 zijn aangemaakt is het uitgeschakeld, tenzij iemand het per mailbox heeft ingeschakeld.

Begin anders bij de sign-in logs. Ga in het Microsoft Entra admin center naar Entra ID > Monitoring & health > Sign-in logs, voeg de kolom Client App toe en filter op de legacy authentication-protocollen. Herhaal dit op het tabblad User sign-ins (non-interactive), want apparaten melden zich zelden interactief aan. De workbook Sign-ins using legacy authentication helpt bij de triage.

Kijk daarna naar de mailboxen. Instellingen per mailbox hebben voorrang op de instelling voor de hele organisatie, dus maak een lijst van de mailboxen waar SMTP AUTH expliciet is ingeschakeld:

$Users = Get-CASMailbox -ResultSize unlimited
$Users | where {$_.SmtpClientAuthenticationDisabled -eq $false}

Een lege waarde betekent dat de mailbox de organisatie-instelling volgt. Controleer die met Get-TransportConfig | Format-List SmtpClientAuthenticationDisabled. Loop vervolgens de "scan naar e-mail"-pagina van de printer na, de notificatie-instellingen van het ERP, monitoring- en back-uptools en alle geplande scripts die een rapport mailen.

Koppel elke vondst aan een eigenaar en noteer het verzendadres, de poort, of een derde partij de verzender host en of de ontvangers intern of extern zijn. Deze gegevens hebt u nodig om een vervanger te kiezen.

Waar elke verzender naartoe moet

Het juiste doel hangt af van wat de verzender kan, waar die draait en wie die mailt.

Microsoft adviseert OAuth voor client SMTP submission en wijst voor uitsluitend interne mail naar HVE en voor interne en externe mail naar Azure Communication Services Email. Met een on-premises mailserver kunt u ook via die server relayen, met Basic authentication naar die server of met anonymous relay (niet met open relay).

Controleer eerst het volume. OAuth-submission wordt beperkt tot 10.000 ontvangers per dag en 30 berichten per minuut. SMTP relay valt niet onder die limieten, al heeft het redelijke eigen limieten, en HVE kent geen limieten voor ontvangers of berichtsnelheid bij interne mail.

Printers en scanners

Controleer eerst de firmware, want een update van de leverancier kan OAuth toevoegen. Zo niet, dan is SMTP relay via een connector meestal het antwoord. Daarvoor is geen gelicentieerde mailbox nodig. De authenticatie verloopt via een TLS-certificaat (aanbevolen) of via een statisch publiek IP-adres dat niet met een andere organisatie wordt gedeeld, en het apparaat gebruikt poort 25 naar uw MX-endpoint.

Relay slaat berichten niet op in Verzonden items en omzeilt de anti-spamfilters niet, dus verdachte mail kan worden gefilterd. Microsoft adviseert een SPF-record-vermelding, en u kunt het record controleren met onze DMARC- en SPF-checker. Een apparaat dat standaard poort 465 gebruikt, ondersteunt de TLS-versies niet die client SMTP submission vereist, en een apparaat zonder TLS 1.2 kan het helemaal niet gebruiken.

ERP-systemen en andere applicaties

Bedrijfsapplicaties zoals een ERP zijn het lastigst, omdat de leverancier de mailcode beheert. Vraag of het product OAuth 2.0 voor SMTP of de Graph API ondersteunt. Zo niet, dan is een connector-relay de terugvaloptie, mits de applicatie op uw eigen netwerk draait.

Als de leverancier de applicatie host, valt relay af: in de tabel van Microsoft is SMTP relay de enige methode die verzenders gehost door een derde partij niet ondersteunt. De leverancier kan client SMTP submission met OAuth gebruiken, HVE als de mail alleen naar interne ontvangers gaat, of Azure Communication Services Email. Direct Send werkt ook voor gehoste verzenders, maar is niet geauthenticeerd, dus pas uw SPF-record aan zodat de leverancier namens uw domein mag verzenden.

Als de applicatie verzendt vanaf een ander adres dan de mailbox waarmee wordt aangemeld, verleen dan Send As-rechten. Zonder die rechten komen berichten terug met 5.7.60 SMTP; Client doesn't have permissions to send as this sender.

Scripts

Voor scripts die u zelf beheert, noemt Microsoft de Graph API als alternatief voor geauthenticeerde mail. U kunt ook OAuth 2.0 implementeren tegen de IMAP-, POP- of SMTP-endpoints.

Waar u mee begint

1. Haal de legacy aanmeldingen op uit de Entra sign-in logs, zowel interactief als non-interactief, en maak een lijst van de mailboxen waar SmtpClientAuthenticationDisabled op $false staat.
2. Wijs voor elke verzender een eigenaar aan en leg de ontvangers (intern of extern), de poort, de TLS-ondersteuning en de eventuele hosting door een derde partij vast.
3. Kies een doel uit de tabel hierboven, test één apparaat per type en schakel elk apparaat pas over na een geslaagd testbericht.
4. Voer na de migratie Set-TransportConfig -SmtpClientAuthenticationDisabled $true uit. Een mailbox die nog op $false staat, heeft hier voorrang op, dus zet elke mailbox met Set-CASMailbox op $null (de organisatie volgen) of op $true. Voer het filter met -eq $false opnieuw uit om te bewijzen dat er geen meer over zijn, en bevestig de organisatiewaarde met Get-TransportConfig.
5. Maak een Conditional Access-beleid dat legacy authentication blokkeert, eerst ingesteld op Report-only, met minimaal één uitgesloten noodaccount.

Als de inventarisatie meer oplevert dan u op tijd kunt migreren, kan ons consultingteam helpen met de beoordeling en het overstapplan.