Sähköpostin tietoturva-asetukset: opas Microsoft 365:lle

Tämän oppaan avulla määrität verkkotunnuksellesi oikeat tietoturva-asetukset, kun käytät Microsoft 365:tä. Oikein määritetyt DNS-asetukset suojaavat organisaatiotasi sähköpostipetoksilta, väärennetyiltä lähettäjiltä (spoofing) ja muilta tietoturvauhilta.

Tärkeä huomautus

Sähköpostin tietoturva-asetukset ovat ratkaisevan tärkeitä organisaatiosi tietojen suojaamisessa. Virheelliset asetukset voivat aiheuttaa ongelmia sähköpostin toimituksessa, tietoturva-aukkoja tai jopa tietomurtoja.

Vaikka tämä opas sisältää yksityiskohtaiset ohjeet, suosittelemme vahvasti, että keskustelet IT-osastosi tai pätevän DNS-asiantuntijan kanssa ennen kuin teet muutoksia verkkotunnuksesi DNS-tietueisiin. Virheelliset määritykset voivat aiheuttaa katkoja sähköpostipalveluun.

Asetukset kannattaa antaa sellaisen henkilön tehtäväksi, joka tuntee DNS-hallinnan ja sähköpostin todennusprotokollat. Jos olet epävarma jostain vaiheesta, pyydä ammattilaisen apua sen sijaan, että jatkaisit omin päin.

Muista, että DNS-muutosten leviäminen koko internetiin voi kestää 24–48 tuntia. Suunnittele aikataulu sen mukaan ja seuraa sähköpostipalveluitasi tarkasti muutosten jälkeen.

Sisällysluettelo

1. SPF-asetukset
2. DKIM-asetukset
3. DMARC-asetukset
4. MX-tietueet
5. Yleiset ongelmat ja vianmääritys

SPF-asetukset

Mikä on SPF?

SPF (Sender Policy Framework) on sähköpostin todennusmenetelmä, joka estää muita esiintymästä organisaatiosi nimissä. Se tarkistaa, että verkkotunnuksesi nimissä sähköpostia lähettävillä palvelimilla on siihen lupa.

SPF:n määrittäminen Microsoft 365:lle

1. Kirjaudu DNS-palveluntarjoajasi hallintapaneeliin (esim. GoDaddy, Cloudflare, Namecheap)
2. Etsi TXT-tietueiden hallinta DNS-asetuksista
3. Luo tai päivitä TXT-tietue seuraavilla arvoilla:
   • Host/Name (isäntä/nimi): @ tai tyhjä (tarkoittaa pääverkkotunnustasi)
   • Type (tyyppi): TXT
   • TTL: 3600 (tai DNS-palveluntarjoajasi oletusarvo)
   • Value/Data (arvo): v=spf1 include:spf.protection.outlook.com -all
   Huom.: Jos sinulla on jo SPF-tietue (alkaa v=spf1), älä luo toista. Päivitä sen sijaan olemassa olevaa tietuetta lisäämällä siihen include:spf.protection.outlook.com.
4. Tallenna muutokset
5. Tarkista SPF-tietueesi 24–48 tunnin kuluttua (aika, jonka DNS-muutosten leviäminen vie) verkkotyökalulla, kuten MXToolbox

Esimerkki oikeasta SPF-tietueesta Microsoft 365:lle

v=spf1 include:spf.protection.outlook.com -all


Jos lähetät sähköpostia useamman palvelun kautta, yhdistä ne lisäämällä include:-määreitä:

v=spf1 include:spf.protection.outlook.com include:sendgrid.net -all


SPF-mekanismit selitettynä:

• -all: Hylkää ehdottomasti (hard fail) kaiken sähköpostin, joka ei täsmää (suositus Microsoft 365:lle)
• ~all: Pehmeä hylkäys (soft fail), väljempi, sopii testausvaiheeseen
• ?all: Neutraali, liian heikko tuotantoympäristöihin
• +all: Salli kaikki, tietoturvan kannalta erittäin huono vaihtoehto

DKIM-asetukset

Mikä on DKIM?

DKIM (DomainKeys Identified Mail) lisää lähteviin sähköposteihin digitaalisen allekirjoituksen, jonka avulla vastaanottavat palvelimet voivat varmistaa, että viestit todella tulevat sinun verkkotunnuksestasi eikä niitä ole muutettu matkalla.

DKIM:n määrittäminen Microsoft 365:lle

1. Valmistele kaksi CNAME-tietuetta DNS-asetuksiisi: Sinun täytyy luoda DNS-asetuksiin kaksi CNAME-tietuetta. Microsoft 365 käyttää kahta valitsinta (selector): selector1 ja selector2.
2. Luo CNAME-tietueet DNS-palveluntarjoajasi hallintapaneelissa: Selector1:
   • Host/Name (isäntä/nimi): selector1._domainkey
   • Type (tyyppi): CNAME
   • TTL: 3600 (tai DNS-palveluntarjoajasi oletusarvo)
   • Points to/Value (osoittaa kohteeseen/arvo): selector1-<domainGUID>._domainkey.<initialDomain>.onmicrosoft.com
   Selector2:
   • Host/Name (isäntä/nimi): selector2._domainkey
   • Type (tyyppi): CNAME
   • TTL: 3600 (tai DNS-palveluntarjoajasi oletusarvo)
   • Points to/Value (osoittaa kohteeseen/arvo): selector2-<domainGUID>._domainkey.<initialDomain>.onmicrosoft.com
   Huom.: <domainGUID> ja <initialDomain> ovat Microsoft 365 -vuokraajakohtaisia (tenant). Löydät nämä arvot Microsoft 365 -hallintakeskuksesta.
3. Hae omat DKIM-arvosi Microsoft 365 -hallintakeskuksesta:
   • Kirjaudu Microsoft 365 -hallintakeskukseen
   • Siirry kohtaan Admin centers (Hallintakeskukset) > Exchange
   • Valitse vasemmasta valikosta Protection (Suojaus)
   • Napsauta DKIM otsikon ”Email authentication” (Sähköpostin todennus) alla
   • Valitse verkkotunnuksesi luettelosta
   • Avautuvassa ikkunassa näet tarkat CNAME-arvot, joita sinun pitää käyttää
4. Tallenna muutokset DNS-asetuksiin
5. Ota DKIM-allekirjoitus käyttöön Microsoft 365:ssä:
   • Kun DNS-muutokset ovat levinneet (24–48 tuntia), palaa Exchange-hallintakeskuksen DKIM-asetuksiin
   • Valitse verkkotunnuksellesi Enable (Ota käyttöön)
6. Tarkista DKIM-määritys työkalulla, kuten MXToolbox DKIM Checker

Vinkkejä DKIM:n käyttöönottoon Microsoft 365:ssä

• Microsoft vaihtaa DKIM-avaimia automaattisesti selector1:n ja selector2:n välillä
• Varmista, että molemmat CNAME-tietueet on määritetty oikein, ennen kuin otat DKIM:n käyttöön
• Microsoft 365 käyttää DKIM-allekirjoituksissa 2048-bittistä avainta

DMARC-asetukset

Mikä on DMARC?

DMARC (Domain-based Message Authentication, Reporting & Conformance) rakentuu SPF:n ja DKIM:n päälle. Sen avulla verkkotunnuksen omistaja päättää, mitä todennuksessa epäonnistuneelle sähköpostille tapahtuu, ja saa raportteja epäonnistuneista yrityksistä.

DMARC:n määrittäminen Microsoft 365:lle

1. Luo DNS-asetuksiin uusi TXT-tietue:
   • Host/Name (isäntä/nimi): _dmarc
   • Type (tyyppi): TXT
   • TTL: 3600 (tai DNS-palveluntarjoajasi oletusarvo)
   • Value/Data (arvo): Aloita yksinkertaisella DMARC-tietueella, esim.: v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.com

2. Tallenna muutokset
3. Tarkista DMARC-määritys työkalulla, kuten MXToolbox DMARC Checker

DMARC-käytännön vaiheittainen käyttöönotto

Microsoft 365:ssä DMARC kannattaa ottaa käyttöön vaiheittain:

1. Seurantatila (p=none): v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.com

   • Lähettää raportteja vaikuttamatta sähköpostin toimitukseen
   • Käytä tätä asetusta vähintään 2–4 viikkoa tiedon keräämiseen
2. Karanteenitila (p=quarantine): v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc-reports@yourdomain.com

   • Epäilyttävät viestit ohjataan roskapostikansioon
   • pct=25 soveltaa käytäntöä vain 25 prosenttiin viesteistä
   • Nosta osuutta vähitellen: 25 %, 50 %, 75 %, 100 %
3. Hylkäystila (p=reject): v=DMARC1; p=reject; rua=mailto:dmarc-reports@yourdomain.com

   • Vastaanottavat palvelimet hylkäävät todennuksessa epäonnistuneen sähköpostin
   • Ota käyttöön vasta, kun olet varma, että kaikki oikeat sähköpostivirrat on määritetty oikein

DMARC-tunnisteet selitettynä

• v=DMARC1: Protokollan versio (aina DMARC1)
• p=none/quarantine/reject: Käytäntö todennuksessa epäonnistuneille viesteille
• pct=: Prosenttiosuus liikenteestä, johon käytäntöä sovelletaan (1–100)
• rua=mailto:: Sähköpostiosoite koosteraporteille
• ruf=mailto:: Sähköpostiosoite yksityiskohtaisille forensisille raporteille
• sp=: Aliverkkotunnusten käytäntö (jos eri kuin pääverkkotunnuksella)

MX-tietueet

Mitä MX-tietueet ovat?

MX-tietueet (Mail Exchange) määrittävät, mitkä sähköpostipalvelimet vastaanottavat verkkotunnuksesi sähköpostit.

MX-tietueiden määrittäminen Microsoft 365:lle

1. Kirjaudu DNS-palveluntarjoajasi hallintapaneeliin
2. Etsi MX-tietueiden hallinta DNS-asetuksista
3. Poista olemassa olevat MX-tietueet, jotka eivät liity Microsoft 365:een
4. Lisää seuraava MX-tietue:

   Prioriteetti	Host/Name (isäntä/nimi)	Points to/Value (arvo)
   0	@ tai tyhjä	yourdomain-com.mail.protection.outlook.com

   Huom.:
   • Pienempi prioriteettiarvo tarkoittaa korkeampaa prioriteettia
   • Korvaa ”yourdomain-com” omalla Microsoft 365 -MX-tietueesi tiedolla (verkkotunnuksesi pisteet korvataan väliviivoilla)
   • Tarkan MX-tietueen arvon löydät Microsoft 365 -hallintakeskuksesta
5. Hae tarkat MX-tietueen tiedot Microsoft 365 -hallintakeskuksesta:
   • Kirjaudu Microsoft 365 -hallintakeskukseen
   • Siirry kohtaan Settings (Asetukset) > Domains (Toimialueet)
   • Napsauta verkkotunnustasi
   • Valitse välilehti DNS records (DNS-tietueet)
   • MX-tietueiden kohdalta löydät tarkan arvon, jota sinun pitää käyttää
6. Tallenna muutokset
7. Tarkista MX-tietueesi 24–48 tunnin kuluttua työkalulla, kuten MXToolbox MX Lookup

Yleisiä MX-tietueiden ongelmia Microsoft 365:ssä

• Päällekkäiset MX-tietueet: Poista kaikki muut kuin Microsoftin MX-tietueet, jos käytät ainoastaan Microsoft 365:tä
• Virheellinen verkkotunnuksen muoto: Tarkista, että käytät vuokraajallesi (tenant) määritettyä MX-tietueen osoitetta
• Prioriteettivirheet: Tarkista, että prioriteettiarvo on määritetty oikein (suositus on 0)

Yleiset ongelmat ja vianmääritys

SPF-virheet

• Virhe 1: Liian monta DNS-hakua (enintään 10 sallitaan)
  • Ratkaisu: Yksinkertaista SPF-tietuettasi käyttämällä ”include”-määrettä useiden ”a:”- tai ”mx:”-mekanismien sijaan
• Virhe 2: Useita SPF-tietueita (vain yksi sallitaan)
  • Ratkaisu: Yhdistä kaikki määreet yhteen SPF-tietueeseen
• Virhe 3: SPF-tietueesta puuttuu Microsoft 365 -verkkotunnus
  • Ratkaisu: Varmista, että SPF-tietueessasi on include:spf.protection.outlook.com

DKIM-virheet

• Virhe 1: CNAME-tietueet osoittavat vääriin arvoihin
  • Ratkaisu: Tarkista tarkat arvot uudelleen Microsoft 365 -hallintakeskuksesta
• Virhe 2: DKIM otettu käyttöön ennen kuin DNS-tietueet ovat levinneet
  • Ratkaisu: Odota DNS-muutosten jälkeen 24–48 tuntia ennen kuin otat DKIM:n käyttöön Microsoft 365:ssä
• Virhe 3: Vain yksi valitsin on määritetty
  • Ratkaisu: Tarkista, että sekä selector1 että selector2 on määritetty oikein

DMARC-virheet

• Virhe 1: Syntaksivirhe DMARC-tietueessa
  • Ratkaisu: Tarkista syntaksi DMARC-validaattorilla
• Virhe 2: Raportointiosoite käyttää samaa verkkotunnusta kuin DMARC-tietue
  • Ratkaisu: Määritä raportointiverkkotunnukselle oma DMARC-tietue tai käytä ulkoista raportointiosoitetta

MX-virheet

• Virhe 1: Ristiriita eri sähköpostipalveluiden välillä
  • Ratkaisu: Poista kaikki muut kuin Microsoft 365:n MX-tietueet, jos käytät ainoastaan Microsoft 365:tä
• Virhe 2: Virheellinen MX-arvo
  • Ratkaisu: Varmista tarkka MX-tietueen arvo Microsoft 365 -hallintakeskuksesta

Testaustyökalut ja resurssit

Voit tarkistaa asetuksesi seuraavilla työkaluilla:

• Microsoft Remote Connectivity Analyzer: nimenomaan Microsoft 365:lle
• MXToolbox: kattava DNS-tarkistus
• DMARC Analyzer: DMARC-analyysiin ja -raportteihin

Microsoft 365:n virallinen dokumentaatio

• Exchange Online Protection (EOP) Microsoft 365:ssä
• Office 365:n sähköpostin tietoturva: parhaat käytännöt

Yhteenveto

Näiden neljän tietoturvaosan (SPF, DKIM, DMARC ja MX) oikea määrittäminen on ratkaisevaa sähköpostin tietoturvalle Microsoft 365:ssä. Tätä opasta noudattamalla rakennat vahvan sähköpostin tietoturvan, joka suojaa organisaatiotasi väärennetyiltä lähettäjiltä, tietojenkalastelulta ja muilta sähköpostiin liittyviltä uhilta.

Muista, että DNS-muutosten leviäminen maailmanlaajuisesti voi kestää 24–48 tuntia, joten ole kärsivällinen testatessasi muutosten jälkeen. Monimutkaisissa ympäristöissä, joissa on hybridiratkaisuja tai erityistarpeita, kannattaa harkita Microsoft-asiantuntijan konsultointia räätälöityä määritystä varten.