了解如何配置可信 ARC 密封器

企业邮箱身份验证已成为 不可协商的标准 对于企业和政府来说，它可以防止网络钓鱼、身份盗窃、勒索软件和其他基于企业邮箱的网络攻击。 企业邮箱认证协议 触发警报 对于根据这些修改指示修改的企业邮箱内容 恶意行为者进行的篡改。

尽管大多数更改都是恶意的， 有些是合法的还。 有一些真正的企业邮箱服务提供商 编辑帖子 在将它们放入您的 Microsoft 收件箱之前。 这些更改还会导致 SPF、DKIM 和 DMARC 无法处理合法企业邮箱。

DKIM 的行为类似于强大的企业邮箱安全协议 非复杂中继情况s，但当中间服务器修改传输中的消息时失败。

典型的 DKIM 违规行为包括合法进程，例如企业邮箱网关 添加页脚或重写 URL。 当这些更改是合法业务流程的一部分时，使用经过身份验证的收据链 (ARC) 非常重要。 ARC 帮助 保留认证结果 通过中介。

ARC解决了这些问题并帮助 最大限度地减少企业邮箱身份验证失败 用于合法修改的传入企业邮箱。 它的工作原理是在企业邮箱服务级别保留原始企业邮箱的身份验证信息，这也有助于确定对企业邮箱的更改是否有效。 确定或怀疑。

ARC 是如何工作的？

以下简单描述了 ARC 如何确保企业邮箱编辑的真实性 维持一条链条 加密签名。

创建 ARC 印章

每个 企业邮箱管理器 （如接送服务） 添加 ARC 标头 集，其中包括：

1. ARC 身份验证结果 (AAR)： 显示企业邮箱地址 认证状态 （例如 SPF、DKIM、DMARC）此时。
2. ARC 消息签名 (AMS)： A 电子签名 覆盖企业邮箱的正文和标题。
3. ARC 密封 (AS): 涵盖所有以前的 ARC 标头集的签名，包括 AMS 和 AAR。

验证 ARC 字符串

当企业邮箱到达最终目的地时，收件人的企业邮箱服务通过检查以下内容来验证 ARC 字符串：

1. ARC 接头完整性：放心 没有发生任何改变 应用密封后。
2. 中介机构的合法性：确认 ARC 印章域得到认可和批准。
3. 认证结果的一致性: 比较 AAR 结果 不同阶段有差异。

决策

如果所有 ARC 印章完好无损并且来自受信任的域，则更改是 可能合法。

如果密封破损、签名不受信任或结果不一致，则更改可能是可疑的，并且可能来自恶意行为者。

何时使用值得信赖的 ARC 密封剂？

如果你是一个 Microsoft 365 套件用户仅当发送到 Microsoft 365 收件人的企业邮箱是 经常经历 接下来是-

• 通过中介服务进行修改。
• 由于更改（例如页眉和页脚更改或删除附件），邮件无法通过企业邮箱身份验证检查。

将批准的 ARC sealer 添加到 Defender 门户后，Microsoft 365 使用以下方法验证消息的真实性： 原始认证 信息打包的 弧形密封胶。

使用 Microsoft Defender 门户添加受信任的 ARC 密封程序

1. 在 Microsoft Defender 门户中 https://security.microsoft.com朝着去：

• 企业邮箱和协作 > 策略与规则 > 威胁策略 > 企业邮箱身份验证设置 在规则部分> 弓。
• 您还可以使用以下命令直接进入企业邮箱验证设置页面 https://security.microsoft.com/authentication。

2. 然后你会遇到 企业邮箱验证设置 页面，您必须在其中检查 弓 该选项卡被选中。 如果是，请单击 添加。

建议： 如果 Trusted Sealers 已在 ARC 选项卡上列出，请单击 修改。

3. 在 添加值得信赖的 ARC 密封剂 在打开的下拉菜单中，将受信任的签名域添加到给定空间。

• 这 域名必须匹配 显示在的域 d 受影响消息中 ARC-Seal 和 ARC-Message-Signature 标头中的值。
• 使用以下方法显示消息标题：

重复此步骤 根据需要多次。 要删除现有条目， 点击它 x 入口旁边。

4. 当您完成后 添加值得信赖的 ARC 密封剂 弹出窗口，单击 为了保障。

图片来自learn.microsoft.com

使用 Exchange Online PowerShell 添加批准的 ARC 密封程序

如果您更喜欢使用 PowerShell 查看、添加或删除 受信任的 ARC 密封程序，登录 Exchange Online PowerShell 并运行以下命令：

查看现有的值得信赖的 ARC 密封剂

Get-ArcConfig

如果未配置经批准的 ARC sealer，则该命令不会返回任何结果。

添加或删除可信 ARC 密封剂

使用以下命令使用新的 ARC 密封器代替现有密封器：

Set-ArcConfig -Identity (TenantId\)Default -ArcTrustedSealers "Domain1","Domain2",..."DomainN"

您自己的组织中不需要 TenantId\ 值， 仅在授权组织中这是在 Microsoft 365 中的许多管理门户 URL 中可见的 GUID（tid= 值）：例如，a32d39e2-3702-4ff5-9628-31358774c091。

此示例将“cohovineyard.com”和“tailspintoys.com”配置为唯一 值得信赖的 ARC 密封剂 在组织中：

Set-ArcConfig -Identity Default -ArcTrustedSealers "cohovineyard.com","tailspintoys.com"

要保留现有的 ARC 密封剂，请务必将它们与您要添加的任何新密封剂一起列出。 对于更详细的操作，例如添加或删除 ARC 密封剂 不影响其他输入参考 示例部分 在 Set-ArcConfig 文档中。