事件單要留三種處置
不是留一筆告警

Harmony Email & Collaboration ／ 給 CISO

Check Point Harmony Email & Collaboration 以 API 接 Microsoft 365 與 Gmail，查進向、內部、外寄。同一套也看 Teams、Slack 的訊息與上傳檔，以及 OneDrive、SharePoint、Google Drive 裡已放著的檔。會上要對的是四種信箱事件，每種只留三格：進信前有沒有擋、進信後有沒有撤回、協作空間有沒有第二份。

看四種事件 看附件流程
監控室牆面顯示信箱佇列與一條跨區登入弧線

受眾訊號

會停下來，是因為董事會要的是四種信箱事件各自留下什麼證據，不是功能清單。

CISO 這頁要對上的四件事

四個訊號都落在郵件與協作，不落在磁碟解密。帳號異常旅行寫的是登入與通訊模式，不是定位產品。

  1. 事件單 01

    釣魚郵件

    1. 進向與內部信
    2. 連結 處置
    3. 仿冒登入頁

    進向與內部信都查。連結在點擊當下再驗一次。仿冒登入頁與緊急語氣，靠內容與歷史通訊關係判

    不靠附件存不存在。

  2. 事件單 02

    BEC

    1. 主管、供應商
    2. 寄件關係 處置
    3. 改匯款帳號

    主管、供應商、改匯款帳號這類沒有惡意檔的信。比對寄件關係與先前往來，再決定隔離或標記。

    不是再加一台掃毒。

  3. 事件單 03

    帳號異常旅行

    1. 異常地點 處置
    2. 外部自動轉寄 處置
    3. 可疑密碼重設 處置
    4. 匯款或大量外寄

    帳號接管看登入模式與通訊模式。異常地點、外部自動轉寄、可疑密碼重設，要在匯款或大量外寄之前進同一張事件單。

    可自動封鎖，也可交管理員。

  4. 事件單 04

    郵件帶入的勒索

    1. 附件
    2. 沙箱 處置
    3. 防毒 處置
    4. CDR 處置

    附件走沙箱，已知惡意程式另有防毒。CDR 拆掉主動內容，交付仍可開啟的檔。

    加密若已發生在電腦上，這頁不宣稱能解密。

  5. 事件單 05

    進信後還清得掉

    1. 投遞後
    2. 隔離 處置
    3. 修改 處置
    4. 移除 處置

    API 模式可在投遞後隔離、修改或移除信件。偵測保護模式先看，再處置。

    CISO 要確認的是模式，不是口號。

  6. 事件單 06

    誤判信放回信箱

    1. Microsoft 判隔離
    2. Check Point 判乾淨
    3. 放回信箱 處置

    Microsoft 判隔離、Check Point 判乾淨時，可把信放回信箱。

    這是信箱狀態的還原，不是備份還原。

事件對照

四種事件，三種處置

每種事件都留下進信前、進信後、協作空間第二份。Harmony Email & Collaboration：API 接 Microsoft 365、Gmail。同一套看 Teams、Slack、OneDrive、SharePoint、Google Drive。

事件 進信前 進信後 協作空間第二份
釣魚 進向與內部信都查。連結在點擊當下再驗一次。仿冒登入頁與緊急語氣，用內容和歷史往來判。 已投遞的信可隔離、修改或移除。 Teams、Slack 裡的同一條連結與上傳檔可隔離。
BEC 主管、供應商、改匯款帳號這類沒有惡意檔的信，比對寄件關係與先前往來。 已進信箱的仿冒信可撤回。 改帳號說明若從聊天室或共享檔出去，訊息與檔案分享留同一筆處置。
帳號異常旅行 看登入模式與通訊模式。異常地點、外部自動轉寄、可疑密碼重設，在匯款或大量外寄之前進單。 被拿走的帳號已寄出的信，納入投遞後隔離或移除。 同一帳號在 Teams、Slack、OneDrive 的動作對上。
郵件附件 附件走沙箱。CDR 拆掉主動內容，交付仍可開啟的檔。 已投遞的惡意附件可隔離或移除。 同一份檔若在 OneDrive、SharePoint、Google Drive，可隔離或放入保險庫。

附件處置

沙箱、CDR、投遞後隔離

  1. 附件進入
  2. 沙箱檢查
  3. 惡意：隔離；其餘：CDR 拆除主動內容
  4. 交付無害檔
  5. 已投遞者：隔離、修改或移除
信封、筆電與上鎖資料夾

應變完整性

會停下來，是因為事件單若只寫「已告警」，隔天仍答不出信還在不在信箱。

信箱層的三種還原，不是磁碟還原

CISO 要留的處置

  1. 01進信前擋下

    產品做的事 Inline 先查再投遞。惡意信依流程隔離。

    不寫進事件單的事 不寫成保證信不會進信箱。

  2. 02進信後撤回

    產品做的事 已投遞的信可隔離、修改或移除。

    不寫進事件單的事 不寫成端點檔案解密。

  3. 03附件仍可開工

    產品做的事 CDR 拆除主動內容，交付無害檔。

    不寫進事件單的事 不寫成原檔備份還原。

  4. 04誤判信回到本人

    產品做的事 Microsoft 隔離、Check Point 判乾淨時可放回信箱。

    不寫進事件單的事 不寫成勒索後的系統還原。

協作空間

第二份不在閘道紀錄裡

閘道只看進邊界的信。同事轉出的檔、聊天室的連結、雲端硬碟裡已放著的檔，要在協作空間留處置。

  • Teams、Slack 訊息查釣魚與惡意連結，上傳檔查惡意程式。聊天室轉出的檔要能隔離。
  • OneDrive、SharePoint、Google Drive 已上傳的檔依惡意程式政策查，有威脅的隔離或放入保險庫。
  • 同一張單 信箱撤回若沒有協作空間的處置，四列表的第三格是空的。
筆電上的抽象對話與雲端資料夾

協作

會停下來，是因為同一份勒索檔常常先出現在聊天或雲端硬碟，不是先出現在閘道紀錄。

三個落點，各留一種處置

協作不是加售清單。每個應用只對一個 CISO 會被問到的結果。

  1. 信箱

    以 API 接 Microsoft 365 與 Gmail，查進向、內部、外寄。

  2. Teams、Slack

    訊息查釣魚與惡意連結，上傳檔查惡意程式。聊天室裡轉出的檔，要能隔離，不能只在電子郵件閘道留紀錄。

  3. OneDrive、SharePoint、Google Drive

    已上傳的檔照 DLP 與惡意程式政策查。有威脅的檔隔離或放入保險庫。靜置檔是第二落點，不是備援主題。

方案差在 DLP，不差在釣魚

Advanced Protect 含釣魚、帳號接管、URL、沙箱、CDR。Complete Protect 才加 DLP。外寄資料外洩要另確認授權，不在總覽裡假設已買。

檔案分享亦支援 Dropbox、Box、Citrix ShareFile。本頁主文只寫台灣企業較常被問到的 Microsoft 與 Google。

方案差異

先選覆蓋範圍，再選保護等級

方案 覆蓋範圍 釣魚、帳號接管、URL、沙箱、CDR DLP
僅限電子郵件 Advanced Protect Microsoft 365 郵件、Gmail 有 無
僅限電子郵件 Complete Protect Microsoft 365 郵件、Gmail 有 有
電子郵件與協作 Advanced Protect 郵件，另含 Teams、Slack。檔案分享含 OneDrive、SharePoint、Google Drive、Citrix ShareFile、Dropbox、Box 有 無
電子郵件與協作 Complete Protect 郵件，另含 Teams、Slack。檔案分享含 OneDrive、SharePoint、Google Drive、Citrix ShareFile、Dropbox、Box 有 有

事件對照一頁紙

會停下來，是因為 CISO 要帶去會的是一張對照，不是一段產品介紹。一頁只放四列：釣魚、BEC、帳號異常旅行、郵件帶入的勒索。每列三格：進信前、進信後、協作空間有沒有第二份。不含攔截率，不含端點還原。

向窗口索取一頁紙