Implementando o Mimecast Targeted Attack Protection

Visão Geral

O Mimecast Targeted Threat Protection (TTP) é um conjunto de serviços avançados de segurança de e-mail projetado para proteger contra phishing sofisticado, spearphishing e ataques direcionados. O TTP consiste em quatro módulos principais: URL Protect (reescrita de URL em tempo real e análise no momento do clique), Attachment Protect (detonação em sandbox de anexos suspeitos), Impersonation Protect (detecção de BEC e whaling) e Internal Email Protect (verificação de e-mails internos/de saída em busca de ameaças). A partir de novembro de 2025, o Mimecast habilitou a configuração "URL Pre-Delivery Action with Hold" para todos os clientes por padrão.

Quando Usar

• Ao implantar ou configurar recursos de proteção contra ataques direcionados do Mimecast em seu ambiente.
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade.
• Ao construir ou melhorar a arquitetura de segurança para este domínio.
• Ao realizar avaliações de segurança que exigem esta implementação.

Pré-requisitos

• Licença do Mimecast Email Security com o add-on TTP.
• Acesso administrativo ao Mimecast Administration Console.
• Ambiente Microsoft 365 ou Google Workspace.
• Registros MX configurados para rotear através do Mimecast.
• Compreensão de autenticação de e-mail (SPF, DKIM, DMARC).

Conceitos Chave

Visão Geral dos Módulos TTP

Cenários de Proteção contra Impersonação

• Hit 3 (Padrão): Sinaliza e-mails que correspondem a 3 ou mais indicadores de impersonação.
• Hit 1 (VIP): Sinaliza e-mails que correspondem a 1 ou mais indicadores para usuários VIP designados.
• Identificadores chave: similaridade de nome de exibição, similaridade de domínio, incompatibilidade de "reply-to", domínios recém-registrados.

Modos do URL Protect

• Rewrite (Reescrever): URLs reescritas para rotear através do proxy do Mimecast no momento do clique.
• Pre-Delivery Action (Hold) (Ação Pré-Entrega (Retenção)): URLs verificadas antes da entrega da mensagem; retidas se suspeitas.
• Pre-Delivery Action (None) (Ação Pré-Entrega (Nenhuma)): URLs verificadas antes da entrega, mas não retidas.

Fluxo de Trabalho

Etapa 1: Configurar Política do URL Protect

• Navegue até Administration > Gateway > Policies > Targeted Threat Protection - URL Protect.
• Crie uma definição de URL Protect com a reescrita habilitada para mensagens de entrada.
• Habilite a Ação Pré-Entrega de URL definida como "Hold" (Retenção) para proteção máxima.
• Configure o modo de verificação: agressivo para usuários de alto risco, moderado para a população geral.
• Defina a ação para URLs maliciosas: página de bloqueio com notificação ao usuário.
• Habilite o registro de URL para todos os eventos de clique.

Etapa 2: Configurar Política do Attachment Protect

• Navegue até Administration > Gateway > Policies > Targeted Threat Protection - Attachment Protect.
• Crie uma definição de Attachment Protect para e-mail de entrada.
• Selecione o modo de sandbox: "Safe File" (converte para formato seguro) ou "Dynamic Configuration" (sandbox completo).
• Configure os tipos de anexo a serem verificados: executáveis, documentos Office, PDFs, arquivos compactados.
• Defina o tempo limite para análise de sandbox (padrão: até 7 minutos para arquivos complexos).
• Habilite a sandbox preemptiva para anexos de remetentes desconhecidos.

Etapa 3: Configurar Impersonation Protect

• Crie uma Definição Padrão de Impersonation Protect (Hit 3) para todos os e-mails de entrada.
• Crie uma Definição de Impersonation Protect VIP (Hit 1) para proteção executiva.
• Construa a lista VIP: CEO, CFO, CTO, membros do conselho, liderança financeira.
• Configure os identificadores de detecção: nome de exibição, similaridade de domínio, remetente recém-observado.
• Defina ações: colocar em quarentena a impersonação de alta confiança, marcar a de confiança moderada.
• Habilite banners de aviso para o usuário final em mensagens sinalizadas.

Etapa 4: Habilitar Internal Email Protect

• Configure o journaling do Microsoft 365/Google Workspace para o Mimecast.
• Habilite a verificação de URL para e-mails internos.
• Habilite a verificação de anexos para e-mails internos.
• Configure alertas para indicadores de comprometimento de conta interna.
• Configure a detecção de phishing interno (conta comprometida enviando malware).

Etapa 5: Criar Grupo de Teste e Validar

• Crie um grupo piloto de 50 a 100 usuários de vários departamentos.
• Aplique as políticas TTP primeiro ao grupo piloto.
• Envie e-mails de teste com URLs de teste conhecidas e seguras e arquivos de teste EICAR.
• Verifique a reescrita de URL, a sandbox de anexos e a detecção de impersonação.

…