Ir al contenido principal

Riot en Trend Micro

❶ Introducción

Riot envía correos electrónicos de simulación de phishing. Sin una configuración adecuada, Trend Micro puede bloquear o poner en cuarentena algunos de estos correos, lo que puede distorsionar las estadísticas de vuestras campañas.

Los ajustes que necesitáis dependen de dos factores: cómo entrega Riot los correos en vuestros buzones y qué producto de Trend Micro los protege.

Esta guía describe los pasos para configurar Trend Micro y permitir los remitentes, las URL y los dominios necesarios.

❷ Definición

Trend Micro es una solución de seguridad integrada (antispam, antivirus, filtrado web) que se aplica al correo electrónico y al tráfico web. Permite definir políticas de envío, remitentes autorizados, análisis de archivos y reglas de reputación web.

Trend Micro protege el correo electrónico con dos productos, que pueden funcionar en paralelo:

  • Trend Micro Email Security (también llamado Cloud Email Gateway Protection): una pasarela que filtra los correos antes de que lleguen a vuestros buzones.

  • Cloud Email and Collaboration Protection (en Trend Vision One, antes Cloud App Security): se conecta a Microsoft 365 o Google Workspace y analiza los correos una vez que ya están en los buzones.

❸ Qué ajustes se aplican a vuestro caso

Comprobad cómo entrega Riot vuestros correos: es el método que elegisteis al verificar vuestro dominio en Riot (Microsoft API, Google API o IP whitelist).

Método de entrega de Riot

Trend Micro Email Security (pasarela)

Cloud Email and Collaboration Protection

Microsoft API o Google API

No tenéis que hacer nada. Riot deposita los correos directamente en los buzones, por lo que nunca pasan por la pasarela. Las listas de remitentes y de IP no tienen ningún efecto.

❹ Aprobar el encabezado de Riot

IP whitelist

❺ Permitir la IP de envío de Riot

❹ Aprobar el encabezado de Riot

❹ Aprobar el encabezado de Riot (Cloud Email and Collaboration Protection)

Todos los correos de simulación que envía Riot incluyen un encabezado con el ID de vuestro workspace de Riot: X-Riot-Workspace-Id. Una vez aprobado este encabezado, los correos de Riot se saltan los análisis de protección contra amenazas y de prevención de pérdida de datos de Trend Micro. Trend Micro diseñó este ajuste para las simulaciones de phishing. No aprueba ningún dominio de remitente, así que vuestro tráfico de correo real sigue siendo analizado.

Encontrar vuestro ID de workspace

  1. Enviaos una attack preview desde Riot.

  2. Abrid los encabezados del correo: en Outlook, Archivo > Propiedades > Encabezados de Internet; en Gmail, Mostrar original. También podéis abrir un correo de Riot en cuarentena desde la consola de Trend Micro.

  3. Copiad el valor de X-Riot-Workspace-Id. Tiene este aspecto: 01234567-89ab-7cde-8f01-23456789abcd.

Si no lo encontráis, contactad con el soporte de Riot.

Añadir el encabezado

  1. En Cloud Email and Collaboration Protection, id a Policies > Global Settings > User-Defined Lists > Approved/Blocked Lists.

  2. Haced clic en Exchange Online (Microsoft 365) o en Gmail (Google Workspace) y, a continuación, id a la sección Approved Header Fields.

  3. Activad la lista de campos de encabezado aprobados.

  4. Añadid estas dos entradas. El nombre (Name) y el valor (Value) distinguen entre mayúsculas y minúsculas, así que escribidlos exactamente así:

    • Name X-Riot-Workspace-Id, Value: vuestro ID de workspace, match Equals

    • Name x-riot-workspace-id, Value: vuestro ID de workspace, match Equals

  5. Haced clic en Add después de cada entrada y, por último, en OK.

Si tenéis varios workspaces de Riot, añadid las dos entradas para cada ID de workspace. Trend Micro admite hasta 50 entradas.

Comprobar el ajuste

Liberad los correos de Riot que ya estén en cuarentena, enviad una attack preview desde Riot y comprobad que llega a la bandeja de entrada.

❺ Permitir la IP de envío de Riot (Email Security, solo con IP whitelist)

Omitid esta sección si Riot entrega vuestros correos mediante Microsoft API o Google API.

  1. En la consola de Trend Micro Email Security, id a Administration > Service Integration > Phishing Simulation.

  2. En la sección Third-party phishing simulation, añadid la IP de envío de Riot: 159.135.234.25. Esta IP es exclusiva de Riot y no se comparte con nadie más.

  3. Guardad los cambios.

❻ Opciones y funcionalidades asociadas (políticas de Cloud Email and Collaboration Protection)

Si aprobasteis el encabezado de Riot en el apartado ❹, los correos de Riot ya se saltan estas políticas. Utilizad los ajustes siguientes como configuración de base o si no podéis usar el encabezado.

🔒 Advanced Spam Protection (Trend Micro)

  1. Id a la pestaña Advanced Threat Protection > Add.

  2. Seleccionad la política correspondiente (Exchange, OneDrive, etc.).

  3. En el menú de la izquierda, haced clic en Advanced Spam Protection.

  4. Activad la opción Enable Advanced Spam Protection.

  5. Id a la sección Approved/Blocked Sender List.

  6. Activad Enable the approved sender list.

  7. Añadid noreply.link y tryriot.com y, a continuación, haced clic en Add.

    Esto cubre únicamente las simulaciones enviadas desde estos dos dominios. Vuestras campañas utilizan también otros dominios de remitente, por lo que el encabezado del apartado ❹ es la opción más fiable.

  8. En la sección Rules configuration:

    • Apply to: Incoming messages

    • Detection Level: Medium

🦠 Malware Scanning

  1. En el menú de la izquierda, id a Malware Scanning.

  2. En la sección Rules configuration:

    • Apply to: All messages

    • Activad las opciones siguientes:

      • Scan all files

      • Scan message body

      • Enable IntelliTrap

  3. En Action configuration:

    • Elegid Trend Micro recommended actions.

    • Notification: Notify

📁 File Blocking

Activad File Blocking (recomendado).

⚠️ No desactivéis esta opción: se aplica a todos los mensajes, no solo a los de Riot.

🌐 Web Reputation y aprobación de URL

  1. En el menú de la izquierda, id a Web Reputation.

  2. Activad Web Reputation.

  3. En la sección Rules configuration:

    • Apply to: All messages

    • Security Level: Medium

  4. En la sección Approved/Blocked URL List:

    • Activad Enable the approved URL list.

    • Activad Add internal domains to the approved URL list.

    • Añadid los dominios generados por Riot (ejemplos):

      domain1.com
      domain2.com
      domain3.com

  5. A continuación, haced clic en Add >.

💡 Un pequeño extra

Empezad por el encabezado del apartado ❹: cubre todas las simulaciones de Riot, sea cual sea el dominio de envío.

  • Utilizad los dominios de ataque exactos que os proporcione Riot para la lista de aprobados.

  • Comprobad que noreply.link y tryriot.com figuran en la lista de remitentes aprobados.

  • Aseguraos de que las políticas se aplican a los mensajes entrantes (Incoming messages) con un nivel de detección Medium.

Los correos que ya estén en cuarentena seguirán allí después de cambiar los ajustes: liberadlos manualmente.

¿Ha quedado contestada tu pregunta?

Artículos relacionados