Proofpoint delante de Exchange Online: lo que cuesta de verdad migrar la pasarela de correo
- El problema
- El phishing y la suplantación se colaban por delante del filtro nativo hasta las bandejas de entrada.
- Qué construí
- Evaluación, tres inventarios (buzones, dominios y partners) y una migración de MX país por país.
- Qué salió de ahí
- El parque va pasando detrás de la pasarela país por país; donde ya ha llegado, fuera de IT nadie lo notó.
Después de una racha de intentos de phishing y suplantación que llegaron a las bandejas de entrada, la empresa decidió que el filtrado nativo no bastaba por sí solo y optó por poner una pasarela dedicada delante de Exchange Online. Llevé la prueba de concepto y llevo la migración, país por país, en todo el grupo. Todavía no ha terminado; lo que sigue es lo que ha aguantado hasta ahora.
Si estás dimensionando algo parecido, lo que te puede servir de aquí no es la comparativa de fabricantes sino la lista de lo que hay que saber antes del corte, porque ahí es donde se fueron los meses.
Cambiar el registro MX son los últimos cinco minutos
Buzones: cada uno atribuido a un país, porque así factura la pasarela.
Dominios: cada dominio aceptado dado de alta, con su SPF, su DKIM y su DMARC.
Partners: cada partner con TLS forzado, sondeado antes del cambio.
Cada buzón con su país. Una pasarela se suele licenciar y repercutir por región, así que hay que atribuir cada buzón a un país a partir de su dominio, su licencia y su ubicación en el directorio. Hacerlo bien no es burocracia: el ejercicio destapó que aproximadamente uno de cada seis buzones no tenía país atribuible. Mejor descubrirlo antes de la primera factura que discutirlo después.
Cada dominio aceptado, inventariado. Todos los dominios aceptados había que darlos de alta en la pasarela antes del corte, cada uno con su SPF, su DKIM y su DMARC que trasladar. Un dominio aceptado en Exchange Online pero desconocido para la pasarela no se degrada con elegancia: su correo, sencillamente, se rechaza.
Cada partner, comprobado en TLS. Los dominios de partners que intercambian correo con la empresa con TLS forzado se sondearon uno a uno antes del cambio para confirmar que el camino nuevo negociaría igual que el viejo. Un TLS forzado que deja de negociar en silencio es de esos fallos que descubre el departamento legal, no la monitorización.
El corte, y el mes siguiente
El cambio de MX fue país por país, ajustando las reglas de bypass de la pasarela contra tráfico real durante una semana después de cada oleada. Ir por oleadas no es prudencia decorativa: significa que el radio de impacto de una política mal puesta es un país, y que lo aprendido en la primera oleada le sale gratis a las demás.
Las políticas que sobre el papel parecen correctas se acaban ajustando contra lo que llega de verdad. El primer mes es cuando descubres qué «spam» es en realidad una newsletter de la que depende el equipo financiero, y eso no hay entorno de pruebas que lo sustituya.