Exchange transport rule analyzer

Plak Exchange-transportregels om automatisch doorsturen en BCC naar externe adressen te vinden, en onvoorwaardelijke regels.

Draait in je browser · er wordt niets verstuurdMicrosoft 365Nieuw

Alles draait in je browser. Er wordt niets verstuurd, ook geen regelnamen of e-mailadressen uit je export.

Transportregels (JSON)

Voer "Get-TransportRule | ConvertTo-Json -Depth 5" uit in Exchange Online PowerShell en plak het resultaat hier.

Je geaccepteerde domeinen (kommagescheiden)

Nodig om interne adressen van externe te onderscheiden bij de doorstuur- en BCC-controles. Voer "Get-AcceptedDomain | Select DomainName" uit om die van jou te zien. Zonder dit worden die twee controles overgeslagen.

Zo gebruik je het

Voer "Get-TransportRule | ConvertTo-Json -Depth 5" uit in Exchange Online PowerShell.
Voer "Get-AcceptedDomain | Select DomainName" uit en noteer je domeinen.
Plak beide in de tool.
Bekijk de bevindingen en de regeltabel, en exporteer het rapport indien nodig.

Veelvoorkomende situaties

Een vermoede mailbox-compromittering onderzoeken

Controleer of er een regel is toegevoegd die mail vanaf de betrokken mailbox doorstuurt of BCC’t naar een adres buiten je organisatie.

Mail flow-regels controleren voor een beveiligingsreview

Exporteer alle transportregels en bevestig dat geen van hen onvoorwaardelijk is, per ongeluk in alleen-audit-modus staat, of stilletjes mail extern kopieert.

Uitleg

Voer "Get-TransportRule | ConvertTo-Json" uit in Exchange Online PowerShell en plak het resultaat hier, samen met je geaccepteerde domeinen, en de tool controleert elke regel op patronen die vaak gebruikt worden om mail stilletjes te exfiltreren: automatisch doorsturen naar een adres buiten je organisatie, een blinde of gewone kopie naar een extern adres, en regels zonder enige voorwaarde die toch doorsturen, verwijderen of anderszins ingrijpen op elk bericht dat hen bereikt. Daarnaast worden regels gemeld die in alleen-audit-modus zijn blijven staan en uitgeschakelde regels, allebei makkelijk te vergeten. Alles draait lokaal; regelnamen en adressen verlaten je browser nooit.

🔒 Je invoer blijft in je browser en wordt nergens naartoe gestuurd.

Veelgestelde vragen

Maakt dit verbinding met mijn Exchange-organisatie?

Nee. Er zijn geen inloggegevens en geen API-aanroepen. Je exporteert de regels zelf met Exchange Online PowerShell en plakt de JSON hier.

Waarom moet ik mijn geaccepteerde domeinen invoeren?

De tool moet weten welke adressen "van jou" zijn om een normale interne doorstuur te onderscheiden van exfiltratie naar een extern adres. Zonder dit worden de autoforward- en BCC-controles overgeslagen in plaats van gegokt, omdat dat onderscheid verkeerd gokken erger zou zijn dan helemaal niet controleren.

Waarom wordt een onvoorwaardelijke regel gemeld, ook als die onschuldig lijkt?

Microsofts eigen documentatie waarschuwt dat een regel zonder enige "When"-voorwaarde zijn actie toepast op elk bericht dat hem bereikt, inkomend en uitgaand, voor de hele organisatie. Dat is meestal veel breder dan bedoeld, vooral bij destructieve acties zoals mail verwijderen of doorsturen.

Controleert dit ook inbox-regels?

Nee, alleen organisatiebrede transportregels (mail flow rules), niet de persoonlijke inbox-regels van een specifieke mailbox, wat een andere, per-gebruiker instelling is.

Wat nu?

Ook handig

Entra ID Conditional Access analyzerPlak geëxporteerde Conditional Access-policies om te controleren op ontbrekende admin-MFA, niet-geblokkeerde legacy-auth en te brede scopes.
DKIM-checkerControleer een DKIM-record voor een selector: sleuteltype en -lengte, testmodus en ingetrokken sleutels. Opzoeken in DNS of het record plakken.
DMARC-analyzerControleer een DMARC-record: beleid, subdomeinbeleid, pct en rapportadressen, met een diagram van wat ontvangers doen. Opzoeken in DNS of plakken.
E-mailheader-analyzerPlak e-mailheaders en bekijk het afleverpad, de SPF-, DKIM- en DMARC-resultaten, en herken vervalsing zoals een niet-uitgelijnd From-domein.
SPF-analyzerControleer een SPF-record: aantal opzoekingen tegen de limiet van 10, include-keten, -all of ~all en riskante IP-bereiken. Opzoeken in DNS of plakken.

Een probleem gevonden of een suggestie? Laat het ons weten