Sophos Email: gestionar de forma segura las excepciones Allow/Block de entrada

Inbound Allow/Block determina qué remitentes permite o bloquea Sophos Email en los mensajes entrantes. La lista de administradores se aplica globalmente a todos los buzones protegidos; las listas personales se aplican al usuario correspondiente. Si existe un conflicto, Admin list tiene prioridad.

Procedimiento rápido y seguro: En Global Settings > Protection and Remediation > Allow and Block > Email > Inbound Allow/Block, exporte primero la lista existente. Añada después a Admin list el valor de remitente más específico posible, active Enforce Message Authentication para las entradas Allow, documente el motivo y el responsable y pruebe con mensajes que coincidan y que no coincidan. Los dominios amplios, los comodines y las redes no sustituyen el análisis de un falso positivo.

Importante: Una entrada Allow no desactiva toda la protección. Si el remitente coincide y está suficientemente autenticado, Sophos solo omite las comprobaciones indicadas a continuación; el análisis de malware permanece activo. Sin autenticación obligatoria, un mensaje falsificado que utilice una dirección permitida puede eludir las comprobaciones documentadas y llegar a la bandeja de entrada. La lista de URL permitidas de Time of Click es una función independiente y no se gestiona aquí.

Comprender el alcance y las coincidencias

Las listas solo se aplican a mensajes entrantes. Para direcciones y dominios, Sophos compara tanto el remitente del sobre SMTP como la dirección del encabezado From visible. Si cualquiera coincide, se ejecuta la acción Allow o Block. Revise ambos valores en los encabezados sin procesar o en los detalles del mensaje.

La lista de administradores admite:

direcciones de correo individuales, como billing@example.com;
dominios, como example.com;
direcciones IP, como la dirección de documentación 192.0.2.25;
redes IPv4 con prefijos de /16 a /32, por ejemplo 192.0.2.0/24;
comodines al principio, en medio o al final de una dirección o dominio, como *.example.com, name*@example.com, name@example*.com o *.example;
comodines para TLD completas, usando *.example como forma segura de documentación en lugar de una TLD de producción.

End user list solo admite direcciones de correo y dominios, no direcciones IP ni comodines. El máximo documentado para todas las listas es de 100.000 entradas. Cada usuario puede añadir como máximo 500 entradas a su lista Allow o Block; las entradas de Smart Banners pueden superar este límite por usuario.

Los mensajes de un remitente o una IP de cliente bloqueados se descartan sin más análisis. Los mensajes de direcciones incluidas en una lista Block normalmente se rechazan durante SMTP, antes de que el servidor los acepte. Sin embargo, si hay varios destinatarios con ajustes personales de bloqueo distintos, primero se acepta el mensaje y después se bloquea solo para quienes hayan bloqueado al remitente. En este caso, la aceptación SMTP no equivale a la entrega al destinatario que lo ha bloqueado. Más adelante se explica cómo comprobarlo.

Preparar y limitar el cambio

Antes de cambiar nada, registre el ticket, motivo empresarial, responsable y fecha de caducidad o revisión; el tipo exacto (Admin list o End user list); la acción y el valor más específico; los usuarios afectados; un CSV actual como copia de seguridad con el número de entradas; y los resultados esperados para remitentes y destinatarios de prueba coincidentes y no coincidentes.

Sophos no documenta una caducidad automática por entrada. Programe la revisión en el sistema de cambios y elimine la excepción cuando deje de ser necesaria. La descripción debe incluir brevemente el motivo y el ticket, sin datos confidenciales.

Configurar la lista de administradores

En Sophos Fusion (antes Sophos Central), haga clic en Global Settings.
Abra Protection and Remediation > Allow and Block > Email > Inbound Allow/Block.
Seleccione Admin list y haga clic en Add.
Seleccione Allow o Block e introduzca exactamente una dirección, dominio, IP, red CIDR admitida o valor con comodín.
Añada una Description con el motivo y el ticket, de un máximo de 250 caracteres y sin datos confidenciales.
Para entradas Allow, active Enforce Message Authentication. No desactive la opción para eludir un fallo de autenticación del remitente.
Guarde la entrada y búsquela en la lista. Advanced Search permite filtrar por Allow/Block, Message Authentication y dirección o dominio del remitente.

Use Override duplicates únicamente después de comparar la entrada existente; Sophos aplicará la selección más reciente. Es posible modificar conjuntamente la descripción de varias entradas de administrador y activar Message Authentication para varias entradas Allow, pero una modificación masiva no debe mezclar motivos o responsables diferentes.

Los ajustes de cada entrada en Enforce Message Authentication reflejan las opciones de autenticación de User Settings. Puede conservar o sobrescribir opciones individuales para cada entrada Allow, incluidas las comprobaciones SPF y los dominios del sobre. Compare y documente también estos valores, no solo el interruptor principal. La protección global contra la suplantación no sustituye al interruptor de cada entrada: si Enforce Message Authentication está desactivado en una entrada Allow de administrador, un remitente falsificado puede aprovecharla aunque la opción global esté activa.

Comprobaciones omitidas por una coincidencia Allow autenticada

Para una entrada Allow de administrador con autenticación obligatoria, debe superarse al menos una comprobación de DMARC, SPF o DKIM. La opción Prevention of spoofing of allowed address activada y los ajustes de cada entrada determinan la evaluación detallada; en particular, un fallo de DMARC con una política distinta de p=none puede hacer que falle la autenticación. Por tanto, cualquier resultado SPF pass no basta como prueba general. Si la coincidencia Allow se autentica correctamente, Sophos omite:

Header anomalies;
Impersonation protection;
Anti-spam;
BATV (Bounce Address Tag Validation);
Country of origin;
Language;
Data control.

Una coincidencia Allow de usuario autenticada correctamente solo omite Impersonation protection, Anti-spam, Country of origin y Language. El siguiente apartado explica las descripciones contradictorias de la autenticación de usuarios. El análisis de malware permanece activo en ambos casos. La guía de protección contra malware, archivos adjuntos y URL explica qué controles de contenido y URL se aplican de forma independiente.

Allow de usuario: descripciones contradictorias de la autenticación

Las descripciones actuales de Inbound Allow/Block y del procesamiento de listas Allow indican que las entradas Allow de usuario siempre exigen Message Authentication. En cambio, User Settings presenta Prevention of spoofing of allowed address como una opción que debe activarse para la autenticación Allow de usuario que allí se explica. Indica que está desactivada de forma predeterminada para los clientes existentes y que quizá aún no esté disponible en todos los tenants. Estas descripciones no son inequívocamente coherentes. No permiten deducir ni una omisión fiable de la autenticación con la opción desactivada ni una protección demostrada en todos los tenants con independencia de ella. El conflicto sobre la autenticación sigue sin resolverse.

Mantenga activos los controles de protección existentes y, cuando Prevention of spoofing of allowed address esté disponible, planifique su activación con una validación controlada de las vías de envío legítimas. Si falta la opción o su efecto no está claro, no base una nueva excepción Allow de usuario en una lógica de autenticación supuesta; aclare el estado del tenant con detalles de mensajes depurados de datos sensibles y los ajustes actuales. No desactive Enforce Message Authentication, la protección contra la suplantación ni otros controles como solución alternativa.

Para la comprobación documentada con Prevention of spoofing of allowed address activada, una dirección permitida solo puede omitir controles si supera la siguiente evaluación de autenticación. Si no la supera, Sophos ignora el estado Allow y ejecuta todos los análisis:

Un resultado DMARC pass es suficiente. Si DMARC falla con una política del remitente distinta de p=none, la autenticación Allow falla en esta configuración de prueba con la opción activada.
Con p=none, o si no puede ejecutarse DMARC, deciden SPF y DKIM.
SPF comprueba el dominio del sobre del mensaje.
DKIM debe superarse para el dominio de la entrada Allow.
SPF check for non-aligned address puede aceptar un resultado SPF pass aunque el dominio del sobre de la dirección del remitente no esté alineado con la dirección permitida. Sophos no recomienda activarla: una dirección header-from falsificada podría coincidir con una dirección permitida por el usuario y aumentar el riesgo de suplantación.
SPF check for envelope domain hace que Sophos lea el dominio del sobre para cada dirección de encabezado permitida por el usuario, de modo que SPF se aplique al dominio del sobre del mensaje. Úsela únicamente cuando sea necesario ese flujo SPF excepcional no alineado.

Esta vía excepcional no alineada amplía la confianza y no es la solución predeterminada. Corrija primero SPF, DKIM o DMARC en el servicio de envío legítimo. Consulte la guía de autenticación del remitente.

Administrar listas de usuarios

User Settings no se puede configurar en modo EMS. Fuera de ese modo, los usuarios pueden mantener su lista en Sophos Central Self Service Portal si Release/Delete y Allow/Block List están habilitados en Global Settings > Products and Services > Email > User Settings. Se aplican dos dependencias de seguridad:

Si End-user message settings está activo y se han configurado los enlaces Allow sender y Block sender en Smart Banners, Allow/Block List debe permanecer activo.
Si End-user message settings está desactivado y se desactiva Release/Delete o Allow/Block List, Sophos omite las listas Allow/Block existentes de los usuarios.

El administrador puede consultar y modificar las mismas listas de forma centralizada:

Abra Global Settings > Protection and Remediation > Allow and Block > Email > Inbound Allow/Block.
Seleccione End user list y haga clic en Add.
Asigne la entrada al usuario correcto, elija Allow o Block y utilice únicamente una dirección de correo o un dominio.
Guarde y compruebe la entrada con Advanced Search por acción, remitente o usuario.

También aquí, Override duplicates sustituye el valor idéntico por la selección más reciente. Compruebe antes la lista global, porque prevalece sobre una entrada de usuario contradictoria. Consulte la guía de autoservicio de cuarentena.

Probar correctamente varios destinatarios

En un mensaje con varios destinatarios, las listas personales pueden diferir para un mismo remitente. Si solo person1@example.com lo ha bloqueado, person2@example.com sigue recibiendo el mensaje; solo se bloquea para person1@example.com. En el caso normal de bloqueo, el mensaje se rechaza antes de la aceptación SMTP. En el caso mixto con varios destinatarios, primero se acepta y después se bloquea por destinatario. Por tanto, una aceptación SMTP correcta no demuestra que se haya entregado al destinatario que lo ha bloqueado.

Para un piloto controlado, utilice dos buzones de prueba y un remitente de prueba propios; sustituya las direcciones de ejemplo por estos valores autorizados. Compruebe primero si hay entradas que prevalezcan en la Admin list global y revise los permisos de listas de usuario del apartado anterior. El piloto requiere que las listas de usuario sean efectivas. En particular, si End-user message settings está desactivado, desactivar Release/Delete o Allow/Block List puede omitir listas existentes; esto no es una solución para un resultado de prueba inesperado.

Documente las entradas personales originales. Bloquee al remitente de prueba solo para el primer destinatario; el segundo no debe tener un bloqueo correspondiente.
Envíe un mensaje nuevo e inocuo a ambos destinatarios en una sola operación de envío. Compruebe cada acción por separado en Message History y revise los buzones: se espera bloqueo sin entrega para el primero y entrega para el segundo, siempre que otro control no detenga el mensaje.
Si el acceso SMTP está autorizado expresamente, conserve también el registro de esa operación y distinga aceptación de rechazo. Verifique que ambos destinatarios pertenezcan a la misma transacción SMTP; las transacciones separadas no demuestran el caso mixto. Compare el resultado con una prueba independiente de un solo destinatario dirigida al buzón que bloquea, en la que se espera el rechazo normal antes de la aceptación. No deduzca un código SMTP ni una fase de procesamiento únicamente del estado de entrega.
Tras el piloto, restaure las entradas personales documentadas y vuelva a comprobarlas. Ante un resultado inesperado, detenga el cambio y revise prioridad de administrador, asignación de usuarios, coincidencias y permisos, en lugar de crear una regla Allow más amplia.

Una prueba SMTP con un solo destinatario no reproduce el caso mixto. Sin acceso SMTP autorizado, puede comprobar los resultados por destinatario, pero no documentar la fase SMTP como demostrada de forma independiente.

Exportar e importar CSV de forma segura

Antes de una importación masiva, exporte la lista como copia y referencia. El CSV exportado contiene columnas adicionales y no debe reutilizarse sin cambios para importar. Descargue la plantilla actual de Sophos Fusion, respete exactamente su formato y columnas y no invente nombres.

Abra la pestaña Admin list o End user list correcta y conserve el CSV exportado sin cambios.
Seleccione Add > Import allow/block list y descargue las plantillas.
Prepare el CSV y revise por fila la acción, el valor, Description y, si procede, el usuario.
Revise en la vista previa entradas Allow y Block, caracteres especiales, dominios y usuarios.
Importe primero un archivo piloto pequeño; busque y pruebe sus entradas antes de continuar.

Advertencia: Replace existing list with this import elimina permanentemente todas las entradas actuales de la lista afectada al añadir el CSV. Úselo únicamente para una sustitución completa aprobada, con copia verificada y prueba piloto satisfactoria; nunca para añadir entradas.

Proteger y revertir una sustitución completa

Antes de una sustitución completa, un responsable designado debe aprobar la pestaña exacta, la copia completa e inalterada con su recuento de filas registrado, el archivo de recuperación preparado, el resultado del piloto y la ventana de mantenimiento. El piloto debe usar la misma plantilla actual de Sophos en un tenant no productivo o en una lista de prueba independiente y controlada. Nunca ejecute un archivo piloto parcial contra la lista de producción con Replace existing list with this import.

Si tras la sustitución faltan entradas o son incorrectas, detenga las demás importaciones y no corrija la lista fila por fila. Tras la aprobación del incidente o cambio, convierta la lista completa, previamente exportada y de estado correcto conocido, en un archivo nuevo conforme a la plantilla actual de Sophos; conserve intacta la exportación original. Antes de importar, compare el recuento de filas y entradas Allow y Block representativas, además de las asignaciones de usuario en listas de usuarios y muestras del principio y del final. Importe después el archivo completo de recuperación, en la pestaña correcta y una ventana controlada, con Replace existing list with this import. Por último, exija que el recuento coincida con el anterior al cambio, confirme las mismas muestras y repita las pruebas de coincidencia, no coincidencia y autenticación para demostrar que se ha recuperado el estado correcto conocido. Si algo difiere, mantenga detenido el cambio y escale el caso; el análisis de malware y los demás controles de protección permanecen activos.

Límites independientes: 500.000 entradas como máximo en la lista de importación creada, 500 por usuario, 1 MB por CSV y 250 caracteres por Description; los textos más largos se truncan. Divida los archivos grandes. Si la hoja de cálculo altera separadores, caracteres iniciales o codificación, cancele, reconstruya desde la plantilla Sophos intacta y revise la vista previa; no adivine la codificación ni edite la copia.

Validar el resultado

Después de cada cambio individual o importación, realice una pequeña prueba documentada:

Coincidencia: Un mensaje nuevo cuyo remitente del sobre o encabezado From coincida exactamente debe mostrar el efecto Allow o Block esperado.
Sin coincidencia: Una dirección similar o un dominio próximo ajeno a la entrada debe pasar los controles normales. Especialmente con comodines y CIDR, esto revela si el alcance es demasiado amplio.
Autenticación correcta: Compruebe un remitente legítimo con un resultado de autenticación documentado frente a las opciones globales y de cada entrada realmente activadas. Mantenga Enforce Message Authentication activo para Allow de administrador; para una prueba controlada de Allow de usuario, utilice Prevention of spoofing of allowed address cuando esté disponible y activado. Solo pueden omitirse los controles documentados para cada caso; el análisis de malware permanece activo. Un único SPF pass no demuestra una coincidencia Allow correcta con una evaluación DMARC más estricta.
Autenticación fallida: En esta configuración de prueba protegida, un mensaje controlado en el que fallen las tres comprobaciones no debe beneficiarse del estado Allow y debe pasar todos los análisis. Compruebe también un fallo de DMARC con una política distinta de p=none si forma parte de la prueba autorizada. Si no puede verificarse la configuración de prueba de Allow de usuario, su validación sigue abierta; no desactive ningún control de protección para forzar la entrega.
Block y varios destinatarios: Para listas personales Block, pruebe un destinatario afectado y otro no afectado en el mismo mensaje y documente ambas acciones por separado. Compruebe adicionalmente la aceptación o el rechazo SMTP solo con acceso autorizado, no a partir de la entrega.
CSV: Compare recuento, acción, valor, Description y asignación de usuario con el archivo de origen y la copia de seguridad. Revise también muestras del principio y del final de la lista.

En Message History, registre hora, remitente del sobre, From, IP de cliente, destinatario, autenticación y acción. La entrega por sí sola no demuestra que coincidiera la entrada Allow: el mensaje también podría haber superado el flujo normal.

Resolver problemas y mantener las excepciones

Allow no funciona: compare el remitente del sobre y From con la entrada; después revise prioridad de administrador, opciones de la entrada y DMARC/SPF/DKIM. El análisis normal es intencionado cuando falla la autenticación obligatoria. Si el efecto de Allow de usuario no está claro, documente también el estado real de la protección contra la suplantación; no eluda el conflicto documental descrito desactivando controles de protección.
Block solo afecta a algunos destinatarios: compruebe usuarios y el caso multidestinatario; la regla de administrador tiene prioridad.
Wildcard o CIDR coincide mal: revise sintaxis y prefijo; solo se documentan /16–/32, y las listas de usuario no admiten IP/CIDR ni comodines. Retire la entrada amplia mientras investiga.
Importación ausente o incorrecta: revise pestaña, tamaño, límite de usuario, plantilla, columnas adicionales, descripciones truncadas y codificación visible. No repita con Replace existing list with this import hasta conocer la causa y verificar la copia.
Correo legítimo aún bloqueado: compare listas, sobre, From e IP; después revise autenticación y Message History. No cree como atajo una entrada Allow más amplia.

Revise trimestralmente y cuando cambie el responsable. Tras aprobación, elimine excepciones caducadas, sin responsable, duplicadas o demasiado amplias y repita las pruebas. Si la causa sigue sin estar clara, revierta la entrada y escale con ID de mensaje, fecha y hora, exportación, fila y resultados de autenticación, sin revelar mensajes confidenciales ni listas de producción completas.