Sophos Email: scegliere l’architettura e pianificare l’onboarding

La decisione più importante per Sophos Email precede l’aggiunta del primo dominio: Sophos Mailflow o Sophos Gateway. Entrambe le opzioni vengono amministrate in Sophos Central, ma intervengono in punti diversi del flusso di posta. Scegliere presto l’architettura consente di pianificare responsabilità, pilota, cutover e un ritorno sicuro.

Decisione rapida: se usi esclusivamente Microsoft 365 e non vuoi reindirizzare i record MX esistenti, valuta prima Sophos Mailflow. Se Sophos deve essere il gateway di posta a monte, devi controllare il percorso DNS e MX, oppure usi Google Workspace o un server di posta locale, pianifica Sophos Gateway. Non configurare mai contemporaneamente entrambi i metodi per lo stesso dominio.

Confine del prodotto: Sophos Central, non il proxy di posta del firewall

Questo articolo riguarda Sophos Email in Sophos Central. Mail Protection integrata in un Sophos Firewall è un prodotto con un modello operativo diverso. Non trasferire in Sophos Email regole, eccezioni o percorsi di menu del proxy di posta del firewall. La sostituzione di Firewall Mail Protection richiede un progetto di migrazione separato con un proprio piano di routing e rollback.

Scegliere l’architettura

Sophos Mailflow per Microsoft 365

Sophos Mailflow si integra con Microsoft 365 tramite Microsoft APIs, connettori Exchange Online e regole del flusso di posta. I messaggi vengono instradati tra Microsoft 365 e Sophos per la scansione; questo modello non richiede il reindirizzamento MX né una modifica DNS per verificare il dominio. I domini si gestiscono in Sophos Central, in Products and Services > Email > M365 Mailflow Domains.

Mailflow è adatto quando Microsoft 365 deve rimanere il punto di ingresso e non si desidera modificare il routing pubblico. Verifica prima che l’abbonamento Microsoft 365 supporti i connettori in ingresso e che l’account amministratore possa concedere i consensi e le autorizzazioni del flusso di posta Exchange Online necessari.

Il limite operativo è importante: Microsoft continua a elaborare i messaggi al proprio punto di ingresso. Alcuni filtri Microsoft, in particolare quelli per phishing ad alta attendibilità, non possono essere disattivati completamente dalle regole di flusso. Un messaggio può quindi raggiungere la quarantena Microsoft prima di essere visibile in Sophos. Per Mailflow, includi entrambe le quarantene e Microsoft Message Trace nella procedura operativa.

Sophos Gateway per Microsoft 365, Google Workspace e server di posta locali

Sophos Gateway è il secure email gateway a monte. Il record MX pubblico punta a Sophos; Sophos analizza i messaggi in ingresso e li consegna a Microsoft 365, Google Workspace o a un server locale. Per la scansione in uscita, il server instrada l’invio tramite Sophos. I domini si gestiscono in Products and Services > Email > Gateway Domains.

Gateway è adatto quando Sophos deve ricevere la prima connessione SMTP da Internet, quando servono decisioni proprie di routing o TLS, oppure quando la piattaforma non è Microsoft 365. Richiede accesso a DNS e MX e alla configurazione di routing del provider o server. Modifica MX solo dopo aver preparato domini, destinazioni, caselle e criteri.

Le procedure esatte per Microsoft 365, Google Workspace e server locali appartengono alle rispettive guide di configurazione. Questa guida architetturale evita volutamente di anticipare host regionali, indirizzi IP, porte, nomi di connettori o valori DNS.

Confermare prerequisiti e responsabilità

Registra almeno quanto segue prima del pilota:

una licenza Sophos Email valida e accesso amministrativo a Sophos Central;
piattaforma di posta, domini protetti e architettura scelta per ciascun dominio;
tutte le caselle, gli alias, le liste di distribuzione e le cartelle pubbliche da proteggere;
la fonte autorevole delle caselle, come la sincronizzazione directory o un’importazione mantenuta;
responsabili di DNS, Microsoft 365 o Google Workspace, server locale e Sophos Central;
responsabili funzionali dei criteri Email Security, Data Control e Secure Message;
requisiti di cifratura, conservazione, quarantena e report;
finestra di cutover, criteri di accettazione, escalation e contatti autorizzati a decidere il rollback.

Gli oggetti destinatario mancanti non sono un dettaglio estetico: Sophos Email necessita dell’inventario completo per elaborare correttamente i messaggi. Confronta alias e gruppi con la stessa cura delle caselle personali. Modifica gli oggetti sincronizzati nella directory autorevole, non con una correzione permanente in Sophos Central.

Eseguire l’onboarding per fasi

1. Documentare inventario e percorso di posta

Mappa il percorso attuale in ingresso e in uscita per ogni dominio. Registra dove termina MX, quali sistemi inviano direttamente, quali inoltri esistono e chi può modificare DNS, regole del provider e server. Separa domini pilota, di produzione e speciali.

2. Preparare dominio e destinatari

Aggiungi il dominio nella modalità scelta e collega la fonte delle caselle. Sincronizza o importa caselle con alias, liste di distribuzione e cartelle pubbliche. Verifica l’inventario prima di cambiare il routing o abilitare ampiamente la protezione.

3. Definire i criteri prima del cutover

Definisci almeno responsabilità e ambito per Email Security, Data Control e, se necessario, Secure Message. Parti da regole comprensibili ed eccezioni documentate. Decidi notifiche di quarantena, cifratura e protezione in uscita prima del passaggio in produzione, non dopo il blocco di un messaggio aziendale.

4. Eseguire un pilota limitato

Scegli interlocutori interni ed esterni rappresentativi e, se l’architettura lo consente, un gruppo pilota chiaramente delimitato. Prova messaggi normali, allegati e risposte in entrambe le direzioni. Includi un alias o una lista di distribuzione. Mailflow può proteggere un sottoinsieme di caselle; l’assegnazione esatta dei gruppi sarà descritta nella guida Mailflow dedicata.

5. Eseguire un cutover controllato

Abilita una sola architettura per dominio. Per Gateway, la modifica MX è l’ultimo passo, dopo aver preparato destinazioni interne, percorso in uscita, destinatari e criteri. Per Mailflow, connettori e regole creati da Sophos devono essere completi e privi di conflitti in Microsoft 365. Blocca modifiche parallele al routing durante l’accettazione.

Decidere il comportamento durante un’interruzione del servizio

In base alla configurazione Email, Account preferences mostra Selectively scan oppure Enforce scan, mai entrambe le opzioni contemporaneamente. Durante una rara interruzione del servizio, Selectively scan consegna i messaggi senza ritardi eseguendo solo le scansioni essenziali. Enforce scan accoda i messaggi fino al ripristino del servizio per eseguire tutte le scansioni, al costo di una consegna ritardata.

Prima del cutover in produzione, documenta la scelta tra disponibilità e scansione completa, il responsabile e criteri di accettazione misurabili. Selectively scan dà priorità alla consegna, ma accetta che non vengano eseguite tutte le scansioni; Enforce scan dà priorità alla scansione di sicurezza completa, ma accetta un ritardo nella consegna.

Dopo un’interruzione, verifica i messaggi sottoposti a scansione selettiva nei dettagli del messaggio in Message History. Per Enforce scan, controlla il ritardo di consegna e lo smaltimento della coda tramite le normali tracce dei messaggi e del provider, quindi conferma che l’arretrato sia stato consegnato e che i criteri concordati siano soddisfatti.

Proteggere cutover e rollback

Il ritorno non consiste solo in un vecchio valore MX. Prima del passaggio approva una scheda di rollback con:

valori iniziali e responsabili per DNS, MX, connettori, regole e smart host;
una condizione di interruzione, come messaggi esterni non consegnabili o un loop di routing;
l’ordine per ripristinare il percorso precedente e disattivare quello nuovo;
messaggi di controllo dopo ogni passo;
contatti per Sophos Central, provider, DNS e server interno.

Non eliminare manualmente l’applicazione Microsoft/Sophos, i connettori o le regole del flusso di posta basandoti su questa panoramica. Utilizza soltanto la procedura di dismissione specifica del provider quando sarà documentata e approvata. Prima di ogni modifica autorizzata, registra lo stato esistente e verifica il routing dei messaggi dopo ciascuna modifica. Finché tale procedura non è definita, richiedi un’escalation invece di improvvisare. Anche per Gateway, il rollback descritto sopra è solo una guida alla pianificazione; l’esecuzione deve seguire una procedura specifica del provider, documentata e approvata.

Dimostrare il funzionamento

Stato di domini e caselle

In M365 Mailflow Domains o Gateway Domains, conferma che il dominio previsto risulti protetto. Poi confronta le caselle protette con l’inventario obiettivo. Un campione non basta se alias, liste o cartelle pubbliche sono critici.

Messaggi di prova in ingresso e in uscita

Per ogni dominio invia almeno un messaggio in ingresso da un account esterno controllato e uno in uscita verso tale account. Controlla mittente, destinatario, ora e consegna finale. Traccia entrambi in Message History. Per Mailflow aggiungi Microsoft Message Trace; per Gateway esamina anche la traccia del provider o server.

Se un messaggio è visibile solo da un lato, non indebolire subito un criterio di filtro. Determina prima se il problema riguarda stato del dominio o casella, routing, connettore, DNS, inventario o consegna. Eviterai eccezioni di sicurezza usate per correggere un problema di routing.

Report e quarantena

Apri Message History, genera o pianifica un Email Report e controlla la quarantena amministratore. Per Mailflow includi anche la quarantena Microsoft nella procedura. Stabilisci chi può rilasciare messaggi, segnalare classificazioni errate e analizzare le tendenze. L’onboarding è concluso operativamente solo quando cronologia, report e quarantena hanno un responsabile.

Se l’accettazione non riesce

Dominio o casella non protetti: verifica fonte delle caselle, sincronizzazione, assegnazione del dominio e licenza.
Ingresso non funziona, uscita sì: verifica percorso pubblico, MX o regole di flusso e traccia del provider.
Uscita non funziona, ingresso sì: verifica route in uscita, connettore o smart host.
Messaggio solo nella quarantena Microsoft: controlla Microsoft Message Trace e tale quarantena; non dedurre la consegna da Sophos Message History.
Doppia elaborazione o loop: verifica subito se Mailflow e Gateway, oppure connettori vecchi e nuovi, sono attivi insieme; avvia il rollback approvato se necessario.

Gli errori specifici di connettori, DNS, licenze e sincronizzazione directory saranno trattati in guide dettagliate separate. Raccogli timestamp, mittente, destinatario, Message-ID e risultati di entrambe le tracce anziché provare impostazioni incerte.