Integrare Sophos Email con Threat Analysis Center

L’integrazione Sophos Email consente a Sophos Central di inviare a Sophos i dati sugli eventi email per l’analisi. La procedura breve è: aprire Sophos Email nel Marketplace, fornire domini e intervalli IP interni durante la configurazione della prima integrazione, attivare l’integrazione in Integration Details e selezionare Save. Il riquadro deve quindi mostrare un’integrazione attiva con stato di integrità Online.

Confine chiaro: questa è un’integrazione Threat Analysis condivisa e gestita in Sophos Central. Non modifica record MX, connettori, routing Gateway o criteri Email Security e non configura il flusso di posta. Per queste decisioni consultare la guida all’architettura e all’onboarding di Sophos Email.

Verificare i prerequisiti

È obbligatoria una licenza Sophos Email attiva, come indicato espressamente da Sophos. L’account amministrativo deve inoltre poter accedere a Threat Analysis Center > Integrations > Marketplace nel tenant Central corretto e salvare le modifiche. Se il riquadro non compare o non è configurabile, verificare prima questo accesso e poi il diritto di licenza. Le integrazioni MDR e XDR in Sophos Central spiegano la distinzione generale tra tipi di integrazione e Data Lake.

Prima di aprire la configurazione, raccogliere i propri domini interni e gli indirizzi o intervalli IP interni. Sophos richiede questi dati quando si aggiunge la prima integrazione. Fa fede la richiesta effettivamente visualizzata: non inserire domini di terzi, dati di esempio pubblici o intervalli ipotizzati. La licenza e l’assegnazione del tenant possono essere confermate con il controllo di licenza e regione.

Attivare e salvare l’integrazione

1. In Sophos Central aprire Threat Analysis Center > Integrations > Marketplace.
2. Cercare Email e selezionare il riquadro Sophos Email.
3. Se Central richiede domini e IP interni per questa prima integrazione, inserire integralmente i domini e gli indirizzi o intervalli IP preparati per il tenant. Compilare solo i campi effettivamente richiesti nella pagina; non copiare nomi di campo o valori predefiniti da altre integrazioni.
4. Nella pagina Sophos Email, in Integration Details, attivare l’integrazione.
5. Selezionare Save.

In questo modo si abilita l’invio degli eventi. Non viene configurato il modo in cui i messaggi raggiungono Sophos Email o vengono filtrati.

Convalidare stato e dati degli eventi

Tornare a Threat Analysis Center > Integrations > Marketplace. Il riquadro Sophos Email deve ora mostrare un’integrazione attiva con stato Online. Questa è la prima prova che l’integrazione salvata è attiva.

Lo stato da solo non dimostra l’arrivo di uno specifico evento. Sophos convalida i dati prima che vengano visualizzati; in seguito devono comparire nel Sophos Data Lake. Per l’accettazione funzionale, scegliere un evento Email rappresentativo e già atteso successivo all’attivazione, annotarne ora e tenant e verificare, dopo un intervallo di elaborazione ragionevole, la presenza del record corrispondente nel flusso di analisi. Non è necessario generare un messaggio malevolo.

L’accettazione richiede entrambi i livelli:

• riquadro: un’integrazione attiva e stato Online;
• dati: un evento Sophos Email atteso e rintracciabile nel tenant corretto dopo la convalida Sophos.

Risolvere i problemi in base al sintomo

• Riquadro assente o attivazione impossibile: verificare tenant, licenza Sophos Email e accesso dell’account al Marketplace. Non tentare di risolvere modificando il flusso di posta.
• Salvataggio bloccato: per la prima integrazione, controllare che tutti i domini e gli indirizzi o intervalli IP interni richiesti nella pagina siano compilati. Non copiare campi o formati da un’altra integrazione.
• Nessuna integrazione attiva o stato diverso da Online: riaprire Sophos Email, controllare l’interruttore in Integration Details e lo stato salvato. Attendere quindi l’aggiornamento dello stato senza creare subito una seconda configurazione.
• Online ma ancora nessun dato: i dati compaiono nel Data Lake solo dopo la convalida Sophos. Confrontare solo eventi successivi all’attivazione, controllare tenant e intervallo temporale e attendere un tempo di elaborazione sufficiente.
• I dati continuano a mancare: ricontrollare licenza, dati obbligatori, attivazione salvata ed esistenza di un evento Email rappresentativo. Per l’escalation annotare tenant, ora di attivazione, stato visibile del riquadro e timestamp dell’evento atteso, evitando di divulgare inutilmente contenuti dei messaggi o dati personali.

Finché il riquadro non è Online e non è stato dimostrato un evento rappresentativo, l’integrazione non è completamente accettata. Modificare MX, connettori o criteri Email non è un tentativo di riparazione appropriato.