Configurare il self-service della quarantena di Sophos Email

Il self-service della quarantena consente agli utenti di esaminare i messaggi idonei tramite un riepilogo o il Sophos Central Self Service Portal (SSP). La configurazione ha tre livelli indipendenti: una policy Email Security controlla quarantena e pianificazione, User Settings autorizza le singole azioni e la configurazione centrale di accesso concede il portale. Il flusso funziona solo se tutti i livelli necessari sono coerenti.

Limite operativo: questa procedura riguarda la quarantena degli utenti finali. Le azioni amministrative in Quarantined Messages, la M365 quarantine nativa e le regole allow/block degli utenti sono processi distinti. Gli eventi Data Control non compaiono in End User Quarantine. Non indebolire tali controlli come soluzione rapida.

Definire prerequisiti e stato obiettivo

Prima della modifica, documentare:

utenti, gruppi e liste di distribuzione protetti e la relativa policy Email Security effettiva;
fuso orario, giorni e fasce di invio del riepilogo;
accesso automatico per tutti gli utenti idonei oppure invito mirato;
sola lettura oppure uso di Release, Release and Allow, Delete e Delete and Block;
necessità di Emergency Inbox e responsabile dell’autorizzazione d’emergenza;
esattamente un proprietario responsabile per ogni lista di distribuzione;
una casella personale di test e, se necessario, una lista di test con proprietario.

SSP richiede una licenza Sophos idonea. In Sophos Central gli utenti devono avere un indirizzo valido non già usato per un account di prova Central Admin. Gli amministratori non richiedono un invito SSP separato e accedono con le credenziali Central Admin.

Configurare End User Quarantine e i riepiloghi

Apportare le modifiche nella policy realmente effettiva:

In Email Security, aprire la policy e passare a Settings > Inbound > Anti-spam > Quarantine Summary Settings.
Impostare Quarantine per le categorie richieste e attivare Include in End User Quarantine solo dove l’utente può gestire i messaggi.
Attivare Send a quarantine summary email.
Selezionare fuso orario, giorni e una o più fasce. Tutti i giorni sono selezionati per impostazione predefinita; un altro clic annulla la scelta. Per una pianificazione 24/7, selezionare tutti i giorni e tutte le ore.
Selezionare Save e registrare nome, priorità e impostazioni della policy.

Per ogni utente si applica una sola configurazione Quarantine Summary Settings. Di norma prevale la policy assegnata con priorità più alta. Se però contiene indirizzi o domini External, Sophos usa la policy successiva senza voci External; se non esiste, applica Base Policy. Verificare la policy effettiva, non solo l’ultima modificata.

Il riepilogo contiene solo i nuovi messaggi messi in quarantena dal riepilogo precedente. Dopo l’attivazione non viene inviato finché non esiste almeno un nuovo messaggio idoneo. I riepiloghi stessi non compaiono in Message History. Quarantine Summary format, in Global Settings > Products and Services > Email > User Settings, applica il formato ottimizzato per schermi piccoli.

Concedere l’accesso SSP

Per il provisioning automatico:

Aprire Global Settings > Access Control > Sign-in and Identity > Sophos Sign-in.
In User Access, attivare Sophos Central Self Service Portal access.
Verificare che i nuovi utenti e quelli esistenti senza accesso ricevano l’invito.

Disattivare successivamente l’accesso automatico non revoca l’accesso già concesso; impedisce solo l’assegnazione automatica agli utenti aggiunti in seguito. Non è quindi un metodo di revoca.

Per un invito mirato, aprire My Environment > Users & Groups, selezionare gli utenti, fare clic su Email Setup Link, scegliere Sophos Central Self Service Welcome/Setup Email e selezionare Save. Il messaggio inglese proviene da do-not-reply@central.sophos.com, usa un oggetto come Welcome to Sophos Central <First Last name> e contiene un link senza scadenza. Central può accettare una selezione senza indirizzo valido, ma non invia alcun messaggio a quell’utente.

Limitare azioni ed Emergency Inbox

In Global Settings > Products and Services > Email > User Settings, attivare solo le funzioni approvate:

Con Release/Delete disattivato, l’utente legge ma non agisce. Quando è attivo, Release, Release and Allow, Delete e Delete and Block sono disponibili nel riepilogo o in SSP se il messaggio lo consente.
Allow/Block List è un’ulteriore decisione di sicurezza e non si attiva automaticamente con Release/Delete. Esaminare i flussi smart banner e allow/block esistenti prima di modificarla.
Emergency Inbox mostra all’utente solo la posta in arrivo tramite SSP durante un’interruzione. I messaggi restano per 14 giorni mentre Sophos Email ritenta la consegna. Quando il server torna disponibile, non è previsto che Emergency Inbox consegni autonomamente i messaggi.
Allow release of M365 quarantine emails appartiene all’integrazione separata della quarantena Microsoft 365. Anche se attiva, i messaggi classificati Malware, High Confidence Phish o DLP non sono disponibili in SSP per ragioni di sicurezza.

Gli utenti possono rilasciare solo categorie supportate da End User Quarantine, tra cui Authentication failure, Unscanned, Intelix Threat, Malicious URL, Confirmed Spam e Bulk. L’azione dipende quindi da categoria, policy e permessi globali. Non aggirare un pulsante assente ampliando le allow list.

Verificare proprietari e associazione destinatari

I riepiloghi vengono inviati solo alle caselle utente, non direttamente ad alias, liste o cartelle pubbliche:

Ogni utente riceve il proprio riepilogo.
Per una lista di distribuzione, il proprietario assegnato riceve il riepilogo e ne gestisce la quarantena separatamente in SSP. In My Products > Email Security > Mailboxes, selezionare la lista, fare clic su Add, scegliere esattamente un utente in Add Distribution List Owner e selezionare Save. Un utente può possedere più liste. Con Active Directory o Microsoft Entra ID, mantenere il proprietario anche nell’oggetto sorgente corrispondente.
Con Active Directory, i riepiloghi delle caselle condivise vanno ai delegati associati. Microsoft Entra ID non riconosce qui tali associazioni e invia il riepilogo solo all’indirizzo della casella condivisa.
I proprietari delle cartelle pubbliche ricevono il riepilogo; la cartella no.
Per un alias, lo riceve l’utente associato.

Verificare con utenti rappresentativi

Il test è significativo solo quando, dopo l’attivazione, entra in quarantena un nuovo messaggio innocuo e idoneo a End User Quarantine. Non rilasciare malware reale per un test.

Registrare policy effettiva, categoria, Include in End User Quarantine, pianificazione e fuso dell’utente di test.
Attendere un nuovo messaggio idoneo o usare un caso innocuo approvato.
Verificare che il riepilogo arrivi nella fascia prevista e mostri solo il messaggio atteso.
Accedere a SSP come utente di test e verificare quarantena personale, anteprima ed esattamente le azioni approvate.
Se è coinvolta una lista, accedere come proprietario e confermare che la quarantena della lista sia separata.
Provare un’azione consentita solo con un messaggio dimostrabilmente innocuo e confermare consegna o rimozione.
Provare Emergency Inbox solo in un’esercitazione approvata, distinguendo visibilità, limite di 14 giorni e normali ritentativi.

Diagnosticare sistematicamente

Nessun riepilogo: verificare prima che sia stato messo in quarantena un nuovo messaggio idoneo dopo l’attivazione o il riepilogo precedente. Controllare priorità effettiva, fallback External, Include in End User Quarantine, pianificazione, fuso, indirizzo e categoria. Se i messaggi esistono, un amministratore può scegliere temporaneamente un’altra lingua in Profile Menu > Language e poi ripristinare quella originale.

Invito mancante: verificare che l’indirizzo sia valido e univoco. Se era usato per una prova Central Admin, risolvere il conflitto con il processo approvato. Una voce Audit Log non prova l’invio. Prima di ripetere l’invito occorre rimuovere il vecchio account bloccante; poi inviare nuovamente Sophos Central Self Service Welcome/Setup Email.

Accesso o azioni mancanti: controllare licenza, identità, concessione automatica o mirata, User Settings effettivi, categoria e Include in End User Quarantine. Per una lista, controllare anche proprietario e origine directory. Più diritti non trasformano un evento Data Control o un messaggio non rilasciabile in un caso utente.

Il link indica message is already released: Microsoft 365 Safe Links può visitare il link durante la scansione. Dopo l’approvazione di sicurezza, aggiungere hmr.sophos.com all’elenco degli URL da non riscrivere nella policy Safe Links responsabile. Provare poi un nuovo riepilogo; un vecchio link già visitato non è un nuovo test valido.

Per l’escalation, raccogliere tenant, indirizzo utente, nome e priorità della policy, categoria, ora di quarantena, fascia e fuso, metodo di accesso, associazione proprietario e schermata dell’azione mancante o errata. Non inserire password, link di configurazione o contenuti riservati nel ticket.