Vai al contenuto
Avanet

Sophos Email: gestire in sicurezza le eccezioni Allow/Block in ingresso

Sophos Email

Inbound Allow/Block controlla quali mittenti Sophos Email consente o blocca per i messaggi in ingresso. L’elenco amministratore si applica globalmente a tutte le caselle protette; gli elenchi personali si applicano al rispettivo utente. In caso di conflitto, Admin list ha la precedenza.

Procedura rapida e sicura: in Global Settings > Protection and Remediation > Allow and Block > Email > Inbound Allow/Block, esportare prima l’elenco esistente. Aggiungere quindi ad Admin list il valore mittente più specifico possibile, attivare Enforce Message Authentication per una voce Allow, documentare motivo e proprietario e verificare con messaggi corrispondenti e non corrispondenti. Domini, wildcard e reti estesi non sostituiscono l’analisi di un falso positivo.

Importante: una voce Allow non disattiva completamente la protezione. Per un mittente corrispondente e sufficientemente autenticato, Sophos ignora solo i controlli documentati di seguito; la scansione antimalware rimane attiva. Senza autenticazione obbligatoria, un messaggio contraffatto che usa un indirizzo consentito può ignorare i controlli documentati e raggiungere la posta in arrivo. La URL Allow List per Time of Click è una funzione separata e non viene gestita qui.

Comprendere ambito e corrispondenza

Gli elenchi valgono solo per i messaggi in ingresso. Per indirizzi e domini, Sophos confronta sia il mittente della busta SMTP sia l’indirizzo nell’intestazione From visibile. Se uno dei due corrisponde, viene eseguita l’azione Allow o Block configurata. Prima di creare un’eccezione, controllare entrambi nei dati del messaggio o nelle intestazioni non elaborate.

L’elenco amministratore supporta:

  • singoli indirizzi e-mail, come billing@example.com;
  • domini, come example.com;
  • indirizzi IP, come l’indirizzo di documentazione 192.0.2.25;
  • reti IPv4 con prefissi da /16 a /32, ad esempio 192.0.2.0/24;
  • wildcard all’inizio, al centro o alla fine di un indirizzo o dominio, ad esempio *.example.com, name*@example.com, name@example*.com o *.example;
  • wildcard per interi domini di primo livello; *.example è qui una forma di documentazione sicura anziché un TLD reale.

L’elenco utenti supporta invece solo indirizzi e-mail e domini, non indirizzi IP né wildcard. Il limite documentato per tutti gli elenchi è di 100.000 voci. Ogni utente può aggiungere al massimo 500 voci al proprio elenco Allow o Block; le voci aggiunte da Smart Banners possono superare questo limite per utente.

Un messaggio proveniente da un mittente o IP client bloccato viene eliminato senza ulteriori scansioni. Gli indirizzi nell’elenco Block vengono rifiutati durante SMTP; il caso di elenchi utente diversi per più destinatari è descritto più avanti.

Preparare e circoscrivere la modifica

Prima di ogni modifica, registrare:

  • ticket, motivo aziendale, proprietario e data di scadenza o revisione;
  • tipo esatto: Admin list o End user list;
  • azione Allow o Block e valore più specifico possibile;
  • utenti interessati da una regola utente;
  • esportazione corrente come backup e numero di voci;
  • mittente e destinatario di prova e risultati attesi con e senza corrispondenza.

Sophos non documenta una scadenza automatica per voce. La scadenza è quindi un processo operativo: pianificare le eccezioni nel sistema di change, riesaminarle regolarmente ed eliminarle quando il motivo viene meno. La descrizione deve indicare brevemente motivo e ticket, senza dati riservati.

Configurare l’elenco amministratore

  1. In Sophos Central fare clic su Global Settings.
  2. Aprire Protection and Remediation > Allow and Block > Email > Inbound Allow/Block.
  3. Selezionare Admin list e fare clic su Add.
  4. Selezionare Allow o Block e inserire esattamente un indirizzo, dominio, IP, rete CIDR supportata o valore wildcard necessario.
  5. Aggiungere una breve Description con motivo e ticket, lunga al massimo 250 caratteri.
  6. Per le voci Allow, attivare Enforce Message Authentication, salvo eccezioni documentate e approvate.
  7. Salvare e cercare la voce nell’elenco. Advanced Search filtra per Allow/Block, Message Authentication e indirizzo o dominio mittente.

Se il valore esiste già, usare Override duplicates solo dopo aver confrontato la voce esistente. Sophos utilizza quindi l’ultima impostazione scelta. È possibile modificare insieme la descrizione di più voci amministratore selezionate e attivare Message Authentication per le voci Allow. Una modifica collettiva non deve però unire silenziosamente motivi o proprietari diversi.

I controlli specifici di ogni voce in Enforce Message Authentication rispecchiano le opzioni di autenticazione in User Settings. Per ogni voce Allow è possibile mantenere o sostituire singole opzioni, compresi i controlli SPF e i domini della busta. Confrontare e documentare anche questi valori, non soltanto l’interruttore principale.

Controlli ignorati da una corrispondenza Allow autenticata

Per una voce Allow amministratore con autenticazione obbligatoria deve riuscire almeno uno tra DMARC, SPF o DKIM. Sophos ignora quindi:

  • Header anomalies;
  • Impersonation protection;
  • Anti-spam;
  • BATV (Bounce Address Tag Validation);
  • Country of origin;
  • Language;
  • Data control.

Per una voce Allow utente, Message Authentication non è obbligatoria incondizionatamente: l’autenticazione vincola l’esclusione dalle scansioni solo quando l’opzione globale Prevention of spoofing of allowed address è attiva. Una corrispondenza autenticata riuscita ignora solo Impersonation protection, Anti-spam, Country of origin e Language. In entrambi i casi la scansione antimalware rimane attiva. La guida alla protezione da malware, allegati e URL spiega quali controlli di contenuti e URL operano indipendentemente.

L’opzione globale Prevention of spoofing of allowed address in User Settings potrebbe non essere ancora disponibile per tutti i tenant. Per i clienti esistenti è disattivata per impostazione predefinita, affinché la modifica del comportamento dell’elenco Allow non interrompa il flusso di posta; finché è disattivata, non presumere che le voci Allow utente autentichino gli indirizzi consentiti contraffatti. Quando è attiva, un indirizzo consentito può ignorare le scansioni solo se almeno un controllo DMARC, SPF o DKIM riesce per il dominio allineato. Se nessuno riesce, Sophos ignora lo stato Allow ed esegue tutte le scansioni. Nel dettaglio:

  • Un risultato DMARC pass è sufficiente. Se DMARC non riesce con una policy mittente diversa da p=none, l’autenticazione Allow viene considerata non riuscita solo se la protezione dallo spoofing è attiva in User Settings.

  • Con p=none, o quando DMARC non può essere eseguito, decidono SPF e DKIM.

  • SPF controlla il dominio della busta del messaggio.

  • DKIM deve riuscire per il dominio della voce Allow.

  • SPF check for non-aligned address può accettare un SPF pass anche se il dominio della busta dell’indirizzo mittente non è allineato con l’indirizzo consentito. Sophos sconsiglia di attivarla: un indirizzo header-from contraffatto potrebbe corrispondere a un indirizzo consentito dall’utente, aumentando il rischio di spoofing.

  • SPF check for envelope domain fa leggere a Sophos il dominio della busta per ogni indirizzo di intestazione consentito dall’utente, così che SPF venga applicato al dominio della busta del messaggio. Usarla solo quando è necessario questo flusso SPF eccezionale non allineato.

Questo percorso di eccezione non allineato amplia la fiducia e non è una soluzione standard. Correggere prima SPF, DKIM o DMARC nel servizio di invio legittimo. La guida all’autenticazione del mittente descrive relazioni e verifica dei risultati.

Amministrare gli elenchi utenti

User Settings non può essere configurato in modalità EMS. Fuori da tale modalità, gli utenti possono gestire il proprio elenco nel Sophos Central Self Service Portal se Release/Delete e Allow/Block List sono abilitati correttamente in Global Settings > Products and Services > Email > User Settings. Si applicano due dipendenze di sicurezza:

  • Se End-user message settings è attivo e i link Allow sender e Block sender sono configurati su Smart Banners, Allow/Block List deve rimanere attivo.
  • Se End-user message settings è disattivato e viene disattivato Release/Delete oppure Allow/Block List, Sophos ignora gli elenchi Allow/Block esistenti degli utenti.

L’amministratore può visualizzare e modificare centralmente gli stessi elenchi:

  1. Aprire Global Settings > Protection and Remediation > Allow and Block > Email > Inbound Allow/Block.
  2. Selezionare End user list e fare clic su Add.
  3. Assegnare la voce all’utente corretto, scegliere Allow o Block e usare solo un indirizzo e-mail o dominio.
  4. Salvare e verificare con Advanced Search per azione, mittente o utente.

Anche qui Override duplicates sostituisce un valore identico con la scelta più recente. Controllare sempre prima l’elenco amministratore globale, che prevale su una voce utente in conflitto. La guida al self-service della quarantena tratta l’abilitazione delle azioni utente e dei permessi di quarantena.

Verificare correttamente più destinatari

Gli elenchi personali per lo stesso mittente possono differire in un messaggio con più destinatari. Le fonti ufficiali concordano sul risultato specifico per destinatario, ma indicano fasi diverse: una dice «dopo il comando SMTP», l’altra «solo dopo la consegna». Se solo person1@example.com ha bloccato il mittente, person2@example.com riceve comunque il messaggio e viene bloccato soltanto person1@example.com. Indipendentemente dalla fase controversa, provare entrambi i destinatari nello stesso messaggio e verificare il risultato di ciascuno in Message History. Un test SMTP con un solo destinatario non copre questo caso.

Esportare e importare CSV in sicurezza

Prima di un’importazione di massa, esportare le voci selezionate o l’intero elenco interessato come CSV. È il backup e la base di confronto. Contiene colonne aggiuntive, quindi non può essere usato invariato per l’importazione. Scaricare il modello corrente da Sophos Central, rispettarne esattamente formato e colonne e rimuovere le colonne aggiuntive dell’esportazione. Non inventare nomi di colonna.

  1. Aprire la scheda corretta Admin list o End user list.
  2. Esportare l’elenco e conservare il file invariato come backup.
  3. Selezionare Add > Import allow/block list e scaricare i modelli.
  4. Creare il CSV nel formato del modello. Controllare riga per riga azione, valore, Description e, per gli elenchi utenti, assegnazione.
  5. Nell’anteprima controllare campioni Allow e Block, caratteri speciali, domini e assegnazioni utente.
  6. Importare prima un piccolo file pilota. Cercare e provare le nuove voci prima di procedere.

Avvertenza: selezionando Replace existing list with this import e aggiungendo il CSV, tutte le voci correnti dell’elenco interessato vengono eliminate definitivamente. Usare l’opzione solo per una sostituzione completa approvata, con backup verificato e pilota riuscito. Non selezionarla per aggiungere voci.

Proteggere e annullare una sostituzione completa

Prima di una sostituzione completa, un responsabile designato deve approvare la scheda esatta, il backup completo e invariato con il numero di righe registrato, il file di ripristino preparato, l’esito del pilota e la finestra di manutenzione. Il pilota deve usare lo stesso modello Sophos corrente in un tenant non di produzione o in un elenco di prova separato e controllato. Non eseguire mai un file pilota parziale sull’elenco di produzione con Replace existing list with this import.

Se dopo la sostituzione mancano voci o alcune sono errate, interrompere ogni ulteriore importazione e non correggere l’elenco riga per riga. Dopo l’approvazione dell’incidente o della modifica, convertire l’elenco completo, precedentemente esportato e noto come valido, in un nuovo file conforme al modello Sophos corrente; conservare invariata l’esportazione originale. Prima dell’importazione, confrontare il numero di righe e voci Allow e Block rappresentative, oltre alle assegnazioni utente negli elenchi utenti e a campioni all’inizio e alla fine. Nella scheda corretta e durante una finestra controllata, importare quindi il file di ripristino completo con Replace existing list with this import. Infine, verificare che il numero di voci corrisponda a quello precedente alla modifica, confermare gli stessi campioni e ripetere i test di corrispondenza, mancata corrispondenza e autenticazione per dimostrare il ripristino dello stato valido noto. In caso di differenze, mantenere la modifica sospesa ed eseguire l’escalation; la scansione antimalware e tutti gli altri controlli di protezione rimangono attivi.

Rispettare separatamente questi limiti documentati:

  • massimo 500.000 voci nell’elenco di importazione creato;
  • massimo 500 voci per utente;
  • massimo 1 MB per file CSV;
  • massimo 250 caratteri per Description; i testi più lunghi vengono troncati durante l’importazione.

Dividere i file più grandi e caricarli in fasi. Un foglio di calcolo può modificare delimitatori, caratteri iniziali o codifica. Se i caratteri accentati sono danneggiati o le colonne slittano, annullare, ricreare il file dal modello Sophos invariato e controllare l’anteprima. Non indovinare la codifica né modificare direttamente il backup.

Convalidare il risultato

Dopo ogni modifica o importazione, eseguire un piccolo test documentato:

  1. Corrispondenza: un nuovo messaggio con mittente della busta o intestazione From esattamente corrispondente deve produrre l’effetto Allow o Block previsto.
  2. Nessuna corrispondenza: un indirizzo simile o dominio vicino ma esterno alla voce deve subire i normali controlli; per wildcard e CIDR ciò rivela un ambito troppo ampio.
  3. Autenticazione riuscita: un mittente legittimo consentito con DMARC, SPF o DKIM pass documentato deve ignorare solo i controlli elencati; la scansione antimalware resta attiva.
  4. Autenticazione non riuscita: se tutti e tre i controlli falliscono, il messaggio non deve beneficiare dello stato Allow e deve subire tutte le scansioni.
  5. Block e più destinatari: per elenchi Block personali, provare nello stesso messaggio un destinatario interessato e uno non interessato.
  6. CSV: confrontare quantità, azione, valore, Description e assegnazione utente con origine e backup; controllare anche inizio e fine elenco.

In Message History registrare ora, mittente della busta, From visibile, IP client, destinatario, risultati di autenticazione e azione. La sola consegna non dimostra che la voce Allow sia stata applicata: il messaggio potrebbe aver superato le scansioni normali.

Risolvere i problemi e mantenere le eccezioni

  • Allow non funziona: confrontare mittente della busta e From con la voce, poi priorità amministratore e DMARC/SPF/DKIM. Se tutti falliscono, la scansione normale è intenzionale.
  • Block interessa solo alcuni destinatari: controllare assegnazioni e caso con più destinatari. Una regola amministratore in conflitto ha la precedenza.
  • Wildcard o CIDR funziona male: controllare sintassi e prefisso. Sono documentati solo /16–/32; gli elenchi utenti non supportano IP/CIDR o wildcard. Rimuovere la voce ampia fino al chiarimento.
  • Importazione assente o errata: controllare scheda, dimensione file, limite utente, modello, colonne di esportazione aggiuntive, descrizioni troncate e codifica visibile. Non riprovare con Replace existing list with this import prima di conoscere la causa e verificare il backup.
  • Un messaggio legittimo resta bloccato: confrontare elenco amministratore, elenco personale, indirizzo busta/intestazione e IP client; poi esaminare autenticazione e Message History. Non creare come scorciatoia una seconda voce Allow più ampia.

Almeno ogni trimestre e a ogni cambio di proprietario, confrontare elenco, ticket ed esigenza aziendale. Dopo l’approvazione eliminare eccezioni scadute, senza proprietario, duplicate o troppo ampie e ripetere test con e senza corrispondenza. Se la causa resta incerta, annullare la nuova voce ed eseguire l’escalation con ID messaggio, data e ora, esportazione, riga interessata e risultati di autenticazione, senza divulgare contenuti riservati o elenchi di produzione completi.