Amministrare la quarantena di Sophos Email

La pagina Quarantined Messages riunisce i messaggi di tutte le caselle protette. Prima di agire occorre identificare l’elenco: la normale quarantena Email Security trattiene un messaggio prima della consegna; la quarantena post-delivery richiama un messaggio già consegnato. La differenza cambia effetti, convalida e rischio del rilascio.

Questa procedura è destinata agli amministratori Central. I rilasci degli utenti nel Self Service Portal e i riepiloghi di quarantena sono un processo self-service separato. Anche l’automazione tramite Email Quarantine API è esclusa da questa procedura GUI.

Preparare accesso, autorizzazione e dati iniziali

Usare un account amministrativo nominativo nel tenant corretto e applicare il privilegio minimo. Il ruolo predefinito Admin può rilasciare email in Quarantined Messages; la sola visualizzazione non basta. Ruoli amministrativi in Sophos Central spiega l’assegnazione. Verificare che l’account offra le azioni autorizzate.

Registrare ticket o change, intervallo, mittente e destinatario attesi, oggetto, ID messaggio, motivo presunto e azione autorizzata. Prima di un’azione in blocco, annotare separatamente nel ticket o nel record di change i filtri applicati, il numero di risultati e gli ID dei messaggi. Aprire allegati e URL soltanto in un ambiente di analisi approvato, mai sulla normale workstation dell’amministratore.

Distinguere tipo di quarantena e conservazione

Aprire Quarantined Messages e scegliere consapevolmente la scheda:

Email security quarantine contiene messaggi trattenuti prima della consegna perché le policy standard li hanno classificati come spam, malware o altrimenti sospetti.
Post-delivery quarantine appare solo con la protezione post-delivery attiva. I messaggi erano stati consegnati, poi giudicati pericolosi e richiamati. Oggetto e dettagli sono disponibili per i messaggi in ingresso; per messaggi Microsoft 365 inoltrati o risposti internamente non sono disponibili tutti i dettagli.
M365 quarantine richiede M365 Quarantine e una connessione post-delivery configurata. Mostra i messaggi messi in quarantena da Microsoft 365. Configurazione, autorizzazioni, sincronizzazione e rimozione della connessione appartengono alla procedura M365 separata.

Per impostazione predefinita è mostrato il giorno corrente. L’intervallo massimo è 30 giorni, oppure 90 con Sophos Email Plus. I messaggi Email Security vengono eliminati dopo 30 giorni, oppure 90 con Email Plus. I messaggi post-delivery non rilasciati vengono eliminati dopo 30 giorni. La quarantena non è un archivio permanente.

Cercare e restringere i risultati

Aprire Advanced Search nell’elenco corretto. I criteri sono From, To, Subject, Message size e Attachment. Le stringhe parziali non distinguono maiuscole; Message size usa la dimensione MIME, che può superare quella del file grezzo. I caratteri speciali e di formattazione sono ignorati.

Più criteri vengono combinati con AND. Iniziare da date e destinatario, poi aggiungere mittente, oggetto o tipo di allegato. Filtrare inoltre per Direction, Status o Reason. Dopo una modifica selezionare Refresh. La croce grigia rimuove subito un criterio.

Negli elenchi Email Security, mittente e destinatario indicano gli indirizzi envelope SMTP. In M365 quarantine, From e To usano invece gli indirizzi header. Le frecce filtrano ingresso o uscita. Post-delivery quarantine e M365 quarantine non mostrano la direzione perché contengono solo messaggi in ingresso.

Prima di un’azione in blocco confrontare elenco, ora, destinatario, Reason, ID e numero di risultati. Un oggetto uguale non dimostra che sia lo stesso messaggio.

Esaminare il messaggio in sicurezza

Selezionare l’oggetto per aprire Message Details. Le schede dipendono dall’elenco:

Details mostra i dati generali e identifica un clawback post-delivery.
Raw Header mostra le intestazioni. AI Analysis può riassumere SPF, DKIM, DMARC e l’analisi di sicurezza, ma non sostituisce header grezzo e verdetto.
Message mostra il corpo. Per M365 occorre accettare la connessione ai servizi Microsoft; il recupero può richiedere più tempo.
Attachments mostra nomi e dimensioni. In Email security quarantine, gli amministratori autorizzati possono scaricare, rimuovere e riassociare allegati, inclusi quelli rimossi da Data Control. Post-delivery quarantine consente il download. M365 quarantine mostra solo nomi e dimensioni.
URLs mostra gli URL trovati: sono dati investigativi, non collegamenti da aprire.

Download, rimozione o riassociazione modificano il rischio. Eseguire queste operazioni solo per il caso autorizzato, non memorizzare file ignoti su normali workstation e registrare nome, dimensione, verdetto e azione.

Analizzare gli allegati con Intelix

La nuova scansione GUI vale solo per messaggi con allegati in Email security quarantine. In Message Details, scegliere Scan with Intelix. L’analisi avviene in background ed è disponibile in Intelix Threat Summary. Con verdetto clean o likely clean si resta sulla pagina e si può aprire View Intelix Report; un verdetto malicious o suspicious reindirizza al report.

La scansione può precedere anche Release o Release and Allow. Un verdetto clean rilascia il messaggio; malicious o suspicious lo mantiene in quarantena. Con Release and Allow, il mittente viene consentito solo dopo un verdetto clean. Per messaggi già messi in quarantena da Intelix, View Report apre il rapporto esistente.

Intelix riduce l’incertezza ma non autorizza una decisione aziendale. Se identità, autenticazione o contesto non coincidono, mantenere il messaggio in quarantena anche con allegato apparentemente pulito.

Rilasciare, consentire, eliminare o bloccare

Subito prima dell’azione ricontrollare tenant, scheda, destinatario, ID, motivo e numero selezionato.

Release consegna un messaggio idoneo dopo una nuova scansione Sophos Email. Il rilascio di un messaggio post-delivery richiamato libera anche gli inoltri o le risposte interne associate.
Release and Allow consegna e aggiunge l’indirizzo a Inbound Allow/Block. Attivare Enforce Message Authentication per richiedere almeno DMARC, SPF o DKIM. Usare l’azione solo per un’identità confermata in modo persistente, mai per aggirare un verdetto.
Delete elimina gli oggetti selezionati, non li nasconde temporaneamente. Conservare le prove e verificare selezione e quantità.
Delete and Block elimina e aggiunge il mittente a Inbound Allow/Block. Usarlo solo quando devono essere bloccati sia il messaggio corrente sia il traffico futuro.

Per un blocco mirato, aprire Message Details. Sotto SMTP From, scegliere Block, poi Block sender o Block sender domain; sotto l’IP è disponibile Block IP Address. Documentare il motivo. Non bloccare un IP condiviso senza analisi d’impatto: un IP Microsoft 365 può interessare molti mittenti.

In M365 quarantine, Release e Delete inviano soltanto una richiesta a Microsoft 365. Ricaricare poi i dati Microsoft con Refresh: il pulsante non prova l’elaborazione e le modifiche possono apparire in ritardo. Le precedenti azioni di blocco Sophos non valgono per questo elenco.

Conservare rapporti e prove di audit

Con Export scaricare un rapporto di quarantena in formato CSV o PDF per l’intervallo selezionato o gli ultimi 90 giorni. I rapporti per gli amministratori selezionati possono essere pianificati separatamente. Tenere il registro del change o dell’incidente separato da questi rapporti.

Registrare tenant, amministratore, data, tipo, mittente, destinatario, ID, Reason, verdetti header e Intelix, azione, quantità e ticket. Conservare allegati o contenuto completo solo quando privacy e retention lo consentono.

Convalidare il risultato

Selezionare Refresh e ripetere la ricerca. Confermare:

Central ha accettato l’azione senza errori. Per Delete, registrare questa risposta: la successiva assenza della riga non prova da sola l’eliminazione.
Per Release, il destinatario corretto conferma la consegna. In Message History verificare se l’elaborazione è proseguita o se il messaggio è tornato in quarantena.
Nel post-delivery, è noto se sono stati rilasciati anche inoltri o risposte collegati.
Inbound Allow/Block contiene esattamente indirizzo, dominio o IP previsti e un motivo chiaro.
ID e ora in Message History corrispondono al caso; registrare separatamente nel ticket l’azione eseguita dall’amministratore.
Per M365, l’elenco ricaricato da Microsoft mostra il nuovo stato. Se non cambia, attendere la sincronizzazione invece di presumere che l’elaborazione sia riuscita.

Una riga assente non prova il successo: filtri, intervallo o scadenza possono produrre lo stesso effetto.

Risolvere i problemi ed eseguire l’escalation

Nessun risultato: controllare scheda, date e tenant; rimuovere i criteri uno alla volta e selezionare Refresh. Confrontare envelope e header; l’assenza di direzione post-delivery è prevista.
Dettagli assenti: controllare il tipo. Gli inoltri interni post-delivery non hanno dettagli completi; per M365 la connessione può essere non confermata o ritardata.
Rilascio non disponibile: controllare ruolo, motivo, policy e tipo. Non elevare privilegi né creare eccezioni per aggirare l’azione.
Messaggio rilasciato non ricevuto: controllare nuova scansione, Message History, destinatario e nuova quarantena; per M365, stato della richiesta.
Nuova quarantena: confrontare Reason, direzione, assegnazione e policy effettiva. Correggere la causa anziché rilasciare ripetutamente o consentire in modo ampio.
Intelix resta rischioso o incerto: non rilasciare. Conservare report, ID e allegato per Security Operations.

Per l’escalation raccogliere ID tenant, ora con fuso, elenco, ID messaggio, mittente, destinatario, Reason, Status, header grezzo, policy, azione, report Intelix e schermate senza dati personali superflui. Per post-delivery aggiungere ora del clawback e inoltri; per M365 stato della connessione e richiesta. Mantenere attiva la protezione e il messaggio in quarantena fino alla risoluzione.