Configurare antispam e minacce in uscita in Sophos Email

Una Email Security Policy combina il punteggio spam con il rilevamento di paese e lingua e la protezione da domini e mittenti nuovi. La stessa policy può aggiungere un disclaimer ai messaggi in uscita. Una configurazione sicura non inizia da Delete, ma da un pilota misurabile: documentare ambito e ordine, inizialmente taggare o mettere in quarantena e irrigidire solo dopo la valutazione.

Percorso rapido consigliato: impostare Confirmed Spam e Bulk su Quarantine, Suspected Spam su Tag subject line. Attivare poi paese, lingua, Newly Registered Domain (NRD) Protection e New Sender solo dove sono note le eccezioni aziendali. Verificare ogni modifica con messaggi legittimi e sospetti in Message History e Quarantined Messages. Un’eccezione non deve mai disattivare la scansione malware.

Preparare pilota e ambito della policy

In My Products > Email Security > Policies, selezionare la Email Security Policy da modificare. Prima documentare:

• direzione, utenti, gruppi e domini coinvolti e ordine attuale delle policy;
• azioni esistenti e responsabili della quarantena amministratore e End User Quarantine;
• newsletter legittime, mittenti automatici, paesi partner e lingue necessarie;
• risultati SPF, DKIM e DMARC di messaggi rappresentativi;
• per domini Gateway, connettore in uscita, IP pubblico di invio e record SPF;
• finestra, criteri di successo e stato iniziale per il rollback.

I risultati di autenticazione sono valori di controllo, non un’autorizzazione generale. Anche un messaggio che supera SPF, DKIM o DMARC può essere indesiderato; un errore può derivare da inoltro o configurazione errata. Prima di creare eccezioni, esaminare insieme categoria, controlli mittente, policy e header grezzi.

Se più policy coprono destinatari o domini mittente diversi, assegnare nomi chiari e annotarne l’ordine. Per esempio, una policy pilota limitata al supporto può essere meno aggressiva di quella generale. Dopo il salvataggio, verificare che la policy prevista sia Enforced e che il messaggio di test rientri davvero nel suo ambito.

Graduare le azioni antispam

In Settings > Inbound > Anti-spam, Sophos Email distingue:

• Confirmed Spam: schemi spam noti e verificati.
• Bulk: invii di massa richiesti, come una newsletter; non sono automaticamente dannosi.
• Suspected Spam: attributi sospetti insufficienti per Confirmed Spam.

Scegliere un’azione per categoria:

• Deliver passa il messaggio al controllo antispam successivo; non significa consegna all’utente.
• Delete lo elimina subito senza normale possibilità di rilascio.
• Quarantine lo trattiene; Include In End User Quarantine può renderlo disponibile nella quarantena utente.
• Tag subject line aggiunge al soggetto un prefisso configurabile di massimo 30 caratteri e consegna il messaggio.

Sophos consiglia inizialmente Quarantine per Confirmed Spam e Bulk e Tag subject line per Suspected Spam. Per sicurezza, i messaggi con body eccessivamente grande vengono messi in quarantena indipendentemente da queste impostazioni.

Rendere Suspected Spam più aggressivo in modo controllato

Il cursore aumenta il tasso di cattura a livelli; un livello superiore è più aggressivo. Il livello appare in Message History, ad esempio Suspected L3. Una maggiore rilevazione comporta in genere più falsi positivi. Cambiare un solo livello, osservare falsi positivi e negativi per un periodo rappresentativo e non modificare contemporaneamente ambito e azione.

Se l’esposizione è alta, Suspected Spam può essere messo in quarantena invece di essere taggato. Policy separate per destinatari, gruppi o domini noti sono più comprensibili di un allentamento globale. Evitare cambi frequenti dopo singole ondate, che sono sporadiche e falsano la valutazione.

Filtrare paesi e lingue solo con una solida regola aziendale

Country of origin

In Settings > Inbound > Country of origin, selezionare Tag subject line, Quarantine o Delete, poi i paesi non consentiti. Mantenere Check for every message hop per valutare tutti gli hop e non solo la prima associazione visibile all’IP del mittente.

L’attribuzione del paese è basata sull’IP e può generare falsi positivi se l’indirizzo è registrato altrove. Sophos sconsiglia in particolare di bloccare globalmente gli USA, dove sono registrati molti IP mittente. Per una nuova regola iniziare con tag o quarantena ed esaminare l’intera catena Received. Usare Delete solo dopo aver osservato nel tempo comunicazioni e falsi positivi.

Language

In Settings > Inbound > Language, scegliere lingue non consentite e Tag subject line, Quarantine o Delete. Include In End User Quarantine può aggiungere i risultati alla quarantena utente.

Il rilevamento interpreta solo il body. Ignora soggetto, allegati, numeri, caratteri speciali, simboli e URL. Testi brevi o criptici, lingue simili, contenuti multilingue e template automatici possono essere classificati male. La lingua degli allegati non viene rilevata. È un segnale supplementare, non sostituisce scansione malware o Data Control.

Rilevare domini e mittenti nuovi

Entrambi i controlli sono in Settings > Inbound > New domain/sender, ma NRD valuta l’età di registrazione del dominio, New Sender la relazione precedente fra mittente e singola mailbox.

Newly Registered Domain Protection

1. Attivare Newly Registered Domain (NRD) Protection.
2. In Domain age threshold, scegliere il periodo in cui un dominio è considerato nuovo.
3. Se necessario, attivare Include “Envelope from” domain per valutare Header from e Envelope from.
4. Scegliere Quarantine, Deliver, Tag o Banner. Se si sceglie Quarantine, è possibile selezionare facoltativamente Include In End User Quarantine per includere i rilevamenti NRD nella quarantena dell’utente. Il tag NRD può avere 65 caratteri; predefinito [Newly registered domain].
5. Con Banner si può offrire Report spam. Salvare la policy.

Un dominio nuovo è un segnale di rischio, non prova un attacco. Banner, Tag o Quarantine sono più sicuri nel pilota rispetto a Delete. In Message History e Quarantined Messages verificare quale dominio ha attivato il risultato e la coerenza di Header from ed Envelope from con l’opzione.

New Sender Protection e periodo di apprendimento

1. Attivare New Sender e personalizzare l’avviso con l’icona Edit.
2. Selezionare Allow sender, Block sender e/o Report spam. Allow e Block appaiono solo se attivi anche in User Settings.
3. Facoltativamente attivare Include persistent unanswered senders: l’avviso rimane sui messaggi ripetuti finché il destinatario risponde o termina l’apprendimento.
4. Salvare la policy.

Ogni combinazione mittente-mailbox è valutata separatamente usando sei mesi di cronologia. Lo stesso mittente può quindi risultare nuovo solo per alcuni destinatari. Un alias usa cronologia e policy della mailbox primaria. Sophos rimuove l’avviso dal contenuto quando si inoltra o risponde.

Una voce allow per indirizzo, dominio o IP sopprime l’avviso. Quella dell’amministratore vale per tutte le mailbox dell’account, quella utente solo per la propria. Se si consente il mittente durante il rilascio dalla quarantena, quel messaggio può ancora mostrare il banner; i successivi applicano la nuova voce.

Per account e utenti nuovi è previsto un periodo di apprendimento. In Global Settings > Products and Services > Email > New Sender Settings, sotto Number of days, scegliere 0, 7, 14, 30, 45, 60 o 90 giorni; predefinito 14. Inizia con il primo messaggio in entrata, non quando si aggiunge la mailbox. Sophos raccoglie dati senza mostrare avvisi. Una modifica riguarda solo account o mittenti osservati per la prima volta dopo di essa e non azzera i dati esistenti.

Include persistent unanswered senders richiede anche il transito delle risposte in uscita tramite Sophos Email. Per un dominio Inbound Only, l’avviso appare solo sul primo messaggio. Sophos può combinare più banner; un’azione appare se almeno una policy applicabile la consente. Controllare tutte le azioni offerte, non solo il testo.

Aggiungere un disclaimer in uscita

In Settings > Outbound > Outbound Disclaimer, attivare Add disclaimer to plain text messages, Add disclaimer to HTML messages o entrambe. Ogni contenuto ammette fino a 5.000 caratteri. Dopo Save, confermare che la policy sia Enforced. Il testo viene aggiunto in fondo a tutti i messaggi in uscita corrispondenti.

Per l’accettazione inviare un messaggio plain text e uno HTML a una mailbox esterna controllata. Verificare il footer e la leggibilità HTML. Un disclaimer non prova cifratura, autenticità o validità legale: aggiunge soltanto il testo configurato.

Convalidare le modifiche in modo conclusivo

Dopo ogni modifica usare questa matrice:

1. messaggio aziendale normale e newsletter legittima;
2. caso spam o quarantena noto e gestibile in sicurezza, non un messaggio dannoso autocreato;
3. nuovo mittente controllato e, se disponibile, dominio di test appena registrato;
4. messaggio plain text e HTML per il disclaimer;
5. messaggi con risultati SPF, DKIM e DMARC attesi.

In Message History, confrontare ora, mittente, destinatario, direzione, policy, categoria o dettaglio e azione. Poi controllare Quarantined Messages, consegna reale, banner o tag e header grezzi. Il successo richiede policy e azione previste, non solo “mail arrivata”.

Per la diagnostica lato amministratore, esaminare le evidenze in quest’ordine: 1. ambito, direzione e ordine delle policy; 2. categoria spam e azione configurata; 3. controlli del mittente applicabili; 4. risultati SPF, DKIM e DMARC; 5. header grezzi del messaggio. Questa è una sequenza diagnostica ripetibile, non un’affermazione sull’ordine di elaborazione interno di Sophos.

Conservare lo stato iniziale fino alla fine del pilota. Se aumentano i falsi positivi, ripristinare prima l’ultimo cursore, azione, paese/lingua, soglia età o banner modificato. Non cambiare più segnali insieme e non creare una allow ampia come rollback rapido.

Comprendere la Delay Queue

I messaggi sospetti possono rimanere da 5 a 60 minuti. Sophos costruisce una cronologia degli IP mittente e applica euristiche contro lo snowshoe spam, distribuito su molti domini e IP. Poi ripete la scansione per usare rilevamenti resi disponibili nel frattempo.

Un rilascio entro 60 minuti è quindi normale, non un errore. Neppure il supporto può rilasciare prima un messaggio in attesa di nuova scansione. Se dura oltre, registrare Message-ID, mittente, destinatario e ora, controllare Message History ed eseguire escalation senza disattivare antispam o malware.

Gestire in sicurezza i falsi positivi

Per Suspected Spam, confrontare prima policy, livello, categoria, header e azione. Poi ridurre di un livello, usare Tag invece di Quarantine per un ambito limitato o consentire un indirizzo o dominio legittimo preciso. Una allow non risolve differenze inspiegate di paese, routing o autenticazione e non deve mai aggirare la scansione malware.

Quando messaggi legittimi in uscita vengono eliminati come spam

Questa procedura d’emergenza vale solo per un dominio Gateway quando Sophos classifica e cancella erroneamente posta legittima in uscita:

1. Inviare il messaggio originale interessato a not-spam@labs.sophos.com.
2. Aprire un caso supporto con indirizzo usato, data, ora e oggetto.
3. Salvare modalità dominio, Send Connector, route, IP pubblico e SPF. La consegna diretta deve essere pianificata, autorizzata e testata.
4. In Gateway Domain settings/status, passare a Inbound Only e selezionare Save.
5. Configurare il Send Connector per inviare direttamente a Internet, non tramite Sophos Email. Se si usa SPF, autorizzare l’IP pubblico di questa route.
6. Verificare consegna, header e SPF con un messaggio esterno controllato. Monitorare la route in uscita ora non scansionata.

Il workaround rimuove temporaneamente la scansione Sophos in uscita e non è un’eccezione antispam generale. Usarlo solo con approvazione e responsabile. Se consegna diretta o SPF non sono pronti, fermarsi prima del cambio ed eseguire escalation.

Dopo la conferma della correzione da Sophos Support, ripristinare in manutenzione route tramite Sophos e direzione precedente, annullare solo modifiche temporanee a invio diretto e SPF e ritestare in Message History e nella mailbox esterna. Se l’esito è inatteso, tornare all’ultima route documentata e funzionante e aggiornare il caso.

Errori tipici

• Il test riceve un’altra azione: controllare ambito, direzione, ordine, Enforced, poi categoria e altri controlli in Message History.
• Troppe newsletter legittime in quarantena: non equiparare Bulk e Confirmed Spam; provare policy limitata o Tag prima di consentire globalmente.
• Il filtro paese blocca un partner: esaminare ogni hop Received e IP, non solo From.
• La lingua sembra errata: valutare solo il body, considerando testi brevi, multilingue o automatici ed elementi ignorati.
• Manca il banner New Sender: controllare apprendimento, allow list, cronologia di sei mesi, assegnazione e mailbox primaria dell’alias.
• Scompare persistent unanswered: verificare che le risposte passino da Sophos; non disponibile con Inbound Only.
• Manca il disclaimer: controllare direzione, ambito, Enforced e opzioni separate plain text/HTML.