Sophos Email: configura l'autenticazione del mittente e Smart Banners

Sophos Email controlla i messaggi in entrata mediante DMARC, SPF e DKIM e può inoltre rilevare anomalie nelle intestazioni e nei domini. I controlli, da soli, non determinano il trattamento del messaggio: la relativa Email Security policy definisce i tipi di errore, il loro ordine e le azioni da applicare. Gli Smart Banners mostrano il risultato ai destinatari e possono offrire azioni sicure agli utenti.

Procedura rapida consigliata: In My Products > Email Security > Policies, apri la Email Security policy interessata e configura in Settings > Inbound > Authentication le azioni da eseguire in caso di errore DMARC, SPF o DKIM. Inizialmente scegli Quarantine anziché Reject per gli errori critici, ordina le condizioni dall’alto verso il basso, quindi verifica Header anomaly, Domain anomaly ed End-user message settings. Prima di aggiungere eccezioni o attivare azioni più severe, confronta in Message History i messaggi di prova legittimi con quelli che non superano i controlli.

Preparare l’ambito, i test e il ripristino

Prima di apportare modifiche, individua i domini e le caselle di posta protetti, i servizi di invio legittimi conosciuti e un gruppo di prova ristretto. Annota:

• la policy interessata, la sua posizione e se è impostata su Enforced;
• la direzione Inbound e gli utenti, i gruppi e i domini assegnati;
• le regole DMARC, SPF, DKIM e di controllo del mittente attuali, nel loro ordine effettivo;
• le voci esistenti nell’elenco degli elementi consentiti e le eccezioni approvate dall’azienda;
• le azioni originali, il testo dei banner e le opzioni disponibili agli utenti finali;
• i mittenti e i destinatari di prova, insieme ai risultati attesi.

Per annullare le modifiche, ripristina l’ordine delle regole, le azioni e le opzioni dei banner annotati in precedenza, oppure imposta una nuova policy pilota su Policy Bypassed. Durante il progetto pilota modifica un solo gruppo di regole correlate alla volta, in modo da poter attribuire con certezza un eventuale risultato inatteso.

Avvertenza: Non utilizzare mai un’eccezione di autenticazione per giustificare la disattivazione della scansione antimalware. Anche un mittente consentito o correttamente autenticato può usare un account compromesso o inviare contenuti dannosi. Limita ogni eccezione al problema di autenticazione comprovato e all’ambito minimo indispensabile, lasciando attivi tutti gli altri controlli di protezione.

Comprendere correttamente DMARC, SPF e DKIM

I tre metodi rispondono a domande diverse:

• SPF confronta il server di posta che invia il messaggio con gli host, gli indirizzi IP e le reti autorizzati nel DNS dal proprietario del dominio del mittente della busta.
• DKIM convalida la firma digitale di un messaggio utilizzando la chiave pubblica pubblicata nel DNS dal dominio firmatario.
• DMARC verifica se SPF o DKIM ha esito positivo e se il relativo dominio è allineato al dominio visibile nell’intestazione From. Senza un record DMARC valido e un controllo SPF o DKIM valutabile, Sophos non può completare la verifica DMARC.

L’interruttore visualizzato nella policy controlla l’azione in caso di errore; i controlli di autenticazione vengono comunque eseguiti sempre. Questo articolo riguarda esclusivamente la valutazione dei messaggi in entrata. Non crea né ospita record DNS per i domini in uscita e non attiva la firma DKIM dei messaggi in uscita.

Configurare Message Authentication

1. Apri My Products > Email Security > Policies, seleziona la policy Email Security corretta e verificane il gruppo di destinazione e la posizione.
2. Apri Settings > Inbound > Authentication.
3. Attiva le azioni necessarie in caso di errore per DMARC, SPF e DKIM.
4. Per ogni controllo fai clic su Add Rule, quindi seleziona un tipo di errore e l’azione corrispondente.
5. Ordina le condizioni dal caso più specifico a quello più generale. Sophos le esamina dall’alto verso il basso e applica la prima corrispondenza.
6. Salva la policy e verifica che sia Enforced per i destinatari di prova.

Sophos consiglia Quarantine per ogni categoria di Message Authentication. È un’impostazione adatta anche alla fase pilota, perché il messaggio resta disponibile per l’analisi e può essere rilasciato in modo controllato. Reject rifiuta il messaggio durante l’elaborazione; per i messaggi rifiutati, le intestazioni non elaborate non sono disponibili in Sophos. Tag subject line contrassegna il messaggio e lo inoltra alle successive fasi di elaborazione. Anche Deliver indica il passaggio al livello di scansione successivo, non necessariamente la consegna alla casella di posta. Include In End User Quarantine rende disponibile un messaggio in quarantena nella quarantena dell’utente.

Valutare consapevolmente i tipi di errore

Per DMARC, Hard failure indica che né SPF né DKIM hanno esito positivo con l’allineamento richiesto. L’impostazione predefinita è Conform to sender policy, quindi il trattamento segue la policy DMARC del mittente. Sono selezionabili anche p=none, Unsupported, Temporary failure e Permanent failure. In questo contesto, Unsupported si applica solo al Gateway mode, mentre M365 bestguesspass si applica solo al M365 Mailflow mode. Una regola distinta per p=none è utile soprattutto quando Hard failure resta impostato su Conform to sender policy.

Per SPF, oltre a Hard failure sono disponibili Soft failure, Neutral, Unsupported, Temporary failure e Permanent failure. Per DKIM, oltre a Hard failure sono disponibili Unsupported, Temporary failure e Permanent failure. Un errore DNS temporaneo può risolversi senza alcun intervento; un errore permanente indica che il record pubblicato non è interpretabile. Nessuno dei due risultati deve essere considerato automaticamente una prova di spoofing.

Ordine di elaborazione e Sender check

I controlli di Message Authentication vengono eseguiti nell’ordine visualizzato nella policy. Per valutare DMARC, Sophos esegue i controlli SPF e DKIM necessari indipendentemente dalle azioni configurate per i relativi errori. DMARC non riesce se né SPF né DKIM hanno esito positivo con l’allineamento necessario. Se sono presenti più regole di errore, viene sempre applicata la prima regola corrispondente, procedendo dall’alto verso il basso.

Se una regola DMARC, SPF o DKIM trova una corrispondenza con azione Quarantine o Reject, l’elaborazione di quel ramo si interrompe. Se tutti e tre i controlli vengono superati in una configurazione che usa queste azioni, i controlli delle anomalie delle intestazioni non proseguono e il messaggio viene recapitato. L’ordine influisce quindi sul comportamento di sicurezza e non è una semplice disposizione grafica nel portale.

In Sender check, Sophos aggiunge due controlli delle anomalie:

• Header anomaly protegge i tuoi domini dallo spoofing esterno. Si attiva solo quando il dominio nell’intestazione From visibile corrisponde a uno dei domini configurati nell’account Sophos Central e tale indirizzo dell’intestazione è diverso dall’indirizzo MAIL FROM nella busta SMTP. Il controllo riguarda tutti i domini dell’account, non soltanto il dominio del destinatario.
• Domain anomaly rileva i domini dei mittenti privi sia di un record MX sia di un record A.

Per entrambi i controlli puoi selezionare Tag subject line, Quarantine, Reject o Deliver; l’impostazione predefinita documentata è Tag subject line. Durante il progetto pilota utilizza il tagging o la quarantena e verifica gli inoltri legittimi, i sistemi CRM, le piattaforme di ticketing e i servizi di invio esterni prima di attivare Reject.

Configurare Smart Banners

In End-user message settings, attiva separatamente ogni tipo di banner, modifica il testo predefinito e seleziona le azioni da offrire agli utenti. Le impostazioni si applicano ai messaggi esterni in entrata, sia HTML sia in testo normale. I messaggi Sophos, ad esempio i riepiloghi della quarantena, non ricevono uno Smart Banner.

Il colore e il messaggio del banner dipendono dall’elenco degli elementi consentiti e dal risultato DMARC:

• Trusted è verde: il mittente è nell’elenco degli elementi consentiti e il messaggio ha superato DMARC.
• External è giallo: il mittente ha superato DMARC ma non è nell’elenco degli elementi consentiti; è nell’elenco, ma Trusted è disattivato; oppure non dispone di un record DMARC, quindi non è possibile stabilire un esito positivo o negativo.
• Untrusted è arancione: esiste una policy DMARC, ma il messaggio non ha superato DMARC.

Un banner aiuta a prendere una decisione, ma non dimostra che il messaggio sia innocuo. Nemmeno un banner verde sostituisce la scansione dei contenuti o la prudenza nell’aprire link e allegati.

Attivare le azioni utente in modo sicuro

Per ogni banner puoi offrire Allow sender, Block sender e Report Spam messages to Sophos. Allow e Block aprono una pagina di conferma e aggiornano l’elenco personale dell’utente; Report invia il messaggio a SophosLabs come spam.

La guida alle eccezioni Inbound Allow/Block spiega come interagiscono le voci personali e globali e come proteggerle con autenticazione, esportazione, importazione e ripristino.

Affinché Allow sender e Block sender funzionino nel banner HTML, apri Global Settings > Products and Services > Email > User Settings, attiva prima Release/Delete, poi Allow/Block List, quindi salva. I link Allow e Block non sono disponibili nei banner in testo normale.

Quando si utilizzano i link degli Smart Banners, la posta in uscita deve essere instradata tramite Sophos Central. Sophos consiglia di predisporre questo instradamento prima di attivare End-user message settings; in caso contrario, i destinatari esterni potrebbero vedere il banner nelle risposte o nei messaggi inoltrati. In HTML il banner compare a colori nella parte superiore; in testo normale compare come testo all’inizio del corpo. Un banner già presente può rimanere visibile quando un messaggio riceve una risposta o viene inoltrato internamente.

Convalidare il risultato in Message History

Per ogni ambito di policy pertinente, invia a un destinatario pilota messaggi in entrata controllati:

1. un messaggio legittimo che dovrebbe superare correttamente l’autenticazione;
2. un messaggio legittimo inviato tramite un servizio di inoltro o invio noto;
3. quando è possibile farlo in sicurezza, un messaggio proveniente dal tuo dominio di prova con un errore di autenticazione provocato e documentato intenzionalmente.

Non falsificare email di produzione e non modificare i record DNS di terzi per eseguire un test. In Message History, cerca il messaggio per mittente, destinatario e intervallo di tempo, aprilo e confronta la policy applicata, la categoria, i dettagli di autenticazione o di controllo del mittente e l’azione effettivamente eseguita. Per i messaggi recapitati verifica anche il tipo, il testo, il colore e le azioni visibili del banner, sia in HTML sia in testo normale. Il risultato è corretto quando i messaggi legittimi raggiungono la fase di scansione successiva o la casella di posta prevista, gli errori attivano la prima azione configurata corrispondente e non compaiono azioni utente inattese.

Risolvere i problemi in modo metodico

• Errore DMARC o DKIM inatteso: Conserva le intestazioni non elaborate e i dettagli del controllo del mittente. Verifica se un gateway a monte, un disclaimer, una mailing list o un percorso di inoltro ha modificato il corpo o le intestazioni firmate. Soprattutto quando Sophos EMS si trova dietro un altro sistema primario di sicurezza della posta, tali modifiche possono invalidare DKIM e l’allineamento DMARC; il solo errore non dimostra quindi la presenza di un rischio.
• Azione errata nonostante una regola corrispondente: Controlla prima l’ambito, lo stato di applicazione e l’ordine delle policy, quindi esamina le regole di errore dall’alto verso il basso. Una regola generale precedente può nasconderne una specifica successiva.
• Header anomaly per un servizio legittimo: Confronta l’intestazione From visibile con il MAIL FROM della busta e individua quale dei tuoi domini ha generato la corrispondenza. Correggi prima la configurazione di invio o l’allineamento. Valuta un’eccezione di autenticazione con ambito molto ristretto solo se la correzione non è possibile e il servizio è stato identificato con certezza.
• Domain anomaly per un messaggio legittimo: Verifica separatamente la risoluzione dei record MX e A del dominio del mittente. Non rispondere a un problema DNS temporaneo con una regola di autorizzazione globale e permanente.
• Banner assente: Verifica che siano attivi la policy e il tipo di banner corretti, che il messaggio sia esterno e in entrata e che non si tratti di un messaggio di sistema Sophos.
• Allow/Block assente o non funzionante: Verifica Release/Delete e Allow/Block List in User Settings, il formato HTML e l’instradamento in uscita tramite Sophos. Questi link non sono disponibili in testo normale.

Solo dopo questa analisi modifica l’ordine, l’azione o la voce più restrittiva strettamente necessaria nell’elenco degli elementi consentiti, quindi ripeti lo stesso test. Se il risultato rimane incerto, raccogli il Message-ID, la data e l’ora, il mittente, il destinatario, il nome della policy, l’azione effettiva e le intestazioni non elaborate complete per inoltrare il caso, anziché aggirare indiscriminatamente l’autenticazione o la protezione antimalware.