Sophos Email: configurare la quarantena di Microsoft 365

M365 Quarantine integra in Sophos Email la quarantena gestita da Microsoft 365. Gli amministratori ottengono una vista unificata in Central, ma Microsoft rimane titolare della quarantena nativa e dei relativi stati. Un rilascio o un’eliminazione in Central è quindi una richiesta a Microsoft 365 e si conclude solo dopo la conferma dell’elaborazione.

Questo runbook copre connessione, consenso, sincronizzazione e collaudo per un dominio Gateway o M365 Mailflow già presente in Sophos Email. La gestione generale degli altri tipi di quarantena Sophos non fa parte di questa configurazione.

Preparare i prerequisiti e la modifica

Prima della finestra di manutenzione occorrono:

un ambiente Sophos Email attivo con il dominio interessato tra Gateway Domains o M365 Mailflow Domains;
accesso a Sophos Central e un account amministratore Microsoft 365 autorizzato a concedere il consenso richiesto;
domini perfettamente coincidenti in Sophos Email e Microsoft 365;
un browser che consenta i popup Microsoft durante la configurazione;
un destinatario controllato e un messaggio di prova messo in quarantena da Microsoft 365.

Registra tenant, dominio, tipo di dominio, account usato per il consenso, stato iniziale dell’interruttore o della connessione, finestra di manutenzione e responsabile del rollback. Non inserire credenziali o token di consenso nel ticket. Non disattivare una protezione post-delivery esistente: se l’integrazione la richiede ed è disattivata, Sophos la abilita dopo una conferma esplicita.

Preparare il browser e l’accesso a Microsoft

Durante la configurazione Sophos apre finestre di dialogo Microsoft. Il blocco popup deve quindi consentire i domini Microsoft 365 coinvolti. Accedi al tenant Microsoft corretto con l’account amministratore approvato. Termina prima un’eventuale sessione di un altro tenant oppure isolala in un profilo browser separato.

I popup possono comparire anche in seguito, quando si apre il contenuto di un messaggio o si aggiorna l’elenco M365. Collegano il browser ai servizi Microsoft e possono impiegare tempo a caricarsi. Una finestra chiusa o bloccata non equivale a un consenso concesso.

Attivare M365 Quarantine per il dominio

In Sophos Central apri Global Settings, scorri fino a Email Domain Setup e seleziona Gateway Domains o M365 Mailflow Domains in base al tipo. In alternativa, apri My Products > Email Security > Settings e scegli il tipo corretto in Email Domain Setup.
Nell’elenco verifica il dominio corretto tramite tenant, nome e tipo.
Nella colonna M365 Quarantine, attiva l’interruttore solo per quel dominio.
Se una finestra comunica che verrà abilitata anche la protezione post-delivery, ricontrolla impatto e dominio, quindi seleziona Proceed.
Seleziona l’account amministratore Microsoft 365 approvato. Al primo accesso inserisci indirizzo email e password; con una sessione esistente, le richieste di autorizzazione possono apparire immediatamente.
Esamina integralmente ogni finestra Microsoft e accetta tutti i permessi richiesti. Includono i permessi per gestire Exchange come applicazione e leggere o scrivere le impostazioni RBAC della directory. Un consenso parziale non è sufficiente né per M365 Quarantine né per la protezione post-delivery dipendente.
Dopo aver concesso i permessi, seleziona Close. L’attivazione può richiedere alcuni minuti; non chiudere né riavviare prematuramente la pagina mentre le finestre Microsoft sono attive.

Concedi i permessi esclusivamente al tenant verificato. Non aggiungere un altro account amministratore o un dominio più ampio solo per aggirare un errore di connessione.

Verificare connessione e prima sincronizzazione

Dopo alcuni minuti, conferma nell’elenco dei domini che M365 Quarantine rimanga attivo per il dominio previsto. Apri quindi My Products > Email Security > Quarantined Messages e seleziona M365 quarantine. La scheda deve mostrare i dati della quarantena Microsoft 365 per il dominio.

La prima sincronizzazione recupera gli ultimi sette giorni. Successivamente i dati si accumulano fino a una finestra mobile massima di 30 giorni. Sophos Central si sincronizza periodicamente, quindi le modifiche recenti possono comparire in ritardo e i record meno recenti possono essere temporaneamente disallineati. Per richiedere subito i dati aggiornati di Microsoft, seleziona Refresh e attendi il completamento. Un elenco vuoto senza un oggetto di prova controllato non dimostra che la connessione funzioni.

Collaudare il percorso di rilascio ed eliminazione

Non usare un messaggio di produzione o dannoso per il collaudo. Fai mettere in quarantena da Microsoft 365 un messaggio di prova chiaramente identificato per il destinatario controllato. Quindi:

In M365 quarantine, cerca per destinatario, mittente, oggetto e ora, e registra l’ID del messaggio e il motivo Microsoft.
Apri i dettagli. Conferma un popup Microsoft se il contenuto viene caricato tramite tale finestra.
Seleziona solo un’azione supportata per il test, ad esempio Release. Le azioni disponibili dipendono dallo stato e dalla categoria nativa della quarantena Microsoft.
Seleziona Refresh e attendi la sincronizzazione.
In Microsoft 365 conferma il nuovo stato e, in caso di rilascio, la consegna esattamente al destinatario previsto.

La selezione di Release o Delete, la scomparsa di una riga o un elenco Sophos invariato non sono da soli una prova di successo. Considera filtri, ritardo e stato gestito da Microsoft. Per Delete, conferma l’elaborazione in Microsoft 365; un’eliminazione di prova non sostituisce un processo di conservazione approvato.

Configurare consapevolmente l’accesso utente

I messaggi messi in quarantena da Microsoft possono comparire nel Self Service Portal di Sophos Central. Se in User Settings è abilitata per un utente l’opzione Allow release of M365 quarantine emails, l’utente vede i messaggi in M365 quarantine e può visualizzare e rilasciare gli elementi supportati. I messaggi compaiono anche nel riepilogo di quarantena, dove il campo Reason ne indica l’origine con (Microsoft Quarantine).

Abilita questa possibilità solo dopo una decisione di autorizzazione separata. Per motivi di sicurezza, i messaggi delle categorie Microsoft Malware, High Confidence Phish o Data Loss Prevention (DLP) non sono disponibili nel Self Service Portal. Il fatto che un amministratore veda un elemento in Central non dimostra quindi che l’utente possa visualizzarlo o rilasciarlo.

Riparare gli errori di consenso e connessione

Failed to establish session: session has timed out. Accedi di nuovo con l’account amministratore corretto e completa il consenso senza interruzioni.
Failed to create connection: consent for API access wasn’t granted. Ripeti la configurazione e concedi tutti i permessi API richiesti.
Failed to create connection: consent for data access wasn’t granted. Ripeti la configurazione e concedi anche tutto l’accesso ai dati richiesto.
Failed to create connection: the domains in Sophos Email don’t match the domains in the Microsoft 365 domain. Confronta nomi di dominio e associazione al tenant sui due lati e correggi la differenza; non procedere con un tenant estraneo.
Failed to create connection: (reason not specified). Controlla popup, tenant Microsoft attivo, autorizzazione amministrativa e associazione del dominio, quindi ripeti una volta la configurazione in modo pulito. Se l’errore persiste, esegui l’escalation con i dati sotto indicati.
Elenco assente o vuoto: verifica l’interruttore del dominio e la protezione post-delivery, scegli M365 quarantine anziché un elenco Sophos, attendi almeno alcuni minuti e seleziona Refresh. Verifica poi con l’oggetto noto, non soltanto con il numero dei risultati.
Azione invariata: controlla ID e stato in Microsoft 365, ricarica la sincronizzazione e verifica se l’azione è supportata per quella categoria e quello stato. Non fare clic ripetutamente e non creare un’autorizzazione Sophos come espediente.

Tratta la riparazione del consenso come una modifica privilegiata: conferma il tenant corretto, consenti i popup, ripeti la configurazione con un account autorizzato e accetta integralmente ogni finestra. Non spegnere e riaccendere l’interruttore del dominio senza conoscere l’impatto sulla protezione post-delivery e sull’accesso utente.

Completare, eseguire il rollback ed effettuare l’escalation

Il collaudo è superato quando l’interruttore rimane attivo, M365 quarantine carica i dati del tenant corretto, l’oggetto di prova corrisponde per ID e Microsoft 365 conferma l’azione richiesta e la consegna o lo stato. Registra nella modifica ora, tenant, dominio, account di consenso, classi di permessi concesse, ora della sincronizzazione, ID e risultato, ma non il corpo dei messaggi o le credenziali.

Se l’attivazione non riesce prima del completamento del consenso, termina la modifica senza permessi sostitutivi più ampi e conserva lo stato iniziale documentato. Se nello stesso intervento è stata attivata la protezione post-delivery o modificato il rilascio utente, ripristina solo dopo l’analisi dell’impatto e secondo il rollback approvato. Non rimuovere una protezione esistente solo perché un elenco è in ritardo.

Per l’escalation raccogli ID del tenant, dominio e tipo, ora UTC, account di consenso, browser e stato dei popup, testo esatto dell’errore, stato di M365 Quarantine e della protezione post-delivery, ora dell’ultimo Refresh e ID del messaggio di prova controllato. Non includere password, token o contenuto non necessario.