Sophos Email Data Control: configurare le regole DLP in sicurezza

Sophos Email definisce Data Control la protezione dalla perdita di dati nel traffico e-mail. Una regola stabilisce quali dati Sophos cerca nell’oggetto, nel corpo e negli allegati, a quale direzione e a quali indirizzi esterni si applica e quale azione eseguire in caso di corrispondenza. Questa funzione è distinta dalla DLP degli endpoint: Data Control esamina le e-mail, mentre le Data Loss Prevention Rules (DLP) controllano altri trasferimenti di dati sugli endpoint.

Procedura rapida e sicura: iniziare con un ambito pilota ristretto, scegliere un modello Sophos o pochi CCL adatti, utilizzare Log o Quarantine come azione iniziale e posizionare la regola sopra quelle più generali. Verificarla con un campione positivo, un campione negativo simile e un’operazione aziendale consentita. Attivare l’azione definitiva solo quando Data Control summary e Message History mostrano le corrispondenze e le mancate corrispondenze previste.

Preparare l’ambito, le responsabilità e il rollback

Prima della configurazione, il proprietario responsabile dei dati determina cosa deve essere protetto e cosa può accadere quando la regola corrisponde. L’amministratore traduce tale decisione in una regola tecnica. Registrare almeno quanto segue nella modifica:

• direzione Inbound o Outbound;
• utenti interni, gruppi o domini e, ove applicabile, indirizzi o domini esterni;
• modello di dati da rilevare, transazione commerciale consentita e proprietario responsabile;
• azione desiderata, destinatario della notifica e percorso di escalation;
• un campione di test controllato positivo e uno controllato negativo;
• stato della politica precedente, posizione della regola e criterio di ripristino.

Una policy Data Control può contenere fino a 25 regole. Sophos le valuta dall’alto verso il basso e applica la prima regola corrispondente. Un’eccezione ristretta va quindi collocata sopra la regola generale di protezione; una regola di blocco specifica, sopra una regola di registrazione più ampia. Continue processing è un’eccezione deliberata a questo modello: se l’azione scelta supporta l’opzione e questa viene attivata, Sophos passa alla regola successiva dopo aver eseguito l’azione. Utilizzarla solo quando i test hanno confermato chiaramente l’effetto combinato delle azioni.

Le policy e le regole hanno ambiti esterni separati. La policy definisce l’ambito dell’indirizzo esterno di base; la regola lo restringe ulteriormente con External senders per il traffico in entrata o External recipients per il traffico in uscita. Include all, Include list e Exclude list si riferiscono agli indirizzi della busta SMTP, non alle intestazioni visibili From e To. Un file importato deve essere CSV o TXT, contenere una voce per riga e non deve superare le 100 voci nell’elenco. Replace all existing entries with this import sostituisce integralmente l’elenco esistente.

Non creare mai un’eccezione basandosi soltanto sul nome visualizzato o sull’intestazione From visibile. Un’eccezione di dominio può coprire ogni destinatario o mittente in quel dominio e quindi consentire più traffico del previsto. Per i processi legittimi ricorrenti, un gruppo pilota o un indirizzo busta con ambito preciso è più sicuro. Assegnare all’eccezione un proprietario, una data di scadenza o di revisione e i propri test positivi e negativi.

Se agli stessi utenti si applicano più policy Sophos Email, anche la loro assegnazione deve essere corretta. Assegnare con precisione le policy di Sophos Email Security spiega l’ambito e la priorità a livello di policy.

Creare una policy e una regola Data Control

1. Aprire in Sophos Central My Products > Email Security > Policies.
2. Add Policy, quindi selezionare Data Control e Continue.
3. Immettere un nome univoco, ad esempio DLP-Outbound-Finance-Pilot.
4. In Internal, aggiungere solo gli utenti, il gruppo o il dominio pilota. Impostare External solo se l’intera policy deve essere limitata a destinazioni esterne specifiche.
5. Aprire Settings e selezionare Inbound o Outbound per la regola.
6. Fare clic su Add rule, inserire il nome e la descrizione e selezionare il Rule type appropriato.
7. Aggiungere gli elenchi di rilevamento in Add items, quindi selezionare le posizioni richieste in Search in: Subject, Body, Attachment Name e/o Attachment Content.
8. Se necessario, impostare condizioni aggiuntive per intestazione, origine o dimensione in Message Attributes.
9. Restringere la regola con External senders o External recipients.
10. In Choose action, selezionare l’azione pilota e le notifiche. Attivare Continue processing solo per una catena di regole verificata intenzionalmente.
11. Accendere Filter messages with this rule e selezionare Save.

Una policy appena creata non contiene ancora alcuna regola. Una policy clonata ha inizialmente lo stato Policy Bypassed, non contiene utenti, gruppi o domini e ha una priorità più alta rispetto all’originale per impostazione predefinita. Prima di selezionare Policy is enforced, verificarne l’assegnazione, le regole e la priorità. In EMS mode, è possibile configurare il controllo dati, ma le azioni vengono segnalate solo come risultato previsto e non vengono applicate ai messaggi.

Selezionare il tipo di riconoscimento appropriato

Modelli per dati sensibili tipici

I modelli Financial information (FI), Confidential information (CI), Health information (HI) e Personally identifiable information (PII) utilizzano elenchi di controllo del contenuto selezionati da Sophos. Ad esempio, FI prende di mira i dati del conto o della carta di credito, HI prende di mira i dati medici o dei pazienti e PII prende di mira i numeri di carta d’identità o passaporto nazionali. Come punto di partenza, utilizzare Use Sophos list e selezionare solo le posizioni di ricerca richieste.

Use custom list carica innanzitutto i CCL consigliati per il modello. È quindi possibile aggiungere o rimuovere CCL e modificare le soglie di corrispondenza. Questa messa a punto non è innocua: la rimozione dei CCL consigliati può ridurre la copertura, mentre l’aggiunta di CCL non idonei può aumentare i falsi positivi. Qualsiasi aggiustamento richiede quindi modelli di dati realistici e anonimizzati approvati dal proprietario e una nuova serie di test positivi e negativi.

Regola CCL personalizzata

Una regola personalizzata Content control lists (CCLs) è adatta quando è necessario rilevare un identificatore regionale o di settore specifico. Filtrare la selezione per Region e tipo di dati, leggere la spiegazione accanto all’icona delle informazioni e non selezionare tutti gli elenchi indiscriminatamente. Il filtro RECOMMENDED mostra i consigli regionali; senza un filtro regionale, non abilitare semplicemente ogni CCL visualizzato. Gli elenchi obsoleti possono essere visualizzati solo senza filtro o in Deprecated. Le regole esistenti continuano a mostrarli, ma una revisione dovrebbe sostituirli con alternative supportate.

Per Number of matches:

• Un valore più elevato rende il singolo CCL più rigoroso e in genere riduce i falsi positivi, ma può trascurare i risultati reali.
• Un valore inferiore li rende più sensibili e in genere riduce i falsi negativi, ma può colpire email più legittime.
• Trigger this rule by number of CCL matches decide inoltre quanti CCL selezionati devono essere applicati; in alternativa, All the CCLs must match richiede ciascun CCL selezionato.

Queste due soglie risolvono domande diverse. Ad esempio, un CCL può richiedere internamente due numeri di carta, mentre la regola richiede solo uno dei tre CCL selezionati. I valori standard vengono modificati solo se i casi di test dimostrano la necessità tecnica.

Parole chiave ed espressioni regolari

Keywords (KW) cerca parole, frasi, caratteri Unicode o espressioni regolari nelle posizioni di ricerca selezionate. Le espressioni regolari non devono superare 50 caratteri, devono seguire la sintassi Perl della libreria Boost e non devono contenere gruppi tra parentesi per motivi di prestazioni.

La corrispondenza di parole chiave ed espressioni regolari funziona solo per il contenuto del messaggio codificato UTF-8. Se manca una corrispondenza evidente, controllare la codifica effettiva del trasferimento dei contenuti e dei caratteri invece di ampliare immediatamente l’espressione. Per i dati di ID strutturati, conti o carte, un CCL corrispondente è solitamente più robusto di una parola generica come confidential.

Tipi di file e contenuti

Attachment file types (AFT) può filtrare in base alle estensioni di file o ai gruppi di file rilevati o al tipo di file reale. In una regola AFT personalizzata, entrambi non possono essere combinati. Se sono necessari entrambi i metodi, creare due regole separate e verificarne l’ordine.

Per le estensioni dei file, utilizzare i punti iniziali e le virgole senza spazi, ad esempio:

.doc,.docx,.pdf,.zip

La voce non può superare 1.000 caratteri. Rinominare un file può eludere una regola basata sull’estensione; una regola per gruppo di file verifica invece il tipo rilevato. La Sophos list combina i blocchi documentati per estensione con il rilevamento True File Type, tra l’altro per eseguibili, file Office con macro, script offuscati e WebAssembly.

Attachment Content non significa che ogni elemento visibile di ogni file venga valutato allo stesso modo. Sophos estrae contenuti e metadati diversi a seconda del formato: nei PDF, ad esempio, flussi di testo e metadati del documento; in Word anche intestazioni, piè di pagina, campi di testo, celle di tabelle e commenti non visibili; in Excel nomi dei fogli e celle di testo o numeriche. Un’immagine scansionata in un PDF senza testo estraibile non è quindi un test CCL affidabile. Per il collaudo, utilizzare file di esempio supportati e basati su testo e verificare separatamente se i metadati producono involontariamente una corrispondenza.

Collegare correttamente gli attributi dei messaggi

Message Attributes (MA) filtra in base a Header, Source o Size. Le condizioni sull’intestazione possono verificare un’espressione regolare, una stringa parziale, un valore esatto oppure la presenza o l’assenza di un’intestazione. Con più attributi, Match for: Any o All stabilisce se debba corrisponderne uno oppure tutti. Se Message Attributes viene combinato con un altro Rule type, entrambi i tipi devono corrispondere.

Le condizioni sulla dimensione degli allegati utilizzano la dimensione codificata MIME di ogni singolo allegato, non la somma né la dimensione del file non codificato. Base64 può aggiungere circa il 37%: un file binario da 20 MB può quindi superare 28 MB dopo la codifica. Sophos Email elabora messaggi fino a 50 MB. Verificare le soglie con messaggi MIME reali, non deducendole dalla dimensione mostrata in Esplora file.

Scegliere un’azione adeguata al rischio

Le azioni disponibili dipendono dalla direzione e dal Rule type. Per un progetto pilota, Log o Quarantine sono in genere più controllabili di Delete. Gli effetti principali sono:

• Quarantine: trattiene il messaggio per la verifica.
• Encrypt: cifra le corrispondenze in uscita. Per impostazione predefinita si applica il metodo della Secure Message policy dell’utente; la regola può sostituirlo. La policy resta necessaria per altri valori predefiniti, come la lingua del messaggio di registrazione.
• Strip attachments: mette in quarantena l’originale e consegna una copia senza allegato.
• Modify Address: CC/BCC aggiunge destinatari a quelli originali; impostare To sostituisce i destinatari originali. Envelope only non modifica le intestazioni MIME.
• Redirect message: inoltra il messaggio originale come allegato all’indirizzo di reindirizzamento.
• Reroute message: instrada verso IP/FQDN e porta, ma vale solo per Gateway. In modalità Mailflow, l’instradamento si configura in Microsoft 365.
• Bounce: informa il mittente della mancata consegna e non è disponibile per Inbound.
• Modify Header: aggiunge un’intestazione, sostituisce il primo valore o rimuove tutte le intestazioni corrispondenti.
• Delete: elimina il messaggio; utilizzare questa azione solo dopo un test approvato e con un processo di gestione degli incidenti documentato.
• Log, Tag a subject line e le notifiche registrano o contrassegnano una corrispondenza, ma da soli non impediscono la perdita di dati.

Notify others consente fino a cinque caselle di posta o liste di distribuzione appartenenti ai domini e-mail dell’account. Le notifiche non devono diffondere a loro volta contenuti sensibili non necessari. Gli eventi Data Control non compaiono nei riepiloghi della quarantena; le notifiche degli eventi vengono inviate direttamente agli amministratori.

Impostare con esattezza le intestazioni di cifratura e testarle in modo controllato

Una regola Data Control corrispondente può usare Modify Header per aggiungere o modificare un’intestazione di cifratura. Per questa configurazione sono supportate esattamente le intestazioni e i valori seguenti; non modificarne l’ortografia né le maiuscole e minuscole dei valori:

Questa funzionalità potrebbe non essere ancora disponibile per tutti i clienti. X-SophosEmailEncrypt-NoAuth e X-SophosEmailEncrypt-VerificationCode richiedono il Portal Encryption Add-on; tale requisito del componente aggiuntivo non si applica in generale alle altre tre intestazioni. Inoltre, un’azione di cifratura è pronta per la produzione solo dopo aver verificato licenza, Secure Message policy, metodo scelto e procedura del destinatario. Gestire la cifratura Portal e Push di Sophos Email descrive gli effetti dei valori e la procedura Portal/Push, che non viene duplicata in questa guida.

Per il collaudo, limitare una regola pilota in uscita ai soli mittenti e destinatari di test. Con Modify Header, aggiungere prima una sola intestazione con un valore consentito oppure sostituirne il valore esistente. Inviare quindi un messaggio di test Portal innocuo e, quando l’intestazione è pertinente a tale procedura, un messaggio di test Push innocuo. Data Control summary e Message History devono mostrare la regola prevista e l’azione Modify Header; verificare anche per il destinatario o il mittente il risultato atteso del valore selezionato. Solo a quel punto testare il valore successivo o ampliare l’ambito. La sola corrispondenza della regola non dimostra che cifratura, scadenza o notifica abbiano avuto l’effetto previsto.

Esempio pratico: dati finanziari inviati all’esterno

Per un gruppo pilota dell’amministrazione, i messaggi in uscita contenenti veri pattern finanziari e destinati a destinatari esterni devono inizialmente essere messi in quarantena:

1. Policy DLP-Outbound-Finance-Pilot, Internal: solo il gruppo pilota, direzione Outbound.
2. Tipo di regola Financial information (FI) con Use Sophos list.
3. Search in: Body e Attachment Content. Lasciare Attachment Name disabilitato se i nomi dei file non sono un segnale rilevante.
4. External recipients: Include all o un dominio di test limitato. Inserire l’indirizzo di un partner approvato in un’eccezione ristretta sopra la regola solo se il proprietario dei dati ha approvato tale processo.
5. Azione Quarantine, notifica al team DLP responsabile; no Continue processing.
6. Test positivo con un modello di test approvato in un file DOCX o PDF basato su testo. Test negativo con numeri formattati in modo simile ma non validi. Test aziendale con un documento normale che non contiene pattern sensibili.

Se il formato normale del documento produce falsi positivi, non escludere immediatamente l’intero dominio del partner. Determinare innanzitutto quale CCL è stato attivato, se i metadati o il testo del messaggio hanno causato la corrispondenza e se le prove supportano la modifica del conteggio delle corrispondenze predefinito. Un’eccezione è l’ultima misura correttiva, non la prima.

Convalidare, distribuire e gestire

Per ciascun test, registrare l’ora UTC, la direzione, il mittente e il destinatario della busta, l’oggetto, l’ID del messaggio, il file di esempio, la regola prevista e l’azione prevista. Dopo l’invio, controllare Data Control summary e i dettagli in Message History. La regola viene approvata solo se:

1. il test positivo mostra la categoria, la regola e l’azione di controllo dei dati previste;
2. il test negativo simile e la normale transazione commerciale non corrispondono;
3. un’eccezione definita si applica solo al suo ambito esatto;
4. gli altri messaggi in entrata e in uscita continuano a essere elaborati secondo la policy prevista;
5. Le notifiche arrivano solo ai destinatari approvati.

Quindi espandere gradualmente l’ambito e monitorare falsi positivi, falsi negativi, volumi di quarantena ed eccezioni. Esamina regolarmente i CCL, le soglie di corrispondenza e le eccezioni. Ciò è particolarmente importante per le voci in Deprecated e per le eccezioni temporanee dei partner.

Nella modalità flusso di posta di Microsoft 365, una regola DLP di Microsoft Purview può generare notifiche duplicate quando un messaggio passa attraverso i servizi in entrambe le direzioni. Ciò non è causato dall’ordine delle regole di Sophos Data Control. Risolvere sistematicamente i problemi di Sophos Email Mailflow con Microsoft 365 spiega come creare un’eccezione Microsoft con ambito ristretto e verificare la presenza di cicli di routing autentici.

Ricerca errori per sintomo

Una regola prevista non si attiva

1. Controllare l’assegnazione della policy, la direzione Inbound/Outbound e gli indirizzi della busta.
2. Controllare se una regola posizionata più in alto corrisponde per prima o se la regola non è attivata con Filter messages with this rule.
3. Nel caso di MA e tipi di contenuto combinati, verificare se entrambi i tipi corrispondono realmente; per attributi multipli Any/All.
4. Controllare la posizione di ricerca: non si verifica una corrispondenza in Attachment Content se è stato selezionato solo Attachment Name.
5. Per parole chiave o regex, controllare la codifica UTF-8, il limite di 50 caratteri e i gruppi vietati.
6. Per gli allegati, verificare che il tipo di file contenga contenuto estraibile. Quindi inviare nuovamente un caso di test piccolo e ben definito.

Troppi messaggi legittimi corrispondono

Innanzitutto identificare la regola, la categoria e l’azione in Message History. Modificare una sola variabile alla volta: rimuovere le posizioni di ricerca non idonee, correggere la selezione CCL o aumentare il numero di corrispondenze dopo i test conclusivi. Una Exclude list ampia o il passaggio immediato alla consegna nasconde il sintomo, ma non corregge il rilevamento.

Una regola relativa al tipo o alla dimensione del file si comporta in modo imprevisto

Per AFT, determinare se la regola utilizza le estensioni o True File Type; i due metodi richiedono regole separate. Per Size, confrontare la dimensione MIME del singolo allegato con quella del file originale e tenere conto dell’aumento dovuto a Base64. Se l’intero messaggio raggiunge 50 MB, si applica anche il limite di elaborazione.

Crittografia, reindirizzamento o notifica mancanti

Controllare se l’azione è disponibile per la direzione e il Rule type. Per Encrypt, controllare anche l’assegnazione dell’utente, la Secure Message policy, la licenza e il metodo selezionato. Reroute message non funziona in modalità flusso di posta. Una destinazione di notifica deve appartenere al dominio di un account; sostituire una casella di posta di destinazione eliminata o disattivare la notifica.

Rollback sicuro

Se si verificano corrispondenze impreviste, non disattivare completamente Data Control. Impostare la nuova regola su Log, disabilitare Filter messages with this rule per quella regola oppure ripristinare l’ambito, l’ordine e l’azione precedentemente documentati. L’opzione appropriata dipende dal rischio: se è possibile la perdita dei dati, mantenere attiva la quarantena finché il proprietario non lo decide; per un pilota di sola registrazione, la regola pilota può essere disabilitata.

Quindi inviare nuovamente un messaggio normale e un test positivo controllato e confermare in Message History che la regola precedente si applica nuovamente. Rimuovere le eccezioni appena create e le destinazioni di notifica temporanee e ripristinare la priorità della policy e Continue processing alla linea di base. Per l’escalation, raccogliere gli ID dei messaggi, gli orari UTC, la direzione, gli indirizzi delle buste, i nomi delle policy e delle regole, l’ordine delle regole, la categoria, l’azione, la codifica e un file di test anonimo. Non inserire dati di origine sensibili non controllati in un ticket di supporto.