Sophos Email: rilevare e gestire la compromissione di un account

Un avviso di compromissione richiede un’indagine immediata, ma non dimostra che l’account sia stato violato. Sophos Central monitora l’attività email in uscita degli utenti controllati e può segnalare un volume improvvisamente elevato o schemi diversi dal normale. Se l’invio continua mentre l’account è segnalato, gli avvisi possono ripetersi ogni 30 minuti.

Procedura rapida: prendere in carico l’avviso, assegnare un incident owner, registrare mailbox e orario, distinguere un invio massivo legittimo da un abuso, reimpostare le credenziali e disabilitare l’account quando il sospetto è fondato, analizzare gli endpoint assegnati e ripristinare l’accesso solo dopo verifiche con esito positivo. Non aggirare un blocco Sophos per soglia spam/virus con un’eccezione ampia.

Prerequisiti e responsabilità

Prima della configurazione o di un incidente, assicurarsi che:

la funzione Business Email Compromise sia disponibile e gli utenti rilevanti siano monitorati da Sophos Email;
siano approvati almeno due destinatari idonei o un canale di sicurezza costantemente monitorato; una mailbox potenzialmente coinvolta non deve essere l’unico canale;
siano noti incident owner, sostituto e percorsi di escalation verso amministratori identity, email ed endpoint;
il team possa reimpostare password e disabilitare account presso il provider identity o email responsabile; queste azioni non si svolgono nella pagina Sophos Email descritta;
siano noti i dispositivi assegnati al titolare e chi può avviare e valutare l’indagine endpoint.

Account Compromise è distinto dalla protezione impersonation e VIP. Segnala il comportamento sospetto di un account mittente monitorato; non gestisce liste VIP e non dimostra che un messaggio in entrata abbia impersonato qualcuno.

Configurare i destinatari delle notifiche

In Sophos Central aprire Global Settings.
Accedere a Products and Services > Email e scegliere Business Email Compromise.
Aprire la scheda Account Compromise.
In User list, selezionare le persone che gestiranno gli avvisi.
Spostarle in Notify users.
Selezionare Save.

Le persone selezionate ricevono un’email quando Sophos segnala come potenzialmente compromesso uno degli account monitorati. La notifica include utente coinvolto, motivo e azioni consigliate. È quindi una lista di reperibilità, non l’elenco delle mailbox monitorate.

Dopo il salvataggio, una seconda persona confronta Notify users con l’elenco approvato. Verificare indirizzi, monitoraggio del canale e filtri interni. Usare un test approvato del canale, se previsto. Non generare traffico sospetto o malware per provocare un avviso: questa pagina non documenta una funzione di test.

Eseguire il triage senza conclusioni affrettate

Aprire un caso per ogni primo avviso e registrare almeno:

utente o mailbox coinvolta;
ora di ricezione, motivo e gravità indicata;
periodo ed entità dell’invio insolito;
campagne, applicazioni o invii massivi legittimi noti;
dispositivi assegnati e responsabili identity, email ed endpoint;
ogni ripetizione e relativo intervallo.

Una ripetizione ogni 30 minuti indica che l’utente continua a inviare mentre è segnalato. Non è una conferma indipendente né una promessa che ogni attività venga notificata entro quell’intervallo. Tenere aperto l’incidente finché invio e causa non sono verificati.

Chiedere all’utente informazioni su attività impreviste e link o file sospetti utilizzati. Confrontare il periodo con i registri disponibili dei messaggi in uscita e del provider. Una newsletter pianificata può spiegare il volume; destinatari sconosciuti, spam o malware giustificano il contenimento. Per soglie e azioni delle policy usare la guida ad antispam e minacce in uscita.

Contenere account ed endpoint

In caso di abuso plausibile o confermato:

Fermare l’invio. Se serve una limitazione immediata, disabilitare l’account presso il provider identity o email. Eliminarlo solo dopo aver chiarito titolarità, conservazione e ripristino.
Reimpostare la password tramite il servizio identity responsabile. Non conservare né riutilizzare la vecchia password come rollback.
Indagare attività impreviste, link aperti e file utilizzati; passare risultati e intervallo temporale al team endpoint.
Analizzare completamente i dispositivi assegnati. Quando una mailbox viene rilevata mentre invia malware, Sophos Email può opzionalmente avviare una scansione completa degli endpoint assegnati. Verificare assegnazione, avvio e completamento effettivi: la disponibilità non prova l’esecuzione.
Avvisare i team interni interessati se messaggi sospetti potrebbero aver raggiunto destinatari. Definire contenuto e portata dai dati disponibili, non da ipotesi.

Quando rileva malware in uscita, Sophos Central invia una notifica e blocca temporaneamente l’invio della mailbox. La durata varia con il numero di incidenti. È una protezione aggiuntiva, non sostituisce reimpostazione, indagine o disabilitazione. Qui non è documentato uno sblocco manuale supportato; effettuare l’escalation se il blocco permane dopo l’indagine.

Convalidare contenimento e ripristino

Prima di ripristinare l’accesso, confermare che:

l’utente abbia ricevuto nuove credenziali tramite un canale fidato e la vecchia password non funzioni;
l’invio anomalo sia stato spiegato come legittimo oppure indagato e contenuto;
ogni dispositivo assegnato abbia un risultato valutato, non solo una scansione avviata o in attesa;
non siano comparsi nuovi invii sospetti o avvisi dopo 30 minuti; la sola assenza di avvisi non prova la bonifica;
un messaggio innocuo e controllato verso un destinatario interno e, se necessario, esterno segua il percorso previsto; registrare ora, mittente, destinatario ed esito;
incident owner e team identity, email ed endpoint approvino il ripristino.

Se l’account era disabilitato, riabilitarlo presso il provider solo ora. Riprendere con poco traffico normale, non con newsletter o code massive. Un nuovo avviso indica un ripristino fallito: fermare nuovamente l’invio.

Rollback ed escalation

Per correggere destinatari errati, ripristinare lo stato documentato in Account Compromise: rimuovere le voci involontarie da Notify users, aggiungere quelle approvate e selezionare Save. Durante un incidente non rimuovere mai l’ultimo canale funzionante.

Non annullare indiscriminatamente il contenimento. Un account disabilitato per errore può essere riabilitato dopo revisione e approvazione; non si ripristina mai la vecchia password. Non aggirare il blocco temporaneo Sophos con routing, regole allow o disattivazione dell’analisi in uscita.

Effettuare l’escalation se non è raggiungibile un owner, l’utente nega l’attività, l’invio di spam o malware continua, la scansione endpoint non parte o non produce un risultato valutabile, oppure la mailbox resta bloccata dopo la bonifica. Per Sophos Support raccogliere testo e orari degli avvisi, mailbox, numero di incidenti, identificativi messaggio disponibili, periodo d’invio, assegnazione dispositivi e stato scansione. Inviare password, corpi dei messaggi o dati sensibili solo tramite canali approvati.