Configurare e verificare Sophos Email Post-Delivery Protection

Post-Delivery Protection (PDP) rimuove messaggi che hanno già raggiunto le caselle degli utenti. A tale scopo connette a Sophos Central un dominio protetto Microsoft 365 o Google Workspace. Le funzioni inizialmente sono disattivate e vanno abilitate deliberatamente solo dopo una connessione riuscita.

Confine operativo: questa procedura tratta configurazione e uso in Sophos Central. Il clawback via API e l’accesso API alla quarantena post-delivery sono un processo di automazione separato. Anche il report Post delivery summary non è la fonte della configurazione.

Verificare i prerequisiti e registrare lo stato iniziale

Prima della modifica, verificare e registrare:

• un account Sophos Central con diritti Super Admin per connettere il dominio;
• una licenza Sophos Email valida;
• un dominio protetto già aggiunto e connesso: Microsoft 365 Gateway o Mailflow, oppure Google Workspace Gateway;
• un account amministratore del tenant corretto autorizzato a concedere i permessi richiesti;
• lo stato attuale della connessione Post-Delivery e di ogni interruttore PDP;
• fino a cinque caselle da escludere per un motivo documentato;
• la connessione del provider verificata a livello di dominio con Test connection, quando il flusso del provider offre questa verifica;
• una casella di test controllata riservata alla convalida della consegna e del clawback manuale.

Il browser deve consentire i pop-up Microsoft o Google durante l’installazione. Credenziali memorizzate per un altro tenant causano spesso errori. In tal caso usare una finestra privata e controllare il dominio mostrato prima del consenso.

Per i nuovi account Google Workspace, Google Cloud abilita per impostazione predefinita una policy che impedisce la creazione di chiavi degli account di servizio. Disabilitarla prima della connessione PDP, altrimenti questa fallisce. Coordinare la modifica con il responsabile Google Cloud e documentarla.

Separare remediation automatica e manuale

Le due funzioni hanno trigger diversi:

• Auto search and remediate cerca nelle caselle messaggi consegnati che in seguito risultano dannosi. Remove emails containing malicious URLs agisce sugli URL classificati successivamente come dannosi; Remove emails containing malware sul malware rilevato dopo la consegna. I messaggi passano alla quarantena post-delivery.
• On demand clawback viene avviato da un amministratore per un messaggio già consegnato e ritenuto inadatto a uno o più destinatari. Non è un verdetto malware automatico. I messaggi selezionati vengono ritirati nella quarantena post-delivery.

Include internally forwarded emails estende entrambe le operazioni alle copie inoltrate o risposte internamente. Per il clawback manuale include posta in arrivo ed elementi inviati. È supportato solo per le caselle Microsoft 365. Se disattivato, la remediation riguarda solo il messaggio consegnato in origine.

Exclude mailboxes può esentare al massimo cinque caselle da PDP. Né il clawback automatico né quello manuale vi rimuovono messaggi. Ogni esclusione è quindi una lacuna deliberata e richiede responsabile, motivazione e data di revisione.

Connettere Microsoft 365

1. In Sophos Central aprire Global Settings.
2. Accedere a Products and Services > Email > Gateway Domains oppure, per Mailflow, a M365 Mailflow Domains.
3. In Post-Delivery, passare sullo stato del dominio e selezionare Connect.
4. Se Sophos non rileva il servizio, scegliere Microsoft M365. Leggere e accettare le condizioni d’uso.
5. Esaminare le finestre dei permessi e concedere il consenso con un amministratore del tenant corretto. Normalmente compaiono due richieste, per l’applicazione master Sophos e per l’accesso API; un consenso precedente può ridurle a una.
6. Selezionare Continue, attendere alcuni minuti e selezionare Close solo al termine.
7. Controllare lo stato. Aprire Configure Post Delivery, abilitare le funzioni approvate e selezionare Save.

La mancata ricomparsa di una finestra di consenso non indica di per sé un guasto: Sophos Central può riutilizzare un’autorizzazione Microsoft 365 per altri domini dello stesso tenant. Contano tenant corretto e stato risultante.

Connettere e autorizzare Google Workspace

1. Aprire Global Settings > Products and Services > Email > Gateway Domains.
2. In Post-Delivery, passare sullo stato del dominio e selezionare Connect.
3. Se richiesto il servizio, scegliere Google Workspace e accettare le condizioni.
4. Selezionare l’amministratore Google Workspace del dominio corretto, verificare l’account e concedere tutti gli accessi richiesti. PDP non funziona senza questi permessi.
5. Selezionare Continue, attendere il completamento e fare clic su Close.
6. Nella riga espansa del dominio copiare Google OAuth Client ID e l’elenco degli OAuth scopes con i pulsanti Copy.
7. Aprire il link fornito a Google Workspace Admin Console, selezionare Add new, incollare ID client e scope separati da virgole e selezionare Authorize. Selezionare Overwrite existing client ID solo se l’ID esiste già e va sostituito intenzionalmente.
8. Tornare a Sophos Central ed eseguire Test connection. L’autorizzazione può richiedere alcuni minuti; un test riuscito conferma l’autorizzazione completa.
9. Aprire Configure Post Delivery, abilitare le funzioni approvate e selezionare Save.

Sophos Central può riutilizzare un’autorizzazione Google Workspace per più domini dello stesso tenant. Verificare comunque separatamente dominio, account e stato.

Configurare l’ambito di protezione

Procedere per fasi:

1. Abilitare e salvare prima On demand clawback per il dominio connesso.
2. Eseguire un clawback controllato e innocuo e verificarne il risultato.
3. Abilitare Auto search and remediate, quindi selezionare esplicitamente le sotto-opzioni richieste per URL dannosi e malware.
4. Per Microsoft 365, abilitare Include internally forwarded emails solo dopo averne valutato la portata più ampia.
5. Aggiungere le caselle indispensabili in Exclude mailboxes e documentare limite di cinque e lacuna risultante.

Le sotto-opzioni sono essenziali: abilitare Auto search and remediate non stabilisce da solo se rimuovere rilevamenti successivi di URL, malware o entrambi.

Convalidare in sicurezza

Non inviare malware reale o campioni sconosciuti. Eseguire prima Test connection per il dominio quando il flusso del provider offre questa verifica. Consegnare quindi un messaggio in ingresso innocuo e riconoscibile a una casella di test isolata di quel dominio connesso e seguire questo flusso nell’interfaccia:

1. Registrare ora, mittente, destinatario, oggetto e Message-ID.
2. Aprire Reports > Email Security Logs > Message History. Filtrare i messaggi in ingresso con Delivery Successful e usare Advanced Search e i dati registrati per individuare il messaggio idoneo. È possibile ritirare solo messaggi consegnati correttamente a caselle di un dominio connesso per PDP.
3. Selezionare l’oggetto per aprire Message Details, selezionare solo la riga del destinatario della casella di test controllata e scegliere Initiate clawback. Nella finestra, selezionare un motivo e, se disponibile, indicare se segnalare il messaggio a SophosLabs; scegliere Clawback per avviare l’azione.
4. In Message Details, controllare Additional details. La progressione prevista è Clawback Initiated e poi Clawback Successful; l’elaborazione del provider può richiedere fino a 10 minuti. Per una lista di distribuzione lo stato può restare Clawback Initiated anche dopo un tentativo riuscito.
5. Se lo stato diventa Clawback Failed, esaminare Additional details e ricontrollare consegna riuscita, destinatario selezionato e connessione del dominio della casella. Correggere la causa specifica prima di effettuare un solo nuovo tentativo.
6. Confermare che il messaggio non sia più nella casella selezionata e compaia in My Products > Email Security > Quarantined Messages > Post delivery quarantine. In alcune viste il percorso parte da Email Security Dashboard. Verificare lì destinatario e messaggio. Usare Release o Delete solo dopo il controllo del contenuto e secondo il processo interno di rilascio o eliminazione.
7. Confrontare l’evento in Reports > Post delivery summary, senza scambiare il report per configurazione.

Non convalidare la remediation automatica inviando contenuto dannoso. Esaminare un rilevamento legittimo esistente o attendere una reale riclassificazione nel pilota, quindi confrontare casella, quarantena e riepilogo.

In Google Workspace, messaggi instradati internamente a più destinatari possono mostrare errori individuali nel riepilogo benché il messaggio sia già stato ritirato. Google elabora ogni destinatario separatamente. Controllare la casella reale prima di ripetere il clawback.

Diagnosticare stato ed errori

La connessione non termina

Il messaggio visualizzato determina il passo seguente:

• Failed to establish session: session has timed out: riprovare in una nuova finestra privata e consentire i pop-up.
• Consent for API access wasn’t granted o consent for data access wasn’t granted: riconnettere con l’amministratore corretto e approvare tutti gli accessi.
• Domains … don’t match: confrontare dominio Sophos Email e tenant connesso; non aggirare il problema dando consenso nel tenant errato.
• Google richiede Google APIs Terms of Service o Google Apps Admin APIs Terms of Service: accettarle come amministratore e riconnettere.
• Google segnala accesso ai dati Cloud negato, Access was denied o errore applicativo: controllare finestra annullata, accessi selezionati e account.
• Il test Google continua a fallire: confrontare ID client e scope separati da virgole con la riga del dominio, attendere la propagazione e riprovare. Controllare anche la policy di creazione delle chiavi degli account di servizio.

Riconnettere rapidamente più volte non corregge consenso mancante o dominio diverso. Correggere la causa e fare un solo nuovo tentativo.

La connessione esiste ma il messaggio non viene rimosso

Controllare nell’ordine:

1. Il dominio interessato risulta connesso?
2. Auto search and remediate o On demand clawback è stato salvato con la sotto-opzione URL o malware appropriata?
3. La casella è in Exclude mailboxes?
4. Si attendono copie interne in Google Workspace o con l’opzione Microsoft disattivata? In questi casi tale ambito non è disponibile.
5. Il messaggio era già consegnato, è stato scelto il destinatario corretto ed esiste un risultato in quarantena o nel riepilogo?
6. Con più destinatari Google, l’errore è solo l’effetto documentato dell’elaborazione interna benché la casella sia già stata corretta?

Un messaggio mai riclassificato come dannoso non è un test negativo di Auto search and remediate. Serve un rilevamento valido successivo alla consegna.

Eseguire il rollback senza rilascio incontrollato

Prima della configurazione registrare connessione, interruttori, sotto-opzioni, opzione di inoltro interno ed esclusioni. Se il pilota fallisce, ripristinare prima lo stato iniziale documentato e salvare. Non rilasciare o eliminare in blocco i messaggi; valutarli singolarmente.

Per rimuovere completamente il collegamento usare Disconnect sotto Post-Delivery. Ciò arresta la scansione dei messaggi consegnati e le ulteriori azioni post-delivery per il dominio. Per Google Workspace confermare un amministratore, accettare condizioni e finestre dei permessi, attendere la fine e controllare lo stato.

Dopo il rollback usare un messaggio innocuo per confermare la consegna normale e verificare che non sia attesa o avviata una nuova operazione PDP. Per l’escalation raccogliere dominio, provider, stato, ora UTC, tenant amministratore, errore esatto, opzioni PDP, destinatario, Message-ID ed esiti di quarantena e riepilogo. Non inserire password, token o altre credenziali nel ticket.