Sophos Email: configurare la protezione da malware, allegati e URL

La protezione da malware, allegati e URL non va gestita come una serie di interruttori indipendenti. Bisogna stabilire quale criterio si applica a ciascuna direzione e ai relativi destinatari, quale azione segue un rilevamento e se Message History conferma il risultato. Questa procedura riguarda Sophos Email in Sophos Central, non Mail Protection su Sophos Firewall.

Punto di partenza sicuro: mettere inizialmente in quarantena malware noto e messaggi in entrata non analizzabili, lasciare attiva la scansione avanzata del contenuto e delle proprietà dei file e usare l’estrazione e la scansione consigliate degli URL dai codici QR. Passare all’eliminazione solo quando il team sa esaminare con affidabilità le classificazioni errate. Un’eccezione non deve mai disattivare la scansione malware.

Registrare criterio e stato iniziale

Prima della modifica, aprire la Email Security Policy interessata e annotare:

• direzione in entrata o in uscita;
• utenti, gruppi e domini assegnati;
• posizione della regola e regole che la precedono;
• azioni correnti per malware, messaggi non analizzabili, Intelix e rilevamenti URL o QR;
• eccezioni aziendali note e approvate;
• una combinazione controllata di mittente, destinatario e messaggio per il collaudo.

L’ambito è essenziale. Enhanced content and file property scan vale in entrata e in uscita, mentre l’azione per i messaggi non analizzabili vale solo in entrata. Una regola configurata correttamente ma non corrispondente al flusso atteso non lo protegge. Verificare assegnazione e ordine prima delle opzioni.

Per il troubleshooting annotare anche lo stato di SPF, DKIM e DMARC, la sequenza visibile dei controlli mittente e il periodo di apprendimento dei nuovi mittenti. Il periodo va da 0 a 90 giorni, è di 14 giorni per impostazione predefinita, inizia dal primo messaggio in entrata del mittente e le modifiche interessano i mittenti osservati per la prima volta. Questi segnali possono spiegare un’altra classificazione, ma non sostituiscono le scansioni malware e URL.

Configurare malware e allegati non analizzabili

Malware noto

In Anti-malware scan sono disponibili Delete e Quarantine. La quarantena è più sicura durante l’introduzione perché consente all’amministratore di esaminare il rilevamento. Delete rimuove subito il messaggio e richiede una procedura operativa approvata.

Se si rilascia un messaggio in quarantena per Malware/Virus, l’utente riceve una nuova email contenente il messaggio dannoso originale in un file ZIP protetto da password. La password è riportata nella nuova email. Il rilascio non è quindi una consegna normale e deve restare una decisione consapevole e registrata.

Scansione avanzata del contenuto e delle proprietà

Enhanced content and file property scan usa i metadati del messaggio e degli allegati in regole euristiche. Vale in entrambe le direzioni ed è attiva per impostazione predefinita. Va mantenuta, salvo diversa indicazione di Sophos Support per un caso specifico già analizzato. In caso di falso positivo, circoscrivere prima regola, direzione, file e verdetto.

Messaggi in entrata non analizzabili

Un file danneggiato o inaccessibile, contenuto imprevisto, il timeout dello scanner o un archivio troppo grande o troppo annidato possono impedire la scansione. Le azioni documentate sono Quarantine, Delete, Tag subject line e Add banner.

Iniziare con la quarantena. Un tag nell’oggetto o un banner non rendono sicuro un contenuto non esaminato. Lo Smart Banner compare all’inizio dei messaggi HTML in entrata; nel testo semplice, lo stesso contenuto compare all’inizio del corpo. Le azioni Allow sender, Block sender e Report messages to Sophos devono rispettare il processo self-service. Allow sender non è un rimedio a una scansione fallita. I messaggi cifrati da Sophos e quelli provenienti da indirizzi o domini nella Inbound Allow/Block list vengono comunque sottoposti a scansione malware.

Ricevere in sicurezza copie dei messaggi segnalati

In Global Settings > Products and Services > Email > User Settings, attivare Copy of reported messages e selezionare una o più caselle di posta destinatarie e/o liste di distribuzione. Ogni destinatario configurato riceve una copia di tutti i messaggi segnalati a SophosLabs: quelli segnalati come minaccia e quelli segnalati come puliti, sia da utenti sia da amministratori.

La notifica allega il messaggio originale e include motivo, autore della segnalazione, destinatari della notifica, destinatari del messaggio originale, oggetto e timestamp. Include inoltre esattamente queste intestazioni per l’automazione:

• X-Sophos-EmailReported-ReportedAs
• X-Sophos-EmailReported-Category
• X-Sophos-EmailReported-SubCategory
• X-Sophos-EmailReported-ReportedDate

Poiché l’allegato può contenere elementi dannosi o riservati, limitare l’accesso alle caselle e alle liste selezionate al team investigativo responsabile e trattare l’allegato come prova non attendibile. Non aprirlo direttamente su una normale workstation; esaminarlo soltanto tramite il processo di analisi isolato approvato.

Sophos Central genera un avviso quando una casella di posta o una lista di distribuzione configurata non è più disponibile. Monitorare l’avviso, riparare o sostituire l’oggetto destinatario interessato e confermare poi che una copia della segnalazione venga nuovamente ricevuta.

Impostare Intelix Threat Analysis

Intelix esamina il contenuto attivo potenzialmente dannoso in un ambiente isolato mediante analisi statica e dinamica. Impostare le azioni per verdetto:

• Intelix Malicious: Quarantine o Delete;
• Intelix Suspicious: Quarantine, Deliver, Delete o Tag subject line;
• Intelix Unscannable: il messaggio viene messo in quarantena se Intelix non riesce ad analizzarlo.

Per un progetto pilota, mettere in quarantena sia Malicious sia Suspicious. La consegna diretta di messaggi sospetti richiede una decisione sul rischio documentata. Se è disponibile la scelta della località del servizio Intelix, Let Sophos decide (recommended) è l’opzione documentata per l’instradamento automatico ottimizzato.

Configurare la protezione di URL e codici QR

Quando si attiva QR Code Scanning, le modalità hanno significati differenti:

• Extract URLs and scan for potential threats (Recommended): estrae URL dai codici QR in immagini e allegati e li verifica come normali URL;
• Detect all emails with QR Codes: applica l’azione a ogni messaggio con un codice QR, senza analizzarne il contenuto.

La seconda è un controllo generalizzato dei codici QR, non un’analisi URL più profonda. Per la protezione ordinaria usare estrazione e scansione. Per URL o codici QR dannosi scegliere Quarantine (Recommended) o Delete. La quarantena è il punto di partenza sicuro. Rilasciando un messaggio classificato URL/QR Code, l’originale arriva in un ZIP protetto da password allegato a una nuova email.

Due risultati prevalgono sulle normali eccezioni:

1. Se un messaggio contiene una voce dell’elenco di URL criminali della Internet Watch Foundation, Sophos lo elimina indipendentemente dalla Email Security Policy. L’URL non può essere mostrato nemmeno in Sophos Central o Message History.
2. Sophos interrompe la scansione quando un messaggio contiene moltissimi URL. La soglia non è pubblicata per ragioni di sicurezza. Il messaggio viene messo in quarantena come Unscannable - Excessive URLs. Né l’azione per email non analizzabili né un mittente consentito impediscono questa protezione.

Per i messaggi in entrata, Time of Click URL Protection può riscrivere i normali URL affinché Sophos esegua una ricerca SXL al clic. I siti High Risk non possono essere consentiti; per Medium Risk e Unverified le azioni documentate sono Block, Warn e Allow. Gli URL nei codici QR non vengono riscritti. Prima di cambiare il comportamento, valutare anche messaggi in testo semplice e firmati S/MIME o PGP: la riscrittura protegge il link ma può cambiarne la presentazione; non riscriverlo conserva la firma ma lascia il link senza protezione. Il controllo non si applica ai messaggi firmati DKIM, poiché DKIM viene verificato prima delle modifiche.

Testare in sicurezza e controllare Message History

Iniziare con un gruppo piccolo e inequivocabile. Non inviare mai per email malware attivo o campioni sconosciuti. Per un test negativo usare solo un oggetto controllato e approvato internamente con un destinatario isolato. Se manca tale procedura, esaminare un rilevamento già in quarantena anziché creare codice dannoso.

Il collaudo comprende:

1. un normale messaggio in entrata e uno in uscita con un allegato aziendale pulito e rappresentativo;
2. un messaggio controllato che attiva il controllo malware o allegati approvato;
3. un URL pulito e un test controllato di URL o codice QR per l’azione prevista;
4. un messaggio legittimo con risultati SPF, DKIM e DMARC noti, per non confondere autenticazione e verdetto malware;
5. un messaggio firmato o in testo semplice se è cambiata la gestione della riscrittura.

Registrare ora, direzione, mittente, destinatario e Message-ID. In Message History, aprire Message Details e confrontare categoria, verdetto e azione con il criterio. La scheda URL mostra gli URL estratti da testo o codici QR. L’assenza di un URL IWF è prevista. Per un eccesso di URL cercare Unscannable - Excessive URLs.

Il test riesce solo se il messaggio normale segue il percorso previsto, il rilevamento controllato produce l’azione attesa e Message History conferma la stessa direzione e lo stesso destinatario. La sola consegna non dimostra l’applicazione della regola corretta.

Analizzare metodicamente i falsi positivi

Un file Office legittimo viene bloccato come CXmail/OleDl

Sophos Email rileva come CXmail/OleDl, tra gli altri, gli allegati Office le cui macro scaricano altri file o malware; il relativo rilevamento Endpoint può chiamarsi Troj/DocDl. L’approccio aggressivo può interessare file legittimi. Confermare prima Message-ID, nome file, reale fonte aziendale e verdetto. Per quello scambio specifico, Sophos consiglia di inserire il documento Word o Excel in uno ZIP protetto da password. È opportuno disattivare anche l’esecuzione automatica delle macro di Microsoft Office. Si tratta di un’alternativa di invio circoscritta, non di un’autorizzazione globale del mittente né di un motivo per disattivare la scansione. Consultare le raccomandazioni Sophos sui rilevamenti Troj/DocDl.

L’azione prevista non avviene

Controllare nell’ordine:

1. La direzione corrisponde e il mittente o destinatario appartiene davvero agli utenti, gruppi o domini del criterio?
2. Una regola con priorità maggiore ha trovato corrispondenza per prima?
3. Il verdetto è malware noto, Intelix Suspicious/Malicious, contenuto non analizzabile o categoria URL/QR Code? Le azioni sono diverse.
4. Il messaggio era in entrata? L’azione dei messaggi non analizzabili non vale in uscita.
5. Message History contiene il record atteso e la scheda URL mostra l’URL estratto?

Potrebbe essere un problema del mittente

Se la cronologia mostra anche un errore del mittente o di autenticazione, esaminare i dettagli del sender check e le intestazioni non elaborate. Valutare separatamente SPF, DKIM e DMARC, annotando il primo controllo fallito e il criterio che ha causato l’azione. Confrontare il periodo per nuovi mittenti con la data del primo messaggio in entrata. Correggere in modo circoscritto solo dopo aver chiarito causa e ordine. Non usare mai un’autorizzazione mittente per aggirare errori malware, URL o di scansione.

Un URL o codice QR si comporta diversamente

Per i codici QR, verificare prima se è selezionata l’estrazione e scansione o il rilevamento generalizzato di tutti i messaggi con codice QR. Per Time of Click, controllare che il messaggio fosse in entrata, se fosse in testo semplice o firmato e se un altro servizio avesse già riscritto il link. Sophos non può rivalutare un URL dopo la riscrittura da parte di un altro prodotto. Neppure il rilascio dalla quarantena riscrive gli URL.

Eseguire il rollback senza creare lacune

Prima della modifica salvare ambito, ordine e azioni originali nel change. Se il pilota fallisce, ripristinare esattamente tali valori, quindi confermare con normali messaggi in entrata e in uscita che la regola precedente corrisponda di nuovo. Rimuovere le nuove eccezioni ampie.

Il rollback non deve disattivare la scansione malware né consegnare indiscriminatamente messaggi dannosi o non analizzabili. Se un messaggio legittimo non può essere classificato in sicurezza in tempo, mantenerlo in quarantena e usare uno scambio alternativo controllato. Per l’escalation raccogliere Message-ID, intestazioni non elaborate, categoria, verdetto, ambito, posizione della regola e file o URL interessato. La protezione rimane così attiva durante l’indagine.