Sophos Email Security: creare e assegnare i criteri

Una Politica Email Security protegge le caselle di posta selezionate da spam, malware, phishing e altre minacce email. Ciò che è importante non è solo quali controlli siano abilitati: l’ambito interno ed esterno, l’ordine e lo stato di applicazione determinano a quali messaggi si applica effettivamente una policy personalizzata.

Modo rapido: aggiungi una policy Email Security in My Products > Email Security > Policies, assegna un nome univoco, seleziona utenti, gruppi o domini interni e, se necessario, limita l’ambito esterno. Controlla impostazioni e azioni, salva la policy, assegnale la priorità corretta e impostala su Policy is enforced. Infine confronta messaggi controllati inviati a un destinatario incluso nell’ambito e a un destinatario di controllo escluso, quindi documenta i risultati osservabili in Message History.

Registra l’ambito e il percorso di ritorno prima di modificarlo

È necessario un elenco aggiornato di caselle di posta e domini protetti, nonché delle eccezioni aziendali note. Prima di apportare la prima modifica, si registra in una modifica o ticket:

nome, scopo e responsabile della nuova policy;
utenti interni, gruppi e domini a cui assegnarla;
indirizzi o domini esterni da includere o escludere;
direzione prevista e azioni previste;
ordine attuale, stato di applicazione e impostazioni pertinenti delle politiche interessate;
Criteri di accettazione, trasmettitori e ricevitori di prova;
Rollback: imposta il nuovo criterio su Policy Bypassed e ripristina l’ordine o le impostazioni precedenti.

In Policies sono presenti tre famiglie per compiti diversi. Email Security gestisce le minacce, Data Control controlla le informazioni sensibili e Secure Message crittografa i messaggi. Per la protezione contro spam, malware, phishing e manipolazione del mittente qui descritta, scegli Email Security; non viene sostituito da un criterio con un nome simile appartenente a un’altra famiglia.

⚠️ Non disabilitare mai la scansione antimalware mediante un’eccezione. Quando un messaggio legittimo viene classificato in modo errato, restringi innanzitutto il controllo, l’ambito e l’ordine interessati. Una correzione quanto più circoscritta possibile è più sicura di un’eccezione generale per un mittente o un dominio.

In EMS mode puoi configurare le policy Email Security, ma le loro azioni vengono valutate solo per il reporting e non applicate ai messaggi. Le policy devono comunque riflettere l’ambiente di posta attuale affinché i verdetti visualizzati siano significativi. Un rilevamento in EMS non costituisce quindi un blocco o una quarantena.

Ecco come Sophos valuta l’ambito della policy

È possibile assegnare una policy personalizzata a utenti interni, gruppi o domini. Per la parte interna del campo di applicazione è sufficiente una voce in uno di questi elenchi interni. Con External puoi aggiungere singoli indirizzi email esterni o interi domini, importarli da un file e includerli o escluderli dall’ambito. La policy si applica quindi ai messaggi tra l’ambito interno e l’ambito esterno definito, in entrata o in uscita, purché la rispettiva impostazione supporti questa direzione.

Sophos valuta gli indirizzi SMTP-Envelope del mittente e del destinatario, non solo le intestazioni visibili From e To. Ciò è particolarmente importante per reindirizzamenti, alias o diversi indirizzi Return-Path. In caso di corrispondenza inaspettata, controlla innanzitutto il mittente e il destinatario della busta nei dettagli del messaggio o nelle intestazioni non elaborate.

Sophos tratta gli indirizzi Plus come accounts+test1234@example.com come alias email. Questa protezione dell’indirizzamento aggiuntiva è supportata solo per i messaggi in entrata.

Gestisci consapevolmente le liste di distribuzione e Shared Mailboxes

Per impostazione predefinita, le policy personalizzate non si applicano a Distribution Lists (DLs), Shared Mailboxes e Public Folders. Se desideri che un DL selezionato o una casella di posta condivisa ricevano la policy personalizzata, attiva Apply custom policy to DL and shared mailbox. Se l’opzione viene omessa, si applica solo Base Policy, anche se l’oggetto è stato selezionato nella policy personalizzata. Public Folders rimangono fuori da questa commutazione; non puoi semplicemente trattarlo come una casella di posta condivisa.

L’impostazione dell’account dipendente Treat a DL as a mailbox è disponibile solo quando Apply custom policy to DL and shared mailbox è abilitata. Quando è selezionata, Sophos tratta la DL scelta come un unico indirizzo di casella di posta: la policy personalizzata si applica solo all’indirizzo della DL, non ai suoi membri. Per applicare la policy alla DL come gruppo, deseleziona Treat a DL as a mailbox. Le DL continuano a comparire nella scheda Groups della policy. L’impostazione non influisce sulle DL sincronizzate tramite AD Sync, che vengono sempre trattate come gruppi.

Prima dell’attivazione, confrontare una casella di posta personale di rappresentanza, una DL e una casella di posta condivisa. Ciò chiarisce se un apparente problema di assegnazione è effettivamente causato da questa gestione a livello di tenant dei criteri definiti dall’utente.

Email Security Crea e stabilisci le priorità delle policy

Apri My Products > Email Security > Policies.
Fare clic su Add Policy e selezionare la famiglia Email Security. Per adattare una politica esistente, apri invece la sua voce.
Assegnagli un nome univoco, ad esempio ES-Inbound-Finance-Strict. Il nome descrive la direzione, il gruppo target e lo scopo; Nuovo criterio non aiuta più tardi né nell’ordine né in un incidente.
Aggiungere gli utenti, i gruppi o i domini desiderati in Internal. Quando passi il mouse sopra un nome utente interno, Sophos ne visualizza l’indirizzo email; Ciò consente di verificare una persona con lo stesso nome prima di salvare.
Se la politica deve applicarsi solo a determinati partner di comunicazione, aprire External. Aggiungi indirizzi o domini manualmente o tramite file e controlla consapevolmente se la lista è inclusa o esclusa.
Controllare le funzioni di protezione richieste e le relative azioni in Settings. In particolare, documentare la direzione desiderata, le azioni per i riscontri, i controlli SPF, DKIM e DMARC e l’ordine dei controlli del mittente. La maggior parte delle impostazioni si applica solo alla posta in arrivo. Le eccezioni includono Enhanced content and file property scan, che può essere applicato anche in entrata e in uscita, S/MIME con direzione selezionabile e l’esclusione di responsabilità in uscita.
Se si utilizza il controllo New domain/sender, documenta l’azione configurata e provalo con un dominio o mittente esterno controllato realmente nuovo per il tenant. Registra separatamente le impostazioni a livello di tenant: non fanno parte di questa assegnazione per destinatario e non devono essere dedotte da essa.
Selezionare l’opzione Apply custom policy to DL and shared mailbox per DLs e Shared Mailboxes e confrontare la selezione con l’elenco di destinazione preparato.
Assicurati che la policy sia salvata e impostata su Policy is enforced. Se un’opzione è bloccata, l’impostazione predefinita globale proviene dal partner o dall’amministratore aziendale; non viene bypassato localmente.
Organizza la policy in base all’obiettivo documentato. Le eccezioni limitate e i gruppi di destinazione specifici hanno la precedenza sulle regole più ampie; la Base Policy funge da fallback. Dopo ogni spostamento, controlla se un’altra policy viene ora applicata per prima allo stesso ambito.
Fare clic su Save e registrare nome, ambito, ordine e stato di applicazione.

Se si modificano contemporaneamente l’ambito, l’ordine e molte azioni, è difficile identificare la causa di un risultato inaspettato. Nei tenant di produzione si lavora quindi con un piccolo gruppo pilota, si verifica l’effetto e solo dopo si amplia l’ambito.

Clona una policy in modo sicuro

La clonazione è adatta se una configurazione esistente deve servire come punto di partenza testato per un gruppo target simile:

Apri My Products > Email Security > Policies e seleziona il criterio di origine.
Fare clic su Clone.
In Clone Policy, modificare il nome e fare clic su Continue.
Dopo aver clonato la Base Policy, aggiungere utenti, gruppi o domini: inizialmente il clone non contiene alcun ambito.
Fare clic su Save e confrontare impostazioni, azioni, ambito e direzione con la modifica.
Il clone è inizialmente impostato su Policy Bypassed. Solo dopo aver controllato lo si inserisce utilizzando Policy Bypassed > Policy is enforced.
Per impostazione predefinita, a un clone viene assegnata una priorità più alta rispetto alla politica originale. Pertanto, controlla e correggi l’ordine prima dell’inizio del pilota.

Il modo sicuro per tornare indietro è quindi semplice: se l’originale rimane invariato, se si verifica un effetto inaspettato, reimpostare il clone su Policy Bypassed e ripristinare l’ordine precedente. Non elimini il clone finché non vengono valutati Message History e il registro delle modifiche.

Controlla l’effetto con Message History

Per l’accettazione usa un destinatario dedicato incluso nell’ambito della nuova policy e un destinatario di controllo comparabile escluso. Invia a entrambi gli stessi messaggi controllati, senza modificare altre policy o impostazioni del tenant durante il test. Includi almeno:

un messaggio normale prevedibilmente ammissibile;
un messaggio di prova autorizzato e innocuo che attiva specificamente una categoria o un’azione di minaccia configurata;
un messaggio con un risultato noto del test SPF, DKIM o DMARC;
con ambito esterno, un partner di comunicazione idoneo e uno non idoneo;
se necessario, un messaggio a una casella di posta personale e uno a una casella condivisa;
quando una DL rientra nell’ambito della policy, messaggi separati all’indirizzo della DL e ad almeno uno dei suoi membri, così da dimostrare l’ambito previsto come casella di posta o gruppo.

In Message History cerca per ora, mittente e destinatario della busta. Per ogni messaggio destinato al destinatario incluso e a quello di controllo, registra ID, timestamp, indirizzi della busta, categoria o risultato di autenticazione e azione. Con EMS attendi solo il risultato segnalato; con una policy applicata registra anche l’azione eseguita.

Categoria, risultato di autenticazione e azione mostrano come Sophos ha elaborato il messaggio; non identificano né dimostrano quale policy fosse effettiva. Accetta l’assegnazione solo quando ambito, ordine e stato di applicazione documentati, insieme al confronto specifico tra destinatari e ai risultati osservabili registrati, corrispondono al piano di test. Una singola consegna o quarantena non è una prova sufficiente.

Limitare sistematicamente gli errori

La nuova politica non si applica

Controlla nell’ordine Policy is enforced, l’ambito interno, l’inclusione o esclusione dell’ambito esterno e la priorità. Per una DL o una casella di posta condivisa controlla anche Apply custom policy to DL and shared mailbox. Un clone della Base Policy potrebbe essere del tutto privo di assegnazione. In EMS è previsto che le azioni non vengano eseguite.

Entra in vigore la politica o l’azione sbagliata

Confrontare gli ambiti delle politiche sovrapposte e il loro ordine. Quindi controlla gli indirizzi SMTP-Envelope nei dettagli anziché solo From e To. Solo quando la corrispondenza della policy è corretta, esamini l’azione configurata e la sequenza di SPF, DKIM, DMARC e altri controlli del mittente.

Un messaggio legittimo è bloccato o messo in quarantena

Registra l’ID del messaggio, l’ora, gli indirizzi delle buste, la categoria, l’azione e i dettagli del controllo del mittente. Analizza le intestazioni non elaborate per il reindirizzamento, il diverso mittente della busta e i risultati effettivi dell’autenticazione. Per prima cosa correggere l’ordine, l’ambito o lo specifico test falso positivo. Non disabilitare la scansione del malware o creare un’eccezione di autorizzazione ampia solo per risolvere rapidamente il singolo caso.

I nuovi mittenti si comportano in modo imprevisto

Controlla l’azione configurata in New domain/sender e se il dominio o mittente di prova era realmente nuovo per il tenant. Ripeti il test specifico per destinatario con un nuovo dominio o mittente esterno controllato e registra i risultati osservabili in Message History. Esamina separatamente le impostazioni a livello di tenant, senza attribuirne l’effetto alla policy assegnata.

Se la causa rimane irrisolta dopo questi passaggi, lascia la nuova policy su Policy Bypassed o ripristina lo stato di applicazione e l’ordine precedenti. Per l’escalation, raccogli i nomi delle policy, l’ambito, la sequenza, gli ID dei messaggi, i timestamp, le intestazioni non elaborate e gli screenshot dei dettagli del controllo del mittente. Ciò significa che Sophos o il partner di supporto possono tracciare la corrispondenza e la traccia di controllo senza modificare ulteriormente il locatario con eccezioni rischiose.