Configurare e testare il riepilogo di quarantena Sophos Firewall
Il riepilogo di quarantena informa via email gli utenti sui messaggi spam trattenuti da Sophos Firewall. Non è una semplice notifica di sistema: invio, assegnazione degli utenti, link di rilascio e portale utente devono funzionare insieme.
Il principale criterio di collaudo è quindi l’intero percorso dell’utente. Un’email di test riuscita non conferma che un utente reale riceva il riepilogo, possa accedere al portale corretto e rilasciare un messaggio consentito.
⚠️ Il link di rilascio non rilascia direttamente il messaggio. Apre il portale utente, dove occorre autenticarsi e selezionare il messaggio. L’indirizzo del portale non deve quindi puntare a un nome raggiungibile solo internamente né esporre senza controllo un’interfaccia di gestione.
Configurare il riepilogo in sette passaggi
- Configurare l’invio in Administration > Notification settings e verificarlo con un’email di test.
- Definire FQDN del portale, DNS, certificato e reti sorgente consentite per gli utenti previsti.
- Attivare il riepilogo in Email > Quarantine settings e impostare orario, mittente e nome visualizzato.
- Selezionare l’indirizzo corretto del portale utente in Release link settings.
- Definire l’area di quarantena e i modelli di indirizzo da escludere consapevolmente.
- Assegnare il riepilogo agli account previsti in Authentication > Groups o Authentication > Users.
- Usare un vero messaggio di spam in quarantena per verificare end-to-end riepilogo, accesso al portale e rilascio.
Cosa fa e cosa non fa il riepilogo
Il riepilogo elenca i messaggi spam in quarantena con ora di ricezione, mittente, destinatario e oggetto. Offre una vista pratica per l’utente, ma non sostituisce la quarantena amministrativa in Email > SMTP quarantine né l’analisi tecnica di policy, mail log e log MTA.
Ricevono il riepilogo solo gli utenti che si sono autenticati almeno una volta sul firewall. È facile dimenticarlo quando gli account sono stati importati da Active Directory ma non hanno mai effettuato l’accesso al portale utente, al captive portal o a un altro servizio applicabile.
Secondo la guida SFOS 22 attuale, il riepilogo non è disponibile su XGS 87 e XGS 87w. Questo limite riguarda il riepilogo e non va confuso con il limite separato del MTA mode. Configurare Mail Protection in MTA mode spiega flusso email, policy SMTP e quarantena amministrativa.
Preparare l’invio e l’indirizzo del portale
L’invio usa Administration > Notification settings. Server email, mittente, destinatario, DNS, route, autenticazione e TLS devono prima funzionare lì. Il test completo del trasporto è descritto in Configurare le notifiche email di Sophos Firewall.
Per il link di rilascio esistono due opzioni:
- Reference user portal IP: SFOS usa l’indirizzo dell’interfaccia selezionata insieme alla porta del portale utente.
- IP address or hostname: SFOS usa l’indirizzo configurato in Administration > Admin and user settings > Admin console and end-user interaction.
Un FQDN è generalmente più comprensibile e può essere protetto correttamente con un certificato corrispondente. Deve risolversi nell’indirizzo giusto del firewall ed essere raggiungibile dalle reti dei destinatari. Un IP privato nel riepilogo normalmente non serve agli utenti esterni o mobili. Al contrario, un indirizzo pubblico non giustifica l’attivazione del portale per ogni rete WAN. La panoramica dei portali Sophos Firewall distingue finalità del portale e Device Access.
Configurare il riepilogo
In Email > Quarantine settings, attivare Enable quarantine digest. Impostare quindi frequenza, ora e, se previsto, giorno della settimana. From email address deve contenere un indirizzo valido; Display name deve identificare chiaramente la quarantena del firewall.
Selezionare poi l’indirizzo preparato in Release link settings. Send test email verifica se SFOS riesce a inviare un’email di riepilogo attraverso il percorso configurato. Il test non contiene però un vero messaggio utente in quarantena e non dimostra assegnazione, accesso al portale o rilascio.
Area di quarantena e pulizia automatica
In MTA mode, scegliere la dimensione locale in Quarantine area. SFOS controlla l’utilizzo ogni cinque minuti. Quando raggiunge almeno il 90 per cento della dimensione scelta, elimina i messaggi più vecchi finché l’utilizzo scende al 60 per cento.
Questa pulizia automatica non è un archivio. Un’area troppo piccola può ridurre il tempo per controllo e rilascio; una grande consuma spazio locale. Monitorare utilizzo e spazio libero insieme al resto di /var. Controllare spazio e report di Sophos Firewall descrive il percorso diagnostico sicuro.
Interpretare Skip address patterns
Gli indirizzi in Skip address patterns vengono esclusi dai rapporti di quarantena. Può essere utile per alias condivisi il cui spam non deve essere distribuito a molti utenti. L’impostazione non elimina messaggi e non crea eccezioni dai controlli spam, malware o protezione dati.
Assegnare utenti e gruppi
La configurazione globale non attiva da sola l’invio per tutti. In Authentication > Groups o Authentication > Users, impostare Quarantine digest su Enable per gli account previsti. In alternativa, effettuare l’assegnazione in Email > Quarantine settings > Change user’s quarantine digest settings.
Gli alias hanno due limiti importanti. Per impostazione predefinita, SFOS non applica automaticamente la configurazione agli alias; devono essere salvati insieme all’indirizzo principale o assegnati in modo esplicito. Il riepilogo può quindi elencare spam destinato a indirizzi principali e alias. Sophos specifica tuttavia che i messaggi inviati agli alias non appaiono nel portale utente. Serve quindi un processo amministrativo chiaro in Email > SMTP quarantine.
Controllare le eccezioni mittente degli utenti
In Exception nel portale utente, un utente autorizzato può consentire o bloccare singoli indirizzi mittente o wildcard come *@example.com. I mittenti consentiti non vengono contrassegnati come spam né spostati nella quarantena spam, ma la scansione antivirus rimane attiva. Se lo stesso indirizzo compare in entrambe le liste, prevale la lista di blocco e il messaggio viene messo in quarantena. Queste eccezioni specifiche dell’utente devono essere incluse nei test pilota e di supporto e non vanno confuse con gli Skip address patterns globali del riepilogo.
Testare l’intero percorso di rilascio
Usare un utente pilota che si sia già autenticato almeno una volta. La policy SMTP prevista deve mettere in quarantena come spam un messaggio controllato. Verificare quindi questi stati:
- Il messaggio appare in Email > SMTP quarantine con destinatario, oggetto e motivo attesi.
- L’utente pilota riceve il riepilogo all’ora configurata.
- Mittente, nome visualizzato, oggetto e metadati rispettano i requisiti di privacy e gestione.
- Il link apre il FQDN previsto del portale con una catena di certificati valida.
- L’accesso riesce da una rete consentita e fallisce da una rete non prevista.
- Il messaggio di test consentito può essere rilasciato dopo l’accesso e viene realmente consegnato.
- Un utente senza assegnazione non riceve alcun rapporto.
I messaggi infetti e quelli giudicati dannosi da Zero-day protection non possono essere rilasciati. Questo test negativo evita di interpretare un rilascio di spam riuscito come possibilità generale di rilascio.
Delimitare sistematicamente gli errori
L’email di test non arriva
Controllare prima Administration > Notification settings. Send test email fallisce prima della funzione di quarantena se DNS, route, server, autenticazione, TLS, mittente o destinatario non sono corretti. Non modificare assegnazioni o dimensione finché il trasporto non funziona.
L’email di test arriva, ma non il riepilogo utente
Controllare che Enable quarantine digest sia attivo, pianificazione e fuso orario corretti e account abilitato in Groups, Users o Change user’s quarantine digest settings. L’utente deve essersi autenticato almeno una volta. Nel periodo deve inoltre esistere un messaggio spam in quarantena per quel destinatario.
Il link punta all’indirizzo sbagliato
Confrontare Release link settings, interfaccia selezionata, porta del portale e Admin console and end-user interaction. Poi verificare DNS, nome del certificato e accesso dalla rete utente reale. Reinviare il test non corregge l’indirizzo; occorre prima correggere il riferimento del portale.
I messaggi alias mancano nel portale
Non è necessariamente un errore del riepilogo. Sophos documenta espressamente che i messaggi inviati agli alias non appaiono nel portale. Controllare separatamente indirizzo principale, assegnazione alias, contenuto del riepilogo e quarantena SMTP amministrativa.
Gestione e rollback
I riepiloghi contengono metadati delle comunicazioni e possono restare fuori dal firewall in caselle, archivi o ticket. Mantenere ristretto il gruppo dei destinatari, allineare la conservazione ai requisiti di protezione e includere alias condivisi solo consapevolmente.
Per il rollback, disattivare prima Enable quarantine digest o rimuovere l’assegnazione dagli utenti pilota. Generare poi un nuovo messaggio in quarantena e verificare che non venga inviato un altro riepilogo. Ripristinare portale o notifiche solo se nessun altro servizio li usa. La quarantena resta indipendente dal riepilogo e non viene eliminata nel rollback.