Configurare e testare il riepilogo di quarantena Sophos Firewall

Il riepilogo di quarantena informa via email gli utenti sui messaggi spam trattenuti da Sophos Firewall. Non è una semplice notifica di sistema: invio, assegnazione degli utenti, link di rilascio e portale utente devono funzionare insieme.

Il principale criterio di collaudo è quindi l’intero percorso dell’utente. L’esito positivo dell’invio di un’email di test non conferma che un utente reale riceva il riepilogo, possa accedere al portale corretto e rilasciare un messaggio consentito.

⚠️ Il link di rilascio non rilascia direttamente il messaggio. Apre il portale utente, dove occorre autenticarsi e selezionare il messaggio. L’indirizzo scelto deve quindi essere raggiungibile dai destinatari previsti senza esporre indiscriminatamente il portale ad altre reti.

Configurare il riepilogo in sette passaggi

1. Configurare l’invio in Administration > Notification settings.
2. Definire l’indirizzo del portale, DNS, certificato e reti sorgente consentite per gli utenti previsti.
3. Attivare il riepilogo in Email > Quarantine settings e impostare orario, mittente e nome visualizzato.
4. Selezionare l’indirizzo corretto del portale utente in Release link settings, verificarlo con Send test email e salvare con Apply.
5. Solo in MTA mode: definire l’area di quarantena e i modelli di indirizzo da escludere consapevolmente.
6. Assegnare il riepilogo agli account previsti in Authentication > Groups o Authentication > Users.
7. Usare un messaggio di test realmente messo in quarantena come spam per verificare end-to-end il riepilogo, l’accesso al portale e il rilascio.

Cosa fa e cosa non fa il riepilogo

Il riepilogo elenca i messaggi spam in quarantena con ora di ricezione, mittente, destinatario e oggetto. Offre una vista pratica per l’utente, ma non sostituisce la quarantena amministrativa in Email > SMTP quarantine né l’analisi tecnica di policy, mail log e log MTA.

Le impostazioni generali del riepilogo sono disponibili in MTA mode e Legacy mode. SFOS mostra invece Quarantine area e Skip address patterns solo in MTA mode. Gli amministratori che usano Legacy mode configurano quindi soltanto l’invio, il link di rilascio e l’assegnazione degli utenti.

Ricevono il riepilogo solo gli utenti che si sono autenticati almeno una volta sul firewall. È facile dimenticarlo quando gli account sono stati importati da Active Directory ma non hanno mai effettuato l’accesso al portale utente, al captive portal o a un altro servizio applicabile.

Secondo la documentazione di SFOS 22/23, il riepilogo non è disponibile su XGS 87 e XGS 87w. Questo limite riguarda il riepilogo e non va confuso con il limite separato del MTA mode. Configurare Mail Protection in MTA mode spiega flusso email, policy SMTP e quarantena amministrativa.

Preparare l’invio e l’indirizzo del portale

L’invio usa le impostazioni in Administration > Notification settings. Server email, mittente, destinatario, DNS, route, autenticazione e TLS devono prima funzionare lì. Il test completo del trasporto è descritto in Configurare le notifiche email di Sophos Firewall.

Per il link di rilascio esistono due opzioni:

• Reference user portal IP: SFOS usa l’indirizzo dell’interfaccia selezionata insieme alla porta del portale utente.
• IP address or hostname: SFOS usa l’indirizzo configurato in Administration > Admin and user settings > Admin console and end-user interaction.

La guida alla quarantena di SFOS 22/23 usa un nome diverso per questa sezione: Administration > Admin settings. Conta il campo in Admin console and end-user interaction, non soltanto il nome del menu. Confrontare l’interfaccia installata con il link nel riepilogo ricevuto; le diverse denominazioni non implicano una funzione aggiuntiva di rilascio.

Un FQDN è generalmente più comprensibile e può essere protetto correttamente con un certificato corrispondente. Deve risolversi nell’indirizzo giusto del firewall ed essere raggiungibile dalle reti dei destinatari. Un IP privato dell’interfaccia nel riepilogo normalmente non serve agli utenti esterni o mobili. Al contrario, un indirizzo pubblico non giustifica l’attivazione del portale per ogni rete WAN. La panoramica dei portali Sophos Firewall illustra separatamente le finalità dei portali e la configurazione di Device Access.

Sophos sconsiglia di consentire l’accesso allo User Portal dalla zona WAN. Gli utenti esterni devono quindi stabilire prima una connessione sicura, ad esempio tramite VPN; il riepilogo da solo non giustifica l’accesso dalla WAN. Per gli account autenticati esternamente, includere nel test pilota il primo accesso richiesto al Captive Portal prima di utilizzare lo User Portal per la prima volta.

Il portale utente è un servizio locale. L’accesso viene gestito in Administration > Device access, non mediante una normale regola firewall. Per limitare ulteriormente l’accesso a host o reti specifici si usano le Local service ACL exception rules. Occorre inoltre controllare il proxy web: SFOS considera interne le richieste HTTP e HTTPS che passano attraverso il proxy del firewall. Il portale utente può quindi essere raggiungibile anche se l’accesso dalla zona di origine è disattivato. L’uso del proxy e le relative regole devono pertanto rientrare nello stesso test di accesso.

Configurare il riepilogo

In Email > Quarantine settings, attivare Enable quarantine digest. Impostare quindi frequenza, ora e, se previsto, giorno della settimana. From email address deve contenere un indirizzo valido; Display name deve identificare chiaramente il mittente come quarantena del firewall.

Selezionare poi l’indirizzo preparato in Release link settings. Inviare un messaggio di test con Send test email e, dopo averlo ricevuto, salvare le impostazioni con Apply. Questo messaggio non è sufficiente per il collaudo utente: solo il percorso completo con un utente pilota assegnato conferma pianificazione, assegnazione, accesso al portale e rilascio.

Esempio pilota con valori adattabili

Un esempio adattabile per il pilota è Email frequency: Daily alle 10:00, From email address: firewall@example.com e Display name: Firewall Quarantine. Daily e i nomi dei campi sono valori dell’interfaccia; scegliere ora, mittente e nome visualizzato per il proprio ambiente. Le 10:00 consentono la verifica durante l’orario di lavoro, ma non sono un requisito del prodotto. Sostituire il dominio di esempio con un dominio mittente autorizzato. In MTA mode si può aggiungere sales@example.com con + in Skip address patterns se quel particolare alias condiviso deve essere escluso dal riepilogo. Verificare poi che i suoi messaggi rimangano in SMTP quarantine, ma non siano elencati nel riepilogo.

Interpretare correttamente la pianificazione XML e le liste utenti

Per l’automazione XML, AntiSpamQuarantineDigestSettings separa la configurazione globale in SpamDigestSettings dalle assegnazioni degli utenti in SpamDigestUsers. EmailFrequency usa Hourly, Day o Week; il valore Daily dell’esempio nell’interfaccia corrisponde a Day. I campi in SpamDigestSettings > SendEmailAt dipendono da questa scelta:

• Hourly: secondo il riferimento, Hour descrive l’intervallo in ore, non un orario di invio giornaliero.
• Day: Hour e Minute definiscono l’orario di invio giornaliero. L’esempio pilota 10:00 corrisponde a Hour = 10 e Minute = 0.
• Week: Hour e Minute definiscono l’orario di invio, mentre le voci Days ripetute indicano i giorni della settimana selezionati.

Il riferimento indica l’intervallo 0–23 per Hour e 0–59 per Minute. Le righe Hour/Minute ripetute e contrassegnate come obbligatorie descrivono diversi contesti di frequenza: non richiedono di inserire tutte le varianti contemporaneamente. L’intervallo documentato, da solo, non stabilisce nemmeno un significato verificato per un intervallo orario di 0.

⚠️ I riferimenti XML di SFOS 22/23 si contraddicono sul sabato nella stessa pagina: l’esempio contiene Saturday, ma l’elenco dei valori Days ammessi lo omette. Questo non dimostra né il supporto né il divieto del sabato. Se è necessario un invio il sabato, chiarire il supporto sul build SFOS installato con Sophos Support, anziché copiare il valore dell’esempio senza verificarlo o ipotizzare un equivalente numerico. Non distribuire una pianificazione di produzione per il sabato tramite XML finché il punto non è chiarito.

In SpamDigestUsers, EnableUsers contiene voci EnableUser ripetute per attivare il riepilogo e DisableUsers voci DisableUser ripetute per disattivarlo per gli account indicati. I valori sono nomi utente, non modelli di indirizzo destinatario; queste liste non sono quindi Skip address patterns. Per il pilota, registrare le assegnazioni esistenti, evitare voci in conflitto per lo stesso account e verificare poi le impostazioni salvate degli utenti e della pianificazione, oltre all’invio effettivo del riepilogo. Il riferimento non chiarisce tutti i dettagli della gestione di liste sovrapposte o omesse; non dedurre dall’esempio regole di precedenza o sostituzione.

Area di quarantena e pulizia automatica

In MTA mode, scegliere la dimensione dell’area locale in Quarantine area. SFOS controlla l’utilizzo ogni cinque minuti. Quando raggiunge almeno il 90 per cento della dimensione scelta, elimina i messaggi più vecchi finché l’utilizzo scende al 60 per cento.

Questa pulizia automatica non è un archivio. Un’area troppo piccola può ridurre il tempo per controllo e rilascio; una grande consuma spazio locale. Total utilization in Email > SMTP quarantine mostra l’utilizzo. Controllare spazio e report di Sophos Firewall aiuta a interpretare lo stato complessivo dello spazio di archiviazione.

10 GB è un possibile esempio di configurazione, non un valore predefinito né un periodo di conservazione garantito. Scegliere la dimensione in base al volume di posta, allo spazio libero e al tempo necessario per la verifica, quindi osservare l’utilizzo durante il pilota. Un aumento successivo non ripristina i messaggi già rimossi automaticamente o eliminati con Delete.

Skip address patterns in MTA mode

In MTA mode, in Skip address patterns, inserire ogni indirizzo email del destinatario i cui messaggi in quarantena si desidera escludere dal riepilogo di quarantena, quindi fare clic sul pulsante più + per aggiungere quell’indirizzo all’elenco. Gli indirizzi in Skip address patterns vengono esclusi dal riepilogo di quarantena. Può essere utile per alias condivisi il cui spam non deve essere distribuito a molti utenti. L’impostazione non elimina messaggi e non costituisce un’eccezione ai controlli spam, malware o protezione dati.

Assegnare utenti e gruppi

La configurazione globale non attiva da sola l’invio per tutti. In Authentication > Groups o Authentication > Users, impostare Quarantine digest su Enable per gli account previsti e salvare con Save. In alternativa, effettuare l’assegnazione in Email > Quarantine settings > Change user’s quarantine digest settings. L’impostazione del singolo utente ha la precedenza su quella del gruppo; in caso di risultato imprevisto, occorre quindi controllare entrambi i livelli.

Per un’assegnazione in blocco, aprire Email > Quarantine settings > Change user’s quarantine digest settings, filtrare se necessario per Group e selezionare gli utenti previsti. Se occorre correggere l’indirizzo email di un singolo utente, modificarlo tramite Edit e salvarlo con Save. Completare quindi l’assegnazione con Apply. Successivamente, confrontare l’indirizzo principale e gli alias assegnati consapevolmente con l’account utente interessato.

Gli alias hanno due limiti importanti. Per impostazione predefinita, SFOS non applica automaticamente la configurazione agli alias; devono essere salvati insieme all’indirizzo principale o assegnati in modo esplicito. Il riepilogo può quindi elencare spam destinato a indirizzi principali e alias. Sophos specifica tuttavia che i messaggi inviati agli alias non appaiono nel portale utente. Serve quindi un processo amministrativo chiaro in Email > SMTP quarantine.

Gestire i messaggi nello User Portal

Dopo aver seguito il link nel riepilogo, l’utente accede allo User Portal e apre Quarantine, che contiene la quarantena SMTP. Il link stesso non rilascia alcun messaggio. In questa sezione sono visibili solo i messaggi indirizzati al proprio indirizzo email principale, non quelli destinati ad alias o caselle di posta altrui.

1. Individuare il messaggio desiderato tramite intervallo di date, mittente e oggetto e, se necessario, utilizzare i filtri disponibili.
2. Per un singolo messaggio spam, selezionare Release in corrispondenza del messaggio. Per più messaggi, selezionare le righe desiderate, scegliere Release tra le azioni e fare clic su Go.
3. In caso di falso positivo confermato per la classificazione Spam o Probable Spam, rilasciare il messaggio e segnalarlo a SophosLabs con Release and report. Un messaggio indesiderato può invece essere eliminato con Delete. Prima di entrambe le azioni, controllare destinatario e messaggio.

L’utente può rilasciare solo lo spam in quarantena. I messaggi infetti da virus non possono essere né rilasciati né scaricati. Il firewall esegue una nuova scansione dei messaggi rilasciati e successivamente li consegna; per i messaggi destinati agli alias e per gli altri motivi di quarantena resta necessario il percorso di verifica amministrativa descritto sotto.

Controllare le eccezioni mittente degli utenti

In Exception nel portale utente, un utente autorizzato può consentire o bloccare singoli indirizzi mittente o wildcard come *@example.com. I mittenti consentiti non vengono contrassegnati come spam né spostati nella quarantena spam, ma la scansione antivirus rimane attiva. Se lo stesso indirizzo compare in entrambe le liste, prevale la lista di blocco e il messaggio viene messo in quarantena. Queste eccezioni specifiche dell’utente devono essere incluse nei test pilota e di supporto e non vanno confuse con gli Skip address patterns globali del riepilogo.

Un singolo indirizzo mittente ha un ambito più ristretto di *@example.com. Prima di aggiungere un’eccezione, registrare le voci esistenti e analizzare il falso positivo. Poi verificare un messaggio di test corrispondente e uno non corrispondente. Per il rollback, ripristinare le liste registrate e verificare nuovamente la classificazione spam prevista; questo non richiama i messaggi già consegnati.

Testare l’intero percorso di rilascio

Usare un utente pilota che si sia già autenticato almeno una volta sul firewall. La policy SMTP prevista deve mettere in quarantena come spam un messaggio controllato. Verificare quindi questi stati:

1. Il messaggio appare in Email > SMTP quarantine con destinatario, oggetto e motivo attesi.
2. L’utente pilota riceve il riepilogo all’ora configurata.
3. Mittente, nome visualizzato, oggetto e metadati rispettano i requisiti di protezione dei dati e operativi.
4. Il link apre il FQDN previsto del portale utente con una catena di certificati valida.
5. L’accesso riesce da una rete consentita e fallisce da una rete non prevista. Se si usa un proxy web esplicito, ripetere il test negativo una volta senza proxy e una volta con il proxy.
6. Il messaggio di test consentito può essere rilasciato dopo l’accesso e viene realmente consegnato.
7. Un utente senza assegnazione non riceve alcun riepilogo.

Nel portale utente, un utente vede i messaggi in quarantena indirizzati al proprio indirizzo email principale, ma può rilasciare soltanto lo spam. SFOS esegue una nuova scansione del messaggio rilasciato prima di consegnarlo. Per gli alias e gli altri motivi di quarantena si usa il percorso amministrativo in Email > SMTP quarantine. Qui è possibile rilasciare o eliminare i messaggi filtrati e, per Spam o Probable spam, segnalare un falso positivo a SophosLabs con Release and report. Nemmeno un amministratore può rilasciare i messaggi infetti da virus o quelli che Zero-Day Protection ha giudicato dannosi.

Diagnosticare sistematicamente i problemi

Filtrare con precisione la quarantena amministrativa

Per i messaggi degli alias o una verifica amministrativa, aprire Email > SMTP quarantine. Delimitare il periodo di elaborazione con Start and end dates e inserire parole chiave appropriate in Sender/Recipient/Subject. Controllare destinatario, oggetto e motivo prima di applicare Release, Release and report o Delete ai messaggi filtrati. Un filtro troppo ampio può includere involontariamente altri messaggi.

Filter by varia secondo la modalità di posta:

• MTA mode: Blocked by RBL, Spam, Analyzed by Zero-day protection, Infected, Unscannable content or protected attachment, DKIM verification, Other.
• Legacy mode: Blocked source IP, Blocked destination IP, Unscannable content or protected attachment, Oversized message, Blocked header, Blocked by RBL, Blocked by data protection, Spam, Infected, Other.

Il motivo del filtro non autorizza il rilascio: i messaggi infetti da virus o giudicati dannosi da Zero-Day Protection restano non rilasciabili. Per eliminare messaggi messi in quarantena dall’analisi Zero-Day Protection, il profilo amministratore richiede permessi di lettura e scrittura per Zero-day protection activity. Se manca un’azione, controllare prima motivo e profilo anziché disattivare la protezione. Dopo un rilascio consentito, verificare la consegna effettiva; Delete non è una prova reversibile.

L’email di test non arriva

Controllare prima Administration > Notification settings. Send test email fallisce prima della funzione di quarantena se DNS, route, server email, autenticazione, TLS, mittente o destinatario non sono corretti. Non modificare le assegnazioni o la dimensione dell’area di quarantena finché il trasporto non funziona.

L’email di test arriva, ma non il riepilogo utente

Controllare che Enable quarantine digest sia attivo, che la modifica sia stata salvata con Apply, che pianificazione e fuso orario siano corretti e che l’account sia abilitato in Groups, Users o Change user’s quarantine digest settings. L’impostazione dell’utente può prevalere sulla scelta del gruppo. L’utente deve essersi autenticato almeno una volta. Nel periodo deve inoltre esistere un messaggio spam in quarantena per quel destinatario.

Il link punta all’indirizzo sbagliato

Confrontare Release link settings, interfaccia selezionata, porta del portale e Admin console and end-user interaction. Poi verificare la risoluzione DNS, il nome del certificato e l’accesso dalla rete utente reale. Reinviare il test non corregge l’indirizzo; occorre prima correggere il riferimento del portale.

I messaggi rilasciati rimangono nella coda di posta

Il rilascio non dimostra la consegna. Correlare messaggio e orario in Email > Mail spool e Email > Mail logs. Se una nuova regola posta sopra la regola SMTP prevista corrisponde già al traffico SMTP, SFOS non valuta più la regola sottostante. Questo problema può essere causato da regole IPsec o hotspot create automaticamente e da regole manuali con Rule position: Top.

Prima di modificare la configurazione, registrare l’ordine delle regole e le connessioni interessate. In Rules and policies > Firewall rules, spostare verso il basso solo la nuova regola sovrapposta confermata come causa, finché la regola SMTP prevista viene nuovamente valutata; non modificare la regola MTA automatica. Quindi seguire un messaggio controllato fino alla consegna effettiva, verificare la coda e testare le altre connessioni interessate. In caso di effetti indesiderati, ripristinare l’ordine registrato. Senza una corrispondenza SMTP confermata, non spostare regole alla cieca; verificare server di destinazione, DNS, route e TLS secondo la guida MTA collegata e inoltrare i risultati al supporto se il problema persiste.

I messaggi alias mancano nel portale

Non è necessariamente un errore del riepilogo. Sophos documenta espressamente che i messaggi inviati agli alias non appaiono nel portale. Controllare separatamente indirizzo principale, assegnazione alias, contenuto del riepilogo e quarantena SMTP amministrativa.

Gestione e rollback

I riepiloghi contengono metadati delle comunicazioni e possono restare fuori dal firewall in caselle, archivi o ticket. Mantenere ristretto il gruppo dei destinatari, allineare i tempi di conservazione delle caselle di posta ai requisiti di protezione e includere alias condivisi solo consapevolmente.

Prima del rollback, documentare lo stato globale del riepilogo, la pianificazione, il link di rilascio, le assegnazioni di utenti e gruppi e le impostazioni condivise del portale e delle notifiche. Per la verifica, inviare un messaggio spam controllato all’utente pilota e uno a un utente di controllo il cui riepilogo rimane attivo, quindi verificarne la presenza in Email > SMTP quarantine. Disattivare poi Enable quarantine digest oppure rimuovere l’assegnazione dell’utente pilota, salvando ogni modifica con Apply (Email) / Save (Authentication).

Dopo il successivo ciclo pianificato di invio del riepilogo, l’utente pilota non deve ricevere alcun rapporto. Se è stata rimossa solo la sua assegnazione, il riepilogo dell’utente di controllo conferma che l’esecuzione è avvenuta. Ripristinare le impostazioni del portale o delle notifiche solo se nessun altro servizio le usa. La quarantena resta indipendente dal riepilogo e non viene eliminata nel rollback.