Sophos Phish Threat: Gestire le campagne

La gestione delle campagne in Sophos Fusion (in precedenza Sophos Central) riunisce le bozze e le campagne Sophos Phish Threat pianificate, attive e concluse. Lo stato è determinante: una campagna pianificata può ancora essere modificata direttamente, una campagna in corso dovrebbe essere messa in pausa prima delle modifiche e una campagna terminata non può più essere modificata.

Il percorso centrale è Meine Produkte > Phish Threat > Kampagnen. Lì è possibile cercare e filtrare le campagne, gestirne il ciclo di vita e esportare i dati di una campagna aperta.

Trovare rapidamente le campagne

La barra di ricerca trova una campagna in base al suo nome. Inoltre, il filtro per tipo di campagna restringe l’elenco:

• Alle Kampagnen mostra tutte le campagne.
• Phishing mostra campagne simulate di phishing.
• Diebstahl von Zugangsdaten mostra campagne per il harvesting delle credenziali.
• Anhang mostra campagne con allegati dannosi simulati.
• Training mostra campagne dedicate esclusivamente alla formazione.

Il filtro per tipo non è lo stesso dello stato della campagna. La pagina ordina inoltre le campagne in base al loro ciclo di vita:

Una campagna messa in pausa presenta accanto al nome l’indicazione Pausiert. In questo modo si può distinguere una spedizione intenzionalmente interrotta da una campagna solo pianificata o completata.

Completare o scartare le bozze

Un assistente non ancora completato appare sotto Kampagnenentwürfe. Selezionando Fertigstellen si prosegue con la configurazione. Verwerfen rimuove la bozza.

Prima di scartare, bisognerebbe controllare se la bozza contiene adattamenti di modelli propri, una selezione ampia di destinatari o un programma già concordato. Scartare una bozza non equivale a metterla in pausa: la bozza viene rimossa e non può essere ripresa come campagna in corso. Per conservarne la configurazione, completarla oppure documentarla prima di scartarla.

Ricordare agli amministratori sette giorni prima dell’inizio

Sophos può avvisare gli amministratori selezionati sette giorni prima dell’inizio di una campagna Sophos Phish Threat. I destinatari di questo promemoria amministrativo vengono impostati a livello globale:

1. Aprire l’icona Globale Einstellungen.
2. Andare su Produkte & Services > Sophos Phishing Threat > Kampagnenerinnerungen.
3. Selezionare gli amministratori che devono ricevere un promemoria sette giorni prima dell’inizio di una campagna.

Questa impostazione ricorda agli amministratori prima dell’inizio della campagna. Non controlla né i promemoria di formazione per i partecipanti né i messaggi configurati per gli utenti in una campagna.

Dopo una modifica, si dovrebbero controllare gli account amministrativi selezionati e i loro indirizzi e-mail attuali. In una campagna che inizia tra meno di sette giorni, non ci si può aspettare che venga successivamente attivato un promemoria preliminare.

Aprire la campagna e controllare le possibili azioni

Aprire la campagna desiderata sotto Meine Produkte > Phish Threat > Kampagnen. A seconda dello stato, sono disponibili Bearbeiten, Löschen, Klonen, Anhalten, Fortsetzen e Exportieren.

Modificare la campagna

Una campagna imminente può essere modificata prima del suo inizio. Per una campagna già in corso, la procedura sicura è:

1. Aprire la campagna attiva e selezionare Anhalten.
2. Controllare che la campagna sia contrassegnata come Pausiert.
3. Selezionare Bearbeiten. L’assistente di configurazione si aprirà in modalità modifica.
4. Adattare i valori necessari nell’assistente.
5. Verificare la nuova configurazione prima di selezionare Fortsetzen.

In una campagna in pausa è possibile modificare i valori della campagna con due eccezioni: Kampagnentyp e Kampagnen-Startdatum rimangono invariati. I destinatari possono essere aggiunti o rimossi. Tuttavia, un destinatario a cui è già stata inviata l’email della campagna non può più essere rimosso.

Le Vergangene Kampagnen non possono essere modificate. Anche una campagna già conclusa non può essere prorogata con una nuova data di fine. Se è necessaria la stessa configurazione, la campagna viene clonata e programmata come nuova campagna.

Clonare campagna

Klonen trasferisce i dettagli della campagna in una nuova voce sotto Kampagnenentwürfe. Il nome del clone contiene la data di creazione. Aprire la bozza e controllare almeno il nome, i destinatari, i modelli, la formazione e le date di inizio e fine prima di attivarla.

Un clone è una nuova campagna, non la prosecuzione retroattiva dell’originale. Pertanto non include gli eventi già avvenuti nella campagna originale. Questo è il modo appropriato se si desidera eseguire nuovamente una campagna terminata con un calendario o un pubblico destinatario modificato.

Eliminare la campagna

Aprire la campagna e selezionare Löschen in alto a destra. Sophos consente l’eliminazione anche di una campagna completata.

Mettere in pausa e riprendere la campagna

Anhalten interrompe l’invio delle e-mail di attacco, di formazione e di promemoria ancora in sospeso. Le e-mail già recapitate rimangono presso i destinatari. Secondo l’assistenza Sophos, le azioni degli utenti sulle e-mail già recapitate continuano a essere registrate e aggiornate nel rapporto della campagna. Tuttavia, per le campagne che hanno inviato tutte le e-mail immediatamente, le FAQ di Sophos affermano, in modo contraddittorio, che le azioni e il comportamento degli utenti non vengono più aggiornati dopo la sospensione. Se questi dati sono rilevanti per la decisione, si consiglia di testare prima il comportamento con una campagna di prova nel proprio tenant.

La pausa è particolarmente adatta se:

• Le e-mail della campagna non vengono consegnate correttamente e prima deve essere corretto il server di posta,
• deve essere corretto un errore in un modello,
• dovrebbe essere utilizzata un’altra lezione di formazione,
• devono essere aggiunti destinatari per l’invio ancora in sospeso.

Se la campagna ha inviato tutte le e-mail immediatamente, un’interruzione successiva non può recuperare questi messaggi. In caso di invio a intervalli, le e-mail non ancora pianificate non vengono inviate. Tenere presente, in caso di invio immediato, anche la contraddizione sopra descritta per l’ulteriore aggiornamento degli eventi.

Prima di Fortsetzen vengono controllate sia la campagna sia, se necessario, un server di posta corretto. Successivamente la campagna diventa di nuovo attiva: le e-mail di attacco rimanenti seguono il calendario stabilito; le e-mail di formazione e di promemoria correlate vengono inviate ai destinatari interessati.

Le modifiche hanno effetto solo nella misura ancora possibile

Le modifiche a una campagna in pausa valgono per il restante corso della campagna. Non riscrivono gli eventi già avvenuti.

• Se l’utente A ha già ricevuto l’email di attacco precedente, un nuovo modello non sostituisce questo messaggio. Solo i destinatari che non hanno ancora ricevuto l’e-mail ricevono la nuova versione.
• Se l’utente A è già stato assegnato a un training e l’amministratore sostituisce successivamente il corso di formazione, un link di training aperto in seguito conduce al nuovo corso.
• Le e-mail già inviate e gli eventi utente esistenti non vengono annullati tramite pausa, modifica o ripresa. Non è documentato in modo uniforme se Sophos rileva ulteriori azioni sulle e-mail già consegnate dopo una pausa, in caso di invio immediato.

Questo limite deve essere considerato in ogni piano di modifica. Prima di una modifica più ampia, si dovrebbe quindi registrare quali destinatari sono già stati contattati e quali no. Altrimenti, all’interno della stessa campagna, si genera uno stato intenzionalmente misto.

Un’azione amministrativa separata è Kampagnen-Ereignisse löschen nei risultati della campagna. Ciò consente di rimuovere gli eventi di un utente dai risultati. Gli eventi E-Mail gesendet rimangono; Sophos registra l’eliminazione in Audit-Protokoll. Questa funzione non modifica i messaggi inviati ed è indipendente dall’interruzione, modifica o ripresa di una campagna.

Terminare una serie di campagne

Una serie di campagne attiva viene aperta e fermata con Diese Serie beenden. Tuttavia, ciò non impedisce necessariamente la comparsa di future campagne già visibili: nella sezione Bevorstehende Kampagnen le campagne della serie possono ancora apparire se Sophos le ha già generate prima della chiusura della serie.

Controllare quindi sempre Bevorstehende Kampagnen dopo la conclusione. Una campagna singola di questo tipo può essere terminata solo nella settimana precedente alla data prevista. La conclusione della serie e la conclusione delle singole campagne già create sono quindi due fasi di lavoro separate.

Esportare i dati della campagna come PDF o CSV

Aprire la campagna interessata e selezionare Exportieren. Sophos fornisce i dati della campagna come PDF o CSV.

Per la documentazione delle modifiche, l’esportazione viene effettuata prima di un’eliminazione irreversibile e viene archiviata con il nome della campagna, la data di esportazione e lo scopo. Il file CSV è adatto per un’elaborazione strutturata, mentre il file PDF documenta uno stato ben leggibile. L’interpretazione dei risultati della campagna non fa parte di questa guida.

Convalidare la modifica e conoscere le opzioni di ripristino

Dopo ogni azione di gestione, non viene controllato solo il messaggio di conferma, ma anche lo stato visibile della campagna:

1. Tornare a Meine Produkte > Phish Threat > Kampagnen.
2. Cercare la campagna per il nome esatto.
3. Verificare la sezione corretta: bozza, imminente, attiva o passata.
4. In caso di interruzione, controllare l’indicazione Pausiert.
5. Aprire la campagna e confrontare calendario, destinatari, modello e formazione con la modifica approvata.
6. Prima di Fortsetzen, verificare quali destinatari hanno già ricevuto un’e-mail e quale modifica riguarda solo i destinatari rimanenti.
7. Dopo aver terminato una serie, controllare anche Bevorstehende Kampagnen.
8. Aprire a scopo di verifica un’esportazione PDF o CSV prima di eliminare la campagna.

Le opzioni di ripristino dipendono dall’azione:

• Una campagna messa in pausa può essere ripresa dopo un controllo riuscito.
• Una campagna ancora attiva può essere nuovamente messa in pausa e corretta per il restante periodo.
• Una modifica errata ai contenuti non ancora inviati può essere corretta modificandoli nuovamente.
• Interrompere, modificare e riprendere non altera gli eventi già registrati. Attraverso Kampagnen-Ereignisse löschen gli eventi degli utenti possono essere cancellati separatamente; gli eventi E-Mail gesendet rimangono e l’operazione viene registrata in Audit-Protokoll.
• Le campagne eliminate non possono essere ripristinate. Un’esportazione serve come documentazione, ma non come backup importabile.
• Le campagne concluse non possono essere prolungate o modificate. Come alternativa viene creato un clone come nuova campagna.
• Una serie conclusa non viene riattivata per annullare la modifica. Le singole campagne future già generate devono essere controllate separatamente e, se necessario, concluse nel periodo di tempo consentito.