Configurare i criteri Web e i limiti dei dati in Sophos Protected Browser

I criteri Web di Sophos Protected Browser stabiliscono chi può accedere a quali destinazioni con quale stato del dispositivo e cosa può accadere a download, upload e dati. L’ordine di valutazione è fondamentale: il browser controlla i criteri attivi in base alla priorità e utilizza il primo le cui condizioni corrispondono interamente. I criteri successivi non vengono più valutati.

Per un’implementazione sicura, creare innanzitutto un criterio pilota con ambito ristretto, posizionarlo prima delle regole più generali e testare separatamente accesso, trasferimenti di file e limiti dei dati. Il criterio di base contiene le azioni predefinite usate quando non sono presenti altri criteri.

Prerequisiti, licenza e ruoli

Prima della configurazione, i User groups necessari devono già esistere in Sophos Fusion (in precedenza Sophos Central) e Device posture, Application groups, Site lists e Web categories devono essere già presenti come oggetti criterio. Solo gli utenti e gli oggetti creati in precedenza compaiono poi in Conditions. Inoltre, un gruppo di utenti assegnato non può essere vuoto: deve contenere almeno un utente.

Prima di apportare modifiche, verificare che My Products > Protected Browser > Web policy sia visibile e modificabile nel proprio tenant. Se l’area non è presente o è di sola lettura, non procedere ipotizzando che serva un ruolo più ampio, ma chiarire l’assegnazione di licenze e ruoli del tenant.

Gli oggetti criterio necessari devono essere creati in anticipo in Sophos Fusion; la loro creazione non fa parte di questa procedura.

Comprendere la logica dei criteri prima della configurazione

Un criterio ha come Overall effect Allow, Block o Warn:

Allow consente ai gruppi di utenti e agli stati dei dispositivi selezionati di accedere alle destinazioni scelte.
Block blocca tale accesso.
Warn consente l’accesso, ma mostra prima un avviso.

Gruppo di utenti e stato del dispositivo sono collegati da AND: se entrambi sono specificati nel criterio, devono corrispondere entrambi. I criteri di destinazione Application group, Site list e Web category sono invece collegati da OR: è sufficiente che corrisponda un solo criterio di destinazione.

Di conseguenza, insiemi ampi di destinazioni possono diventare rapidamente efficaci. Ad esempio, un criterio per il gruppo di utenti Finanzen-Pilot, lo stato del dispositivo Windows, un gruppo di applicazioni e un elenco di siti corrisponde quando utente e stato del dispositivo corrispondono e la destinazione appartiene al gruppo di applicazioni oppure all’elenco di siti. Finanzen-Pilot è solo un nome di esempio e deve essere sostituito da un gruppo esistente e non vuoto del proprio tenant.

Gestire consapevolmente il criterio di base

Il Base policy contiene un Web filtering profile e Default actions for downloads, uploads, and data boundaries. Queste azioni predefinite si applicano se nessun altro criterio le sostituisce. Per modificarlo, aprire My Products > Protected Browser > Web policy e selezionare Base policy.

Il criterio di base può essere modificato, ma non eliminato, clonato o spostato nella graduatoria. Inserire quindi i requisiti specifici in criteri separati con un ambito più ristretto. In questo modo il criterio di base resta un percorso di fallback prevedibile e le eccezioni possono essere controllate tramite priorità e stato.

Attivare Phishing Protection globalmente e nei criteri

Phishing Protection monitora i moduli delle pagine Web per gli indirizzi e-mail o i domini aziendali specificati. La protezione interviene quando viene inserito o inviato un indirizzo monitorato; non analizza i messaggi e-mail. È un controllo distinto e non deve essere equiparato al filtro per categorie Web né ai limiti degli Appunti o dei file.

Definire prima gli indirizzi da proteggere

Aprire My Products > Protected Browser > Settings e selezionare la scheda Phishing Protection.
Attivare Phishing Protection.
In Email domains to protect, inserire i domini aziendali o i singoli indirizzi e-mail necessari. example.com è un dominio fittizio di esempio che comprende tutti gli utenti di quel dominio; pb-pilot@example.com rappresenta un singolo indirizzo di test. Nel tenant utilizzare un indirizzo di test della propria organizzazione esplicitamente autorizzato, inizialmente non l’intero dominio di produzione.
Salvare con Save. Solo dopo è possibile attivare la protezione nel criterio di base o in un criterio personalizzato.

L’impostazione globale determina quali indirizzi vengono monitorati. Il criterio determina su quali destinazioni e con quale risposta si applica la protezione. Il solo interruttore globale non sostituisce quindi la configurazione del criterio.

Scegliere separatamente il criterio di base e quello personalizzato

In My Products > Protected Browser > Web policy > Base policy, attivare Enable Phishing Protection e scegliere Warn o Block. Nel criterio di base questo controllo riguarda siti Web noti ad alto rischio o con scarsa reputazione. Warn mostra un avviso e lascia all’utente la decisione di proseguire. Block impedisce di inserire l’indirizzo e-mail monitorato.

Anche in un criterio personalizzato attivare Enable Phishing Protection, scegliere Warn o Block e salvare con Save. Qui il controllo si applica alle applicazioni e ai siti Web coperti dal criterio indipendentemente dal loro livello di rischio. Limitare quindi consapevolmente gruppo di utenti, stato del dispositivo, condizioni di destinazione, stato e priorità. L’azione antiphishing non è l’Overall effect del criterio: un’applicazione consentita nel complesso può comunque bloccare l’inserimento di un indirizzo monitorato. Per il progetto pilota utilizzare un’applicazione di test raggiungibile e consentita, così che un blocco generale dell’accesso non mascheri il test del modulo.

Verificare senza un vero sito di phishing

Utilizzare una pagina di modulo autorizzata e innocua sotto il proprio controllo e un singolo indirizzo di test autorizzato. Non inserire password reali e non visitare siti sospetti.

Registrare lo stato globale precedente, l’elenco degli indirizzi e le impostazioni antiphishing dei criteri interessati. Limitare un criterio pilota personalizzato al gruppo di test e alla pagina del modulo e posizionarlo prima di regole corrispondenti più ampie.
Aggiungere globalmente l’indirizzo di test e scegliere Enable Phishing Protection > Warn nel criterio pilota. Inserire l’indirizzo monitorato nel modulo o tentare di inviarlo. È previsto un avviso; una prosecuzione autorizzata verifica la decisione dopo l’avviso, non un blocco.
Modificare soltanto l’azione antiphishing in Block e ripetere il tentativo. L’indirizzo monitorato non deve poter essere inserito o inviato. Con un indirizzo fittizio non monitorato verificare che questo controllo non blocchi indiscriminatamente ogni indirizzo.
Annotare ora del test, utente, applicazione, URL del modulo e decisione osservata. Verificare poi gli eventi nei report Phishing Protection. Il test sulla destinazione innocua dimostra l’effetto del criterio personalizzato indipendentemente dalla reputazione, non la classificazione del rischio o l’attivazione del criterio di base.

Se l’interruttore del criterio non compare o manca la risposta prevista, verificare prima l’attivazione globale, l’indirizzo o il dominio salvato e il primo criterio attivo corrispondente. Un report vuoto non dimostra né una protezione riuscita né la sua disattivazione. Senza un risultato chiaro, mantenere l’implementazione limitata al progetto pilota.

Dopo una modifica o la disattivazione del criterio di phishing, ricaricare le schede protette già aperte oppure aprire una nuova pagina prima di ripetere il test. In NZT-11106, Sophos documenta che, in caso contrario, le schede già aperte possono continuare a cancellare il testo monitorato quando si preme Invio. Anche dopo il ripristino del criterio pilota, ricaricare prima la pagina e poi verificare con i valori di test innocui. Questo comportamento, da solo, non dimostra che il criterio salvato sia errato. Verificato al 24 ottobre 2026.

Per il ripristino, riportare il criterio pilota allo stato precedente documentato oppure disattivarlo con Update, quindi verificare quale criterio subentra effettivamente. La protezione antiphishing ancora attiva nel criterio di base può rimanere efficace dopo la disattivazione del progetto pilota. Ripristinare l’elenco degli indirizzi e l’interruttore globali solo se nessun altro criterio necessita di tale modifica. La disattivazione globale rimuove il prerequisito anche per altri criteri antiphishing e non è un ripristino privo di rischi di un singolo criterio.

Selezionare la protezione di download e upload

I profili di azione non sono varianti dello stesso livello di sicurezza. In particolare, allow without scanning e allow if unscannable hanno un impatto sul rischio diverso da un profilo che blocca un file che non può essere analizzato.

Protezione dei download

Block all downloads: blocca tutti i download di file.
Allow all downloads without scanning: consente tutti i download senza analizzare i file né verificare la reputazione dei relativi URL.
Scan risky downloads and block if unscannable: analizza file di testo, Microsoft Office e PDF, verifica la reputazione dell’URL e blocca i file che non possono essere analizzati.
Scan risky downloads and allow if unscannable: esegue gli stessi controlli, ma consente i file che non possono essere analizzati.
Scan only executable downloads: analizza file binari ed eseguibili, verifica la reputazione dell’URL e consente i file che non possono essere analizzati.

Protezione degli upload

Block all uploads: blocca tutti gli upload di file.
Allow all uploads without scanning: consente tutti gli upload senza analizzare i file né verificare la reputazione dei relativi URL.
Scan risky file uploads and block if unscannable: analizza file di testo, Microsoft Office e PDF, verifica la reputazione dell’URL e blocca i file che non possono essere analizzati.
Scan risky file uploads and allow if unscannable: esegue gli stessi controlli, ma consente i file che non possono essere analizzati.
Block document and text uploads, scan other file types: blocca documenti e file di testo, analizza gli altri tipi di file verificando anche l’URL e consente i file che non possono essere analizzati.

Protected Browser valuta la reputazione dei file mediante Sophos Extensible List (SXL). In determinati casi, Sophos Intellix analizza file specifici. Prima del test pilota, chiarire la classificazione dei dati e se l’analisi cloud è consentita. Le decisioni sulla privacy e sulla condivisione dei dati a livello di tenant restano separate dai profili criterio specifici del prodotto descritti qui.

Scegliere correttamente i limiti dei dati

I limiti dei dati controllano Screen capture, sharing and recording, Printing, Save page e Cut, copy, paste. I limiti degli Appunti non si applicano esplicitamente alla barra degli indirizzi del browser. Un test riuscito degli Appunti nel contenuto della pagina non dimostra quindi che la barra degli indirizzi sia controllata.

Consenti tutto

Questo profilo consente acquisizione dello schermo, condivisione e registrazione, stampa, salvataggio della pagina e operazioni taglia, copia e incolla. Non impone nessuno dei limiti dei dati descritti.

Consentire la copia verso l’esterno — bloccare l’inserimento dall’esterno

Allow copy/paste outside the browser - block pasting inwards consente di tagliare e copiare dalle applicazioni selezionate e di incollare in risorse esterne al browser. Il percorso inverso è bloccato: i contenuti provenienti da fonti esterne non possono essere incollati nelle applicazioni selezionate. Acquisizione dello schermo, condivisione e registrazione, stampa e Save page sono consentiti. Per questo profilo non è indicata un’opzione aggiuntiva di esclusione temporanea; le azioni sullo schermo indicate sono già consentite.

È un limite direzionale all’ingresso, non un blocco contro la fuoriuscita dei dati. Per esempio, i risultati di un’applicazione di IA selezionata possono essere copiati all’esterno, mentre l’inserimento di contenuti esterni in quell’applicazione resta bloccato. Gli upload di file continuano a essere gestiti separatamente dalla protezione degli upload.

Mantieni i dati nelle destinazioni di questo criterio

Acquisizione dello schermo, condivisione e registrazione, stampa e Save page sono bloccati. Taglia, copia e incolla funzionano all’interno delle destinazioni selezionate, ma il testo non può essere incollato al di fuori di esse. Non sono consentiti né l’inserimento da fonti esterne né l’esclusione temporanea della protezione da acquisizione dello schermo, condivisione e registrazione.

Questo profilo è adatto quando i dati possono circolare tra applicazioni coperte dallo stesso criterio, ma non possono uscire da questo insieme di destinazioni. Ad esempio, se Jira e Salesforce appartengono al gruppo di applicazioni selezionato, gli Appunti restano disponibili tra queste destinazioni.

Mantieni i dati nelle destinazioni: consenti e registra l’esclusione

Gli Appunti restano limitati alle destinazioni selezionate e non è consentito incollare da fonti esterne. Le operazioni taglia, copia e incolla vengono registrate. Acquisizione dello schermo, condivisione e registrazione sono normalmente bloccati, ma gli utenti finali possono escludere temporaneamente questa protezione. Printing e Save page sono consentiti dopo un avviso.

Questo profilo è meno rigoroso della variante senza esclusione. Usarlo solo se una legittima esigenza di eccezione giustifica l’esclusione consentita e le autorizzazioni successive all’avviso.

Mantieni i dati nelle destinazioni: consenti di incollare dall’esterno

Acquisizione dello schermo, condivisione e registrazione, stampa e Save page sono bloccati. Anche taglia e copia sono bloccati, mentre incolla è consentito. È quindi possibile introdurre dati esterni nelle destinazioni protette senza poter copiare contenuti al di fuori di esse. Non è prevista un’esclusione temporanea della protezione da acquisizione dello schermo, condivisione e registrazione.

Per Keep data within this policy’s destinations - allow pasting from outside, la descrizione e la mappatura esplicita delle impostazioni si contraddicono: la descrizione menziona l’inserimento in entrambe le direzioni, ma la mappatura blocca taglia e copia e consente incolla. Per la pianificazione continua a valere la mappatura restrittiva indicata sopra. Non si tratta di un’autorizzazione confermata a copiare verso l’esterno. Prima dell’uso in produzione verificare entrambe le direzioni con contenuti innocui; in caso di differenze interrompere l’implementazione e chiedere a Sophos Support di chiarire il comportamento.

Mantenere i dati nelle destinazioni — consentire condivisione dello schermo e registrazione

Keep data within this policy’s destinations - allow screenshare and recording consente acquisizione dello schermo, condivisione e registrazione per le destinazioni selezionate. Printing e Save page restano bloccati. Taglia, copia e incolla sono consentiti all’interno delle destinazioni del criterio; non sono consentiti né l’inserimento di tali contenuti fuori dalle destinazioni né l’inserimento da fonti esterne. La mappatura indica inoltre come consentita l’esclusione temporanea da parte dell’utente della protezione da acquisizione dello schermo, condivisione e registrazione. Poiché le azioni sullo schermo sono già consentite, ciò non rappresenta una garanzia di protezione aggiuntiva.

Il limite degli Appunti non impedisce qui la trasmissione di contenuti visibili tramite condivisione dello schermo o registrazione. Scegliere il profilo solo se questa trasmissione è autorizzata per le applicazioni interessate.

Mantieni i dati all’interno di Protected Browser

Acquisizione dello schermo, condivisione e registrazione, stampa e Save page sono bloccati. Taglia, copia e incolla sono possibili solo all’interno di Protected Browser; il testo esterno può essere incollato nel browser. Non è prevista un’esclusione temporanea della protezione da acquisizione dello schermo, condivisione e registrazione.

La differenza rispetto al limite basato sulle destinazioni è importante: questo profilo crea un confine attorno all’intero Protected Browser, non solo alle destinazioni coperte dallo stesso criterio.

Verificare direzioni e percorsi alternativi nel progetto pilota

Verificare i sette profili in base alle mappature sopra indicate, non soltanto al nome. Utilizzare una stringa di testo innocua nel contenuto della pagina, due destinazioni dello stesso criterio, una destinazione non coperta e un’applicazione esterna. Escludere deliberatamente la barra degli indirizzi dai test dei limiti degli Appunti.

Verso l’interno: Incollare la stringa dall’applicazione esterna in una destinazione coperta. L’operazione deve fallire con il profilo che blocca l’inserimento dall’esterno e con i profili basati sulle destinazioni senza autorizzazione all’inserimento esterno; Consenti tutto, Consenti di incollare dall’esterno e il limite attorno all’intero Protected Browser la consentono.
Verso l’esterno e tra destinazioni: Verificare separatamente taglia e copia nella destinazione coperta, incolla nella seconda destinazione coperta e poi nella destinazione non coperta o nell’applicazione esterna. Consenti tutto e Consenti la copia verso l’esterno consentono l’uscita. I profili basati sulle destinazioni la limitano alle proprie destinazioni; nel profilo descritto in modo contraddittorio che consente incolla, già taglia e copia devono fallire secondo la mappatura restrittiva. Il limite del browser consente solo il percorso all’interno di Protected Browser.
Altre vie di uscita: Verificare singolarmente acquisizione dello schermo, condivisione, registrazione, stampa e Save page. Nella variante con esclusione registrata verificare anche l’esclusione temporanea autorizzata della protezione dello schermo e gli avvisi prima di stampare o salvare la pagina. Nella variante che consente la condivisione dello schermo, le azioni sullo schermo devono funzionare, mentre stampa e salvataggio restano bloccati.

Per ogni test annotare profilo, origine, destinazione, risultato previsto e risultato osservato. Un esito positivo per gli Appunti non dimostra né un blocco degli upload né un blocco della condivisione dello schermo. Non aggirare differenze non chiarite passando a Consenti tutto.

Configurare un criterio pilota

Aprire My Products > Protected Browser > Web policy e, in Policies, selezionare Add Policy.
Immettere un Name univoco, ad esempio PB-Finanzen-Pilot, e una Description con finalità e persona responsabile. Il nome di esempio può essere scelto liberamente; non sostituisce un gruppo di utenti esistente.
In Overall effect, selezionare Allow, Block o Warn. Un criterio con azioni su file e limiti dei dati deve usare Allow o Warn.
In Conditions > User group, selezionare Edit. In Edit user groups > Available, scegliere il gruppo pilota esistente e spostarlo in Assigned. Verificare che contenga almeno un utente e confermare con Save.
Selezionare uno o più valori Device posture. Scegliere quindi le destinazioni necessarie tramite Application group, Site list e/o Web category. Selezionare Any solo quando la condizione non deve volutamente essere limitata a un determinato gruppo di utenti o oggetto criterio.
In Actions, selezionare i profili Download protection, Upload protection e Data boundaries. Quest’area è pertinente agli effetti complessivi Allow e Warn.
Se le risorse devono aprirsi esclusivamente nella versione completa di Protected Browser, attivare Enforce use of full browser. All’accesso, i siti Web o le risorse interessati si apriranno automaticamente nella versione completa di Protected Browser.
Selezionare Save.
Nella tabella dei criteri, aprire Move to rank # dal menu con i tre punti, spostare con la freccia il criterio pilota nella posizione desiderata e selezionare Apply. Un numero di priorità inferiore viene valutato prima; la priorità 1 è la prima.

Un criterio ristretto deve precedere un criterio più generale che soddisfa già interamente le stesse condizioni di utente e destinazione. In caso contrario, si applica prima il criterio generale e quello pilota non viene valutato.

Convalida e risultato previsto

Per il collaudo usare un utente di test appartenente esattamente al gruppo pilota assegnato e non vuoto, uno stato del dispositivo corrispondente e una destinazione assegnata in modo univoco. Usare file e contenuti non sensibili.

Nella tabella dei criteri controllare Rank, Name, Access e Status. Il criterio pilota deve essere Active e precedere ogni criterio più ampio che corrisponde anch’esso.
Testare una destinazione che soddisfa le condizioni. Con Allow l’accesso deve essere possibile, con Warn deve esserlo dopo l’avviso e con Block deve essere impossibile.
Testare, sia per i download sia per gli upload, una situazione consentita e una da bloccare secondo il profilo scelto. Per un profilo che blocca se non è possibile eseguire l’analisi, anche questa decisione è un criterio di successo; per un profilo che consente se non è possibile eseguire l’analisi, è previsto il risultato opposto.
Testare separatamente ogni aspetto del limite dei dati scelto: acquisizione dello schermo o condivisione, stampa, Save page, copia tra due destinazioni coperte, copia verso l’esterno e incolla dall’esterno. Il risultato deve corrispondere esattamente alla combinazione del profilo selezionato.
Se Enforce use of full browser è attivo, avviare l’accesso a una risorsa coperta e verificare che si apra nella versione completa di Protected Browser.
Eseguire un test in cui corrisponde un solo criterio di destinazione e uno in cui il gruppo di utenti o lo stato del dispositivo non corrisponde. In questo modo si verificano separatamente la relazione OR tra le destinazioni e la relazione AND tra le condizioni di utente e dispositivo.

Risoluzione dei problemi in base al sintomo

Il criterio non viene applicato

Controllare prima Status e Rank. Un criterio Not active non viene valutato. Se un criterio attivo con priorità superiore corrisponde già interamente, la valutazione termina lì. Spostare il criterio più ristretto prima della regola più ampia mediante Move to rank # > Apply e ripetere il test.

Controllare quindi la logica delle condizioni: gruppo di utenti e stato del dispositivo devono corrispondere insieme; per gruppo di applicazioni, elenco di siti e categoria Web basta una destinazione corrispondente. Se manca un valore selezionabile, l’utente o l’oggetto criterio potrebbe non essere stato ancora creato.

Non è possibile assegnare correttamente un gruppo di utenti

Verificare che il gruppo contenga almeno un utente. Non è consentito assegnare un gruppo di utenti vuoto. Aggiungere prima utenti al gruppo, salvare nuovamente il criterio e ripetere il test con un membro del gruppo.

Le azioni sui file o i limiti dei dati sembrano ignorati

Controllare l’Overall effect. Con Block, le azioni aggiuntive per protezione di download, protezione di upload e limiti dei dati non si applicano. Con Allow o Warn, verificare quindi se un criterio con priorità superiore ha avuto la prima corrispondenza e quale profilo di azione è stato effettivamente selezionato in tale criterio.

Non usare la barra degli indirizzi come superficie di test degli Appunti: i limiti documentati non si applicano lì. Se il risultato nel contenuto della pagina continua a differire dalla matrice del profilo selezionato, non ampliare l’implementazione. Documentare caso di test, priorità, condizioni e profilo e inoltrare il problema a Sophos Support.

Ripristino sicuro e dismissione

Prima di una modifica, registrare Rank, Status, condizioni e profili di azione del criterio interessato. Per un ripristino reversibile, disattivare il nuovo criterio pilota e selezionare Update. Un criterio inattivo non viene valutato; il nuovo test deve quindi mostrare che viene nuovamente applicato il criterio corrispondente successivo o il criterio di base.

Valutare l’eliminazione solo dopo aver confermato il ripristino. I criteri personalizzati possono essere rimossi dal menu con i tre punti tramite Delete o usati come punto di partenza per una nuova variante tramite Clone. Il criterio di base non può essere eliminato, clonato o spostato nella graduatoria. Non eliminare quindi un criterio finché le sue condizioni, la priorità o l’effetto sostitutivo desiderato non sono chiari.

Quando si dismette un gruppo di utenti o un oggetto criterio, controllare prima tutti i criteri che lo usano come condizione. Adeguare poi l’assegnazione, confermare l’effetto con un test limitato e solo successivamente gestire l’oggetto non più necessario nell’area prevista.

Gestione e revisione periodica

Rivedere i criteri a ogni modifica di gruppi di utenti, stati dei dispositivi o oggetti di destinazione e controllare regolarmente Rank, Status, Access e profili di azione assegnati. Prestare particolare attenzione alle regole con Any, ai profili che consentono file non analizzabili, a Allow all downloads/uploads without scanning e ai limiti dei dati con esclusione temporanea.

Clonare prima una modifica oppure crearla come nuovo criterio pilota per un piccolo gruppo di destinazione. Estenderne deliberatamente l’ambito dopo il collaudo. Indipendentemente da questi controlli, verificare le scadenze di migrazione e le date di ritiro o EOL del prodotto negli avvisi ufficiali.

Guida correlata

Controllare privacy e condivisione dei dati in Sophos Fusion contestualizza la condivisione di file con i servizi Sophos e le decisioni sulla privacy a livello di tenant.