Sophos Email: Time-of-Click-URL-beveiliging configureren

Time of Click herschrijft links in inkomende e-mail en beoordeelt de bestemming opnieuw wanneer een gebruiker klikt. Dit artikel legt uit hoe u waarschuwings- en blokkeerpagina’s aanpast en specifieke bestemmingen uitzondert. Het inschakelen van de functie en de acties voor Risky en Unverified URL’s worden behandeld in de basisgids voor URL-beveiliging.

Veilige snelle route: leg de beginsituatie vast, configureer pagina’s via Global Settings > Products and Services > Email > Time-of-Click Block and Warn Pages en controleer ze met Preview. Houd de URL Allow List zo mogelijk leeg. Als een uitzondering onvermijdelijk is, laat dan de nauwst begrensde benodigde hostnaam goedkeuren en test met een nieuw pilotbericht.

Waarschuwing: De URL Allow List-documentatie beschrijft het omzeilen van alle URL-beveiliging; de URL-beveiligingsdocumentatie zegt daarentegen dat scannen actief blijft. Vertrouw niet op resterende Malicious URL-beveiliging totdat Sophos dit verschil heeft opgehelderd. Elke uitzondering vereist beveiligingsgoedkeuring.

Vereisten en wijziging voorbereiden

U hebt een actieve Sophos Email-configuratie nodig met Time of Click URL Protection ingeschakeld en beheerderstoegang tot globale Email-instellingen. In EMS mode kunt u Block and Warn Pages niet configureren. Uitzonderingen vereisen gedocumenteerde goedkeuring van de beveiligingsverantwoordelijke; een eigen logo moet exact aan de specificaties voldoen.

Leg vooraf vast:

• status van Configure block and warn pages, logo en vier tekstvelden;
• bestaande inhoud van de URL Allow List;
• ticket, verantwoordelijke, reden en verloop- of controledatum per uitzondering;
• pilotontvanger en na de wijziging te verzenden testberichten;
• terugvalprocedure: oude teksten of het logo herstellen en nieuwe vermeldingen verwijderen.

Duidelijke waarschuwings- en blokkeerpagina’s maken

1. Klik in Sophos Fusion (voorheen Sophos Central) op Global Settings.
2. Open Products and Services > Email > Time-of-Click Block and Warn Pages.
3. Schakel Configure block and warn pages in.
4. Upload zo nodig via Browse een logo van exact 100 px bij 60 px, als JPEG, JPG of PNG, maximaal 500 KB. Controleer de preview.
5. Schrijf onder risky URLs afzonderlijke teksten voor Custom Block Page en Custom Warn Page.
6. Doe hetzelfde onder unverified URLs.
7. Open voor elke pagina Preview en controleer logo, regelafbreking, handelingsadvies en het verschil tussen blokkeren en waarschuwen.
8. Klik op Save.

Een goede blokkeertekst zegt dat de link niet is geopend en noemt het interne supportkanaal. Een waarschuwing legt uit dat de bestemming riskant of niet geverifieerd is en dat doorgaan alleen bij verwachte bedrijfscontext verantwoord is. Plaats geen vertrouwelijke contacten, ticketgegevens of interne systeemnamen op de pagina.

Houd de vier teksten verschillend: Risky is een risicobeoordeling; Unverified betekent dat Sophos de bestemming onvoldoende kon verifiëren. Dezelfde tekst maakt het voor gebruikers en ondersteuning moeilijker om de oorzaak vast te stellen.

Een uitzondering met zo weinig mogelijk rechten toevoegen

Gebruik alleen een uitzondering wanneer herschrijven of scannen een bevestigd proces breekt, de verantwoordelijke de bestemming heeft gecontroleerd en er geen specifiekere oplossing bestaat. Validatie van Microsoft Teams-vergaderlinks is een voorbeeld: teams.microsoft.com kan een uitzondering vereisen. Daarmee vervalt Time-of-Click voor alle overeenkomende links, dus goedkeuring en periodieke controle zijn essentieel.

1. Open Global Settings > Products and Services > Email > URL Allow List.
2. Klik op Add.
3. Voer de meest specifieke goedgekeurde hostnaam in, bijvoorbeeld meet.example.com. Vervang dit voorbeeld door de werkelijke bestemming. Gebruik geen jokerteken als één host volstaat.
4. Klik op Add om te bevestigen.
5. Leg de exacte vermelding, reden, verantwoordelijke en controle- of verloopdatum vast.

De huidige URL-beveiligingsdocumentatie beschrijft vergelijking op alleen de hostnaam. Een volledige URL garandeert dus geen uitzondering beperkt tot het pad. *.example.com omvat alle subdomeinen. Bij voorafgaande tracking of herschrijving telt de hostnaam die Sophos tijdens het scannen daadwerkelijk ziet.

De Allow List geldt alleen voor later verwerkte berichten. Een eerder herschreven en bezorgde link blijft herschreven. Validatie vereist daarom een nieuw bericht.

Eén grens kan niet worden omzeild: Sophos verwijdert een bericht met een URL op de criminele lijst van de Internet Watch Foundation, ongeacht het beleid en de Allow List. De link verschijnt ook niet in Sophos Fusion of Message History.

Werking veilig valideren

Stuur na opslag nieuwe berichten naar de pilotontvanger. Klik nooit op echte kwaadaardige links en stuur onbekende samples niet door. Gebruik voor Risky en Unverified alleen goedgekeurde testbestemmingen of een gecontroleerde situatie in uw Sophos Fusion-omgeving.

1. Schone link: een normale nieuwe URL volgt Time of Click zonder waarschuwing of blokkade.
2. Risky: de gecontroleerde bestemming toont de Risky-pagina die het URL-beveiligingsbeleid voorschrijft.
3. Unverified: de gecontroleerde niet-geverifieerde bestemming toont de eigen pagina.
4. Specifieke uitzondering: test met een nieuw bericht de goedgekeurde hostnaam en een andere hostnaam buiten de uitzondering. Een ander pad op dezelfde host is geen geschikte negatieve test; vertrouw niet op beperkingen per pad.
5. Weergave: controleer logo, tekst, knoppen en supportinstructie in beheerde browsers.

De wijziging is pas geslaagd als alle drie gevallen correct reageren en de controlelink buiten de uitzondering beschermd blijft. Noteer tijd, afzender, ontvanger, oorspronkelijke URL, gedrag en gebruikt item. Een oud bericht bewijst een nieuwe uitzondering niet.

Terugzetten en beheren

Schakel Time of Click niet uit als gedrag onduidelijk is. Selecteer onder Global Settings > Products and Services > Email > URL Allow List het nieuwe item en klik linksboven op Delete. U kunt meerdere items selecteren, maar verwijder in productie alleen waarden uit de wijziging. Stuur opnieuw een nieuw bericht en bevestig dat de link weer wordt herschreven.

Herstel ongeschikte teksten of logo naar de vastgelegde situatie en controleer met Preview en een nieuw bericht. Wijs aan iedere resterende uitzondering een verantwoordelijke en een periodieke controle toe. Verwijder en test opnieuw zodra de bedrijfsreden vervalt.

Problemen per symptoom oplossen

De link blijft herschreven na de uitzondering

Controleer of het bericht na toevoeging is verwerkt en welke hostnaam Sophos tijdens het scannen zag. Voorafgaande tracking of herschrijving kan die veranderen. Doorsturen kan oude herschreven links behouden. Stuur een volledig nieuw bericht voor de test.

De uitzondering is te breed

Zoek naar domein- of jokertekenvermeldingen. Vervang ze na beveiligingsgoedkeuring door de meest specifieke benodigde hostnaam en test een overeenkomst en een andere, niet-goedgekeurde hostnaam. Verwijder de uitzondering bij onduidelijkheid totdat het bereik is vastgesteld.

Logo of tekst wordt niet opgeslagen

Controleer 100 × 60 px, JPEG/JPG/PNG en maximaal 500 KB. Controleer daarna Configure block and warn pages en of de omgeving in EMS mode staat; daar is de instelling niet beschikbaar. Gebruik Preview vóór Save.

De verkeerde pagina verschijnt

Bepaal of de URL als Risky of Unverified is beoordeeld en welke actie het URL-beveiligingsbeleid instelt. Globale pagina’s wijzigen de tekst en weergave, niet de keuze tussen Block, Warn en Allow.

Blijft de oorzaak onbekend, verwijder nieuwe uitzonderingen en verzamel de Sophos Fusion-regio, tijd, Message-ID, oorspronkelijke en zichtbare URL, exacte vermelding, schermafbeeldingen en beleidsstatus om de zaak te escaleren. De beveiliging blijft zo actief tijdens onderzoek.