Przejdz do tresci
Avanet

Konfiguracja i testowanie Sophos Email Monitoring System

Sophos Workspace Protection

Cel i krótka odpowiedź

Sophos Email Monitoring System (EMS) konfiguruje się w pięciu krokach: sprawdzenie trybu EMS, przygotowanie skrzynek pocztowych, dodanie domeny, skonfigurowanie dziennikowania i zasad oraz przetestowanie przepływu poczty. EMS otrzymuje za pośrednictwem dziennikowania kopię przychodzących i wychodzących wiadomości e-mail, sprawdza ją i rejestruje wynik, a następnie odrzuca przeskanowaną kopię. Oryginalna wiadomość jest dostarczana bez zmian.

EMS jest więc systemem monitorowania, a nie drugą bramą pocztową: wyświetlane działania zasad są wynikami obserwacji. EMS nie blokuje, nie szyfruje ani nie umieszcza oryginalnej wiadomości w kwarantannie. Wszyscy uczestnicy powinni znać tę granicę przed wdrożeniem, aby pomyślnego wyniku EMS nie pomylić z aktywnie egzekwowaną ochroną poczty e-mail.

Wymagania wstępne, licencja i role

Przed rozpoczęciem należy sprawdzić następujące kwestie:

  • Licencja Sophos EMS została dodana do konta Sophos Fusion. Dzięki temu tryb EMS jest domyślnie włączony.
  • EMS i Sophos Email są alternatywnymi trybami i nie można ich używać jednocześnie na tym samym koncie. Zmiana trybu wymaga ponownej konfiguracji domeny.
  • Do zarządzania domenami EMS dostępne jest konto z uprawnieniami Super Admin.
  • Odpowiedzialny administrator zna używaną usługę pocztową i potrafi skonfigurować jej dziennikowanie. Procedury dla Microsoft 365 i Google Workspace różnią się w zależności od dostawcy.
  • Skrzynki użytkowników, listy dystrybucyjne, foldery publiczne i aliasy objęte monitorowaniem zostały zinwentaryzowane. Dostępna jest co najmniej jedna skrzynka testowa w danej domenie, przeznaczona do ograniczonych testów.
  • Jeżeli przed usługą działa inna usługa zabezpieczająca pocztę e-mail, znane są jej rzeczywiste adresy IP używane do dostarczania wiadomości. Nie wolno przejmować tych wartości ze środowiska przykładowego.

Skrzynki pocztowe można dodawać ręcznie, z pliku CSV albo za pośrednictwem AD Sync bądź Microsoft Entra ID Sync. W przypadku obiektów synchronizowanych należy najpierw ustalić wymagania wstępne i granice odpowiedzialności za obiekty w Directory Sync. Synchronizowaną skrzynkę usuwa się później w Microsoft AD lub Microsoft Entra ID, a nie bezpośrednio w Sophos Fusion.

Przed zmianą trybu lub domen produkcyjnych należy zapisać stan wyjściowy: aktywny tryb poczty e-mail, istniejące domeny EMS, usługę pocztową, reguły dziennikowania, adresy IP używane do dostarczania wiadomości, skrzynkę testową i odpowiedzialnych administratorów. Ten krótki spis stanowi punkt odniesienia przy analizie błędów i wycofywaniu zmian.

Konfiguracja z przykładowymi wartościami do dostosowania

1. Sprawdzenie trybu EMS

Pełna ścieżka to Profile icon > Account preferences > Sophos Email Monitoring System (EMS).

  1. W Sophos Fusion kliknąć Profile icon.
  2. Otworzyć Account preferences.
  3. W sekcji Sophos Email Monitoring System (EMS) sprawdzić, czy opcja Monitor Only mode (EMS) jest włączona.
  4. W razie potrzeby włączyć tryb i wybrać Save.

Po zapisaniu EMS jest aktywny na koncie. Na odpowiednich stronach baner informuje, że wiadomości e-mail są tylko monitorowane i nie są wobec nich wykonywane żadne działania.

2. Przygotowanie i sprawdzenie skrzynek pocztowych

W sekcji My Products > Email Security > Mailboxes zarządza się typami obiektów user mailbox, distribution list i public folder. Przed wdrożeniem domeny należy sprawdzić, czy oczekiwani odbiorcy są dostępni. W szczegółach skrzynki pocztowej można sprawdzić aliases i assigned policies.

W zależności od modelu zarządzania obiektami są trzy możliwości:

  • automatyczny import skrzynek pocztowych przez AD Sync lub Microsoft Entra ID Sync;
  • ręczne dodanie skrzynek pocztowych w interfejsie;
  • import skrzynek pocztowych i aliasów z pliku CSV.

W przypadku skrzynki testowej należy dodatkowo sprawdzić użytkownika głównego, aliasy i przypisane zasady. Jeśli brakuje synchronizowanej skrzynki, najpierw sprawdza się katalog źródłowy. Zmiany lub usunięcia dokonywane bezpośrednio w Sophos Fusion omijałyby przyjęty model zarządzania obiektami i nie są przewidziane dla skrzynek synchronizowanych.

3. Dodanie domeny EMS

  1. Otworzyć My Products > Email Security > Settings.
  2. W nawigacji po lewej stronie wybrać Products and Services > Email > EMS Domains.
  3. Kliknąć Add Domain. Jeśli nie dodano jeszcze żadnej domeny, przycisk może mieć nazwę Setup domains for EMS.
  4. Wpisać własną domenę poczty e-mail i wybrać rzeczywisty mail service.
  5. Jeśli wcześniej w ścieżce poczty działa inna usługa zabezpieczająca pocztę e-mail, wpisać jej delivery IP addresses.
  6. W zależności od wybranego mail service wykonać instrukcję dla Microsoft 365 lub Google Workspace. Microsoft 365 korzysta z automatycznej procedury EMS, a Google Workspace wymaga konfiguracji ręcznej.
  7. Wrócić do EMS Domains i sprawdzić stan domeny.

Domena i skrzynka testowa to wartości zależne od środowiska. Do ograniczonego pilotażu można na przykład użyć rzeczywistej domeny o niewielkim znaczeniu krytycznym oraz przeznaczonej do tego skrzynki, takiej jak ems-test@beispiel.ch; tę wartość przykładową trzeba zastąpić faktycznie istniejącym adresem w konfigurowanej domenie. Adresy IP używane do dostarczania wiadomości muszą odpowiadać rzeczywistej ścieżce poczty, inaczej EMS nie będzie w stanie prawidłowo przypisać wiadomości dziennika.

4. Dostosowanie zasad do istniejącego środowiska

W trybie EMS w sekcji My Products > Email Security > Policies dostępne są zasady Email Security i Data Control. Ich działania są rejestrowane wyłącznie jako oczekiwane wyniki i nie są egzekwowane wobec oryginalnych wiadomości. Dlatego należy je ustawić tak, aby możliwie wiernie odzwierciedlały istniejące środowisko poczty e-mail.

Niektórych funkcji nie można skonfigurować w trybie EMS. Należą do nich między innymi SMTP Routing, Time of Click oraz zasady Self Service Portal i Secure Message; szyfrowanie kopii dziennika również nie jest obsługiwane. Braku tych elementów sterujących nie należy więc „naprawiać” zmianami w przepływie poczty.

Spośród działań podejmowanych wobec wiadomości po ich przetworzeniu EMS obsługuje tylko on-demand clawback. Automatyczne wyszukiwanie i usuwanie zagrożeń (automatic search and remediate) nie jest dostępne w trybie EMS. Konfigurowanie i ocena takich działań nie należą do konfiguracji domeny.

Globalne ustawienia poczty e-mail można znaleźć przez Global Settings icon w sekcji Products and Services > Email. Przed szerokim wdrożeniem należy najpierw sprawdzić małą, udokumentowaną grupę odbiorców. Pozwala to wyjaśnić wyniki obserwacji bez jednoczesnej zmiany produkcyjnej ścieżki poczty.

Walidacja i oczekiwany wynik

Quick Test dla domeny

  1. Otworzyć My Products > Email Security > Settings > Products and Services > Email > EMS Domains.
  2. Przy skonfigurowanej domenie kliknąć Quick Test icon.
  3. Jako Quick Test mailbox wpisać istniejącą skrzynkę pocztową z tej domeny.
  4. Uruchomić test.

Quick Test wysyła przykładową wiadomość i sprawdza regułę dziennikowania. Jeśli test się powiedzie, wskazana skrzynka pocztowa i miejsce docelowe dziennika otrzymają kopię wiadomości testowej zgodnie z konfiguracją dziennikowania. Jeśli test nie zakończy się w oczekiwanym czasie, należy odczekać kilka minut i powtórzyć go jeden raz.

Potwierdzenie przepływu poczty przychodzącej i wychodzącej

Po pomyślnym Quick Test należy wysłać po jednej wiadomości testowej przychodzącej i wychodzącej dla odbiorcy objętego regułą dziennikowania. Następnie otworzyć My Products > Email Security > Reports > Message History.

Test kończy się powodzeniem, gdy pojawią się tam odpowiednie wpisy. Jednocześnie oryginalna wiadomość musi zostać dostarczona bez zmian przez istniejącą usługę pocztową. Zarejestrowany werdykt EMS pokazuje, co zrobiłby Sophos Email; nie dowodzi, że oryginalna wiadomość została zablokowana lub umieszczona w kwarantannie.

Rozwiązywanie problemów według objawów

Quick Test kończy się przekroczeniem limitu czasu

Odczekać kilka minut i powtórzyć test jeden raz. Jeśli nadal nie ma wyniku, sprawdzić kolejno delivery IP addresses, skrzynkę testową i aktywną regułę dziennikowania. Należy unikać jednoczesnych zmian domeny, reguły i adresów IP używanych do dostarczania wiadomości, ponieważ utrudniają ustalenie przyczyny.

Skrzynka testowa nie otrzymuje wiadomości

W sekcji My Products > Email Security > Mailboxes sprawdzić, czy wpisana skrzynka rzeczywiście istnieje i należy do skonfigurowanej domeny. W przypadku skrzynki synchronizowanej sprawdzić następnie atrybut e-mail, filtr i stan w katalogu źródłowym. Potem upewnić się, że reguła dziennikowania jest aktywna i prawidłowo skonfigurowana.

Message History pozostaje puste

Najpierw potwierdzić, że Quick Test zakończył się pomyślnie. Następnie wysłać wiadomość przychodzącą i wychodzącą do użytkownika objętego regułą i ponownie otworzyć My Products > Email Security > Reports > Message History. Jeśli wpisy nadal się nie pojawiają, sprawdzić adresy IP używane do dostarczania wiadomości, wykaz skrzynek pocztowych i regułę dziennikowania. Jeśli żadna z tych trzech kontroli nie wykaże błędu, przekazać sprawę do pomocy technicznej Sophos wraz z domeną, czasem testu, nadawcą testowym, odbiorcą testowym i widocznym stanem domeny.

Adresy IP używane do dostarczania wiadomości są nieprawidłowe

Porównać adresy wpisane w EMS z rzeczywistym ostatnim etapem dostarczania wiadomości dziennika. Jeśli wcześniej w ścieżce działa usługa zabezpieczająca, miarodajne są jej rzeczywiste wychodzące adresy IP, a nie ogólne wartości dostawcy ani wartości przykładowe. Po poprawieniu adresów powtórzyć najpierw Quick Test, a następnie po jednym teście poczty przychodzącej i wychodzącej.

Działania zasad nie są wykonywane

To oczekiwane zachowanie w trybie EMS. Działania Email Security i Data Control dostarczają jedynie werdyktów na potrzeby raportowania. Jeśli wiadomości mają być aktywnie chronione lub modyfikowane, trzeba ponownie ocenić stosowane rozwiązanie ochronne i konfigurację przepływu poczty; na podstawie samego werdyktu EMS nie wolno uznawać działania za wykonane.

Sophos Support potrzebuje dostępu

Remote Assistance włącza się tylko na konkretne żądanie i po wewnętrznym zatwierdzeniu. Ścieżka to Profile icon > Account Details > Sophos Support; można tam włączyć Remote Assistance na ograniczony czas. Po zamknięciu sprawy należy sprawdzić pozostały okres udzielonego dostępu.

Bezpieczne wycofanie zmian lub zakończenie korzystania z usługi

Usunięcie pojedynczej domeny

Usunięcie domeny natychmiast zatrzymuje jej skanowanie i rejestrowanie przez EMS. Wcześniej należy udokumentować stan domeny, regułę dziennikowania, adresy IP używane do dostarczania wiadomości oraz zasoby zależne od dostawcy.

  1. Otworzyć My Products > Email Security > Settings > Products and Services > Email > EMS Domains.
  2. Przy wybranej domenie wybrać Delete icon.
  3. W oknie potwierdzenia kliknąć Delete.
  4. Sprawdzić, czy domena nie jest już monitorowana.
  5. Ostrożnie usunąć u dostawcy poczty ręcznie skonfigurowane reguły dziennikowania i konfiguracje zależne oraz przywrócić odpowiednie ustawienia domeny lub poczty e-mail.

W przypadku domen skonfigurowanych automatycznie Sophos usuwa powiązanie między regułami dziennikowania a usuniętą domeną. Jeśli była to ostatnia domena dzierżawy Microsoft 365, usuwane są reguły dziennikowania utworzone przez Sophos oraz aplikacja Microsoft 365. Porządkowanie zasobów w tle może potrwać kilka minut; w tym czasie nie należy rozpoczynać kolejnych działań dotyczących domen EMS. Sophos nie może przywrócić ustawień skrzynki rezerwowej NDR; w razie potrzeby trzeba je ręcznie dostosować w Microsoft Purview.

Wyłączenie trybu EMS lub przejście na Sophos Email

Przed wyłączeniem trzeba mieć świadomość, że wszystkie pozostałe domeny EMS zostaną odłączone. Najpierw należy zabezpieczyć listę domen i konfiguracje zależne od dostawcy, a następnie wyłączyć tryb w sekcji Profile icon > Account preferences > Sophos Email Monitoring System (EMS). Potem należy potwierdzić odłączenie domen i usunąć pozostałe ręczne konfiguracje dziennikowania u dostawcy.

Zasady pozostają zachowane, ale konfiguracje domen dla EMS, Sophos Gateway i Sophos Mailflow są różne. Trzeba je utworzyć ponownie dla nowego trybu; nie ma potwierdzenia, że samo przełączenie zapewnia automatyczny, bezstratny powrót. Jeśli nie wiadomo, kto odpowiada za zasób u dostawcy poczty lub jak go wycofać, należy wstrzymać usuwanie i wyjaśnić stan z właściwymi administratorami dostawcy albo pomocą techniczną Sophos.

Eksploatacja, przeglądy i cykl życia

Na potrzeby eksploatacji należy dokumentować domenę, usługę pocztową, adresy IP używane do dostarczania wiadomości, osobę odpowiedzialną za dziennikowanie, skrzynkę testową oraz ostatni pomyślny Quick Test. Po zmianach w routingu poczty, regułach dziennikowania, synchronizacji skrzynek pocztowych lub konfiguracji dostawcy należy powtórzyć Quick Test oraz test wiadomości przychodzącej i wychodzącej, a także sprawdzić wpisy w Message History.

Należy również regularnie sprawdzać, czy zasady nadal odpowiadają produkcyjnemu środowisku poczty e-mail. Jest to ważne, ponieważ EMS dostarcza tylko wyniki obserwacji: nieaktualna zasada EMS może wygenerować werdykt wyglądający wiarygodnie, lecz mało miarodajny dla rzeczywistego środowiska.

O aktualnie dostępnych funkcjach rozstrzygają bieżący interfejs produktu i jego pomoc. Ze starszych zapowiedzi nie należy wywodzić daty wyłączenia, migracji ani zakończenia wsparcia.

Powiązane istniejące instrukcje