Sophos Email: gerir com segurança exceções Allow/Block de entrada

Inbound Allow/Block determina que remetentes o Sophos Email permite ou bloqueia em mensagens recebidas. A lista de administradores aplica-se globalmente a todas as caixas de correio protegidas; cada lista pessoal aplica-se apenas ao respetivo utilizador. Em caso de conflito, a Admin list tem prioridade.

Procedimento rápido e seguro: em Global Settings > Protection and Remediation > Allow and Block > Email > Inbound Allow/Block, exporte primeiro a lista existente. Em seguida, adicione à Admin list o valor de remetente mais específico possível, ative Enforce Message Authentication para uma entrada Allow, documente o motivo e o responsável e teste mensagens correspondentes e não correspondentes. Domínios, carateres universais e redes abrangentes não substituem a investigação de um falso positivo.

Importante: uma entrada Allow não desativa toda a proteção. Para um remetente correspondente e suficientemente autenticado, o Sophos ignora apenas as verificações indicadas abaixo; a análise de malware permanece ativa. Sem autenticação obrigatória, uma mensagem falsificada que use um endereço permitido pode contornar as verificações documentadas e chegar à caixa de entrada. A lista de URL permitidos do Time of Click é uma função independente e não é gerida aqui.

Compreender o âmbito e a correspondência

As listas só se aplicam a mensagens recebidas. Para endereços e domínios, o Sophos compara o remetente do envelope SMTP e o endereço no cabeçalho From visível. A correspondência de qualquer um deles desencadeia a ação Allow ou Block. Verifique ambos nos cabeçalhos brutos ou nos detalhes da mensagem.

A lista de administradores aceita:

endereços de email individuais, como billing@example.com;
domínios, como example.com;
endereços IP, como o endereço de documentação 192.0.2.25;
redes IPv4 com prefixos de /16 a /32, por exemplo 192.0.2.0/24;
carateres universais no início, meio ou fim de um endereço ou domínio, como *.example.com, name*@example.com, name@example*.com ou *.example;
carateres universais para TLD inteiros, com *.example como forma segura de documentação em vez de um TLD de produção.

A End user list aceita apenas endereços de email e domínios, não aceita endereços IP nem carateres universais. O limite documentado para todas as listas é de 100 000 entradas. Cada utilizador pode adicionar até 500 entradas à respetiva lista Allow ou Block; as entradas de Smart Banners podem ultrapassar esse limite individual.

Uma mensagem de um remetente ou IP de cliente bloqueado é rejeitada sem análise adicional. As mensagens de endereços na lista Block são normalmente rejeitadas durante o SMTP, antes de o servidor de correio as aceitar. No entanto, quando há vários destinatários com definições pessoais de bloqueio diferentes, a mensagem é primeiro aceite e depois bloqueada apenas para quem bloqueou o remetente. Neste caso, a aceitação SMTP não significa entrega ao destinatário que bloqueou o remetente. O teste concreto é descrito abaixo.

Preparar e restringir a alteração

Antes de cada alteração, registe o pedido, motivo comercial, responsável e data de validade ou revisão; o tipo exato (Admin list ou End user list); a ação e o valor mais específico; os utilizadores afetados; uma exportação atual com a contagem de entradas; e os remetentes, destinatários e resultados esperados dos testes com e sem correspondência.

O Sophos não documenta uma validade automática por entrada. Agende a revisão no sistema de alterações e remova a exceção quando deixar de ser necessária. A descrição deve indicar resumidamente o motivo e o pedido, sem dados confidenciais.

Configurar a lista de administradores

No Sophos Fusion (anteriormente Sophos Central), clique em Global Settings.
Abra Protection and Remediation > Allow and Block > Email > Inbound Allow/Block.
Selecione Admin list e clique em Add.
Selecione Allow ou Block e introduza exatamente um endereço, domínio, IP, rede CIDR suportada ou valor com carater universal.
Adicione uma Description com o motivo e o pedido, sem dados confidenciais e com, no máximo, 250 carateres.
Para entradas Allow, ative Enforce Message Authentication. Não desative a opção para contornar uma falha de autenticação do remetente.
Guarde e procure a entrada. Advanced Search filtra por Allow/Block, Message Authentication e endereço ou domínio do remetente.

Use Override duplicates apenas depois de comparar a entrada existente; o Sophos utiliza a seleção mais recente. Pode alterar em conjunto a descrição de várias entradas administrativas e ativar Message Authentication em várias entradas Allow, mas não deve juntar inadvertidamente motivos ou responsáveis diferentes.

As definições por entrada em Enforce Message Authentication refletem as opções de autenticação de User Settings. Pode manter ou substituir opções individuais de cada entrada Allow, incluindo verificações SPF e domínios do envelope. Compare e documente também estes valores, não apenas o interruptor principal. A proteção global contra falsificação não substitui o interruptor por entrada: se Enforce Message Authentication estiver desativado numa entrada Allow administrativa, um remetente falsificado pode explorá-la mesmo com a opção global ativa.

Verificações ignoradas por uma correspondência Allow autenticada

Numa entrada Allow administrativa com autenticação obrigatória, pelo menos uma verificação de DMARC, SPF ou DKIM tem de ser aprovada. A opção Prevention of spoofing of allowed address ativa e as definições por entrada determinam a avaliação detalhada; em particular, uma falha de DMARC com uma política diferente de p=none pode fazer falhar a autenticação. Por isso, um resultado SPF pass qualquer não é prova suficiente por si só. Numa correspondência Allow autenticada com sucesso, o Sophos ignora:

Header anomalies;
Impersonation protection;
Anti-spam;
BATV (Bounce Address Tag Validation);
Country of origin;
Language;
Data control.

Uma correspondência Allow de utilizador autenticada com sucesso ignora apenas Impersonation protection, Anti-spam, Country of origin e Language. A secção seguinte explica as descrições contraditórias da autenticação de utilizadores. A análise de malware permanece ativa em ambos os casos. O guia de proteção contra malware, anexos e URL explica quais as verificações de conteúdo e URL que se aplicam de forma independente.

Allow de utilizador: descrições contraditórias da autenticação

As descrições atuais de Inbound Allow/Block e do processamento das listas Allow afirmam que as entradas Allow de utilizador exigem sempre Message Authentication. Em contrapartida, User Settings apresenta Prevention of spoofing of allowed address como uma opção que é necessário ativar para a autenticação Allow de utilizador ali explicada. Indica que está desativada por predefinição para clientes existentes e que pode ainda não estar disponível em todos os tenants. Estas descrições não são inequivocamente coerentes entre si. Não permitem concluir nem que existe uma forma fiável de contornar a autenticação com a opção desativada, nem que a proteção está comprovada em todos os tenants independentemente dessa opção. O conflito sobre a autenticação continua por resolver.

Em operação, mantenha ativos os controlos de proteção existentes e, se Prevention of spoofing of allowed address estiver disponível, planeie a sua ativação com uma validação controlada das vias de envio legítimas. Se a opção não existir ou o seu efeito não for claro, não baseie uma nova exceção Allow de utilizador numa lógica de autenticação presumida; esclareça o estado do tenant com detalhes de mensagens sem dados sensíveis e as definições atuais. Não desative Enforce Message Authentication, a proteção contra falsificação ou outras verificações como solução alternativa.

Para a verificação documentada com Prevention of spoofing of allowed address ativo, um endereço permitido só pode ignorar verificações se a autenticação for aprovada segundo a avaliação seguinte. Caso contrário, o Sophos ignora o estado Allow e executa todas as análises:

Um resultado DMARC pass é suficiente. Se DMARC falhar com uma política do remetente diferente de p=none, a autenticação Allow falha nesta configuração de teste com a opção ativa.
Com p=none, ou se DMARC não puder ser executado, SPF e DKIM determinam o resultado.
SPF verifica o domínio do envelope da mensagem.
DKIM tem de ser aprovado para o domínio da entrada Allow.
SPF check for non-aligned address pode aceitar um SPF pass mesmo quando o domínio do envelope do endereço do remetente não está alinhado com o endereço permitido. O Sophos não recomenda esta opção: um endereço header-from falsificado pode corresponder a um endereço permitido pelo utilizador e aumentar o risco de falsificação.
SPF check for envelope domain faz o Sophos ler o domínio do envelope para cada endereço de cabeçalho permitido pelo utilizador, para aplicar o SPF ao domínio do envelope da mensagem. Use-a apenas quando esse fluxo SPF excecional não alinhado for necessário.

Este caminho de exceção não alinhado alarga a confiança e não é a solução predefinida. Corrija primeiro SPF, DKIM ou DMARC no serviço de envio legítimo. Consulte o guia de autenticação do remetente.

Administrar listas de utilizadores

User Settings não pode ser configurado no modo EMS. Fora desse modo, os utilizadores podem gerir a lista no Sophos Central Self Service Portal se Release/Delete e Allow/Block List estiverem ativados em Global Settings > Products and Services > Email > User Settings. Aplicam-se duas dependências de segurança:

Se End-user message settings estiver ativo e as ligações Allow sender e Block sender estiverem configuradas em Smart Banners, Allow/Block List tem de permanecer ativo.
Se End-user message settings estiver desativado e Release/Delete ou Allow/Block List for desativado, o Sophos ignora as listas Allow/Block existentes dos utilizadores.

O administrador pode consultar e alterar as mesmas listas de forma centralizada:

Abra Global Settings > Protection and Remediation > Allow and Block > Email > Inbound Allow/Block.
Selecione End user list e clique em Add.
Atribua a entrada ao utilizador correto, escolha Allow ou Block e use apenas um endereço de email ou domínio.
Guarde e confirme a entrada com Advanced Search por ação, remetente ou utilizador.

Também aqui, Override duplicates substitui um valor idêntico pela escolha mais recente. Verifique primeiro a lista administrativa global, pois esta prevalece sobre uma entrada de utilizador contraditória. Consulte o guia de self-service de quarentena.

Testar corretamente vários destinatários

Numa mensagem para vários destinatários, as listas pessoais podem diferir para o mesmo remetente. Se apenas person1@example.com o tiver bloqueado, person2@example.com continua a receber a mensagem; esta é bloqueada apenas para person1@example.com. No caso normal, o bloqueio provoca a rejeição antes da aceitação SMTP. No caso misto com vários destinatários, a mensagem é primeiro aceite e depois bloqueada por destinatário. Uma aceitação SMTP bem-sucedida não prova, portanto, a entrega ao destinatário que bloqueou o remetente.

Para um piloto controlado, use duas caixas de correio de teste e um remetente de teste próprios; substitua os endereços de exemplo por estes valores autorizados. Verifique primeiro se a Admin list global contém entradas que prevaleçam e reveja as permissões das listas de utilizadores descritas na secção anterior. O piloto exige listas de utilizadores efetivamente aplicadas. Em particular, se End-user message settings estiver desativado, desativar Release/Delete ou Allow/Block List pode contornar as listas existentes; isto não é uma solução para um resultado de teste inesperado.

Documente as entradas pessoais originais. Bloqueie o remetente de teste apenas para o primeiro destinatário; o segundo não pode ter um bloqueio correspondente.
Envie uma mensagem nova e inofensiva para ambos os destinatários numa única operação de envio. Verifique cada ação separadamente em Message History e confira as caixas: para o primeiro espera-se bloqueio sem entrega, para o segundo entrega, desde que outra verificação não impeça a mensagem.
Se o acesso SMTP estiver explicitamente autorizado, guarde também o registo desta operação e distinga aceitação de rejeição. Confirme que ambos os destinatários pertencem à mesma transação SMTP; transações separadas não comprovam o caso misto. Compare o resultado com um teste separado para um único destinatário, dirigido à caixa que bloqueia, para o qual se espera a rejeição normal antes da aceitação. Não deduza um código SMTP ou uma fase de processamento apenas do estado de entrega.
Após o piloto, restaure as entradas pessoais documentadas e volte a verificá-las. Perante um resultado inesperado, interrompa a alteração e verifique prioridade administrativa, atribuição de utilizadores, correspondência e permissões, em vez de criar uma regra Allow mais abrangente.

Um teste SMTP com um único destinatário não reproduz o caso misto. Sem acesso SMTP autorizado, pode verificar os resultados por destinatário, mas não documentar a fase SMTP como comprovada de forma independente.

Exportar e importar CSV com segurança

Antes de uma importação em massa, exporte a lista como cópia e referência. O CSV exportado contém colunas adicionais e não pode ser usado sem alterações para importação. Descarregue o modelo atual do Sophos Fusion, respeite exatamente o seu formato e colunas e não invente nomes de colunas.

Abra o separador correto, Admin list ou End user list, e preserve a exportação original.
Selecione Add > Import allow/block list e descarregue os modelos.
Prepare o CSV e verifique, linha a linha, ação, valor, Description e, quando aplicável, utilizador.
Na pré-visualização, verifique entradas Allow e Block, carateres especiais, domínios e utilizadores.
Importe primeiro um pequeno ficheiro piloto; procure e teste as entradas antes de continuar.

Aviso: Replace existing list with this import elimina permanentemente todas as entradas atuais da lista afetada ao adicionar o CSV. Use a opção apenas numa substituição integral aprovada, com cópia verificada e piloto bem-sucedido; nunca para adicionar entradas.

Proteger e reverter uma substituição integral

Antes de uma substituição integral, um responsável designado tem de aprovar o separador exato, a cópia completa e inalterada com a respetiva contagem de linhas registada, o ficheiro de recuperação preparado, o resultado do piloto e a janela de manutenção. O piloto deve usar o mesmo modelo Sophos atual num tenant não produtivo ou numa lista de teste separada e controlada. Nunca execute um ficheiro piloto parcial na lista de produção com Replace existing list with this import.

Se faltarem entradas ou existirem entradas erradas após a substituição, interrompa todas as importações seguintes e não corrija a lista linha a linha. Após aprovação do incidente ou da alteração, converta a lista completa, anteriormente exportada e reconhecida como válida, num novo ficheiro conforme ao modelo Sophos atual; preserve a exportação original sem alterações. Antes da importação, compare a contagem de linhas e entradas Allow e Block representativas, bem como as atribuições de utilizadores nas listas de utilizadores e amostras do início e do fim. Em seguida, no separador correto e numa janela controlada, importe o ficheiro de recuperação completo com Replace existing list with this import. Por fim, exija que a contagem de entradas corresponda ao valor anterior à alteração, confirme as mesmas amostras e repita os testes de correspondência, não correspondência e autenticação para comprovar o restauro do estado válido conhecido. Perante qualquer diferença, mantenha a alteração suspensa e escale; a análise de malware e todos os restantes controlos de proteção permanecem ativos.

Limites separados: no máximo 500 000 entradas na lista de importação criada, 500 por utilizador, 1 MB por CSV e 250 carateres por Description; textos maiores são truncados. Divida ficheiros grandes. Se uma folha de cálculo alterar separadores, carateres iniciais ou codificação, cancele, recrie o ficheiro a partir do modelo Sophos intacto e reveja a pré-visualização. Não adivinhe a codificação nem edite a cópia.

Validar o resultado

Após uma alteração individual ou cada importação, execute um pequeno teste documentado:

Correspondência: Uma mensagem nova cujo remetente do envelope ou cabeçalho From corresponda exatamente tem de mostrar o efeito Allow ou Block esperado.
Sem correspondência: Um endereço semelhante ou domínio próximo não abrangido pela entrada tem de passar pelas verificações normais. Isto revela um âmbito demasiado amplo, sobretudo com carateres universais e CIDR.
Autenticação aprovada: Verifique um remetente legítimo com um resultado de autenticação documentado face às opções globais e por entrada realmente ativas. Mantenha Enforce Message Authentication ativo no Allow administrativo; para um teste controlado de Allow de utilizador, use Prevention of spoofing of allowed address disponível e ativo. Só podem ser ignoradas as verificações documentadas para cada caso; a análise de malware permanece ativa. Um único SPF pass não prova uma correspondência Allow bem-sucedida com uma avaliação DMARC mais rigorosa.
Autenticação falhada: Nesta configuração de teste protegida, uma mensagem controlada em que falhem as três verificações não pode beneficiar do estado Allow e tem de passar por todas as análises. Verifique também uma falha de DMARC com uma política diferente de p=none se esse caso fizer parte do teste autorizado. Sem uma configuração de teste de Allow de utilizador verificável, a sua validação permanece aberta; não desative um controlo de proteção para forçar a entrega.
Block e vários destinatários: Nas listas Block pessoais, teste na mesma mensagem um destinatário afetado e outro não afetado e documente ambas as ações separadamente. Verifique adicionalmente a aceitação ou rejeição SMTP apenas com acesso autorizado, não a partir da entrega por si só.
CSV: Compare contagem, ação, valor, Description e atribuição de utilizadores com o ficheiro de origem e a cópia de segurança. Verifique também amostras do início e do fim da lista.

Em Message History, registe hora, remetente do envelope, From, IP do cliente, destinatário, autenticação e ação. A entrega, por si só, não comprova uma correspondência Allow: a mensagem pode ter passado pelo fluxo normal.

Resolver problemas e manter as exceções

Allow não funciona: compare o remetente do envelope e From com a entrada; depois verifique prioridade administrativa, opções por entrada e DMARC/SPF/DKIM. A análise normal é intencional quando a autenticação obrigatória falha. Se o efeito de Allow de utilizador não for claro, documente também o estado real da proteção contra falsificação; não contorne o conflito documental descrito desativando controlos de proteção.
Block só afeta alguns destinatários: confirme os utilizadores e o caso de vários destinatários; a regra administrativa tem prioridade.
Wildcard ou CIDR corresponde incorretamente: verifique sintaxe e prefixo; só /16–/32 estão documentados e listas de utilizadores não aceitam IP/CIDR nem carateres universais. Remova a entrada ampla durante a investigação.
Importação ausente ou incorreta: verifique o separador correto da lista, o tamanho do ficheiro, o limite por utilizador, o formato do modelo, as colunas adicionais, descrições truncadas e codificação visível. Não repita com Replace existing list with this import até conhecer a causa e confirmar a cópia.
Mensagem legítima continua bloqueada: compare listas, envelope, From e IP, depois autenticação e Message History. Não crie uma entrada Allow mais ampla como atalho.

Pelo menos trimestralmente e sempre que mudar o responsável, compare a lista, o pedido e a necessidade comercial. Após aprovação, remova exceções expiradas, sem responsável, duplicadas ou demasiado amplas e repita os testes. Se a causa permanecer desconhecida, reverta a entrada e escale com ID da mensagem, data e hora, exportação, linha afetada e resultados de autenticação, sem divulgar mensagens confidenciais nem listas de produção completas.