Microsoft 365 / Verificare i criteri contro phishing, malware e spam

Per rivedere la protezione da phishing e email dannose in Microsoft 365, controlla a chi si applica ogni policy, la sua priorità e la conseguente quarantena e notifiche, non solo se un interruttore è attivato. Esistono già policy di protezione predefinite. Le policy di sicurezza preimpostate Standard e Strict e le policy personalizzate offrono ulteriori opzioni di configurazione a seconda delle funzionalità del prodotto disponibili.

Distingui i tipi di protezione

La guida di Microsoft ai criteri di sicurezza preimpostati illustra il rapporto tra i criteri predefiniti, i profili Standard e Strict e i criteri personalizzati. Quando più criteri comprendono lo stesso destinatario, la priorità può determinare impostazioni diverse da quelle attese. Non tutti gli abbonamenti Microsoft 365 includono tutte le funzionalità.

Registra le funzionalità disponibili e le impostazioni attuali

Distingui tra la protezione di base delle email di Exchange Online e le funzionalità aggiuntive di Defender per Office 365. Ad esempio, se sono necessari Safe Links, Safe Attachments o alcune funzionalità di protezione dall'impersonificazione, devi verificare i diritti di servizio per gli utenti a cui saranno applicati. Un menu visibile non dimostra che ogni destinatario ha diritto a ogni funzionalità. La protezione integrata è applicata automaticamente nelle organizzazioni con licenze Defender per Office 365; quella base non significa che tutti i destinatari siano autorizzati a tutte le funzionalità di Defender o alle funzionalità delle policy personalizzate.

Il permesso di visualizzare le impostazioni della policy non garantisce necessariamente il permesso di modificarle. Utilizzare l’accesso approvato alla sicurezza o all’amministrazione email per registrare il nome di ogni policy, lo stato abilitato, i destinatari, le esclusioni, la priorità e l’azione di quarantena. Leggere la configurazione effettiva del tenant piuttosto che presumere i valori predefiniti. Verificare che ogni eccezione commerciale esistente abbia ancora un proprietario e uno scopo documentato.

Comprendere quale policy ha la precedenza

Per un tipo di protezione specifico, le impostazioni della policy non vengono unite: si applica solo la prima policy corrispondente a un destinatario. L'ordine è Strict → Standard → policy di valutazione, se abilitate → policy personalizzate → policy predefinite o protezione integrata. Le policy di valutazione coprono le funzionalità supportate di Defender per Office 365; non esiste una policy di valutazione separata per ogni tipo di protezione. Tra le policy personalizzate dello stesso tipo, ha la precedenza un numero di priorità più basso. La protezione integrata fornisce la protezione predefinita Safe Links e Safe Attachments in Defender per Office 365; le policy predefinite anti-malware, anti-spam e anti-phishing sono policy separate.

Ad esempio, se un utente di test è incluso sia nel preset Standard sia in una policy personalizzata per lo spam, anche se migliori la priorità della policy personalizzata a 0, la protezione corrispondente dello Standard sarà applicata per prima. Se un utente riceve risultati inattesi, verifica prima il preset a cui la persona è inclusa. Non dovresti nemmeno confondere l'ordine di ispezione dei diversi tipi di protezione come malware e spam con la priorità delle policy dello stesso tipo.

Utilizza le regole di precedenza delle policy sopra indicate per controllare la policy effettiva di un destinatario per ciascun tipo di protezione. Non presumere che le impostazioni più forti provenienti da diverse policy vengano combinate: le impostazioni di una policy di basso livello di priorità dello stesso tipo possono essere completamente ignorate.

Rivedi le policy attuali

1. Nel portale di Microsoft Defender, aprire Email & collaborazione → Criteri & regole → Criteri per le minacce. I menu possono variare in base alla lingua dello schermo e alla licenza.
2. Verificare lo stato di attivazione e gli obiettivi di applicazione delle politiche di sicurezza predefinite. Controllare anche se politiche separate vengano applicate ai dirigenti o agli account di lavoro sensibili.

3. Rivedere le eccezioni e le whitelist per le politiche di phishing, malware e spam. Assicurarsi che le vecchie eccezioni aziendali non siano eccessivamente ampie.
4. Se lo stesso destinatario rientra in più criteri, individua quello effettivamente applicabile usando le regole di Microsoft sulla precedenza dei criteri di protezione.
5. Controlla i risultati previsti con i messaggi effettivamente messi in quarantena o con email di test preparate in sicurezza. Verifica inoltre se le notifiche vengono inviate agli utenti e chi può rilasciare un messaggio in quarantena.

Protezione Standard o Strict pilota

Il profilo Standard è un punto di partenza per la protezione generale; Strict contiene impostazioni più severe per i destinatari che ne hanno bisogno. Strict non è automaticamente adatto a ogni ruolo. Microsoft gestisce la maggior parte dei valori dei profili preimpostati, mentre i criteri personalizzati consentono più modifiche. Prima di cercare singole opzioni, verifica che il profilo e i destinatari selezionati soddisfino i requisiti dell’organizzazione.

1. Apri Criteri per le minacce → Criteri di sicurezza predefiniti e registra lo stato attuale Standard o Strict, i destinatari e le esclusioni. Per configurare un profilo, seleziona Gestisci impostazioni di protezione; se è disabilitato, il flusso di configurazione documentato lo attiva prima. Esamina attentamente l'ambito dei destinatari della procedura guidata prima di confermare le modifiche.
2. Per la protezione che desideri modificare, specifica utenti o gruppi di test e revisiona le eccezioni. Se la procedura guidata mostra separatamente l'ambito della protezione di base e della protezione Defender, confronta ciascuno con gli obiettivi e le licenze.
3. Confronta gli elementi che richiedono l'inserimento, come utenti e domini da proteggere dall'imitazione, con le informazioni effettive dell'organizzazione. Controlla non solo i nomi visualizzati ma anche gli account e i domini che vuoi proteggere.
4. Controlla il riepilogo e conferma solo le impostazioni approvate. Dopo il salvataggio, verifica nuovamente impostazioni e destinatari. Se modifichi un profilo esistente, assicurati di non cambiare involontariamente i destinatari esterni al gruppo pilota.
5. Controlla la consegna, la cartella della posta indesiderata, la quarantena e le notifiche utilizzando email inviate tramite percorsi aziendali critici normali. Non includere allegati dannosi o siti di phishing reali nelle email di test generiche.

Semplici test di invio e ricezione di email normali non verificano tutte le capacità di rilevamento degli attacchi. I test di sicurezza effettivi devono essere condotti separatamente utilizzando strumenti e nell'ambito approvato dall'organizzazione. Lo scopo di questo controllo è confermare che gli obiettivi della policy, l'impatto aziendale, la quarantena e le notifiche corrispondano alle aspettative.

Verificare la quarantena e le notifiche agli utenti

Le politiche di quarantena controllano quali messaggi i destinatari possono visualizzare e se possono rilasciarli o richiedere l'approvazione di un amministratore. Una notifica di per sé non concede il permesso di rilascio. Gli utenti non possono rilasciare direttamente i propri messaggi messi in quarantena come malware dalle politiche anti-malware, come malware o phishing dagli Safe Attachments, o come phishing ad alta affidabilità dalle politiche anti-spam, indipendentemente dall'impostazione di rilascio della politica di quarantena. Nei casi in cui si applicherebbe diversamente un permesso di rilascio, gli utenti possono invece richiedere il rilascio; controllare la politica effettivamente assegnata e il processo di approvazione dell'amministratore.

L’amministratore verifica il motivo del rilevamento, il criterio applicato e lo stato delle azioni automatiche, poi stabilisce chi approverà un rilascio. I messaggi nella Posta indesiderata, in quarantena o rifiutati dal server richiedono interventi diversi. Interpreta questi dati insieme ai risultati della traccia messaggi.

Se la posta legittima viene bloccata

Non disattivare la protezione contro il phishing per l'intera organizzazione solo perché c'è un problema di consegna con una posta legittima. Controlla lo stato utilizzando il tracciamento dei messaggi e indaga il motivo della quarantena, i risultati dell'autenticazione del mittente e la politica effettivamente applicata. Se si tratta di un falso positivo, restringi e modifica il mittente e le condizioni della politica interessata, e verifica che la posta legittima prevista possa arrivare senza creare un bypass ampio per messaggi dannosi. Al contrario, se il phishing raggiunge la casella di posta, rivedi le liste consentite, le impostazioni di priorità e le impostazioni di autenticazione del dominio.

Non autorizzare un intero dominio solo perché il mittente lo richiede. Verifica la vera fonte di invio e i risultati di Sender Policy Framework (SPF), DomainKeys Identified Mail (DKIM) e Domain-based Message Authentication, Reporting and Conformance (DMARC). Aggiungere un indirizzo alla lista dei mittenti sicuri di una casella di posta non bypassa il rilevamento di malware o phishing ad alta probabilità; un contatto della rubrica è un concetto separato. Per i falsi positivi che richiedono una segnalazione o una voce di autorizzazione, utilizza il metodo ufficiale di segnalazione a Microsoft supportato per quel tipo di rilevamento e registra il target, la scadenza e la giustificazione.

Dopo una modifica, prova di nuovo lo stesso percorso di invio legittimo e verifica eventuali lacune di protezione per altri destinatari. Registra il criterio, i destinatari e le esclusioni per poter annullare soltanto le modifiche problematiche. Assegna a un responsabile la revisione o rimozione delle voci temporanee negli elenchi degli elementi consentiti prima della scadenza. Non considerare risolto un problema solo perché un’email è arrivata dopo aver indebolito la protezione.