Microsoft 365 / Revisar políticas de proteção contra phishing, malware e spam

Para revisar a proteção contra phishing e e-mails maliciosos no Microsoft 365, verifique para quem cada política se aplica, sua prioridade e a quarentena e notificações resultantes — não apenas se um interruptor está ligado. Políticas de proteção padrão já existem. Políticas de segurança predefinidas Standard e Strict e políticas personalizadas fornecem opções adicionais de configuração dependendo dos recursos do produto disponíveis.

Distinguir os tipos de proteção

O guia da Microsoft sobre políticas de segurança predefinidas explica a relação entre as políticas padrão, os perfis Standard e Strict e as políticas personalizadas. Quando várias políticas incluem o mesmo destinatário, sua prioridade pode determinar configurações diferentes das esperadas. Nem todas as assinaturas do Microsoft 365 incluem todos os recursos.

Registre os recursos disponíveis e as configurações atuais

Distinga entre a proteção básica de e-mail do Exchange Online e os recursos adicionais do Defender para Office 365. Por exemplo, se Links Seguros, Anexos Seguros ou certos recursos de proteção contra personificação forem necessários, é preciso verificar os direitos de serviço dos usuários aos quais será aplicado. Um menu visível não prova que todo destinatário tem direito a cada recurso. A proteção integrada é aplicada automaticamente em organizações com licenças do Defender para Office 365; essa linha de base não significa que todos os destinatários têm licença para todas as funcionalidades do Defender ou recursos de política personalizada.

A permissão para visualizar as configurações de política não concede necessariamente permissão para alterá-las. Use o acesso aprovado de segurança ou administração de e-mail para registrar o nome de cada política, status habilitado, destinatários, exclusões, prioridade e ação de quarentena. Leia a configuração real do locatário em vez de supor os padrões. Verifique se cada exceção de negócio existente ainda possui um responsável e um propósito documentado.

Entenda qual política tem precedência

Para um determinado tipo de proteção, as configurações de política não são mescladas: apenas a primeira política correspondente se aplica a um destinatário. A ordem é Strict → Standard → políticas de avaliação, se habilitadas → políticas personalizadas → políticas padrão ou proteção integrada. As políticas de avaliação abrangem os recursos suportados do Defender para Office 365; elas não são uma política de avaliação separada para cada tipo de proteção. Entre políticas personalizadas do mesmo tipo, um número de prioridade mais baixo tem precedência. A proteção integrada fornece as proteções padrão Safe Links e Safe Attachments no Defender para Office 365; as políticas padrão de anti-malware, anti-spam e anti-phishing são políticas separadas.

Por exemplo, se um usuário de teste estiver incluído tanto no preset Standard quanto em uma política de spam personalizada, mesmo que você eleve a prioridade da política personalizada para 0, a proteção correspondente do Standard será aplicada primeiro. Se um usuário receber resultados inesperados, verifique primeiro o preset em que a pessoa está incluída. Você também não deve confundir a ordem de inspeção de diferentes tipos de proteção, como malware e spam, com a prioridade das políticas do mesmo tipo.

Use as regras de precedência de políticas acima para verificar a política efetiva de um destinatário para cada tipo de proteção. Não presuma que as configurações mais fortes de várias políticas serão combinadas: configurações de uma política de menor prioridade do mesmo tipo podem ser ignoradas completamente.

Reveja as políticas atuais

1. No portal do Microsoft Defender, abra Email & colaboração → Políticas & regras → Políticas contra ameaças. Os menus podem variar dependendo do idioma da tela e da licença.
2. Verifique o status de ativação e os destinatários abrangidos das políticas de segurança predefinidas. Verifique também se políticas separadas estão sendo aplicadas a executivos ou contas de trabalho sensíveis.

3. Revise exceções e listas de permissões para políticas de phishing, malware e spam. Certifique-se de que exceções antigas de negócios não sejam excessivamente abrangentes.
4. Se o mesmo destinatário estiver incluído em várias políticas, a política realmente aplicável é determinada de acordo com as diretrizes de precedência de política da Microsoft.
5. Verifique os resultados esperados com as mensagens realmente colocadas em quarentena ou com e-mails de teste preparados com segurança. Além disso, verifique se as notificações são enviadas aos usuários e quem pode liberar uma mensagem em quarentena.

Testar Standard ou Strict com um grupo piloto

O perfil Standard é um ponto de partida para a proteção geral; Strict reúne configurações mais rigorosas para os destinatários que precisam delas. Strict não é automaticamente adequado a todas as funções. A Microsoft gerencia a maioria das configurações dos perfis predefinidos, enquanto políticas personalizadas permitem mais ajustes. Antes de procurar opções individuais, avalie se o perfil e seus destinatários atendem aos requisitos da organização.

1. Abra Políticas contra ameaças → Políticas de segurança predefinidas e registre o status atual de Standard ou Strict, destinatários e exclusões. Para configurar um perfil, selecione Gerenciar configurações de proteção; se estiver desativado, o fluxo de configuração documentado primeiro o ativa. Revise cuidadosamente o escopo de destinatários do assistente antes de confirmar as alterações.
2. Para a proteção que você deseja alterar, especifique usuários ou grupos de teste e revise as exceções. Se o assistente mostrar o escopo da proteção básica e da proteção do Defender separadamente, compare cada um com os alvos e licenças.
3. Compare itens que requerem entrada, como usuários e domínios a serem protegidos contra impersonificação, com as informações reais da organização. Verifique não apenas os nomes de exibição, mas também as contas e domínios que você deseja proteger.
4. Revise o resumo e confirme apenas as configurações aprovadas. Depois de salvar, verifique novamente as configurações e a lista de destinatários. Ao alterar um perfil existente, confira se destinatários fora do grupo piloto não foram modificados sem intenção.
5. Verifique a entrega, pasta de lixo eletrônico, quarentena e notificações usando e-mails enviados pelos canais comerciais normais críticos. Não inclua anexos maliciosos ou sites de phishing reais em e-mails de teste gerais.

Testes simples de envio e recebimento de e-mails normais não verificam todas as capacidades de detecção de ataques. Testes de segurança reais devem ser conduzidos separadamente usando ferramentas e dentro do escopo aprovado pela organização. O objetivo desta verificação é confirmar que os alvos da política, o impacto nos negócios, a quarentena e as notificações correspondem às expectativas.

Verificar quarentena e notificações ao usuário

Políticas de quarentena controlam quais mensagens os destinatários podem visualizar e se eles podem liberá-las ou solicitar a aprovação de um administrador. Uma notificação por si só não concede permissão de liberação. Os usuários não podem liberar diretamente suas próprias mensagens colocadas em quarentena como malware por políticas anti-malware, como malware ou phishing pelo Safe Attachments, ou como phishing detectado com alta confiança por políticas anti-spam, independentemente da configuração de liberação da política de quarentena. Nos casos em que a permissão de liberação deveria se aplicar, os usuários podem solicitar a liberação; verifique a política atribuída e o processo de aprovação do administrador.

O administrador verifica o motivo da detecção, a política aplicada e o status das ações automáticas, depois define quem aprovará uma liberação. Mensagens na pasta Lixo Eletrônico, em quarentena ou rejeitadas pelo servidor exigem acompanhamentos diferentes. Interprete essas informações junto com os resultados do rastreamento de mensagens.

Se um e-mail legítimo for bloqueado

Não desligue a proteção contra phishing para toda a organização apenas porque há um problema de entrega com e-mails legítimos. Verifique o status usando o rastreamento de mensagens e investigue o motivo da quarentena, os resultados da autenticação do remetente e a política efetivamente aplicada. Se for um falso positivo, restrinja e modifique o remetente e as condições da política afetados, e verifique se o e-mail legítimo pretendido pode chegar sem criar uma exceção ampla para mensagens prejudiciais. Por outro lado, se o phishing atingir a caixa de entrada, revise as listas de permissão, as configurações de prioridade e as configurações de autenticação de domínio.

Não permita um domínio inteiro apenas porque o remetente solicitou. Verifique a fonte real do envio e os resultados do Sender Policy Framework (SPF), DomainKeys Identified Mail (DKIM) e Domain-based Message Authentication, Reporting and Conformance (DMARC). Adicionar um endereço à lista de Remetentes Confiáveis de uma caixa de correio não contorna a detecção de malware ou phishing detectado com alta confiança; um contato da lista de endereços é um conceito separado. Para falsos positivos que exigem envio para análise ou uma entrada de permissão, use o método oficial de envio para análise à Microsoft aceito para esse tipo de detecção e registre o alvo, a expiração e a justificativa.

Após alterar uma política, teste novamente a mesma rota de envio legítima e verifique se há lacunas de proteção que afetam outros destinatários. Mantenha um registro da política, dos destinatários e das exclusões para que você possa restaurar apenas as alterações problemáticas aos seus valores anteriores. Atribua um responsável para revisar ou remover entradas de permissão temporárias antes da expiração. Não considere um problema resolvido apenas porque um e-mail chegou depois que a proteção foi enfraquecida.