Panoramica completa di Microsoft Exchange Online Protection
Lo spam è costituito da messaggi indesiderati o altri contenuti inviati in massa tramite e-mail a un numero elevato di destinatari. Molti anni fa, i messaggi di spam non erano altro che contenuti pubblicitari indesiderati. Oggi lo spam può rappresentare una minaccia perché è diventato molto più di una semplice pubblicità fastidiosa. Chi invia spam utilizza tecniche sofisticate per inviare e-mail di spam. Può inserire spyware, malware o ransomware nei messaggi e utilizzare l’iniezione XSS o semplicemente link a virus. Gli utenti distratti non sono in grado di identificare questi messaggi pericolosi. L’infezione da tali software dannosi può rappresentare una minaccia per i singoli utenti e per intere aziende, poiché può causare guasti hardware, fughe di dati e perdita di dati (corruzione).
Fortunatamente, esistono modi per proteggere i propri account di e-mail dallo spam utilizzando moderne soluzioni software, come Exchange Online Protection. In questo post del blog, tratterò cos’è Exchange Online Protection e come può essere utilizzato per proteggere i tuoi account Exchange Online. Quindi, quanto è efficace Exchange Online Protection?
Che cos’è Exchange Online Protection?
Exchange Online Protection (EOP) è un servizio di filtraggio delle e-mail basato su cloud di Microsoft. Questo servizio ha lo scopo di proteggere gli utenti di e-mail e l’intera organizzazione da spam e malware. Gli utenti di solito chiedono: Microsoft Office 365 include Exchange Online Protection? Sì, Exchange Online Protection è un componente software incluso negli abbonamenti a Microsoft Office 365 per le organizzazioni. EOP fa parte di Microsoft Exchange Online. Quando un’azienda inizia a utilizzare i servizi di e-mail di Microsoft Office 365, dovrebbe considerare come proteggere i propri account da spam come una questione prioritaria. Ecco perché scegliere servizi di protezione della posta elettronica basati su cloud può avere molto senso. Exchange Online Protection supporta diversi scenari di implementazione:
Implementazione autonoma. È possibile utilizzare Exchange Online Protection per la protezione basata su cloud dei server on-premise in esecuzione su macchine fisiche o VM.
Utilizzo solo cloud. Se si utilizzano i servizi di e-mail di Office 365, utilizzare Exchange Online Protection nativo per proteggere Exchange Online e le cassette postali degli utenti ospitate nel cloud.
Implementazione ibrida. È possibile configurare Exchange Online Protection nel cloud per proteggere sia Exchange Online residente nel cloud che i server on-premise in esecuzione sui server fisici o sulle VM dell’ufficio o del data center.
Il piano Exchange Protection è incluso in tutti i piani di abbonamento a Microsoft Office 365 che includono Exchange Online e i relativi servizi di e-mail. È anche possibile acquistare EOP separatamente. Exchange Online Protection può funzionare anche con servizi di e-mail non Microsoft.
Leggi anche come Connetti a Exchange Online con PowerShell.
Cosa fa Exchange Online Protection?
Exchange Online Protection filtra i messaggi e-mail in entrata e in uscita, verificando la presenza di diverse minacce. Il filtraggio delle e-mail in entrata viene effettuato utilizzando regole e criteri basati sulla reputazione del mittente, sugli indirizzi IP, sugli indirizzi e-mail e sugli indirizzi di dominio, nonché su parole chiave e complessi algoritmi di analisi Microsoft. I messaggi e-mail classificati come pericolosi vengono rifiutati ed eliminati.
Il filtraggio delle e-mail in uscita è necessario per evitare situazioni in cui un utente di un’azienda invia spam ad altri. Se non si filtrano tali messaggi, il dominio o l’indirizzo IP verranno aggiunti a una lista nera da altre organizzazioni. Essere inseriti nella lista nera come spammer è dannoso e può causare problemi nella consegna delle e-mail inviate dagli utenti della propria organizzazione. È molto più facile configurare il filtraggio delle e-mail in uscita che cercare di escludere il proprio dominio da una lista nera. Un altro caso d’uso in cui è opportuno utilizzare il filtro in uscita è quando qualcuno hackera un account utente e lo utilizza per inviare spam.
Principio di funzionamento
Quando qualcuno esterno alla vostra azienda invia un’e-mail a un utente della vostra organizzazione, l’e-mail viene instradata attraverso una catena di router e server di posta al vostro server di posta in base ai record MX configurati per il vostro dominio. Se utilizzi Exchange Online come parte di Microsoft 365, il tuo server di posta virtuale è distribuito tra i data center nel cloud Microsoft. Molte e-mail di spam vengono eliminate prima di arrivare ai tuoi server di posta Exchange Online. Quando un messaggio e-mail viene consegnato a un data center Exchange utilizzato dalla tua organizzazione, Exchange Online Protection entra in azione.
Exchange Online Protection controlla la reputazione del mittente, l’indirizzo IP, il nome di dominio e le parole chiave nel titolo o nel testo del messaggio. Quindi confronta tali dati con la configurazione del filtro. Se le condizioni di “consentito” sono soddisfatte (ad esempio, non ci sono frasi, indirizzi IP, indirizzi e-mail o domini nella lista nera), l’e-mail viene recapitata nella cassetta postale dell’utente. Se l’indirizzo IP del mittente (nome dell’account e-mail o dominio) è nella lista bianca, il messaggio non viene filtrato. I messaggi vengono inoltre controllati alla ricerca di malware.
Se un messaggio e-mail non soddisfa le condizioni, viene rifiutato come posta indesiderata (gli utenti possono trovare questo messaggio nella cartella Posta indesiderata) o salvato in quarantena e non viene consegnato al destinatario (a seconda delle impostazioni). Microsoft conosce gli indirizzi di molti spammer e utilizza algoritmi di apprendimento automatico per reagire tempestivamente e aggiungere nuovi spammer a una lista nera. La partnership di Microsoft con altre aziende che combattono lo spam le consente di fornire un elevato livello di protezione della posta elettronica. Questo è il vantaggio di utilizzare una soluzione di protezione Exchange Online basata su cloud rispetto alla configurazione della protezione per il server di posta elettronica fisico da zero. Nella maggior parte dei casi, è sufficiente ottimizzare le impostazioni di Exchange Online Protection.
Livello di affidabilità dello spam
Quando un messaggio e-mail passa attraverso un filtro antispam in Exchange Online Protection, al messaggio viene assegnato un punteggio di spam. Questo punteggio è chiamato “livello di affidabilità dello spam” (SCL) e può essere registrato in un’intestazione X del messaggio e-mail. Più alto è l’SCL, maggiore è la probabilità che il messaggio e-mail sia un messaggio di spam.
Livello di affidabilità dello spam:
- -1 Si tratta di un messaggio non spam da fonti attendibili presenti nelle whitelist (in base all’indirizzo IP, al nome del mittente, al nome di dominio e così via). Il messaggio viene consegnato nella cartella Posta in arrivo del destinatario.
- 0 – 1 Questi valori sono assegnati ai messaggi e-mail che non sono spam. Il messaggio viene consegnato nella cartella Posta in arrivo del destinatario.
- 5, 6 Le e-mail vengono classificate come spam e spostate nella cartella Posta indesiderata.
- 7, 8, 9 Le e-mail vengono classificate come spam ad alto rischio e spostate nella cartella Posta indesiderata dei destinatari.
Elenco completo delle azioni che è possibile eseguire dopo che un messaggio e-mail è stato contrassegnato come spam:
- Spostare il messaggio e-mail nella cartella Posta indesiderata. Questa opzione è utilizzata per impostazione predefinita.
- Aggiungi l’intestazione X per procedere alla gestione del messaggio e-mail utilizzando le regole di trasporto.
- Aggiungi l’avvertenza all’inizio dell’oggetto. Puoi utilizzare questa opzione per avvisare gli utenti che un messaggio è sospetto se è stato contrassegnato come spam e spostato nella cartella Posta indesiderata.
- Sposta in quarantena. Questa opzione è utile per salvare i messaggi validi che sono stati erroneamente identificati come spam (noti anche come falsi positivi).
- Reindirizza il messaggio a un indirizzo e-mail personalizzato. È possibile utilizzare questa opzione se si desidera verificare quali messaggi sono contrassegnati come spam. Può essere utile quando si desidera eseguire alcune regolazioni aggiuntive per il filtro antispam.
- Elimina il messaggio e-mail. Utilizzare questa opzione se si è sicuri al 100% che il filtro e-mail sia configurato correttamente.
E-mail di massa
Le e-mail di massa di solito non sono spam, ma possono essere fastidiose e indesiderate nella tua organizzazione. Le e-mail di massa consistono in lettere, come materiali di marketing e newsletter, inviate a un gran numero di utenti. Leggere le e-mail di massa può distrarre gli utenti, che potrebbero utilizzare gli account email di lavoro per registrarsi su siti web di terze parti, cosa che potrebbe non essere consigliabile in base ai vostri criteri di sicurezza. Exchange Online Protection consente di impostare il riconoscimento delle e-mail di massa come spam configurando il livello di conformità di massa per impedire agli utenti di ricevere questo tipo di corrispondenza indesiderata. È possibile impostare il livello di reclamo di massa (BCL) allo stesso modo del livello di affidabilità dello spam (utilizzando numeri da 1 a 9). Impostare il valore di soglia su 7 o superiore e dimenticare le e-mail di massa. Gli utenti possono fare clic su “Questo è spam” in un client di posta elettronica per registrare un reclamo di spam contro il mittente. I servizi di posta elettronica di massa che raggiungono un numero elevato di reclami ottengono una cattiva reputazione. Ciò viene rilevato dai sistemi di filtraggio dello spam, tra cui Exchange Online Protection.
Leggi anche come configurare le impostazioni SMTP di Office 365 per il tuo client di posta elettronica.
Falso positivo
Un falso positivo è un evento in cui un messaggio di e-mail viene classificato come spam, ma in realtà non lo è. Un falso negativo è un evento in cui un’e-mail di spam o dannosa ha superato i filtri ed è stata consegnata al destinatario. Nessun sistema è immune da tali eventi. È possibile segnalare a Microsoft i falsi positivi e i falsi negativi che attivano i filtri antispam. Microsoft cercherà di migliorare la protezione antispam e antivirus. In caso di falso positivo, gli amministratori possono trovare i messaggi in quarantena se non hanno configurato l’eliminazione immediata e permanente dei messaggi identificati come spam.
Quarantine
La quarantena è il luogo in cui vengono archiviati i messaggi e-mail classificati come spam o infetti. I messaggi vengono archiviati in quarantena fino a quando non vengono esaminati dall’amministratore o eliminati allo scadere del periodo di archiviazione in quarantena. I messaggi indesiderati possono essere archiviati in quarantena anziché nella cartella Posta indesiderata, da cui gli utenti possono ripristinare e aprire un’e-mail sospetta. Se tale e-mail è infetta, costituisce una minaccia per l’utente e l’organizzazione. Ecco perché gli amministratori preferiscono archiviare le e-mail con un alto livello di affidabilità spam in quarantena, accessibile solo agli amministratori, invece che nella cartella Posta indesiderata.
I messaggi spostati in quarantena da una regola di filtraggio dello spam vengono archiviati per 15 giorni per impostazione predefinita. Un amministratore di sistema può configurare questo periodo di tempo.
I messaggi spostati in quarantena a seguito di una regola di trasporto (filtraggio di rete) vengono conservati in quarantena per 7 giorni e gli amministratori non possono modificare questo periodo di tempo.
Gli amministratori possono gestire la quarantena e i messaggi in quarantena di tutti gli utenti. Gli utenti possono vedere solo i messaggi nella loro quarantena se vengono applicate le impostazioni appropriate (è possibile configurare le impostazioni di quarantena per consentire a ciascun utente di gestire la quarantena per il proprio account).
Opzioni di filtraggio dello spam
È possibile delineare il piano di protezione di Exchange e selezionare quali criteri e regole sono fondamentali per proteggere gli utenti e l’azienda.
Le whitelist sono elenchi di “autorizzazioni” o elenchi di mittenti sicuri. Se ti fidi di un’azienda o di un partner commerciale, puoi aggiungere gli indirizzi IP e i nomi di dominio utilizzati da tale azienda alle whitelist nelle tue regole per assicurarti che le e-mail importanti da essi ti vengano sempre recapitate.
Le blacklist sono elenchi di blocco. Se noti che molti messaggi di spam vengono inviati da un indirizzo IP o da un dominio, aggiungi questi parametri del mittente a una lista nera.
Filtraggio per indirizzi IP. Puoi aggiungere gli indirizzi IP dei mittenti di spam a una lista nera per bloccare le e-mail. Aggiungi gli indirizzi IP delle risorse affidabili a una lista bianca.
Filtraggio per lingue (filtri antispam internazionali) consente di rifiutare le e-mail scritte in altre lingue che non sono utilizzate nella vostra azienda e ridurre il flusso di spam in arrivo. Ad esempio, la vostra azienda utilizza l’inglese, il tedesco e il francese, mentre i vostri partner utilizzano l’inglese e lo spagnolo: non dovreste bloccare queste lingue. È possibile bloccare le e-mail scritte in un’altra lingua se si nota un numero elevato di spam ricevuti in quella lingua. Exchange Online Protection consente anche di bloccare i server di e-mail ospitati in un determinato paese (regione) del mondo.
Configurazione di Exchange Online Protection
Ora che ho illustrato le opzioni e le funzionalità principali, vediamo come accedere alle impostazioni di Exchange Online Protection. Leggi questa sezione per scoprire la risposta alla domanda: Come si configura Exchange Online Protection? È possibile configurare Exchange Online Protection in un’interfaccia web. Vai al Centro di amministrazione di Exchange e accedi come amministratore dell’account aziendale:
https://outlook.office365.com/ecp/
Protezione
Fare clic su protezione nel riquadro sinistro del centro di amministrazione di Exchange. Nella parte superiore della pagina Web sono visibili le opzioni filtro malware, filtro connessione, filtro spam, spam in uscita, quarantena, centro operativo e DKIM. La sezione Protezione è responsabile della protezione antispam e antimalware.
Filtro malware. In questa sottosezione è possibile gestire i criteri antimalware. È possibile aggiungere, modificare, abilitare, disabilitare ed eliminare i criteri, nonché modificarne la priorità. I criteri con priorità più alta vengono applicati per primi.
Fare clic sul pulsante + per aggiungere un nuovo criterio anti-malware. In una nuova finestra verrà visualizzato un lungo elenco di impostazioni.
Nome: inserisci un nome per il nuovo criterio.
Descrizione: inserisci una descrizione, se necessario.
Risposta al rilevamento di malware. Selezionare una delle opzioni “Sì” se si desidera che i destinatari della propria organizzazione ricevano una notifica sui messaggi messi in quarantena con allegati contenenti malware. È possibile inserire un testo di notifica personalizzato.
Filtro tipi di allegati comuni (On/Off). Attivare questa opzione e selezionare i tipi di file che potrebbero essere dannosi. È possibile selezionare .EXE, .BAT, .CMD e altre estensioni di file e, se questi tipi di file vengono rilevati negli allegati e-mail, il messaggio e-mail verrà rifiutato.
Eliminazione automatica malware zero-hour. Questa è la funzione che rileva e neutralizza i messaggi di spam, phishing e malware se i messaggi sono già stati consegnati alle cassette postali degli utenti. Microsoft aggiorna regolarmente i filtri di Exchange Online Protection e ne migliora gli algoritmi. Se un’e-mail dannosa è stata recapitata prima che i filtri fossero in grado di rilevare il malware, il problema può essere risolto con la funzione Zero-hour Auto Purge dopo aver aggiornato le firme di malware e spam. Si consiglia di attivare questa funzione. È possibile personalizzare le opzioni di notifica per utenti e amministratori.
La politica anti-malware può essere applicata a utenti, gruppi o domini.
Filtro di connessione. Il filtro di connessione può bloccare le e-mail in base all’indirizzo IP di origine (un server di posta utilizzato da un mittente di e-mail). Il filtro di connessione viene solitamente utilizzato dopo aver rilevato attacchi malware o spam e indirizzi IP di origine utilizzati per inviare e-mail dannose. È possibile aggiungere indirizzi IP consentiti di mittenti affidabili.
Gli elementi di gestione del filtro di connessione consentono di aggiungere indirizzi IP consentiti e bloccati al criterio predefinito.
È possibile selezionare la casella di controllo Abilita elenco sicuro per utilizzare l’elenco sicuro di Microsoft degli indirizzi IP affidabili. Microsoft si avvale di elenchi di terze parti di aziende che aggiornano costantemente le whitelist e le blacklist dei mittenti di e-mail in tutto il mondo. Se non ti fidi degli elenchi di terze parti, puoi ignorare questa opzione e non selezionare questa casella di controllo.
Filtro antispam. Exchange Online Protection rileva le e-mail di spam in base al contenuto delle e-mail dopo averle analizzate. Le opzioni del filtro antispam consentono di ottimizzare il filtro antispam per Exchange Online Protection e personalizzare le impostazioni. Fare clic sull’icona Modifica (matita) per aprire una nuova finestra con le impostazioni.
Nome: Inserisci il nome del criterio del filtro antispam.
Descrizione: Inserisci una descrizione (facoltativo).
Azioni relative a spam e e-mail di massa. Puoi selezionare l’azione da intraprendere per lo spam in arrivo e le e-mail di massa. Selezionare la casella di controllo Contrassegna le e-mail di massa come spam per disabilitare la consegna di e-mail di marketing, newsletter e altri messaggi indesiderati che non sono obbligatori per il processo di lavoro degli utenti della propria organizzazione. Selezionare la soglia nel menu a discesa per regolare il riconoscimento delle e-mail di massa come spam. Il livello di affidabilità dello spam utilizza valori di soglia compresi tra 1 e 9, dove 7 è il valore predefinito.
Opzioni di quarantena:
- Conserva per (giorni): 15 per impostazione predefinita
- Aggiungi questo testo X-header
- Reindirizza a questo indirizzo e-mail
Puoi anche modificare gli elenchi di blocco e gli elenchi di autorizzazione per gli indirizzi e-mail dei mittenti e i nomi di dominio.
Spam in uscita. Alcune pagine di configurazione sono state aggiornate da Microsoft e riassegnate ad altri indirizzi. È possibile configurare i criteri antispam, compresi quelli in uscita, nella pagina:
https://protection.office.com/antispam
In questa pagina è possibile abilitare i criteri predefiniti e impostare la loro priorità. Per configurare un criterio antispam in uscita, fare clic su Creare un criterio in uscita. Nella finestra che si apre, inserisci il nome del criterio, la descrizione e configura le impostazioni di notifica, i limiti dei destinatari (mostrati nella schermata) e le condizioni applicate agli oggetti necessari.
Quarantena. Le impostazioni di quarantena sono disponibili qui:
https://protection.office.com/quarantine
Se sono presenti messaggi filtrati contrassegnati come spam o malware, è possibile visualizzarli nell’elenco. È necessario applicare i criteri appropriati (come i criteri di filtro antispam) per archiviare i messaggi sospetti in quarantena.
Centro operativo. È possibile accedere al Centro operativo utilizzando l’indirizzo:
https://protection.office.com/restrictedusers
In questa pagina di configurazione di Exchange Online Protection è possibile visualizzare un elenco di utenti con restrizioni, azioni, servizi e altri dettagli relativi alle azioni.
DKIM. DKIM (Domain Keys Identified Email) è un metodo aggiuntivo di lotta allo spam che si basa sull’aggiunta di una firma crittografica (record DKIM) alle e-mail in uscita. La firma DKIM è un’intestazione aggiunta a un messaggio e-mail e ha una sicurezza di crittografia. Dall’altra parte, un server di destinazione può determinare che un messaggio e-mail è stato inviato da un sistema di posta autorizzato. L’utente finale (destinatario) non vede la firma. È possibile trovare le impostazioni DKIM per i propri domini nella sottosezione corrispondente delle impostazioni di Exchange Online Protection.
Flusso di posta
Questa sezione consente di gestire il flusso di posta utilizzando regole di trasporto e instradamento condizionale della posta. Le regole del flusso di posta (regole di trasporto della posta) vengono utilizzate per eseguire azioni sui messaggi prima che questi vengano consegnati alle caselle di posta dei destinatari. È possibile configurare una serie di condizioni, quali la dimensione degli allegati, il nome dell’oggetto e così via, con un operatore di confronto per impostare il sistema di filtraggio in modo che prenda una decisione. Ad esempio, se l’oggetto di un messaggio è “In vendita” o “Sconto”, tale messaggio deve essere eliminato. È anche possibile modificare e inoltrare i messaggi. Una regola nella parte superiore dell’elenco ha la priorità più alta, mentre una regola alla fine dell’elenco ha la priorità più bassa. Le regole con priorità elevata vengono applicate per prime durante la gestione delle e-mail nel flusso di posta.
Conclusione
Exchange Online Protection è più di una protezione antispam perché questa soluzione può proteggere ogni utente e l’intera organizzazione da spam, virus, malware, ransomware e spyware. Exchange Online Protection fa parte di Microsoft 365. Se utilizzi un abbonamento Microsoft 365 per organizzazioni e Microsoft Exchange Online, puoi configurare Exchange Online Protection per la tua azienda. Microsoft fornisce servizi di filtraggio della posta abilitati per impostazione predefinita, ma è possibile ottimizzare le impostazioni in base ai tuoi requisiti. Proteggere gli utenti di e-mail da spam e malware riduce il rischio di perdere dati importanti.
Oltre alla protezione antispam e antivirus, puoi proteggere i tuoi dati eseguendo backup regolari. Utilizza NAKIVO Backup & Replication & Replication e crea il tuo backup per Microsoft 365 per gli account di e-mail.
