Threat Explorer: ritrovare un messaggio già consegnato
Explorer, chiamato anche Threat Explorer, vive nel Microsoft Defender portal nella sezione Email & collaboration ed è incluso in Microsoft Defender for Office 365 Plan 2. Con il Plan 1 la pagina equivalente si chiama Real-time detections e mostra le rilevazioni al momento della consegna; Threat Explorer aggiunge le attività successive alla consegna, più viste, più filtri e le azioni di risposta.
Le viste sono All email, Malware, Phish, Campaigns, Content malware e URL clicks; All email, Campaigns e URL clicks esistono solo in Threat Explorer. Si sceglie l’intervallo temporale, fino a 30 giorni indietro, e si filtra sulle proprietà: mittente, destinatario, Network Message ID, Detection technology, Alert ID, esito di SPF, DKIM e DMARC. In Threat Explorer le query si possono salvare. Da un avviso con Detection source uguale a MDO si usa View messages in Explorer, che apre All email già filtrata su quell’Alert ID.
Nella scheda Email della tabella, cliccando sul valore di Subject si apre l’Email summary panel, il riquadro laterale che riassume Original delivery location, Latest delivery location, Delivery action e Primary override : Source.
La pagina dell’entità email e le azioni di remediation
Dal summary panel il comando Open email entity porta all’Email entity page, la scheda completa del messaggio. Nel pannello di sinistra stanno Tags, Detection details e Email details; in alto le viste Timeline, Analysis, Attachments, URL e Similar emails. Timeline racconta la storia del messaggio, dalla consegna a ogni evento successivo, ZAP compreso. Analysis contiene l’autenticazione, il Bulk complaint level (BCL), le regole di trasporto applicate e l’Alert ID. Dalle viste Attachments e URL si può usare Block, che crea una voce nella Tenant Allow/Block List.
L’azione vera è Take action, disponibile sia sulla entity page sia direttamente dalla tabella di Explorer. Il wizard ha tre pagine: Choose response actions, Choose target entities e Review and submit. Fra le risposte ci sono Move or delete, con destinazioni Junk, Inbox, Deleted items, Soft deleted items e Hard deleted items più l’opzione Delete sender’s copy per i mittenti interni; Submit to Microsoft for review; Initiate automated investigation; Propose remediation. Attenzione al confine dei permessi, perché è materia d’esame: Move or delete richiede il ruolo Search and Purge, mentre chi non lo ha sceglie Propose remediation e crea un’azione che resta in attesa di approvazione. Tutto confluisce in Actions & submissions > Action center, scheda Pending per ciò che attende approvazione e History per ciò che è già stato eseguito.
Da non confondere con l’azione manuale: zero-hour auto purge (ZAP) agisce da solo, in modo retroattivo, sulle ultime 48 ore di posta consegnata.
Quarantena e segnalazioni
Malware e high confidence phishing vengono sempre messi in quarantena e la quarantena non si può disattivare del tutto. Che cosa possano farci le persone lo decide la quarantine policy associata al verdetto: per malware e high confidence phishing i destinatari possono al massimo richiedere il rilascio, mai rilasciare direttamente. Se serve rimettere in circolo un messaggio, dalla entity page il comando Go to quarantined email apre la pagina Quarantine filtrata su quel messaggio.
Le segnalazioni stanno in Actions & submissions > Submissions, con le schede Emails, Teams messages, Email attachments, URLs e User reported. Le prime raccolgono ciò che l’amministratore invia con Submit to Microsoft for analysis; User reported raccoglie ciò che segnalano gli utenti, e da lì si inoltra a Microsoft, si assegna un verdetto e si notifica chi ha segnalato. Quando il valore di Result non convince, esiste Dispute submission result.
Simulare gli attacchi e assegnare la formazione
Attack simulation training richiede Microsoft 365 E5 o Defender for Office 365 Plan 2 e si trova in Email & collaboration > Attack simulation training. Non ha cmdlet PowerShell, e i ruoli dedicati sono Attack Simulation Administrator e Attack Payload Author. Il wizard Launch a simulation parte da Select technique: Credential Harvest, Malware Attachment, Link in Attachment, Link to Malware, Drive-by URL, OAuth Consent Grant e How-to Guide. Poi si sceglie il payload fra Global payloads e Tenant payloads, leggendo la Predicted compromise rate e il livello di Complexity; per Credential Harvest e Link in Attachment si sceglie anche la login page. Seguono Target users, Exclude users e Assign training, dove il trigger può essere All users, Clicked payload o Compromised.
La Training campaign è l’altra strada: assegna moduli di formazione senza far passare nessuno da una finta mail. Un training threshold impedisce di riassegnare lo stesso modulo a chi lo ha già ricevuto di recente.
I risultati si leggono su due livelli. Il report della singola simulazione mostra Simulation impact, con Compromised users e Users who reported, poi All user activity, Delivery status e Training completion. Il report aggregato Attack simulation report ha le schede Training efficacy, che confronta Predicted compromise rate e Actual compromise rate, User coverage, Training completion e Repeat offenders, dove finisce chi è stato compromesso da simulazioni consecutive.
Qui sta la confusione tipica che l’esame va a cercare. Una simulazione addestra le persone, non blocca nulla: se lo scenario chiede di ridurre i clic sul phishing reale, la risposta completa è policy e simulazione insieme, ma la domanda quasi sempre specifica quale delle due si sta chiedendo. Nella stessa famiglia di trabocchetti: la policy Advanced delivery serve alle simulazioni di fornitori terzi e alle SecOps mailbox, non alle simulazioni di Attack simulation training. AB-650 è un esame in beta, e la soglia di superamento è 700.