Gli alert nel portale Defender e le regole di tuning

Le alert policy si gestiscono nel Microsoft Defender portal, in Email & collaboration > Policies & rules > Alert policy. Nelle organizzazioni con cassette postali cloud sono già presenti molte default alert policy: generano un avviso quando le attività degli utenti corrispondono alle condizioni della policy, per esempio l’assegnazione di privilegi amministrativi in Exchange Online, gli attacchi malware o volumi anomali di eliminazioni e condivisioni esterne. Gli avvisi confluiscono nella coda Incidents, che la guida SecOps indica come attività quotidiana: verificare che tutti gli incidenti di severità Medium e High siano triagati, investigati, risolti e classificati come veri o falsi.

Il tuning è un capitolo a sé. Microsoft Defender include built-in alert tuning rules che riducono il rumore prodotto da attività benigne ricorrenti: le trovi in System > Settings > Microsoft Defender XDR > sezione Rules > Alert tuning. Attenzione al comportamento: queste regole sopprimono l’avviso ma non toccano le altre funzionalità, per esempio le indagini AIR e le notifiche via email, e se l’indagine AIR rileva attività malevola o sospetta l’alert viene riattivato. Non si applicano invece agli avvisi generati dalle custom detection rule.

Sui permessi: per creare e gestire alert policy serve l’appartenenza ai role group Organization Management o Security Administrator; per la sola lettura basta Security Reader. Con Microsoft Defender XDR Unified RBAC attivo si passa dal permesso Authorization and settings / Security settings / Detection tuning (manage).

Le threat policy: quattro filtri sul contenuto e due protezioni Defender

Le threat policy stanno in Email & collaboration > Policies & rules > Threat policies. Non sono la stessa cosa delle alert policy: una alert policy segnala, una threat policy decide che cosa succede al messaggio.

Le anti-malware policy mettono in quarantena i messaggi quando trovano malware in un allegato e includono il common attachments filter, che blocca per tipo di file riconosciuto anche a prescindere dall’estensione (true type matching), con azione Reject the message with a non-delivery report (NDR), il valore predefinito, oppure Quarantine the message. Qui vive anche lo zero-hour auto purge (ZAP) per il malware.

Le anti-spam policy definiscono il Bulk email threshold (il valore BCL) e le azioni per i verdetti Spam, High confidence spam, Phishing, High confidence phishing e Bulk compliant level (BCL) met or exceeded. Contengono anche Retain spam in quarantine for this many days (da 1 a 30 giorni, predefinito 15), la sezione Zero-hour auto purge (ZAP) e la pagina Allow & block list.

Le anti-phishing policy sono su due livelli. Per tutte le cassette cloud sono disponibili le spoof settings (a partire da Enable spoof intelligence), gli unauthenticated sender indicators e il first contact safety tip. Solo Defender for Office 365 aggiunge le impersonation settings, con la protezione di Users to protect, dei domini, la mailbox intelligence e i Trusted senders and domains, e i phishing email thresholds, dal livello 1 - Standard al 4 - Most aggressive.

Restano le due protezioni esclusive di Defender for Office 365, che l’esame ama contrapporre. Safe Links esegue la scansione e la riscrittura degli URL nei messaggi in ingresso durante il mail flow e la verifica al momento del clic in email, Teams e app Office supportate; ogni policy ha la propria lista Do not rewrite the following URLs. Safe Attachments apre invece gli allegati in un ambiente virtuale per farli detonare prima della consegna: l’impostazione Safe Attachments unknown malware response offre Off, Monitor, Block (il valore predefinito, nonché quello adottato in Standard e Strict) e Dynamic Delivery. Uno lavora sui link, l’altro sui file: non sono alternative, e nessuno dei due sostituisce l’anti-malware.

Preconfigurato o su misura: l’ordine di precedenza

Le preset security policy si trovano nella sezione Templated policies della pagina Threat policies. Sono tre: Standard, Strict e Built-in protection. Le prime due applicano il set di impostazioni consigliate da Microsoft, praticamente non configurabili; l’assegnazione avviene con un wizard che separa la pagina Apply Exchange Online Protection dalla pagina Apply Defender for Office 365 protection, così da includere nella seconda solo gli utenti con licenza idonea. Built-in protection è un’altra cosa ancora: fornisce la protezione di base Safe Links e Safe Attachments a chi non è già coperto da Standard, da Strict o da policy personalizzate.

L’ordine di applicazione va memorizzato: prima Strict, poi Standard, poi le evaluation policy di Defender for Office 365, poi le policy personalizzate secondo il loro valore di Priority (0 è la priorità più alta), infine, allo stesso livello, Built-in protection per Safe Links e Safe Attachments insieme alle policy predefinite di anti-malware, anti-spam e anti-phishing. Il punto che genera più errori: se un destinatario rientra in più policy dello stesso tipo viene applicata solo la prima, senza alcuna fusione fra le impostazioni delle altre. Alle policy predefinite non puoi aggiungere eccezioni, a Built-in protection sì.

Che cosa verifica l’esame

AB-650 è ancora in beta e la soglia di superamento resta 700. Su questo obiettivo aspettati domande di scenario: dato un utente incluso in Strict e in due policy personalizzate, quale set vince; oppure quale protezione scegliere fra Safe Links e Safe Attachments di fronte a un allegato sospetto. Lo strumento da ricordare è il Configuration analyzer, anch’esso in Templated policies, con le schede Standard recommendations, Strict recommendations e Configuration drift analysis and history: confronta le policy esistenti con i profili consigliati e permette di correggere con Apply recommendation. La drift analysis richiede l’Unified Auditing abilitato.