Le preset security policies sono la scorciatoia ufficiale Microsoft per applicare a Exchange Online una configurazione di sicurezza email già allineata alle raccomandazioni del prodotto, senza costruire decine di policy custom. Si gestiscono dal portale Microsoft Defender XDR in Email & collaboration > Policies & rules > Threat policies > Preset security policies.

Cosa contiene un preset

Ogni preset raggruppa due blocchi di protezioni, che vengono assegnati con due scope di destinatari separati nella stessa procedura guidata.

Blocco Policy incluse Licenza
Exchange Online Protection (EOP) anti-spam, anti-malware, anti-phishing (spoof intelligence) inclusa in tutti i piani con Exchange Online
Defender for Office 365 anti-phishing con impersonation protection (utenti e domini), Safe Links, Safe Attachments richiede Defender for Office 365 Plan 1 o 2

Esistono tre livelli:

  • Standard protection — bilanciato, adatto alla maggior parte degli utenti.
  • Strict protection — soglie più aggressive (es. spam classificato prima, azioni di quarantena al posto di “sposta in Junk”), pensato per dirigenti, finance, HR e altri target ad alto rischio.
  • Built-in protection — attivo di default per tutto il tenant, contiene solo Safe Links e Safe Attachments di base ed è la rete di sicurezza minima per chi ha Defender for Office 365.

Assegnare i destinatari

Nel wizard si definisce l’ambito con tre condizioni combinabili in OR:

  • Users — singole mailbox/utenti
  • Groups — gruppi di distribuzione, gruppi di sicurezza mail-enabled, Microsoft 365 Groups
  • Domains — tutti i destinatari di un dominio accettato

Si possono aggiungere eccezioni con le stesse tre condizioni. Pattern operativo tipico:

  1. Standard → condizione Domain = contoso.com (copre tutti), con eccezione sul gruppo SEC-Executives.
  2. Strict → condizione Group = SEC-Executives.
  3. Built-in protection → lasciato attivo, eventualmente con eccezioni per mailbox di test o migrazione.

Su Built-in protection si possono impostare solo eccezioni: non ha inclusioni, perché per definizione si applica a tutti.

Gli unici valori modificabili dentro Standard e Strict sono lo scope dei destinatari e le impostazioni di impersonation protection (lista di utenti/domini protetti, mittenti e domini attendibili). Tutto il resto è bloccato e viene aggiornato da Microsoft nel tempo.

Configuration Analyzer

Serve a capire quanto le policy custom e default già esistenti si discostano dalle baseline. Percorso: Threat policies > Configuration analyzer. Presenta tre viste:

  • Standard recommendations — confronto delle policy attuali con la baseline Standard.
  • Strict recommendations — stesso confronto contro la baseline Strict.
  • Configuration drift analysis and history — traccia le modifiche nel tempo e segnala quando una policy si allontana dalla baseline (Increase/Decrease).

Per ogni gap l’analyzer mostra impostazione, valore corrente, valore consigliato e un pulsante Apply recommendation che riscrive il valore direttamente nella policy analizzata. È lo strumento giusto quando il requisito d’esame è “verificare che le policy esistenti rispettino le raccomandazioni Microsoft e correggere gli scostamenti senza riscrivere le policy da zero”.

Precedenza fra policy

Quando un destinatario ricade in più policy, per ciascun tipo di protezione ne viene applicata una sola, in questo ordine:

  1. Strict preset
  2. Standard preset
  3. Policy personalizzate (in ordine di priorità: 0 = più alta)
  4. Built-in protection (solo Safe Links / Safe Attachments)
  5. Policy di default del tenant

Trappole tipiche d’esame

  • Scenario: un utente è incluso sia nel preset Standard sia in una policy anti-spam custom con priorità 0. Quale vince? → Il preset Standard. I preset hanno sempre precedenza sulle policy custom, indipendentemente dal numero di priorità: la priorità ordina solo le policy personalizzate fra loro.
  • Scenario: serve alzare la soglia di bulk email a 5 solo per il reparto marketing, ma sono già coperti da Standard. → Non si modifica il preset: i valori interni sono immutabili. Occorre escludere il gruppo dal preset e creare una policy anti-spam custom con quel valore.
  • Scenario: tenant con Microsoft 365 E3 senza add-on. Si attiva il preset Standard: quali componenti diventano operative? → Solo le protezioni EOP (anti-spam, anti-malware, anti-phishing base). Safe Links e Safe Attachments richiedono Defender for Office 365 e la sezione relativa non è assegnabile.
  • Scenario: l’audit chiede di allineare 12 policy anti-phishing custom ereditate da una migrazione senza sostituirle con i preset. → Usare Configuration Analyzer, vista Strict recommendations, e applicare le raccomandazioni una a una. Configuration Analyzer non analizza i preset, che sono già conformi per costruzione.
  • Scenario: un utente è nel preset Strict per le protezioni EOP ma non è stato incluso nello scope Defender for Office 365 dello stesso preset. → Riceve le protezioni EOP di livello Strict ma per Safe Links/Safe Attachments ricade su Built-in protection: i due scope del wizard sono indipendenti e vanno popolati entrambi.