Perché servono policy personalizzate
Le preset security policy (Built-in protection, Standard, Strict) coprono la maggioranza dei tenant, ma non permettono di differenziare il comportamento per reparto. Quando un requisito parla di “utenti diversi con esigenze diverse”, la risposta è quasi sempre creare policy personalizzate in Microsoft Defender XDR (security.microsoft.com → Email & collaboration → Policies & rules → Threat policies) e assegnarle a gruppi specifici.
Safe Links e Safe Attachments richiedono Microsoft Defender for Office 365 Plan 1 (incluso in Microsoft 365 Business Premium e in E5); l’anti-spam è invece parte di Exchange Online Protection e disponibile in tutti i piani.
Safe Attachments: le quattro azioni
La policy invia gli allegati in una sandbox (detonation) prima della consegna. Le azioni disponibili:
| Azione | Comportamento | Quando usarla |
|---|---|---|
| Off | Nessuna scansione sandbox | Mai in produzione |
| Monitor | Consegna il messaggio, traccia il verdetto | Fase di pilot/tuning |
| Block | Blocca messaggio e allegato, mette in quarantena | Baseline consigliata per l’utenza generica |
| Dynamic Delivery | Consegna subito il corpo con un allegato segnaposto, sostituito quando la detonation termina | Utenti che non possono tollerare ritardi (legale, procurement, HR) |
Punti operativi: la detonation introduce un ritardo tipico di alcuni minuti, ed è proprio il motivo per cui Dynamic Delivery esiste — non riduce la sicurezza, riduce la latenza percepita. L’opzione Redirect invia gli allegati malevoli a una cassetta di analisi (utile al SOC) e va abbinata a Block o Dynamic Delivery.
Attenzione: Safe Attachments for SharePoint, OneDrive, and Microsoft Teams non è una policy, ma un’impostazione globale del tenant (Set-AtpPolicyForO365) e va abilitata separatamente.
Safe Links: email, Teams e app Office
Una singola policy Safe Links controlla più superfici tramite toggle distinti:
- Email: riscrittura degli URL con dominio
safelinks.protection.outlook.come verifica al momento del click (time-of-click protection). Attivare anche “Apply Safe Links to email messages sent within the organization” per coprire il movimento laterale. - Microsoft Teams: nessuna riscrittura visibile, ma il click viene intercettato e la pagina di warning mostrata.
- Office 365 apps: Word, Excel, PowerPoint, Outlook desktop e mobile; anche qui non c’è rewriting.
Impostazioni chiave: “Let users click through to the original URL” va lasciata disattivata; “Track user clicks” attivata per alimentare la telemetria in Threat Explorer.
Anti-spam in entrata e in uscita
La policy inbound definisce l’azione per ciascun verdetto (Spam, High confidence spam, Phishing, High confidence phishing, Bulk) — tipicamente Move to Junk per spam e Quarantine per high confidence phishing, che di fatto è già forzato. La soglia BCL (default 7) governa la posta di massa legittima. Ogni azione di quarantena è associata a una quarantine policy che determina cosa l’utente può fare: AdminOnlyAccessPolicy (nessuna visibilità), DefaultFullAccessPolicy (release senza notifica) o DefaultFullAccessWithNotificationPolicy. Le notifiche all’utente si abilitano nella quarantine policy, con intervallo configurabile.
La policy outbound controlla i limiti di destinatari (esterni, interni, giornalieri), l’azione in caso di superamento (Restrict the user from sending mail) e soprattutto l’automatic forwarding: impostarlo su Off è la contromisura standard contro l’esfiltrazione post-compromissione.
Priorità e ordine di valutazione
Per ogni tipo di protezione si applica una sola policy per utente: quella con il numero di priorità più basso (0 è la più alta) fra quelle che matchano. Sopra a tutto stanno i preset: Strict batte Standard, che batte le policy personalizzate, che battono la policy Default (sempre ultima, non eliminabile, senza destinatari configurabili). Built-in protection è il livello più basso in assoluto.
Trappole tipiche d’esame
- Scenario: un partner esterno ricorrente finisce in quarantena e vi chiedono di “sbloccarlo” → creare una allow entry nella Tenant Allow/Block List (o inviare una submission), non una mail flow rule con SCL -1: la transport rule bypassa i filtri anche per lo spoofing di quel dominio ed è la risposta sbagliata.
- Scenario: il reparto legale lamenta ritardi di alcuni minuti sugli allegati leciti → policy Safe Attachments dedicata con Dynamic Delivery, non “Off” e non l’esclusione dei destinatari.
- Scenario: un utente rientra sia in una policy custom con priorità 3 sia in una con priorità 1 → si applica solo la priorità 1; le impostazioni non si sommano né si fondono.
- Scenario: serve protezione dei link anche nei messaggi Teams e nei documenti Word → una sola Safe Links policy con i toggle Teams e Office 365 apps attivi, non policy separate per prodotto.
- Scenario: gli utenti devono ricevere il riepilogo dei messaggi in quarantena → configurare le notifiche nella quarantine policy assegnata, non nella policy anti-spam in sé.