Errori comuni nelle configurazioni di sicurezza della posta elettronica di Mimecast

Anche le organizzazioni più attente alla sicurezza possono cadere in trappole di configurazione che le lasciano esposte a rischi. In qualità di ingegnere commerciale di Mimecast, ho riscontrato una serie di errori ricorrenti che possono compromettere il livello di sicurezza della vostra posta elettronica. Ecco una guida pratica alle insidie più comuni e a come evitarle.

1. Anti-spoofing: evitare le insidie del bypass e le politiche non applicate

A cosa serve la protezione anti-spoofing? 

Le politiche anti-spoofing rappresentano la vostra prima linea di difesa contro la falsificazione delle intestazioni delle e-mail, ovvero quando gli autori degli attacchi fanno apparire i messaggi come se provenissero dal vostro stesso dominio. Tali politiche bloccano le e-mail esterne che fingono di provenire da indirizzi interni, una tattica molto diffusa sia nel phishing che negli attacchi di tipo "business email compromise".

Errori comuni e cosa verificare

A. Le politiche di bypass basate su SPF non dovrebbero includere O365/Google

Un errore di configurazione molto comune consiste nell’utilizzare politiche di bypass basate su SPF che includono ampi intervalli di indirizzi IP di fornitori di servizi cloud (come O365 o Google). Ciò può far sì che, inavvertitamente, alcune e-mail contraffatte provenienti da tali piattaforme riescano a passare inosservate.

Buona pratica: ove possibile, ricorra sempre a un bypass basato sull’indirizzo IP per i mittenti attendibili, anziché a bypass generici basati su SPF. Limitate i bypass a indirizzi IP o intervalli specifici e noti. 

Per saperne di più: Configurazione delle politiche anti-spoofing, Bypass SBF anti-spoofing

B. Mancanza della casella di controllo “Crea politica anti-spoofing” per i nuovi domini 

Quando si aggiungono nuovi domini, molti amministratori aziendali dimenticano di spuntare la casella che consente di creare automaticamente una politica anti-spoofing. Il risultato? Il nuovo dominio rimane privo di protezione ed è esposto al rischio di spoofing.

Cosa fare: Selezionare sempre l’opzione “Crea automaticamente una politica anti-spoofing per questo dominio” al momento della registrazione di nuovi domini. Se ve lo siete perso, create subito manualmente la politica. 

Per saperne di più: Gestione dei domini interni & Sottodomini, Aggiunta di un dominio interno

2. Politiche di protezione contro l’usurpazione d’identità: migliori pratiche e protezione dei VIP

A cosa serve la funzione "Protezione dall'usurpazione d'identità"? 

Le politiche di protezione contro l'usurpazione d'identità sono concepite per individuare tentativi di phishing sofisticati che simulano l'identità di dirigenti, personale finanziario o altri obiettivi di alto profilo. Tali politiche analizzano i nomi dei mittenti, i domini e il contenuto dei messaggi alla ricerca di indizi di usurpazione d'identità.

Errori comuni e aspetti da verificare 

Configurazione raccomandata: 

• Stabilite criteri rigorosi per i dirigenti e i VIP utilizzando gruppi di profili e punteggi di corrispondenza più elevati.
• Aggiorni regolarmente la Sua lista VIP man mano che il personale cambia mansione.
• Adeguate gli identificatori e le varianti ortografiche per individuare i tentativi di usurpazione d’identità più sottili. Il social graph di Mimecast lo fa automaticamente per voi se disponete del servizio Advanced BEC.

A cosa prestare attenzione: 

• Non dimentichi di aggiungere i nuovi dirigenti al Suo gruppo VIP.
• Si prega di verificare e adeguare i punteggi di corrispondenza al fine di garantire un equilibrio tra sicurezza e falsi positivi. 

Per saperne di più: 

• Protezione contro l'usurpazione d'identità – Prima politica
• Guida alla configurazione della protezione contro l'usurpazione d'identità
• Definizioni relative alla protezione contro l'usurpazione d'identità

3. Attivazione delle funzionalità: Threat Remediation, Sicurezza & ripristino e Monitoraggio degli eventi di continuità operativa

A cosa servono queste funzioni? 

Threat Remediation: consente di individuare e rimuovere le e-mail dannose anche dopo la consegna.  Si tratta di una funzionalità disponibile nell'ambito della Protezione interna della posta elettronica.

Ripristino sicuro di " & ": consente il ripristino delle caselle di posta in caso di interruzione del servizio o attacco. 

Monitoraggio degli eventi di continuità: monitora il flusso della posta e attiva la modalità di continuità in caso di interruzioni del servizio. 

Errori comuni e aspetti da verificare 

Threat Remediation: assicurarsi che la risoluzione automatica sia abilitata e che le code degli incidenti siano monitorate. 

Monitoraggio della sicurezza, del ripristino e della continuità di &: Verifichi che tutti i connettori necessari siano configurati per il Suo ambiente (O365, Google, Exchange). 

A cosa prestare attenzione 

• La mancanza di connettori può causare lacune nella copertura.
• Il solo intervento manuale risulta meno efficace: si raccomanda di ricorrere all’automazione ove possibile. 

Scopra di più

• Threat Remediation
• Gestione dei connettori

4. Mittenti autorizzati: come evitare i rischi e le migliori pratiche

A cosa serve la funzione “Mittenti autorizzati”? 

I mittenti autorizzati sono indirizzi o IP affidabili che non vengono sottoposti a scansione spam, greylisting e controlli di reputazione IP, garantendo così che le e-mail importanti non vengano bloccate.

Errori comuni e aspetti da verificare 

Rischi legati all’aggiunta di fornitori di servizi cloud (O365/Google): l’aggiunta di interi domini o intervalli di indirizzi IP relativi a fornitori di servizi cloud può consentire alle e-mail malevole provenienti da tali piattaforme di aggirare i Suoi sistemi di sicurezza. 

Domini interni: non aggiunga mai i propri domini interni all’elenco dei mittenti autorizzati; ciò potrebbe essere sfruttato dagli aggressori per falsificare le comunicazioni interne. 

Migliori pratiche per i servizi (PayPal, DocuSign, ecc.): Si consentano esclusivamente indirizzi e-mail o indirizzi IP dei mittenti ufficiali, specifici e documentati per i servizi di terze parti. Riveda e aggiorni regolarmente il Suo elenco. 

A cosa prestare attenzione 

• Verifichi che l’elenco dei mittenti autorizzati non contenga voci generiche o potenzialmente rischiose.
• Si assicuri che le politiche anti-spoofing abbiano la precedenza sugli “Mittenti autorizzati” per i domini interni. 

Scopra di più

• Configurazione della politica relativa ai mittenti autorizzati
• Impostazioni predefinite

5. Verifiche di autenticazione DNS in entrata: applicazione degli standard SPF, DKIM e DMARC

A cosa serve l'autenticazione DNS? 

Mimecast verifica la conformità delle e-mail in entrata agli standard SPF, DKIM e DMARC per accertare l'autenticità del mittente e prevenire lo spoofing.

Errori comuni e aspetti da verificare 

Le azioni predefinite potrebbero essere troppo permissive: per impostazione predefinita, le politiche potrebbero non applicare misure rigorose in caso di errori di autenticazione. 

Cosa fare 

• Configurare le politiche per respingere o mettere in quarantena le e-mail che non superano i controlli SPF, DKIM o DMARC.
• Si raccomanda di verificare regolarmente i record DNS di tutti i domini. 

Scopra di più

• Panoramica sull'autenticazione DNS
• Configurazione della definizione dell'autenticazione DNS
• Configurazione della politica di autenticazione DNS

6. Autorizzazione automatica durante la scansione dello spam: perché l’opzione “Metti in attesa” è più sicura di “Non fare nulla”

A cosa serve questa impostazione? 

L'azione "Consenti automaticamente il rilevamento dello spam" determina cosa succede alle e-mail provenienti da mittenti autorizzati che vengono contrassegnate come spam.

Errori comuni e aspetti da verificare 

Se l'impostazione è "Non fare nulla": i risultati relativi allo spam vengono ignorati e le e-mail potenzialmente pericolose potrebbero raggiungere gli utenti. 

Buona pratica: impostare l’azione su “In attesa di revisione” o “Rifiuta” per impedire che le e-mail dannose vengano recapitate senza essere state controllate. 

Per saperne di più 

• Abilitare automaticamente la scansione antispam
• Configurazioni delle politiche di scansione degli intervalli

Considerazioni finali 

Gli errori più comuni nelle configurazioni di Mimecast sono spesso semplici disattenzioni: bypass generici, caselle non spuntate o impostazioni predefinite non verificate. Audit periodici, un’applicazione rigorosa delle politiche e l’aggiornamento costante sulle migliori pratiche di Mimecast rappresentano la vostra migliore difesa.

Rimanete vigili, controllate regolarmente le vostre configurazioni e consultate la Knowledge Base di Mimecast per ricevere indicazioni. La sicurezza della vostra posta elettronica è forte solo quanto la vostra politica più debole!