Considerazioni sull'integrazione di servizi di sicurezza non Microsoft con Microsoft 365

Questo articolo illustra come valutare e scegliere un modo supportato per integrare un servizio di sicurezza della posta elettronica non Microsoft con Microsoft 365, inclusi i compromessi e le considerazioni di supporto per ogni opzione.

Anche se Microsoft offre una piattaforma completa per la sicurezza della posta elettronica, alcuni clienti adottano una strategia di difesa approfondita per la sicurezza della posta elettronica aggiungendo un servizio di sicurezza non Microsoft. Esistono due considerazioni per incorporare i servizi di sicurezza non Microsoft con Microsoft 365:

• Se il servizio non Microsoft aumenta il livello di sicurezza dell'organizzazione e quali sono i compromessi associati. Ad esempio:

  • Più costi.
  • Maggiore complessità.
  • Il tasso di falsi positivi (elementi buoni contrassegnati come non validi) aumenta man mano che vengono aggiunti più prodotti.
  • Modalità di integrazione end-to-end del servizio di sicurezza non Microsoft. Ad esempio:
    • Il servizio non Microsoft deve offrire un'esperienza utente che non richiede agli utenti di considerare la quarantena da usare.
    • Il servizio non Microsoft deve integrarsi con i processi e gli strumenti secOps (Security Operations) esistenti. Ad esempio, informazioni di sicurezza e gestione degli eventi (SIEM), orchestrazione della sicurezza, automazione e risposta (SOAR) e così via.

  Nota

  La sicurezza delle email è un ambito conflittuale. Con l'aumento del phishing delle materie prime e dei kit di attacco, gli attacchi si evolvono e si trasformano rapidamente. Microsoft Defender per Office 365 fa parte di Microsoft Defender, il nostro approccio multilivello, prima e dopo la violazione, per la sicurezza informatica aziendale.

  Indipendentemente dal numero di livelli di protezione della posta elettronica, la protezione totale non raggiunge mai il 100%.

• Come il servizio non Microsoft analizza e agisce sui messaggi di posta elettronica. In genere, i servizi di sicurezza non Microsoft suggeriscono le tre opzioni di integrazione seguenti e non tutte queste opzioni sono attualmente ugualmente supportate da Microsoft.

Integrazione tramite instradamento della posta tramite DNS (il record MX punta al servizio diverso da Microsoft)

Il filtro avanzato per i connettori consente di Microsoft 365 identificare l'origine originale dei messaggi che passano attraverso un altro servizio di posta prima di raggiungere Exchange Online. L'uso del Filtro avanzato per i connettori con un servizio non Microsoft collocato prima di Microsoft 365 è trattato in dettaglio in Filtro avanzato per i connettori in Exchange Online e Microsoft lo supporta pienamente. La catena di ricezione autenticata (ARC) mantiene i risultati dell'autenticazione della posta elettronica quando i messaggi passano attraverso servizi intermedi. I fornitori di sicurezza della posta elettronica che supportano ARC funzionano meglio, ma esistono limitazioni. Ad esempio, evitare di usare i collegamenti sicuri per controllare e eseguire il wrapping dei collegamenti con un servizio non Microsoft che riscrive anche i collegamenti. Il doppio wrapping dei collegamenti può impedire a Safe Links di convalidare lo stato dei collegamenti, analizzarli per rilevare eventuali minacce e potenzialmente attivare collegamenti monouso. È consigliabile disabilitare la funzionalità di wrapping dei collegamenti nel servizio non Microsoft.

Per altre informazioni sul routing della posta tramite un servizio cloud non Microsoft prima di Exchange Online, vedere Gestire il flusso di posta usando un servizio cloud non Microsoft con Exchange Online.

Integrazione tramite Microsoft API Graph

Alcuni servizi non Microsoft eseguono l'autenticazione e usano microsoft API Graph per analizzare i messaggi dopo che sono stati recapitati alle cassette postali degli utenti. L'uso del Microsoft API Graph per analizzare i messaggi dopo il recapito consente anche al servizio non Microsoft di rimuovere i messaggi che ritengono dannosi o indesiderati.

Integrazione tramite instradamento della posta in entrata e in uscita

Il routing della posta in uscita consente al record MX di puntare a Microsoft 365. Tuttavia, il servizio non Microsoft funziona dopo la protezione e l'elaborazione della posta elettronica di Microsoft 365, come illustrato nel diagramma seguente:

Il routing della posta in uscita richiede che il messaggio lasci il limite del servizio Microsoft 365. I messaggi restituiti dal servizio non Microsoft vengono considerati come messaggi completamente nuovi da Microsoft 365. Questo comportamento comporta i problemi e le complessità seguenti:

• I messaggi vengono conteggiati due volte nella maggior parte degli strumenti di creazione di report, tra cui Explorer (Esplora minacce), Ricerca avanzata e analisi e risposta automatizzate (AIR). Questo comportamento rende difficile correlare correttamente il verdetto e le azioni del messaggio.

• Poiché è probabile che i messaggi di ritorno a Microsoft 365 non superino i controlli di autenticazione della posta elettronica, potrebbero essere identificati come spoofing (falsi positivi). Alcuni servizi non Microsoft consigliano di utilizzare regole del flusso di posta (regole di trasporto) o il filtraggio delle connessioni IP per aggirare questo problema, ma ciò può comportare la consegna di falsi negativi.

• Soprattutto, l'apprendimento automatico in Defender per Office 365 non funziona nel modo più efficace possibile. Gli algoritmi di Machine Learning si basano su dati accurati per prendere decisioni sul contenuto. I dati incoerenti o modificati possono influire negativamente sul processo di apprendimento, con conseguente diminuzione dell'efficacia complessiva di Defender per Office 365. Alcuni esempi:

  • Reputazione: nel corso del tempo, i modelli di Machine Learning individuano gli elementi associati a contenuti validi e non validi (indirizzi IP, domini di invio, URL e così via). Quando i messaggi vengono restituiti da un servizio non Microsoft, gli indirizzi IP originali del mittente non vengono mantenuti e ciò può ridurre l'efficacia degli indirizzi IP nel formulare un verdetto corretto. Questo comportamento può anche influire sugli invii di messaggi di posta elettronica falsi negativi e falsi positivi a Microsoft, come descritto nel passaggio 3: Falsi negativi e falsi positivi invii di posta elettronica.
  • Modifiche al contenuto dei messaggi: molti servizi di sicurezza della posta elettronica aggiungono intestazioni di messaggio, aggiungono dichiarazioni di non responsabilità, modificano il contenuto del corpo del messaggio e/o riscrivono gli URL nei messaggi. Machine Learning potrebbe decidere accidentalmente che i messaggi con queste modifiche sono dannosi perché l'eliminazione automatica a zero ore (ZAP) ha trovato e rimosso messaggi dannosi e tali messaggi dannosi contengono queste modifiche.

Per questi motivi, è consigliabile evitare questa configurazione e collaborare con il fornitore di servizi non Microsoft per usare le altre opzioni di integrazione descritte in questo articolo. Tuttavia, se è necessario adottare il routing della posta in-and-out, è consigliabile usare le impostazioni e le operazioni seguenti per ottimizzare il comportamento di protezione:

1. Configurare le azioni dei criteri di Defender per Office 365 in modo da mettere in quarantena tutti i verdetti negativi. Anche se questa configurazione può essere meno intuitiva rispetto all'uso della cartella Junk Email, l'azione indesiderata viene eseguita solo al recapito finale alla cassetta postale. Un messaggio di posta elettronica che doveva essere recapitato alla cartella Junk Email è stato invece inviato al servizio non Microsoft. Se/quando questo messaggio torna a Microsoft, non c'è alcuna garanzia che il verdetto originale (ad esempio, la posta indesiderata) venga mantenuto. Questo comportamento comporta una riduzione dell'efficacia complessiva.

   Consiglio

   Le regole del flusso di posta (regole di trasporto) che esaminano i verdetti originali non sono ideali, perché possono introdurre altri problemi e portare a sfide di efficacia.

2. Ridurre al minimo i falsi positivi eseguendo l'override dello spoofing per i messaggi provenienti dal servizio non Microsoft. Ad esempio, se il servizio non Microsoft ha l'indirizzo IP 172.17.17.35, creare nell'elenco Consenti/Blocca del tenant due voci: una Esterna e una Interna, come mostrato nello screenshot seguente:

   

   Assicurarsi di rimuovere queste voci di override se si abbandona il servizio di protezione non Microsoft o se ne cambia il funzionamento.

3. Gli invii a Microsoft di falsi negativi (messaggi dannosi consentiti) e falsi positivi devono provenire dalla versione iniziale del messaggio, non da quella restituita dal servizio non Microsoft. I falsi positivi attribuiti al servizio non Microsoft devono essere inviati al servizio non Microsoft. Questo requisito può essere complesso da gestire:

   • Microsoft falso negativo (non rilevato alla ricezione iniziale): è necessaria una copia del messaggio prima della consegna alla casella di posta. Invia la copia in quarantena dal servizio diverso da Microsoft, se disponibile.
   • Microsoft + servizio non Microsoft: falso negativo: se entrambi i servizi non lo rilevano, si consiglia di segnalare l'elemento originale a Microsoft e l'elemento nella casella di posta del destinatario al servizio non Microsoft. L'elemento restituito a Microsoft 365 dal servizio non Microsoft include i dettagli del servizio non Microsoft (ad esempio, gli indirizzi IP di invio del servizio non Microsoft, intestazioni personalizzate e così via) che possono comportare una riduzione dell'efficacia di Machine Learning.
   • Falso positivo Microsoft: se Microsoft ha intercettato il messaggio prima del servizio non Microsoft, l'invio di questa copia dalla quarantena è efficace.
   • Falso positivo del servizio non Microsoft: se il servizio non Microsoft ha intercettato il messaggio, è necessario inviarlo a tale servizio, perché Microsoft non può correggere il problema.

Integrazione di strumenti di segnalazione messaggi non Microsoft

Defender per Office 365 dispone di impostazioni segnalate dall'utente che funzionano con il pulsante Report predefinito nelle versioni supportate di Outlook.

Sapendo che i servizi di sicurezza non Microsoft potrebbero includere i propri strumenti e processi per la segnalazione di falsi positivi e falsi negativi (inclusi gli sforzi di formazione/sensibilizzazione degli utenti), Defender per Office 365 supporta gli invii da strumenti di report non Microsoft. Questo supporto semplifica la segnalazione di falsi positivi e falsi negativi per Microsoft e consente al team delle operazioni di sicurezza (SecOps) di sfruttare Microsoft Defender gestione degli eventi imprevisti e indagini automatizzate e risposta (AIR).

Per altre informazioni, vedere Opzioni per gli strumenti di creazione di report non Microsoft.

Contenuti correlati

• panoramica di Microsoft Defender per Office 365
• Introduzione a Microsoft Defender per Office 365