Anexos Seguros no Microsoft Defender para Office 365

Os Anexos Seguros no Microsoft Defender para Office 365 fornecem uma camada adicional de proteção para anexos de e-mail que já foram analisados pela proteção antimalware. Especificamente, os Anexos Seguros utilizam um ambiente virtual para verificar anexos em mensagens de e-mail para anexos prejudiciais (por exemplo, software maligno, ransomware e phishing) antes de serem entregues aos destinatários (um processo conhecido como detonação).

A proteção de Anexos Seguros para mensagens de e-mail é controlada pelas políticas de Anexos Seguros. Embora não exista uma política predefinida de Anexos Seguros, a política de segurança predefinida de proteção incorporada fornece proteção de Anexos Seguros a todos os destinatários (utilizadores que não estão definidos nas políticas de segurança predefinidas Padrão ou Estritas ou em políticas de Anexos Seguros personalizadas). Para obter mais informações, veja Políticas de segurança predefinidas. Também pode criar políticas de Anexos Seguros que se aplicam a utilizadores, grupos ou domínios específicos. Para obter instruções, consulte Configurar políticas de Anexos Seguros no Microsoft Defender para Office 365.

A tabela seguinte descreve cenários para Anexos Seguros no Microsoft 365 e organizações Office 365 que incluem Microsoft Defender para Office 365 (ou seja, a falta de licenciamento nunca é um problema nos exemplos).

A análise de Anexos Seguros ocorre na mesma região onde residem os seus dados do Microsoft 365. Para obter mais informações sobre a geografia do datacenter, consulte Onde estão localizados os seus dados?

Definições da política de Anexos Seguros

Esta secção descreve as definições nas políticas de Anexos Seguros:

• Filtros de destinatários: condições e exceções para identificar os destinatários internos a que a política se aplica. É necessária, pelo menos, uma condição. Pode utilizar os seguintes filtros de destinatários para condições e exceções:

  • Utilizadores: uma ou mais caixas de correio ou utilizadores de correio na organização.
  • Grupos:
    • Membros dos grupos de distribuição especificados ou dos grupos de segurança habilitados para correio (os grupos de distribuição dinâmicos não são suportados).
    • Os Grupos do Microsoft 365 especificados (grupos de membros dinâmicos no Microsoft Entra ID não são suportados).
  • Domínios: um ou mais dos domínios aceites configurados no Microsoft 365. O endereço de e-mail principal do destinatário está no domínio especificado.

  Pode utilizar uma condição ou exceção apenas uma vez, mas a condição ou exceção pode conter vários valores:

  • Vários valores da mesma condição ou da mesma exceção utilizam lógica OR (por exemplo, <destinatário1> ou <destinatário2>):

    • Condições: se o destinatário corresponder a qualquer um dos valores especificados, a política será aplicada aos mesmos.
    • Exceções: se o destinatário corresponder a qualquer um dos valores especificados, a política não será aplicada aos mesmos.

  • Diferentes tipos de exceções utilizam lógica OR (por exemplo, <destinatário1> ou <membro do grupo1> ou <membro do domínio1>). Se o destinatário corresponder a qualquer um dos valores de exceção especificados, a política não será aplicada aos mesmos.

  • Diferentes tipos de condições utilizam a lógica AND. O destinatário tem de corresponder a todas as condições especificadas para que a política se aplique às mesmas. Por exemplo, pode configurar uma condição com os seguintes valores:

  • Utilizadores: romain@contoso.com

  • Grupos: Executivos

    A política é aplicada a romain@contoso.comapenas se ele também for membro do grupo de Executivos. Caso contrário, a política não lhe é aplicada.

• Resposta do Safe Attachments a malware desconhecido: esta definição controla a ação a executar na verificação de ameaças do Safe Attachments nas mensagens de e-mail. As opções disponíveis estão descritas na tabela seguinte:

  Opção	Efeito	Utilize quando quiser:
  Desativado	Os anexos não são analisados à procura de ameaças pelo Safe Attachments (por exemplo, malware, ransomware e phishing). As mensagens continuam a ser analisadas relativamente a software maligno através da proteção antimalware.	Desative a verificação para os destinatários selecionados. Evitar atrasos desnecessários no encaminhamento de correio interno. Esta opção não é recomendada para a maioria dos utilizadores. Só deve utilizar esta opção para desativar a análise de Anexos Seguros para destinatários que apenas recebem mensagens de remetentes fidedignos. O ZAP não coloca as mensagens em quarentena se os Anexos Seguros estiverem desativados e não for recebido um sinal de ameaça. Para mais informações, consulte Eliminação automática de hora zero
  Monitor	Entrega mensagens com anexos e, em seguida, controla o que acontece com ameaças detetadas. A entrega de mensagens seguras pode sofrer atrasos devido à análise de Anexos Seguros.	Veja para onde vão as mensagens detetadas na sua organização.
  Bloquear	Impede que as mensagens com anexos detetados sejam entregues. As mensagens são colocadas em quarentena. Por predefinição, apenas os administradores (não utilizadores) podem rever, libertar ou eliminar as mensagens.¹ Bloqueia automaticamente futuras ocorrências destas mensagens e anexos. A entrega de mensagens seguras pode sofrer atrasos devido à análise de Anexos Seguros.	Protege a sua organização contra ataques repetidos com os mesmos anexos. Este valor é o valor predefinido e o recomendado nas políticas de segurança predefinidas Padrão e Estrita.
  Entrega Dinâmica	Entrega mensagens imediatamente, mas substitui anexos por marcadores de posição até que a análise de Anexos Seguros esteja concluída. As mensagens que contêm anexos maliciosos são colocadas em quarentena. Por predefinição, apenas os administradores (não utilizadores) podem rever, libertar ou eliminar as mensagens.¹ Para mais detalhes, consulte a secção Entrega dinâmica nas políticas de Safe Attachments mais adiante neste artigo.	Evite atrasos de mensagens ao proteger os destinatários de ficheiros maliciosos.

  ¹ As políticas de quarentena definem o que os utilizadores são capazes de fazer às mensagens em quarentena e se os utilizadores recebem notificações de quarentena. Para obter mais informações, veja Anatomia de uma política de quarentena. Os utilizadores não podem libertar as suas próprias mensagens colocadas em quarentena pelo Safe Attachments como malware ou phishing, independentemente de como a política de quarentena está configurada. Se a política estiver configurada para os utilizadores libertarem estas mensagens em quarentena, os utilizadores podem , em vez disso, pedir a libertação destas mensagens em quarentena.

• Redirecionar mensagens com anexos detetados: ative o redirecionamento e Envie mensagens que contenham anexos monitorizados para o endereço de e-mail especificado: apenas para a ação Monitorizar , envie mensagens que contenham anexos detetados para o endereço de e-mail interno ou externo especificado para análise e investigação.

  A recomendação para as definições de política Padrão e Estrita é ativar o redirecionamento. Para obter mais informações, consulte Definições de Anexos Seguros.

• Bloquear mensagens contendo anexos encriptados que não puderam ser digitalizados: Quando seleciona Bloquear como resposta de malware desconhecido de Anexos Seguros, pode ativar esta configuração para colocar em quarentena mensagens que contenham anexos encriptados (protegidos por palavra-passe). Esta configuração aplica-se quando os Anexos Seguros não conseguem escanear ou detonar os anexos, por exemplo, quando a palavra-passe não está disponível. As mensagens afetadas ficam em quarentena em vez de serem entregues até que um administrador ou o destinatário as liberte. Para mais informações, consulte a secção de Anexos Encriptados (protegidos por palavra-passe) nas políticas de Anexos Seguros mais adiante neste artigo.

• Prioridade: se criar várias políticas, pode especificar a ordem em que são aplicadas. Não pode haver duas políticas com a mesma prioridade, e o processamento das políticas para depois de a primeira política ser aplicada (a política de prioridade mais elevada para esse destinatário).

  Para obter mais informações sobre a ordem de precedência e a forma como várias políticas são avaliadas e aplicadas, veja Ordem e precedência da proteção de e-mail.

Entrega Dinâmica em políticas de Anexos Seguros

A ação Entrega Dinâmica nas políticas de Anexos Seguros procura eliminar quaisquer atrasos de entrega de e-mail que possam ser causados pela análise de Anexos Seguros. O corpo da mensagem de e-mail é entregue ao destinatário com um marcador de posição para cada anexo. O marcador de posição permanece até que o anexo seja considerado seguro e, em seguida, o anexo fica disponível para abrir ou transferir.

Se um anexo for considerado malicioso, a mensagem será colocada em quarentena.

A maioria dos PDFs e documentos do Office podem ser pré-visualizados no modo de segurança enquanto a análise de Anexos Seguros está em curso. Se um anexo não for compatível com a pré-visualização do Dynamic Delivery, os destinatários verão um espaço reservado para o anexo enquanto a verificação do Safe Attachments não estiver concluída.

Se estiver a utilizar um dispositivo móvel e os PDFs não estiverem a ser apresentados no pré-visualizador de Entrega Dinâmica, experimente abrir a mensagem no Outlook na Web (anteriormente conhecido como Outlook Web App) utilizando o navegador móvel.

Seguem-se algumas considerações sobre a Entrega Dinâmica e mensagens reencaminhadas:

• Se o destinatário reencaminhado estiver protegido por uma política de Anexos Seguros que utilize a opção Entrega Dinâmica, o destinatário verá o marcador de posição, com a capacidade de pré-visualizar ficheiros compatíveis.
• Se o destinatário do reencaminhamento não estiver protegido por uma política de Anexos Seguros, a mensagem e os anexos são entregues sem qualquer análise pelo Safe Attachments nem marcadores de posição para anexos.

Existem cenários em que a Entrega Dinâmica não consegue substituir anexos nas mensagens. Estes cenários incluem:

• Mensagens em pastas públicas.
• Mensagens que são encaminhadas para fora da caixa de correio de um utilizador e depois de volta para a mesma através de regras personalizadas.
• Mensagens que são movidas (automaticamente ou manualmente) para fora das caixas de correio na nuvem para outras localizações, incluindo pastas de arquivo.
• As regras da caixa de entrada movem a mensagem para fora da Caixa de Entrada para uma pasta diferente.
• Mensagens eliminadas.
• A pasta de pesquisa da caixa de correio do utilizador está num estado de erro.
• Organizações do Exchange Online onde o Exclaimer está ativado. Para resolver este problema, veja KB4014438.
• S/MIME) mensagens encriptadas.
• Configurou a ação de Entrega Dinâmica numa política de Anexos Seguros, mas o destinatário não é compatível com a Entrega Dinâmica (por exemplo, o destinatário é uma caixa de correio numa organização Exchange no local). No entanto, as Ligações Seguras no Microsoft Defender para Office 365 podem digitalizar anexos de ficheiros do Office que contêm URLs (se a análise de Ligações Seguras de aplicações do Office de suporte estiver ativada na política de Ligações Seguras aplicável).

Anexos encriptados (protegidos por palavra-passe) nas políticas de Anexos Seguros

Anexos encriptados (protegidos por palavra-passe) são comuns nos fluxos de trabalho empresariais, mas criam desafios de inspeção. O Safe Attachments abre anexos de email num ambiente virtual para os verificar quanto a conteúdos maliciosos (um processo conhecido como detonação). Os Anexos Seguros não podem escanear ou detonar completamente um anexo protegido por palavra-passe a menos que a palavra-passe esteja disponível (por exemplo, extraída do corpo do email durante a digitalização).

Configura políticas de Anexos Seguros para colocar em quarentena mensagens que contenham anexos protegidos por palavra-passe quando a varredura ou a detonação não for concluída. As mensagens afetadas são colocadas em quarentena em vez de entregues. Ficam em quarentena até serem libertados:

• Os administradores podem libertar a mensagem a qualquer momento com total autoridade, sem necessidade da palavra-passe. Para instruções, consulte Gerir mensagens e ficheiros em quarentena como administrador no Microsoft Defender para Office 365.
• Os utilizadores podem auto-libertar a sua própria mensagem em quarentena fornecendo a palavra-passe do anexo, se a política de quarentena atribuída permitir que libertem as suas próprias mensagens. Os utilizadores não podem libertar estas mensagens diretamente a partir de um email de notificação de quarentena. Em vez disso, selecionam Revisão na notificação para abrir a mensagem no portal Microsoft Defender, selecionam Libertar email e depois inserem a palavra-passe do anexo. Para instruções, consulte Encontrar e libertar mensagens em quarentena como utilizador no Microsoft Defender para Office 365.

Na página de Quarentena no portal Defender, estas mensagens têm o valor de razão de quarentena protegida por palavra-passe.

Quando um utilizador fornece a palavra-passe, os Anexos Seguros executam uma detonação just-in-time (uma nova digitalização) do anexo antes da libertação. A palavra-passe é usada apenas para abrir e reescanear o anexo. Não é armazenado.

• Se o anexo for considerado seguro, a mensagem é libertada para a caixa do correio.
• Se o anexo for considerado malicioso ou ainda assim não puder ser digitalizado, a mensagem permanece em quarentena para um administrador rever.

Atualmente, a palavra-passe só pode ser submetida uma vez por mensagem em quarentena. Tentar novamente com outra palavra-passe não é suportado.

Por defeito, esta definição avalia anexos protegidos por palavra-passe de todos os tipos de ficheiros. Na secção Excluir estes tipos de apego , pode excluir tipos específicos de apego da definição:

• Acrobat (pdf)
• Archive (zip, gzip, 7z, rar, apenas tar)
• Consultório (doc, docx, xls, xlsx, ppt, pptx apenas)
• Todos os outros tipos de ficheiros

Os anexos são identificados pelo seu verdadeiro tipo de ficheiro, não apenas pela extensão do nome do ficheiro.

Um valor de política de Quarentena determina o que os destinatários podem fazer com estas mensagens em quarentena e se recebem notificações de quarentena. Por defeito, é utilizada a política de quarentena chamada DefaultFullAccessWithNotificationPolicy. Para obter mais informações, veja Anatomia de uma política de quarentena.

Esta configuração suporta mensagens em que uma única palavra-passe desbloqueia os anexos:

• Uma mensagem com um anexo protegido por palavra-passe.
• Uma mensagem com vários anexos protegidos por palavra-passe que usam todos a mesma palavra-passe. O utilizador insere a palavra-passe uma vez para avaliar e possivelmente libertar a mensagem.

Mensagens que contenham múltiplos anexos protegidos por palavra-passe com palavras-passe diferentes não são tratadas por esta configuração. A mesma limitação aplica-se a um único arquivo (por exemplo, um ficheiro ZIP) que contém múltiplos itens protegidos por palavras-passe diferentes. Estas mensagens continuam a ser processadas como são hoje, sem a experiência de quarentena e auto-libertação.

No Defender para Office 365 Plan 2, as equipas de operações de segurança podem identificar mensagens com anexos protegidos por palavra-passe utilizando a caça avançada:

EmailAttachmentInfo
| where AdditionalFields contains "IsPasswordProtectedItem"

Submeter ficheiros para análise

• Se receber um ficheiro que pretende enviar à Microsoft para análise, consulte Submeter software maligno e não software maligno à Microsoft para análise.
• Se receber uma mensagem de e-mail (com ou sem um anexo) que pretende submeter à Microsoft para análise, consulte Comunicar mensagens e ficheiros à Microsoft.