Criteri preimpostati e criteri personalizzati anti-phishing in Microsoft Defender per Office 365

By Mirko Peters · 2026-10-29

Scopri quando usare i criteri anti-phishing preimpostati o personalizzati in Microsoft Defender per Office 365, evita le trappole di precedenza e proteggi il tuo tenant cloud.

Automatically translated with AI from the original post. Read the English original

Scegliere tra criteri di sicurezza preimpostati e configurazioni personalizzate in Microsoft Defender per Office 365 determina quanto efficacemente la tua organizzazione blocca gli attacchi di phishing mirati. Questa guida analizza l'ordine di valutazione dei criteri, le trappole di precedenza nascoste e un modello pratico per decidere quando le regole personalizzate sono davvero giustificate rispetto alle raccomandazioni integrate di Microsoft.

Punti chiave

• Microsoft valuta i criteri di protezione della posta in un ordine rigoroso dall'alto verso il basso: preset Strict, preset Standard, criteri personalizzati e infine protezione integrata.
• Il motore di valutazione si ferma alla primissima corrispondenza, il che significa che gli utenti nei campi di applicazione dei preset ignoreranno completamente i criteri anti-phishing personalizzati che hai creato.
• I criteri di sicurezza preimpostati scaricano su Microsoft la manutenzione e la gestione dello scostamento dei criteri, garantendo che la tua base di riferimento si aggiorni automaticamente contro le minacce emergenti.
• I criteri personalizzati sono costosi in termini di carico amministrativo e andrebbero riservati solo a eccezioni di business reali e documentate.
• Gli utenti ad alto rischio, come dirigenti, personale finance e amministratori IT, devono rientrare negli ambiti dei preset Strict piuttosto che in regole di isolamento costruite su misura.

La trappola della precedenza: perché le regole personalizzate falliscono in silenzio

Molti amministratori della sicurezza della posta passano giorni a creare criteri anti-phishing personalizzati nel portale Microsoft Defender. Regolano con cura i livelli di confidenza del phishing, costruiscono ampi elenchi di utenti protetti e assegnano azioni specifiche per i tentativi di impersonificazione. Il portale mostra un rassicurante stato «Enabled» e la configurazione sulla carta sembra perfetta. Eppure, nonostante tutto questo lavoro accurato, il criterio potrebbe non attivarsi mai per nessun utente.

Il problema di fondo sta nel modo in cui Microsoft 365 elabora più regole sovrapposte. Il motore di valutazione non combina le impostazioni né sceglie la regola più restrittiva. Scorre invece una gerarchia rigida: prima valuta il criterio preset Strict, poi il criterio preset Standard, quindi i criteri personalizzati e infine la protezione integrata, in fondo alla catena. Nel momento in cui un destinatario corrisponde a un criterio più in alto nella catena, la valutazione si interrompe in modo definitivo. Se i membri del team finance rientrano nell'ambito del criterio preset Standard, la tua regola anti-phishing personalizzata per la finance viene completamente ignorata. Non compare alcun messaggio di errore né scatta alcun avviso, e così si crea una falla di sicurezza invisibile che gli attaccanti possono sfruttare facilmente.

Preset contro criteri personalizzati: il compromesso amministrativo

Capire la differenza di fondo tra i criteri di sicurezza preimpostati di Microsoft e le configurazioni personalizzate del tenant è essenziale per la gestione a lungo termine dell'architettura cloud. I criteri preimpostati (Standard e Strict) rappresentano l'intelligence collettiva raccolta su milioni di caselle di posta in tutto il mondo. Microsoft aggiorna continuamente queste impostazioni in base alla telemetria delle minacce in tempo reale, il che significa che tu benefici di osservazioni a livello di settore che i singoli tenant non riuscirebbero mai a raccogliere da soli.

Al contrario, un criterio personalizzato rappresenta il giudizio soggettivo di un singolo amministratore, applicato a una specifica organizzazione in un determinato momento. Sebbene le regole personalizzate offrano un controllo granulare su specifici flussi di posta o su esigenze di business particolari, comportano un carico di manutenzione notevole. Quando i vettori di attacco evolvono, i criteri personalizzati restano completamente statici. Senza un ciclo di revisione dedicato, le configurazioni personalizzate si discostano silenziosamente dagli standard di sicurezza attuali, creando vulnerabilità difficili da diagnosticare dopo un incidente.

Quando sono davvero giustificati i criteri personalizzati anti-phishing?

Poiché i criteri predefiniti gestiscono efficacemente la grande maggioranza degli scenari utente, i criteri personalizzati andrebbero considerati un'eccezione e non una strategia di distribuzione predefinita. Per giustificare il costo di manutenzione continuo di una regola personalizzata, di solito deve rientrare in una di tre specifiche categorie operative:

• Elenchi di utenti protetti selezionati manualmente: se la tua organizzazione richiede un elenco molto specifico di dirigenti, membri del consiglio di amministrazione o approvatori finanziari protetti da soglie di impersonificazione personalizzate, i criteri anti-phishing personalizzati ti permettono di definire questi nominativi esatti.
• Flussi di posta insoliti: le unità di business che acquisiscono regolarmente file esterni non standard o che si affidano a sistemi automatizzati interni soggetti a generare falsi positivi possono richiedere regole personalizzate con un ambito ristretto per garantire la continuità operativa.
• Gateway di posta di terze parti: le organizzazioni che instradano la posta attraverso un gateway di sicurezza esterno prima di Microsoft 365 si trovano spesso con dettagli di connessione e risultati di autenticazione alterati, il che richiede una gestione specifica all'interno dei parametri dei criteri personalizzati.

Se la motivazione per creare una regola personalizzata è semplicemente una preferenza per livelli di sensibilità diversi o la vaga sensazione che i valori predefiniti siano troppo blandi, il criterio probabilmente non giustifica il suo costo operativo a lungo termine.

Conclusioni e prossimi passi

Bilanciare l'intelligenza automatizzata con configurazioni personalizzate mirate è il segno distintivo di una strategia di sicurezza cloud matura. Affidandoti ai criteri predefiniti di Microsoft per la base più ampia di dipendenti e riservando le regole personalizzate esclusivamente alle eccezioni documentate, riduci il carico amministrativo e massimizzi l'efficacia del rilevamento delle minacce. Per approfondire strategie di implementazione, cicli di configurazione e metriche di reporting, ascolta l'episodio completo del podcast M365 FM, con approfondimenti di esperti e indicazioni pratiche per ottimizzare oggi stesso la postura di sicurezza di Microsoft 365.

Domande frequenti

Cosa succede se un utente è incluso sia in un criterio predefinito sia in un criterio personalizzato?

Il motore di valutazione di Microsoft 365 elabora i criteri secondo un ordine rigoroso, dando priorità ai criteri predefiniti (prima Strict, poi Standard) rispetto a quelli personalizzati. Se un utente corrisponde a un criterio predefinito, il sistema interrompe la valutazione e il criterio personalizzato viene completamente ignorato per quel destinatario.

I criteri di sicurezza predefiniti di Microsoft si aggiornano automaticamente?

Sì. I criteri predefiniti sono gestiti direttamente da Microsoft. Quando il panorama delle minacce cambia e cambiano i valori di base consigliati, Microsoft aggiorna automaticamente le impostazioni sottostanti dei preset Standard e Strict, sollevando gli amministratori dai cicli di revisione manuale.

Perché gli utenti ad alto rischio, come i dirigenti, dovrebbero essere inseriti nei preset Strict invece che in regole personalizzate?

I ruoli ad alto rischio sono i bersagli principali di attacchi di spear-phishing e di impersonificazione sofisticati. I preset Strict applicano soglie di protezione aggressive supportate dalla telemetria globale di Microsoft, offrendo una sicurezza completa senza che gli amministratori debbano mantenere manualmente elenchi complessi di eccezioni personalizzate.

Come posso verificare quale criterio si applica effettivamente alla casella di posta di un utente specifico?

Puoi verificare i criteri effettivi usando Configuration Analyzer nel portale di Microsoft Defender oppure eseguendo query di ricerca avanzata sugli eventi di posta per capire quali specifici meccanismi di rilevamento e criteri hanno agito sui messaggi in arrivo di un utente.