Perché il "Set-and-Forget" fallisce: trattare Microsoft Defender come un sistema vivo

By Mirko Peters · 2026-08-11

Bentornati al podcast e ai nostri approfondimenti sulla sicurezza del vostro ambiente cloud. Se vi è mai capitato di provare quella sensazione di sconforto quando un'email di phishing sofisticata finisce dritta nella casella di posta di un utente, nonostante la sicurezza di Microsoft 365 sia attiva, non siete certamente soli. Troppe organizzazioni trattano Microsoft Defender for Office 365 come un

Automatically translated with AI from the original post. Read the English original

Bentornati al podcast e ai nostri approfondimenti sulla sicurezza del vostro ambiente cloud. Se vi è mai capitato di provare quella sensazione di sconforto quando un'email di phishing sofisticata finisce dritta nella casella di posta di un utente, nonostante la sicurezza di Microsoft 365 sia attiva, non siete certamente soli. Troppe organizzazioni trattano Microsoft Defender for Office 365 come un semplice esercizio da spunta. Lo attivano, lasciano le impostazioni predefinite e se ne dimenticano, convinte che i giganti del cloud si occupino di tutto dietro le quinte. Purtroppo, questa mentalità del "set-and-forget" è esattamente ciò su cui fanno affidamento i moderni attaccanti per aggirare le vostre difese.

Le impostazioni di sicurezza predefinite in Microsoft 365 sono solo un punto di partenza, non una difesa completa. Per proteggere davvero la vostra organizzazione da attacchi di phishing sempre più evoluti, dal business email compromise e dagli allegati dannosi, servono una messa a punto continua, revisioni regolari e cicli di feedback attivi. Per approfondire questi concetti e ascoltare una discussione dettagliata sulla messa a punto dell'ambiente, ascoltate il nostro episodio correlato, Tune Microsoft Defender for Office 365 Against Phishing. In questo post analizzeremo come funziona davvero la pipeline di sicurezza, riveleremo le trappole di configurazione nascoste e vi offriremo un modello operativo per rafforzare le difese senza interrompere le attività aziendali.

Cosa imparerete

• Come Safe Links, Safe Attachments, il machine learning anti-phishing e le regole di trasporto interagiscono realmente all'interno della pipeline di recapito dei messaggi.
• Le falle nascoste e i punti ciechi attraverso cui le campagne di phishing mirate riescono ancora a passare.
• Le trappole di configurazione più comuni in cui cadono gli amministratori e come evitarle concretamente.
• Un modello passo passo per rendere Defender davvero efficace senza compromettere i normali flussi di posta aziendale.

Dentro la pipeline: dove i messaggi vengono bloccati o passano

Per capire perché le configurazioni predefinite non funzionano, dobbiamo prima guardare sotto il cofano di come Microsoft Defender elabora un messaggio di posta in arrivo. Non si tratta di un unico guardiano, ma di una pipeline di sicurezza su più livelli. Se questi livelli non sono configurati per dialogare tra loro e messi a punto correttamente, i messaggi possono sfuggire attraverso le maglie.

1. Safe Links: questa funzionalità riscrive gli URL nei messaggi in arrivo e li verifica al momento del clic, anche giorni dopo la consegna dell'email. Tuttavia, criteri applicati in modo errato o blocchi troppo aggressivi possono facilmente bloccare link legittimi usati dai team marketing o dalle piattaforme di sondaggi, generando una forte pressione interna per allentare del tutto le restrizioni.
2. Safe Attachments (ATP): questo componente fa detonare i file in una sandbox sicura nel cloud prima che raggiungano l'utente. Se è configurato in modalità Monitor anziché Block o Dynamic Delivery, le minacce vengono solo registrate invece che bloccate: significa che gli utenti ricevono payload dannosi mentre il team di sicurezza riceve semplicemente un avviso a posteriori.
3. Anti-Phishing: sfruttando il machine learning avanzato combinato con la protezione dall'impersonificazione, questo livello protegge da spoofing del nome visualizzato, domini simili e comportamenti anomali del mittente. Soglie configurate male possono generare fastidiosi falsi positivi su partner esterni legittimi oppure lasciare sfuggire del tutto gli spoofing mirati ai VIP.
4. Regole di trasporto: le regole del flusso di posta hanno il pericoloso potere di aggirare completamente la protezione o di filtrare due volte i messaggi senza necessità. Inserire in whitelist interi domini partner tramite regole di trasporto crea spesso enormi punti ciechi che gli attaccanti sono più che felici di sfruttare.

Trappole di configurazione da evitare

Molte organizzazioni compromettono involontariamente la propria postura di sicurezza cadendo in comuni trappole di configurazione. Riconoscere questi errori è il primo passo per costruire un'architettura di difesa della posta resiliente.

• Criteri globali uguali per tutti: il team finanza e la direzione non hanno lo stesso profilo di rischio del reparto marketing o del personale generico. Non usare criteri basati sui ruoli lascia i bersagli di maggior valore sotto-protetti.
• Safe Attachments in modalità solo monitoraggio: Gli avvisi possono scattare, ma gli utenti ricevono comunque il payload pericoloso. Devi passare a Dynamic Delivery e a criteri di blocco rigorosi.
• Elenchi di elementi consentiti nelle regole di trasporto: Non escludere mai Defender per interi domini. Usa invece meccanismi di mittenti attendibili, mantenendo attivi i motori di analisi.
• Protezione dall'impersonificazione non calibrata: Se non proteggi attivamente dirigenti, team finance e addetti alle fatture passive da spoofing del nome visualizzato e del dominio, stai invitando direttamente phishing per frode sui bonifici.
• Impostazioni predefinite per sempre: I modelli di machine learning richiedono cicli di feedback umani e una regolazione periodica delle soglie. Le impostazioni predefinite sono solo un punto di partenza.
• Nessuna cadenza di feedback o revisione: Quando falsi positivi e falsi negativi non vengono mai corretti, i modelli perdono precisione e gli utenti smettono rapidamente di fidarsi degli strumenti di sicurezza.

Il piano di lavoro (a più livelli e orientato al business)

Costruire un ambiente sicuro richiede un approccio strategico che bilanci una protezione solida con la produttività aziendale. Ecco come puoi costruire una postura di sicurezza a più livelli e orientata al business.

1) Criteri per gruppo di rischio

Finance e dirigenti:

• Safe Links: attivato, con verifica al momento del clic, blocco dei link sconosciuti e analisi in tempo reale attiva nelle app di Office e in Microsoft Teams.
• Safe Attachments: configurato per Dynamic Delivery più Blocca.
• Anti-phishing: impostato su protezione elevata, con protezione rigorosa dall'impersonificazione per i VIP, i domini interni e i sosia dei fornitori noti.

Personale generico:

• Safe Links: attivato, mantenendo la riscrittura degli URL e offrendo un flusso chiaro per inviare e segnalare eventuali falsi positivi legittimi.
• Safe Attachments: Dynamic Delivery più Blocca.
• Anti-phishing: protezione standard associata a segnalazione continua da parte degli utenti e formazione di sensibilizzazione.

Marketing/Operations con flussi di lavoro ricchi di link:

• Safe Links: attivato, con eccezioni attentamente calibrate per le piattaforme convalidate, evitando qualsiasi esclusione globale a livello di organizzazione.
• Safe Attachments: Dynamic Delivery.
• Aggiungi un percorso di revisione rapido e strutturato per i link di campagna bloccati, tramite una casella condivisa o una coda del SecOps.

2) Applica, non limitarti a osservare

Passa da un'osservazione passiva a un'applicazione attiva. Imposta Safe Attachments su Blocca o Sostituisci utilizzando Dynamic Delivery. Per i criteri anti-phishing, invia i tentativi di phishing ad alta affidabilità direttamente in quarantena, sposta le minacce a affidabilità media nella cartella posta indesiderata e recapita con un tag di sicurezza solo gli elementi a bassa affidabilità.

3) Proteggi i percorsi di aggiramento

Verifica tutte le regole di trasporto del tenant per individuare eventuali condizioni che aggirano i filtri antispam, antimalware o anti-phishing. Sostituisci le regole di esclusione ampie a livello di dominio con mittenti attendibili definiti con precisione, assicurandoti che la scansione in background resti attiva. Inoltre, mantieni controlli rigorosi sull'inoltro automatico della posta verso indirizzi esterni.

4) Cicli di feedback e monitoraggio

Stabilisci una cadenza operativa regolare. Ogni settimana, verifica i log di quarantena, le segnalazioni di falsi positivi e falsi negativi, i dati di Threat Explorer e le tracce dei messaggi. Addestra gli utenti a usare attivamente il componente aggiuntivo Segnala messaggio, così il tuo Security Operations Center può reinserire tali segnalazioni nelle liste di elementi consentiti e bloccati e addestrare i modelli di machine learning.

5) Memoria muscolare per la gestione degli incidenti

Quando un messaggio di phishing finisce inevitabilmente in una casella di posta, il tuo team deve agire con rapidità e precisione. Cerca elementi di posta simili in tutta l'organizzazione tramite Threat Explorer, esegui eliminazioni in blocco, forza la reimpostazione delle credenziali se è stato cliccato un link, verifica i consensi alle applicazioni OAuth e aggiungi il dominio colpevole alle tue watchlist attive.

Checklist di configurazione rapida

Prima di concludere il processo di verifica, scorri questa checklist rapida per assicurarti che l'ambiente di Microsoft Defender per Office 365 sia configurato correttamente in termini di sicurezza:

• Safe Links attivato per posta, app di Office e Teams, con protezione al momento del clic abilitata.
• Safe Attachments impostato su Dynamic Delivery e Blocca/Sostituisci (evitando la modalità monitoraggio).
• Anti-phishing configurato con protezione dall'impersonificazione per VIP, finance, addetti alle fatture passive e domini interni.
• Nessuna esclusione a livello di dominio nelle regole di trasporto; sostituita con mittenti attendibili definiti con precisione e scansione attiva.
• Criteri basati sui ruoli definiti per dirigenti, finance, personale generico e marketing, con soglie di rischio distinte.
• Componente aggiuntivo di segnalazione degli utenti distribuito sugli endpoint e monitorato attivamente.
• Cadenza di revisione settimanale definita per Threat Explorer, Quarantine, falsi positivi/negativi e Message Trace.
• Runbook operativi documentati e testati per la bonifica di phishing già recapitato nelle caselle, le eliminazioni (purge) e le risposte a spoofing di fornitori.

Considerare Microsoft Defender come un sistema vivo e in evoluzione, anziché come una checklist statica, trasforma la tua postura di sicurezza da reattiva a proattiva. Per approfondire queste strategie, ascolta la discussione completa nel podcast visitando Tune Microsoft Defender for Office 365 Against Phishing. Resta al sicuro, continua a mettere a punto le tue policy e ci vediamo nel prossimo episodio!