Configurare i criteri di recapito avanzati per simulazioni di phishing non Microsoft e recapito di posta elettronica alle cassette postali SecOps

Consiglio

Sapevi che puoi provare gratuitamente le funzionalità in Microsoft Defender per Office 365 Piano 2? Usa la versione di prova di Defender per Office 365 di 90 giorni nell'hub delle versioni di prova del portale Microsoft Defender. Informazioni su chi può iscriversi e sulle condizioni di valutazione in Prova Microsoft Defender per Office 365.

Per proteggere l'organizzazione per impostazione predefinita, Microsoft 365 non consente elenchi consentiti o bypass di filtro per i messaggi identificati come malware o phishing ad alta attendibilità. Esistono tuttavia scenari specifici che richiedono il recapito di messaggi non filtrati. Ad esempio:

  • Simulazioni di phishing non Microsoft: gli attacchi simulati possono aiutare a identificare e formare gli utenti vulnerabili prima che un attacco reale influenzi l'organizzazione.
  • Cassette postali delle operazioni di sicurezza (SecOps): cassette postali dedicate usate dai team di sicurezza per raccogliere e analizzare i messaggi non filtrati (sia buoni che non validi).

Usare i criteri di recapito avanzati in Microsoft 365 per impedire il filtro dei messaggi in ingresso in simulazioni di phishing non Microsoft, cassette postali SecOps e Altri scenari che richiedono il bypass del filtro. I criteri di recapito avanzati assicurano che i messaggi negli scenari di simulazione di phishing non Microsoft e delle cassette postali SecOps ottengano i risultati seguenti:

I messaggi identificati dai criteri di distribuzione avanzata non sono minacce alla sicurezza, quindi sono contrassegnati con override di sistema. Nelle esperienze di amministrazione, i messaggi identificati dai criteri di recapito avanzato vengono visualizzati con la sostituzione di sistema Simulazione di phishing o Cassetta postale SecOps. Gli amministratori possono usare i valori di override del sistema di simulazione di phishing e secops per filtrare e analizzare i messaggi nelle esperienze seguenti:

  • Threat Explorer (Explorer) o Rilevamenti in tempo reale in Defender per Office 365: gli amministratori possono filtrare in base a Origine override del sistema e selezionare Simulazione di phishing o Cassetta postale SecOps.
  • Nella pagina Entità messaggio di posta elettronica: gli amministratori possono visualizzare un messaggio consentito dai criteri dell'organizzazione dovuto a Cassetta postale SecOps o Simulazione di phishing tramite un override del tenant nella sezione Override .
  • Il Report sullo stato della protezione dalle minacce: l'amministratore può filtrare per Visualizza dati per override di sistema nel menu a discesa e selezionare l'opzione per visualizzare i messaggi consentiti a seguito di un override di sistema per la simulazione di phishing. Per visualizzare i messaggi autorizzati dall'override della casella di posta di SecOps, è possibile selezionare suddivisione del grafico per posizione di recapito nell'elenco a discesa suddivisione del grafico per motivo.
  • Ricerca avanzata in Microsoft Defender per endpoint: la simulazione di phishing e gli override del sistema di cassette postali SecOps sono opzioni in OrgLevelPolicy in EmailEvents.
  • Visualizzazioni della campagna: L’amministratore può filtrare in base a Origine dell’override di sistema e selezionare tra Simulazione di phishing o Cassetta postale SecOps.

Che cosa è necessario sapere prima di iniziare?

  • Aprire il portale di Microsoft Defender all'indirizzo https://security.microsoft.com. Per passare direttamente alla pagina Recapito avanzato , usare https://security.microsoft.com/advanceddelivery.

  • Per informazioni su come connettersi a PowerShell per Exchange Online, vedere Connettersi a PowerShell per Exchange Online.

  • Prima di poter eseguire le procedure descritte in questo articolo, è necessario disporre delle autorizzazioni necessarie. Sono disponibili le opzioni seguenti:

    • Microsoft Defender XDR controllo degli accessi unificato basato sui ruoli (RBAC) (Se le autorizzazioni di Email & collaborazione>Defender per Office 365 sono Attive. Influisce solo sul portale Defender, non su PowerShell): Autorizzazione e impostazioni/Impostazioni di sicurezza/Impostazioni di sicurezza di base (gestione) o Autorizzazione e impostazioni/Impostazioni di sicurezza/Impostazioni di sicurezza di base (lettura).

    • Email e autorizzazioni per la collaborazione nel portale Microsoft Defender e autorizzazioni di Exchange Online:

      • Creare, modificare o rimuovere le impostazioni configurate nel criterio di recapito avanzato: appartenenza ai gruppi di ruoli Amministratore della sicurezza nel RBAC per posta elettronica e collaborazione e appartenenza al gruppo di ruoli Gestione dell'organizzazione nel RBAC di Exchange Online.
      • Accesso in sola lettura ai Criteri di recapito avanzati: l'appartenenza ai gruppi di ruoli Lettore globale o Lettore di sicurezza in RBAC per Email & e collaborazione.
        • Gestione dell'organizzazione in sola lettura nel controllo degli accessi in base al ruolo (RBAC) di Exchange Online.

    • Microsoft Entra autorizzazioni: l'appartenenza ai ruoli Amministratore* globale, Amministratore della sicurezza, Lettore globale o Lettore di sicurezza offre agli utenti le autorizzazioni e le autorizzazioni necessarie per altre funzionalità in Microsoft 365.

      Importante

      * Microsoft sostiene fortemente il principio dei privilegi minimi. L'assegnazione degli account solo alle autorizzazioni minime necessarie per eseguire le attività consente di ridurre i rischi per la sicurezza e di rafforzare la protezione complessiva dell'organizzazione. Amministratore globale è un ruolo con privilegi elevati che è consigliabile limitare agli scenari di emergenza o quando non è possibile usare un ruolo diverso.

Usare il portale di Microsoft Defender per configurare le cassette postali SecOps nei criteri di recapito avanzati

Usare la procedura seguente per aggiungere cassette postali SecOps ai criteri di recapito avanzati nel portale di Microsoft Defender.

  1. Nel portale di Microsoft Defender, vai a https://security.microsoft.comPosta elettronica e collaborazione>Criteri e regole>Criteri per le minacce>Recapito avanzato nella sezione Regole. In alternativa, per passare direttamente alla pagina Recapito avanzato , usare https://security.microsoft.com/advanceddelivery.

    Nella pagina Recapito avanzato verificare che sia selezionata la scheda Cassetta postale SecOps .

  2. Nella scheda Cassetta postale SecOps selezionare il pulsante Aggiungi nell'area Nessuna cassetta postale secOps configurata della pagina.

    Se nella scheda Cassetta postale SecOps sono già presenti voci, selezionare Modifica (il pulsante Aggiungi non è disponibile).

  3. Nel riquadro a comparsa Aggiungi cassette postali SecOps visualizzato immettere una cassetta postale di Exchange Online esistente da designare come cassetta postale SecOps eseguendo una delle operazioni seguenti:

    • Fare clic nella casella, consentire la risoluzione dell'elenco delle cassette postali e quindi selezionare la cassetta postale.

    • Fare clic nella casella per iniziare a digitare un identificatore per la cassetta postale (nome, nome visualizzato, alias, indirizzo di posta elettronica, nome account e così via) e selezionare la cassetta postale (nome visualizzato) dai risultati.

      Ripetere questo passaggio tutte le volte necessarie. I gruppi di distribuzione non sono consentiti.

      Per rimuovere un valore esistente, selezionare Rimuovi accanto al valore.

  4. Dopo aver completato l'operazione nel riquadro a comparsa Aggiungi cassette postali SecOps, seleziona Aggiungi.

  5. Esamina le informazioni nel riquadro a comparsa Modifiche all'override della cassetta postale SecOps salvate, quindi seleziona Chiudi.

Nella scheda Cassetta postale SecOps sono elencate le voci della cassetta postale SecOps configurate:

  • La colonna Nome visualizzato contiene il nome visualizzato delle cassette postali.
  • La colonna Email contiene l'indirizzo di posta elettronica per ciascuna voce.
  • Per modificare l'elenco delle voci da spaziatura normale a spaziatura compatta, selezionare Modifica spaziatura elenco in compatta o normale e quindi selezionare Elenco compatto.

Usare il portale Microsoft Defender per modificare o rimuovere cassette postali SecOps nei criteri di recapito avanzati

Usare la procedura seguente per modificare o rimuovere le cassette postali SecOps nel portale di Microsoft Defender.

  1. Nel portale di Microsoft Defender, vai a https://security.microsoft.comPosta elettronica e collaborazione>Criteri e regole>Criteri per le minacce>Recapito avanzato nella sezione Regole. In alternativa, per passare direttamente alla pagina Recapito avanzato , usare https://security.microsoft.com/advanceddelivery.

    Nella pagina Recapito avanzato verificare che sia selezionata la scheda Cassetta postale SecOps .

  2. Nella scheda Cassetta postale SecOps selezionare Modifica.

  3. Nel riquadro a comparsa Modifica cassette postali SecOps che si apre, aggiungere o rimuovere cassette postali come descritto nel passaggio 3 della sezione Usare il portale Microsoft Defender per configurare le cassette postali SecOps nei criteri di recapito avanzati.

    Per rimuovere tutte le cassette postali, selezionare Rimuovi accanto a ogni valore fino a quando non sono selezionate altre cassette postali.

  4. Al termine, nel riquadro a comparsa Modifica cassette postali SecOps selezionare Salva.

  5. Esamina le informazioni nel riquadro a comparsa Modifiche all'override della cassetta postale SecOps salvate, quindi seleziona Chiudi.

Tornando alla scheda Cassetta postale SecOps, vengono visualizzate le voci della cassetta postale SecOps che hai configurato. Se sono state rimosse tutte le voci, l'elenco è vuoto.

Usare il portale di Microsoft Defender per configurare simulazioni di phishing non Microsoft nei criteri di recapito avanzati

Per configurare una simulazione di phishing non Microsoft, è necessario fornire le informazioni seguenti:

  • Almeno un dominio: il dominio dell'indirizzo MAIL FROM (noto anche come indirizzo 5321.MailFrom, mittente P1 o mittente della busta SMTP) utilizzato per la trasmissione SMTP del messaggio oppure un dominio DKIM come indicato dal fornitore della simulazione di phishing. Per i nomi di dominio internazionalizzati (IDNA), usare Punycode.
  • Almeno un indirizzo IP di invio.
  • Per le simulazioni di phishing non tramite posta elettronica (ad esempio, messaggi di Microsoft Teams, documenti Word o fogli di calcolo di Excel), è possibile identificare facoltativamente gli URL di simulazione per consentire che non devono essere considerati come minacce reali al momento del clic: gli URL non vengono bloccati o esplosi e non vengono generati avvisi di clic url o eventi imprevisti risultanti. Gli URL vengono avvolti al momento del clic, ma non sono bloccati.

Deve essere presente una corrispondenza in almeno un dominio e un indirizzo IP di invio, ma non viene mantenuta alcuna associazione tra i valori.

Se il record MX non punta a Microsoft 365, l'indirizzo IP nell'intestazione Authentication-results deve corrispondere all'indirizzo IP nei criteri di recapito avanzati. Se gli indirizzi IP non corrispondono, potrebbe essere necessario configurare il filtro avanzato per i connettori in modo che venga rilevato l'indirizzo IP corretto.

Nota

  • Attualmente, gli indirizzi IPv6 sono supportati solo in PowerShell. Per usare PowerShell per configurare simulazioni di phishing non Microsoft nei criteri di recapito avanzati, vedere Usare PowerShell per configurare simulazioni di phishing non Microsoft.

  • Il filtro avanzato per i connettori non funziona per le simulazioni di phishing non Microsoft nel seguente scenario di routing della posta elettronica in uscita:

    Internet > Microsoft 365 > ambiente on-premises o servizio di sicurezza non Microsoft > di nuovo a Microsoft 365

    Questo scenario è descritto in Integrazione tramite routing della posta in entrata e in uscita.

    Microsoft 365 non è in grado di identificare il vero indirizzo IP dell'origine del messaggio. Non tentare di ovviare a questa limitazione aggiungendo gli indirizzi IP dell'infrastruttura di invio locale o non Microsoft alla simulazione di phishing non Microsoft. Così facendo, si aggira di fatto il filtro antispam per qualsiasi mittente Internet che si spaccia per il dominio specificato nella simulazione di phishing non Microsoft.

  • La politica avanzata di consegna per simulazioni di phishing non Microsoft richiede che il messaggio attraversi la pipeline di trasporto. Le email di Direct Injection bypassano il trasporto, quindi la politica di Consegna Avanzata non si applica a loro.

  • Attualmente, i criteri di recapito avanzati per le simulazioni di phishing non Microsoft non supportano le simulazioni all'interno della stessa organizzazione (DIR:INT), soprattutto quando la posta elettronica viene instradata attraverso un gateway di Exchange Server prima di Microsoft 365 nel flusso di posta ibrida. Per risolvere questo problema, sono disponibili le opzioni seguenti:

    • Creare un connettore di ricezione dedicato che non autentica i messaggi di simulazione del phishing come interni.
    • Configurare la simulazione di phishing in modo che bypassi l'infrastruttura di Exchange Server e instradi la posta elettronica direttamente al record MX di Microsoft 365 (ad esempio, contoso-com.mail.protection.outlook.com).
    • Non è consigliabile impostare l'analisi dei messaggi all'interno dell'organizzazione su Nessuno nei criteri di protezione dalla posta indesiderata perché influisce su altri messaggi di posta elettronica.

  • Se si usano i criteri di sicurezza predefiniti per la protezione predefinita o i criteri di collegamenti sicuri personalizzati hanno l'impostazione Non riscrivere gli URL, eseguire controlli solo tramite l'API SafeLinks, la protezione con il tempo di clic non considera i collegamenti di simulazione di phishing nella posta elettronica come minacce in Outlook sul web, Outlook per iOS e Android, Outlook per Windows v16.0.15317.10000 o versioni successive e Outlook per Mac v16.74 (23061100) o versione successiva. Se si usano versioni precedenti di Outlook, provare a disabilitare l'impostazione Non riscrivere gli URL, eseguire controlli solo tramite l'API SafeLinks nei criteri di collegamenti sicuri personalizzati.

  • L'aggiunta di URL di simulazione di phishing alla sezione Non riscrivere gli URL seguenti nella posta elettronica nei criteri collegamenti sicuri potrebbe generare avvisi indesiderati per i clic sull'URL. Gli URL di simulazione del phishing nei messaggi di posta elettronica sono consentiti automaticamente sia durante il flusso di posta che al momento del clic.

  1. Nel portale di Microsoft Defender, vai a https://security.microsoft.comPosta elettronica e collaborazione>Criteri e regole>Criteri per le minacce>Recapito avanzato nella sezione Regole. In alternativa, per passare direttamente alla pagina Recapito avanzato , usare https://security.microsoft.com/advanceddelivery.

    Nella pagina Recapito avanzato selezionare la scheda Simulazione phishing .

  2. Nella scheda Simulazione di phishing selezionare il pulsante Aggiungi nell'area Nessuna simulazione di phishing di terze parti configurata della pagina.

    Se sono già presenti voci nella scheda Simulazione phishing , selezionare Modifica (il pulsante Aggiungi non è disponibile).

  3. Nel riquadro a comparsa Aggiungi simulazioni di phishing di terze parti che si apre, configura le impostazioni seguenti:

    • Dominio: espandere questa impostazione e immettere almeno un dominio di indirizzi di posta elettronica. Fare clic nella casella, immettere un valore (ad esempio, contoso.com) e quindi premere INVIO o selezionare il valore sotto la casella. Ripetere questo passaggio tutte le volte necessarie. È possibile aggiungere fino a 50 voci. Utilizzare uno dei seguenti valori:

      • Il dominio nell'indirizzo 5321.MailFrom (noto anche come indirizzo MAIL FROM, mittente P1 o mittente della busta) che viene usato nella trasmissione SMTP del messaggio.
      • Dominio DKIM come specificato dal fornitore della simulazione di phishing.

    • Indirizzo IP di invio: espandere questa impostazione e immettere almeno un indirizzo IPv4 valido. Fare clic nella casella, immettere un valore, quindi premere INVIO o selezionare il valore sotto la casella. Ripetere questo passaggio tutte le volte necessarie. È possibile aggiungere fino a 10 voci. I valori validi sono:

      • IP singolo: ad esempio, 192.168.1.1.
      • Intervallo IP: ad esempio, 192.168.0.1-192.168.0.254.
      • IP CIDR: ad esempio, 192.168.0.1/25.

    • URL di simulazione da consentire: questa impostazione non è necessaria per i collegamenti nelle simulazioni di phishing tramite posta elettronica. Usare questa impostazione per identificare facoltativamente i collegamenti nelle simulazioni di phishing non tramite posta elettronica (collegamenti nei messaggi di Teams o nei documenti di Office) che non devono essere considerati come minacce reali al momento del clic.

      Aggiungere voci URL espandendo questa impostazione, facendo clic nella casella, immettendo un valore e quindi premendo INVIO o selezionando il valore visualizzato sotto la casella. È possibile aggiungere fino a 30 voci. Per la sintassi della voce URL, vedere Sintassi URL per l'elenco di tenant consentiti/bloccati..

    Per rimuovere un valore di dominio, IP o URL esistente, selezionare Rimuovi accanto al valore.

    L'esempio seguente mostra un'intestazione di autenticazione di esempio da un messaggio di simulazione di phishing non Microsoft. Esamina i valori dell'intestazione per identificare l'indirizzo IP del mittente, il dominio MAIL FROM e il dominio DKIM necessari per configurare i criteri di recapito avanzati:

    Authentication-Results: spf=pass (sender IP is 172.17.17.7)
smtp.mailfrom=contoso.com; dkim=pass (signature was verified)
header.d=contoso-simulation.com; dmarc=pass action=none header.from=contoso-simulation.com;

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=contoso-simulation.com;
s=selector1;
h=From:Date:Subject:Message-ID:Content-Type:MIME-Version:X-MS-Exchange-SenderADCheck;
bh=UErATeHehIIPIXPeUAfZWiKo0w2cSsOhb9XM9ulqTX0=;
    • L'indirizzo IP di connessione è 172.17.17.7.
    • Il dominio nell'indirizzo MAIL FROM (smtp.mailfrom) è contoso.com.
    • Il dominio DKIM (header.d) è contoso-simulation.com.

    Nell'esempio è possibile usare una delle combinazioni seguenti per configurare una simulazione di phishing non Microsoft:

    Dominio: contoso.com
    Indirizzo IP di invio: 172.17.17.7

    Dominio: contoso-simulation.com
    Indirizzo IP di invio: 172.17.17.7

  4. Al termine del riquadro a comparsa Aggiungere simulazioni di phishing di terze parti, selezionare Aggiungi.

  5. Esaminare le informazioni nel riquadro a comparsa Modifiche all'override della cassetta postale SecOps salvate, quindi selezionare Chiudi.

Nella scheda Simulazione di phishing sono ora elencate le voci di simulazione di phishing non Microsoft configurate:

  • La colonna Valore contiene il dominio, l'indirizzo IP o la voce URL.
  • La colonna Tipo contiene il valore Invio di IP, dominio o URL di simulazione consentito per ogni voce.
  • La colonna Data mostra quando è stata creata la voce.
  • Per modificare l'elenco delle voci da spaziatura normale a spaziatura compatta, selezionare Modifica spaziatura elenco in compatta o normale e quindi selezionare Elenco compatto.

Usare il portale di Microsoft Defender per modificare o rimuovere simulazioni di phishing non Microsoft nei criteri di recapito avanzati

  1. Nel portale di Microsoft Defender, vai a https://security.microsoft.comPosta elettronica e collaborazione>Criteri e regole>Criteri per le minacce>Recapito avanzato nella sezione Regole. In alternativa, per passare direttamente alla pagina Recapito avanzato , usare https://security.microsoft.com/advanceddelivery.

    Nella pagina Recapito avanzato selezionare la scheda Simulazione phishing .

  2. Nella scheda Simulazione phishing selezionare Modifica.

  3. Nel riquadro a comparsa Modifica la simulazione di phishing non Microsoft che si apre, aggiungere o rimuovere le voci relative a Dominio, IP del mittente e URL di simulazione, come descritto nel passaggio 3 della sezione Usare il portale di Microsoft Defender per configurare simulazioni di phishing non Microsoft nel criterio di recapito avanzato.

    Per rimuovere tutte le voci, selezionare Rimuovi accanto a ogni valore fino a quando non sono selezionati altri domini, INDIRIZZI IP o URL.

  4. Quando hai finito nel riquadro a comparsa Modifica simulazione di phishing non Microsoft, seleziona Salva.

  5. Esaminare le informazioni nel riquadro a comparsa Modifiche all'override della cassetta postale SecOps salvate, quindi selezionare Chiudi.

Tornando alla scheda Simulazione di phishing, vengono visualizzate le voci di simulazione di phishing non Microsoft che hai configurato. Se sono state rimosse tutte le voci, l'elenco è vuoto.

Altri scenari che richiedono il bypass del filtro

Oltre alle simulazioni di phishing non Microsoft e alle cassette postali SecOps per cui i criteri dei recapiti avanzati possono essere utili, esistono altri scenari in cui potrebbe essere necessario escludere i messaggi dal filtro:

Procedure di PowerShell per le cassette postali SecOps nei criteri di recapito avanzati

In PowerShell, gli elementi di base delle cassette postali SecOps nei criteri di recapito avanzati sono:

  • Il criterio di override SecOps: controllato dai cmdlet *-SecOpsOverridePolicy.
  • Regola di override SecOps: controllata dai cmdlet *-ExoSecOpsOverrideRule .

Questo comportamento ha i risultati seguenti:

  • Creare prima i criteri, quindi creare la regola che identifica i criteri a cui si applica la regola.
  • Quando si rimuove un criterio da PowerShell, viene rimossa anche la regola corrispondente.
  • Quando si rimuove una regola da PowerShell, i criteri corrispondenti non vengono rimossi. È necessario rimuovere manualmente i criteri corrispondenti.

Usare PowerShell per configurare le cassette postali SecOps

La configurazione di una cassetta postale SecOps nei criteri di recapito avanzati in PowerShell è un processo in due passaggi:

  1. Crea il criterio di eccezione SecOps.
  2. Creare la regola di override SecOps che specifica i criteri a cui si applica la regola.

Passaggio 1: Usare PowerShell per creare il criterio di override SecOps

In Exchange Online PowerShell creare un criterio di override SecOps per designare le cassette postali i cui messaggi devono ignorare il filtro per la revisione di SecOps:

New-SecOpsOverridePolicy -Name SecOpsOverridePolicy -SentTo <EmailAddress1>,<EmailAddress2>,...<EmailAddressN>

Indipendentemente dal valore Name specificato, il nome del criterio è SecOpsOverridePolicy, quindi è possibile usare tale valore.

Questo esempio crea i Criteri della cassetta postale SecOps.

New-SecOpsOverridePolicy -Name SecOpsOverridePolicy -SentTo secops@contoso.com

Per informazioni dettagliate sulla sintassi e sui parametri, vedere New-SecOpsOverridePolicy.

Passaggio 2: Usare PowerShell per creare la regola di override secOps

In Exchange Online PowerShell eseguire il comando seguente:

New-ExoSecOpsOverrideRule -Name SecOpsOverrideRule -Policy SecOpsOverridePolicy

Indipendentemente dal valore Name specificato, il nome della regola è _Exe:SecOpsOverrid:<GUID\> [sic] dove <GUID> è un valore GUID univoco (ad esempio, 312c23cf-0377-4162-b93d-6548a9977efb9).

Per informazioni dettagliate sulla sintassi e sui parametri, vedere New-ExoSecOpsOverrideRule.

Usa PowerShell per visualizzare il criterio di override di SecOps

In PowerShell in Exchange Online, questo esempio restituisce informazioni dettagliate sull'unico criterio della cassetta postale SecOps.

Get-SecOpsOverridePolicy

Per informazioni dettagliate sulla sintassi e sui parametri, vedere Get-SecOpsOverridePolicy.

Usare PowerShell per visualizzare le regole di override SecOps

In Exchange Online PowerShell questo esempio restituisce informazioni dettagliate sulle regole di override secOps.

Get-ExoSecOpsOverrideRule

Sebbene il comando precedente dovrebbe restituire una sola regola, nei risultati potrebbe essere inclusa anche una regola in attesa di eliminazione.

Questo esempio identifica la regola valida (una) e tutte le regole non valide.

Get-ExoSecOpsOverrideRule | Format-Table Name,Mode

Dopo aver identificato le regole non valide, è possibile rimuoverle usando il cmdlet Remove-ExoSecOpsOverrideRule come descritto in Usare PowerShell per rimuovere le regole di override di SecOps.

Per informazioni dettagliate sulla sintassi e sui parametri, vedere Get-ExoSecOpsOverrideRule.

Usare PowerShell per modificare il criterio di override SecOps

In PowerShell di Exchange Online aggiungere o rimuovere gli indirizzi di posta elettronica delle cassette postali SecOps in un criterio di override esistente:

Set-SecOpsOverridePolicy -Identity SecOpsOverridePolicy [-AddSentTo <EmailAddress1>,<EmailAddress2>,...<EmailAddressN>] [-RemoveSentTo <EmailAddress1>,<EmailAddress2>,...<EmailAddressN>]

In questo esempio viene aggiunto secops2@contoso.com all'elenco dei destinatari dei criteri di override SecOps esistenti.

Set-SecOpsOverridePolicy -Identity SecOpsOverridePolicy -AddSentTo secops2@contoso.com

Nota

Se esiste una regola di override SecOps valida associata, vengono aggiornati anche gli indirizzi di posta elettronica nella regola.

Per informazioni dettagliate sulla sintassi e sui parametri, vedere Set-SecOpsOverridePolicy.

Usa PowerShell per modificare una regola di eccezione di SecOps

Il cmdlet Set-ExoSecOpsOverrideRule non modifica gli indirizzi di posta elettronica nella regola di override SecOps. Per modificare gli indirizzi di posta elettronica nella regola di override SecOps, usare il cmdlet Set-SecOpsOverridePolicy .

Per informazioni dettagliate sulla sintassi e sui parametri, vedere Set-ExoSecOpsOverrideRule.

Usa PowerShell per rimuovere il criterio di override SecOps

In Exchange Online PowerShell, questo esempio rimuove il criterio della cassetta postale SecOps e la regola corrispondente quando l'esclusione dal filtro della cassetta postale SecOps non è più necessaria.

Remove-SecOpsOverridePolicy -Identity SecOpsOverridePolicy

Per informazioni dettagliate sulla sintassi e sui parametri, vedere Remove-SecOpsOverridePolicy.

Usare PowerShell per rimuovere le regole di override secOps

In Exchange Online PowerShell usare i comandi seguenti:

  • Rimuovi eventuali regole di override di SecOps:

    Get-ExoSecOpsOverrideRule | Remove-ExoSecOpsOverrideRule

  • Rimuovere la regola di override SecOps specificata:

    Remove-ExoSecOpsOverrideRule -Identity "_Exe:SecOpsOverrid:312c23cf-0377-4162-b93d-6548a9977efb"

Per informazioni dettagliate sulla sintassi e sui parametri, vedere Remove-ExoSecOpsOverrideRule.

Procedure di PowerShell per simulazioni di phishing di tipo non Microsoft nei criteri di recapito avanzato

In PowerShell, gli elementi di base delle simulazioni di phishing non-Microsoft nel criterio di recapito avanzato sono:

  • Il criterio di override per la simulazione di phishing: Controllato dai cmdlet *-PhishSimOverridePolicy.
  • Regola di override della simulazione di phishing: controllata dai cmdlet *-ExoPhishSimOverrideRule .
  • URL di simulazione di phishing consentiti (sbloccati): controllati dai cmdlet *-TenantAllowBlockListItems .

Nota

L'identificazione degli URL non è necessaria per i collegamenti nelle simulazioni di phishing basate su posta elettronica. Facoltativamente, è possibile identificare i collegamenti nelle simulazioni di phishing non tramite posta elettronica (collegamenti nei messaggi di Teams o nei documenti di Office) che non devono essere considerati come minacce reali al momento del clic.

Questo comportamento ha i risultati seguenti:

  • Creare prima i criteri, quindi creare la regola che identifica i criteri a cui si applica la regola.
  • Le impostazioni nei criteri e nella regola verranno modificate separatamente.
  • Quando si rimuove un criterio da PowerShell, viene rimossa anche la regola corrispondente.
  • Quando si rimuove una regola da PowerShell, i criteri corrispondenti non vengono rimossi. È necessario rimuovere manualmente i criteri corrispondenti.

Usare PowerShell per configurare simulazioni di phishing non Microsoft

La configurazione di una simulazione di phishing non Microsoft in PowerShell è un processo in più passaggi:

  1. Creare il criterio di override della simulazione di phishing.
  2. Crea la regola di override della simulazione di phishing che specifica:
    • Il criterio a cui si applica la regola.
    • Indirizzo IPv4 o IPv6 di origine dei messaggi di simulazione di phishing.
  3. Facoltativamente, identificare gli URL di simulazione del phishing nelle simulazioni di phishing non tramite posta elettronica (collegamenti nei messaggi di Teams o nei documenti di Office) che non devono essere considerati come minacce reali al momento del clic.

Passaggio 1: Utilizzare PowerShell per creare il criterio di esclusione per la simulazione di phishing

In Exchange Online PowerShell, questo esempio crea il criterio di eccezione per la simulazione di phishing.

New-PhishSimOverridePolicy -Name PhishSimOverridePolicy

Indipendentemente dal valore Name specificato, il nome del criterio è PhishSimOverridePolicy, quindi è possibile usare tale valore.

Per informazioni dettagliate sulla sintassi e sui parametri, vedere New-PhishSimOverridePolicy.

Passaggio 2: Usare PowerShell per creare la regola di override della simulazione di phishing

In Exchange Online PowerShell usare la sintassi seguente:

New-ExoPhishSimOverrideRule -Name <ArbitraryTextValue> -Policy PhishSimOverridePolicy -Domains <Domain1>,<Domain2>,...<Domain10> -SenderIpRanges <IPAddressEntry1>,<IPAddressEntry2>,...<IPAddressEntry10>

Indipendentemente dal valore Name specificato, il nome della regola è _Exe:PhishSimOverr:<GUID\> [sic] dove <GUID> è un valore GUID univoco (ad esempio, 6fed4b63-3563-495d-a481-b24a311f8329).

Una voce valida per un indirizzo IPv4 o IPv6 può essere uno dei valori seguenti:

  • IP singolo: ad esempio, 192.168.1.1.
  • Intervallo IP: ad esempio, 192.168.0.1-192.168.0.254.
  • IP CIDR: ad esempio, 192.168.0.1/25.

In questo esempio viene creata la regola di override della simulazione di phishing con le impostazioni specificate.

New-ExoPhishSimOverrideRule -Policy PhishSimOverridePolicy -Domains fabrikam.com,wingtiptoys.com -SenderIpRanges 192.168.1.55

Per informazioni dettagliate sulla sintassi e sui parametri, vedere New-ExoPhishSimOverrideRule.

Passaggio 3: (Facoltativo) Usare PowerShell per identificare gli URL di simulazione del phishing per consentire

In Exchange Online PowerShell usare la sintassi seguente:

New-TenantAllowBlockListItems -Allow -ListType Url -ListSubType AdvancedDelivery -Entries "<URL1>","<URL2>",..."<URL10>" <[-NoExpiration] | [-ExpirationDate <DateTime>]>

Per informazioni dettagliate sulla sintassi dell'URL, vedere Sintassi URL per l'elenco di tenant consentiti/bloccati

In questo esempio viene aggiunta una voce di autorizzazione URL per l'URL di simulazione di phishing non Microsoft specificato, senza scadenza.

New-TenantAllowBlockListItems -Allow -ListType Url -ListSubType AdvancedDelivery -Entries *.fabrikam.com -NoExpiration

Per informazioni dettagliate sulla sintassi e sui parametri, vedere New-TenantAllowBlockListItems.

Usare PowerShell per visualizzare il criterio di eccezione della simulazione di phishing

In Exchange Online PowerShell, questo esempio restituisce informazioni dettagliate sull'unico criterio di override per la simulazione di phishing.

Get-PhishSimOverridePolicy

Per informazioni dettagliate sulla sintassi e sui parametri, vedere Get-PhishSimOverridePolicy.

Usare PowerShell per visualizzare le regole di override della simulazione di phishing

In Exchange Online PowerShell), questo esempio restituisce informazioni dettagliate sulle regole di sostituzione della simulazione di phishing.

Get-ExoPhishSimOverrideRule

Anche se il comando precedente deve restituire una sola regola, anche eventuali regole in sospeso potrebbero essere incluse nei risultati.

Questo esempio identifica la regola valida (una) e tutte le regole non valide.

Get-ExoPhishSimOverrideRule | Format-Table Name,Mode

Dopo aver identificato le regole non valide, è possibile rimuoverle usando il cmdlet Remove-ExoPhishSimOverrideRule come descritto in Usare PowerShell per rimuovere le regole di override della simulazione di phishing.

Per informazioni dettagliate sulla sintassi e sui parametri, vedere Get-ExoPhishSimOverrideRule.

Usare PowerShell per visualizzare le voci di URL di simulazione di phishing consentite

In Exchange Online PowerShell elencare le voci di autorizzazione URL correnti configurate per simulazioni avanzate di phishing per il recapito in modo da poter esaminare o identificare gli elementi da modificare o rimuovere:

Get-TenantAllowBlockListItems -ListType Url -ListSubType AdvancedDelivery

Per informazioni dettagliate sulla sintassi e sui parametri, vedere Get-TenantAllowBlockListItems.

Usare PowerShell per modificare il criterio di override della simulazione di phishing

In Powershell di Exchange Online, aggiornare il commento o lo stato di abilitazione di un criterio di override della simulazione di phishing esistente:

Set-PhishSimOverridePolicy -Identity PhishSimOverridePolicy [-Comment "<DescriptiveText>"] [-Enabled <$true | $false>]

Questo esempio disabilita il criterio di override per la simulazione di phishing.

Set-PhishSimOverridePolicy -Identity PhishSimOverridePolicy -Enabled $false

Per informazioni dettagliate sulla sintassi e sui parametri, vedere Set-PhishSimOverridePolicy.

Usare PowerShell per modificare le regole di override della simulazione di phishing

In Powershell di Exchange Online aggiungere o rimuovere i domini del mittente e gli intervalli di indirizzi IP in una regola di override della simulazione di phishing esistente. Usare il modulo della pipeline per aggiornare la regola recuperata da Get-ExoPhishSimOverrideRule:

Get-ExoPhishSimOverrideRule | Set-ExoPhishSimOverrideRule [-Comment "<DescriptiveText>"] [-AddSenderDomainIs <DomainEntry1>,<DomainEntry2>,...<DomainEntryN>] [-RemoveSenderDomainIs <DomainEntry1>,<DomainEntry2>,...<DomainEntryN>] [-AddSenderIpRanges <IPAddressEntry1>,<IPAddressEntry2>,...<IPAddressEntryN>] [-RemoveSenderIpRanges <IPAddressEntry1>,<IPAddressEntry2>,...<IPAddressEntryN>]

In alternativa, è possibile aggiornare una regola di override specifica della simulazione di phishing in base al valore identity:

Set-ExoPhishSimOverrideRule -Identity <PhishSimOverrideRuleIdentity> [-Comment "<DescriptiveText>"] [-AddSenderDomainIs <DomainEntry1>,<DomainEntry2>,...<DomainEntryN>] [-RemoveSenderDomainIs <DomainEntry1>,<DomainEntry2>,...<DomainEntryN>] [-AddSenderIpRanges <IPAddressEntry1>,<IPAddressEntry2>,...<IPAddressEntryN>] [-RemoveSenderIpRanges <IPAddressEntry1>,<IPAddressEntry2>,...<IPAddressEntryN>]

Usare il cmdlet Get-ExoPhishSimOverrideRule per trovare il valore identity della regola da usare per il <parametro PhishSimOverrideRuleIdentity> . Il nome della regola usa la sintassi seguente: _Exe:PhishSimOverr:<GUID\> [sic] dove <GUID> è un valore GUID univoco (ad esempio, 6fed4b63-3563-495d-a481-b24a311f8329).

Questo esempio aggiorna la regola di override della simulazione di phishing esistente aggiungendo il dominio blueyonderairlines.com e rimuovendo l'indirizzo IP 192.168.1.55. Queste modifiche non influiscono su altre voci esistenti nella regola.

Get-ExoPhishSimOverrideRule| Set-ExoPhishSimOverrideRule -AddSenderDomainIs blueyonderairlines.com -RemoveSenderIpRanges 192.168.1.55

Per informazioni dettagliate sulla sintassi e sui parametri, vedere Set-ExoPhishSimOverrideRule.

Usare PowerShell per modificare le voci di URL di simulazione di phishing consentite

Non è possibile modificare direttamente i valori url. È possibile rimuovere le voci di URL esistenti e aggiungere nuove voci URL.

In Exchange Online PowerShell, per modificare altre proprietà di una voce di URL di simulazione di phishing consentita (ad esempio, la data di scadenza o i commenti), usare la sintassi seguente:

Set-TenantAllowBlockListItems <-Entries "<URL1>","<URL2>",..."<URLN>" | -Ids <Identity> -ListType URL -ListSubType AdvancedDelivery <[-NoExpiration] | [-ExpirationDate <DateTime>]> [-Notes <String>]

È possibile identificare la voce da modificare in base ai relativi valori URL (il parametro Entries ) o al valore Identity dall'output del cmdlet Get-TenantAllowBlockListItems (il parametro Ids ).

In questo esempio viene modificata la data di scadenza per la voce URL esistente della simulazione di phishing consentita.

Set-TenantAllowBlockListItems -ListType Url -ListSubType AdvancedDelivery -Entries "*.fabrikam.com" -ExpirationDate 9/11/2021

Per informazioni dettagliate sulla sintassi e sui parametri, vedere Set-TenantAllowBlockListItems.

Usa PowerShell per rimuovere un criterio di override della simulazione di phishing

In Exchange Online PowerShell, questo esempio rimuove il criterio di override della simulazione di phishing e la regola corrispondente.

Remove-PhishSimOverridePolicy -Identity PhishSimOverridePolicy

Per informazioni dettagliate sulla sintassi e sui parametri, vedere Remove-PhishSimOverridePolicy.

Usare PowerShell per rimuovere le regole di override della simulazione di phishing

In Exchange Online PowerShell usare i comandi seguenti:

  • Rimuovi eventuali regole di eccezione della simulazione di phishing:

    Get-ExoPhishSimOverrideRule | Remove-ExoPhishSimOverrideRule

  • Rimuovi la regola di eccezione della simulazione di phishing specificata:

    Remove-ExoSPhishSimOverrideRule -Identity "_Exe:PhishSimOverr:6fed4b63-3563-495d-a481-b24a311f8329"

Per informazioni dettagliate sulla sintassi e sui parametri, vedere Remove-ExoPhishSimOverrideRule.

Usare PowerShell per rimuovere le voci di URL di simulazione di phishing consentite

In Exchange Online PowerShell, rimuovere le voci URL consentite di Advanced Delivery specificando i valori URL (il parametro Entries) oppure il valore di identità (il parametro Ids):

Remove-TenantAllowBlockListItems <-Entries "<URL1>","<URL2>",..."<URLN>" | -Ids <Identity> -ListType URL -ListSubType AdvancedDelivery

È possibile identificare la voce da modificare in base ai relativi valori URL (il parametro Entries ) o al valore Identity dall'output del cmdlet Get-TenantAllowBlockListItems (il parametro Ids ).

Questo esempio rimuove dall'Elenco di tenant consentiti/bloccati la voce di autorizzazione URL di Recapito avanzato specificata.

Remove-TenantAllowBlockListItems -ListType Url -ListSubType AdvancedDelivery -Entries "*.fabrikam.com" -ExpirationDate 9/11/2021

Per informazioni dettagliate sulla sintassi e sui parametri, vedere Remove-TenantAllowBlockListItems.

  • Last updated on