Risolvere i problemi comuni relativi ai criteri di protezione dalla posta indesiderata

Consiglio

Sapevi che puoi provare gratuitamente le funzionalità in Microsoft Defender per Office 365 Piano 2? Usa la versione di prova di 90 giorni di Defender per Office 365 nell'hub delle versioni di prova del portale di Microsoft Defender. Informazioni su chi può iscriversi e sulle condizioni di valutazione in Prova Microsoft Defender per Office 365.

Usare le informazioni seguenti per diagnosticare e risolvere i problemi comuni dei criteri di protezione dalla posta indesiderata:

  • Conflitti di precedenza dei criteri.
  • Sovrascritti inaspettati del filtraggio dello spam.
  • Falsi positivi dalle impostazioni del filtro antispam avanzato.

Consiglio

Diagnostica dei criteri di minaccia della posta elettronica per un destinatario

Elencare i criteri di minaccia nelle funzionalità di sicurezza predefinite per tutte le cassette postali cloud e in Microsoft Defender per Office 365 applicabili a un messaggio ricevuto o a un destinatario e identificare il connettore in ingresso usato per il messaggio.

Problemi di precedenza dei criteri

I criteri di protezione dalla posta indesiderata vengono valutati in un ordine specifico. Solo il primo criterio di corrispondenza (priorità più alta) si applica a un destinatario. I criteri di protezione dalla posta indesiderata vengono elaborati nell'ordine seguente:

Priorità Policy Note
1 (più alto) Criteri di sicurezza predefiniti rigorosi Applicato per primo, se abilitato. Le impostazioni non possono essere modificate.
2 Standard criteri di sicurezza predefiniti Applicato successivamente se abilitato. Le impostazioni non possono essere modificate.
3 Criteri di protezione dalla posta indesiderata personalizzati Applicato in ordine di priorità (0 = priorità più alta).
4 (più basso) Criterio di protezione dalla posta indesiderata predefinito Ha sempre la priorità minima. Si applica ai destinatari non coperti da altri criteri. Non è possibile eliminare o rinominare.

Importante

La protezione dalla posta indesiderata si arresta per un destinatario dopo l'applicazione del primo criterio. Se un utente è coperto dai criteri di sicurezza predefiniti Strict, le impostazioni dei criteri di protezione dalla posta indesiderata personalizzati e predefiniti vengono ignorate per tale utente.

Per il modello di precedenza completo per tutte le funzionalità di protezione, vedere Ordine e precedenza della protezione della posta elettronica.

Problema: le impostazioni dei criteri personalizzati non vengono applicate

Sintomo: Hai configurato una politica anti-spam personalizzata con impostazioni specifiche (ad esempio, una soglia più alta di Livello di Reclamo Bulk (BCL) o un'azione antispam diversa), ma le impostazioni non hanno effetto per alcuni utenti.

Probabile causa: gli utenti interessati sono inclusi anche in un criterio di sicurezza predefinito (Standard o Strict), che ha la precedenza sui criteri personalizzati.

Come diagnosticare:

  1. Nella pagina Criteri di sicurezza predefiniti del portale di Microsoft Defender in https://security.microsoft.com/presetSecurityPoliciesverificare se i criteri di sicurezza predefiniti Standard o Strict sono abilitati e quali utenti, gruppi o domini sono inclusi.
  2. Confrontare l'ambito del destinatario dei criteri predefiniti con i criteri personalizzati.

Risoluzione:

  • Se sono necessarie impostazioni personalizzate per utenti specifici, eseguire una delle operazioni seguenti:
    • Aggiungere tali utenti come esclusioni nei criteri di sicurezza predefiniti.
    • Usare assegnazioni di utenti o gruppi specifiche sia per i criteri di sicurezza predefiniti che per i criteri personalizzati per garantire che gli utenti di destinazione siano assegnati solo ai criteri personalizzati.

In Exchange Online PowerShell eseguire il comando seguente per verificare quali criteri di protezione dalla posta indesiderata si applicano a un utente specifico:

Get-HostedContentFilterRule | Where-Object {$_.State -eq 'Enabled'} | Format-Table Name, Priority, SentTo, SentToMemberOf, RecipientDomainIs

Problema: due criteri personalizzati si sovrappongono e si applica quello errato

Sintomo: un utente corrisponde alle condizioni del destinatario di due criteri di protezione dalla posta indesiderata personalizzati, ma si applicano le impostazioni dei criteri non valide.

Probabile causa: il criterio da applicare ha una priorità inferiore (numero di priorità superiore) rispetto agli altri criteri.

Come diagnosticare:

  1. Nella pagina Criteri di protezione dalla posta indesiderata nel portale di Defender in https://security.microsoft.com/antispam, esaminare la colonna Priorità per i criteri di protezione dalla posta indesiderata in ingresso .
  2. Controllare le condizioni dei destinatari (utenti, gruppi, domini) di entrambi i criteri.

Risoluzione:

Riordinare i criteri in modo che i criteri più specifici abbiano una priorità più alta (numero di priorità inferiore). Per istruzioni, vedere Usare il portale di Microsoft Defender per impostare la priorità dei criteri di protezione dalla posta indesiderata personalizzati oppure Usare PowerShell per impostare la priorità delle regole di filtro della posta indesiderata.

Consiglio

Progettare i criteri da più specifici a meno specifici. Usare ambiti destinatario limitati per criteri specializzati (utenti o gruppi specifici) e ambiti più ampi per i criteri generali.

Problema: i criteri predefiniti hanno impostazioni impreviste

Sintomo: gli utenti non coperti da altri criteri ricevono un comportamento imprevisto di filtro della posta indesiderata.

Probabile causa: i criteri di protezione dalla posta indesiderata predefiniti sono stati modificati dalle impostazioni originali oppure si prevede che i criteri predefiniti si comportino come criteri personalizzati.

Risoluzione:

Comportamento di sovrascrittura del verdetto tramite spam

Alcuni meccanismi possono prevalere sul verdetto di spam su un messaggio, come le regole di flusso della posta o il filtraggio delle connessioni. Questi sovrascritti possono influire sul fatto che i messaggi arrivino nella Casella di Posta, nella cartella Email Indesiderata o in quarantena. Nelle organizzazioni cloud, il filtraggio dello spam classifica i messaggi e agisce utilizzando la categorizzazione dei messaggi e altri segnali.

I seguenti meccanismi possono prevalere sul verdetto assegnato dal filtraggio antispam. Il comportamento e le limitazioni influiscono sulla risoluzione dei problemi:

Meccanismo di sostituzione Effetto Limitazioni Dettagli
Regole del flusso di posta (regole di trasporto) Imposta il livello di confidenza dello spam (SCL) su -1 (bypass) oppure 0-9 (per l'azione in ambienti Exchange on-premise) Non è possibile ignorare il malware o il filtro di phishing ad alta attendibilità. SCL -1 sostituisce solo il filtro della posta indesiderata. Usare le regole del flusso di posta per impostare l'SCL
Elenco indirizzi IP consentiti (filtro delle connessioni) Bypassa la maggior parte del filtraggio per i messaggi dagli IP consentiti Non aggira la scansione del malware o del phishing ad alta affidabilità. Non esegue l'override degli errori DMARC. Configurazione del filtro connessioni
Mittenti/domini consentiti (criterio anti-spam) Ignora il filtro della posta indesiderata per mittenti o domini specificati Rischio elevato: gli utenti malintenzionati possono falsificato i domini consentiti. Non aggira malware o phishing ad alta probabilità. Creare elenchi di mittenti attendibili
Elenco di tenant consentiti/bloccati Consente o blocca mittenti, domini, URL o file specifici Le voci consentite sono temporanee per impostazione predefinita. Le voci di blocco hanno la precedenza su quelle di autorizzazione. Elenco di tenant consentiti/bloccati
Mittenti attendibili di Outlook (a livello di utente) Bypassa il filtraggio dello spam per i messaggi dei mittenti presenti nella lista dei Mittenti Sicuri dell'utente Non aggira malware o phishing ad alta probabilità. Crea il rischio di spoofing mirato. Aggregazione dell'elenco indirizzi attendibili
Criteri di recapito avanzati Ignora il filtro per le cassette postali SecOps e i messaggi di simulazione di phishing Creato appositamente per scenari specifici. Non usare per elenchi consentiti generali. Configurare i criteri di recapito avanzati
Filtro avanzato per i connettori (ignora elenco) Mantiene l'IP di origine originale per controlli SPF/autenticazione accurati Non bypassa il filtraggio, ma influisce su come il filtraggio valuta la sorgente del messaggio. Filtro avanzato per i connettori
  • Una SCL di -1 è un'istruzione per bypassare il filtraggio dello spam, non necessariamente il valore SCL stampato sul messaggio. Un messaggio che salta il filtraggio dello spam può comunque essere scansionato e timbrato con una SCL pari a 0 o 1 per indicare che è stato valutato e si è ritenuto non spam.
  • Anche quando un messaggio bypassa il filtraggio antispam, le seguenti protezioni non vengono mai bypassate:
    • Analisi malware: i messaggi contenenti malware vengono sempre messi in quarantena.
    • Phishing ad alta fiducia (HPHSH): i messaggi identificati come phishing ad alta fiducia sono sempre messi in quarantena (a meno che il record MX non indichi Microsoft 365 e che sia in vigore una regola SCL -1).

Attenzione

L'impostazione di SCL su -1 tramite una regola del flusso di posta crea un rischio significativo se l'ambito delle condizioni non è impostato con attenzione. Usare sempre le condizioni più strette possibili.

Problema: la regola del flusso di posta SCL -1 recapita posta indesiderata nella posta in arrivo

Sintomo: Gli utenti ricevono messaggi di posta indesiderata o di phishing nella cartella Posta in arrivo invece che in Posta indesiderata o in quarantena.

Probabile causa: una regola del flusso di posta imposta SCL su -1 per un ambito troppo ampio. Ad esempio, tutti i messaggi provenienti da un dominio o un intervallo IP specifico o tutti i messaggi instradati tramite un connettore.

Come diagnosticare:

  1. Nella pagina Regole nell'interfaccia https://admin.exchange.microsoft.com/#/transportrules di amministrazione di Exchange, cerca le regole con l'azione Imposta il livello di probabilità di posta indesiderata (SCL) su Ignora il filtro della posta indesiderata o -1.
  2. Esaminare le condizioni. Sono troppo ampi?

Risoluzione:

  • Limitare le condizioni: aggiungere altre condizioni alla regola , ad esempio indirizzo mittente + valore di intestazione specifico.
  • Usare invece il filtro avanzato per i connettori: se la regola esiste perché la posta instrada attraverso un servizio non Microsoft, configurare il filtro avanzato per i connettori e rimuovere la regola SCL -1.
  • Usare i criteri di recapito avanzati: per le cassette postali SecOps o le simulazioni di phishing, usare i criteri di recapito avanzati anziché le regole del flusso di posta.

Problema: le voci dell'elenco consentiti non funzionano

Sintomo: è stato aggiunto un mittente all'elenco dei mittenti consentiti nei criteri di protezione dalla posta indesiderata, ma i messaggi di tale mittente sono ancora filtrati.

Probabile causa: un criterio di sicurezza predefinito copre l'utente ed esegue l'override delle impostazioni dei criteri di protezione dalla posta indesiderata personalizzati. Oppure, il filtro antimalware o il filtro antiphishing ad alta probabilità intercetta il messaggio e le liste di elementi consentiti non possono prevalere su tali determinazioni.

Come diagnosticare:

  1. Controllare le intestazioni del messaggio per l'intestazione X-Forefront-Antispam-Report e cercare il valore SFV (verdetto del filtro posta indesiderata):
    • SFV:SKA = Messaggio consentito (filtraggio saltato a causa di una voce nell'elenco consentiti).
    • SFV:SPM = Il messaggio è stato contrassegnato come posta indesiderata (l'elenco consenti non è stato applicato).
  2. Controllare se il malware o il filtro di phishing ha rilevato il messaggio anziché il filtro della posta indesiderata.

Risoluzione:

Determina quale componente ha filtrato il messaggio

Quando si risolvono comportamenti di filtraggio spam inaspettati, identifica quale componente ha filtrato il messaggio o ha sovrascritto il filtraggio. Molteplici componenti nella pipeline di filtraggio di Exchange Online possono influenzare l'esito: filtraggio spam, regole di flusso di posta, filtraggio delle connessioni, liste di mittenti consentiti/bloccati e impostazioni del Filtro Avanzato Spam (ASF).

I passaggi seguenti mostrano come utilizzare le intestazioni X dei messaggi per tracciare la decisione di filtraggio.

Passaggio 1: Ottenere le intestazioni dei messaggi

Per analizzare come il messaggio è stato filtrato, hai bisogno delle intestazioni intere del messaggio internet del messaggio interessato:

  • Outlook (desktop): aprire il messaggio > e selezionare File>Proprietà. Le intestazioni vengono visualizzate nella casella Intestazioni Internet.
  • Outlook sul web: aprire il messaggio > selezionare ... (Altre azioni) >Visualizzare>i dettagli del messaggio.
  • Amministrazione (Traccia messaggi):nella pagina Traccia messaggi nell'interfaccia di amministrazione https://admin.exchange.microsoft.com/#/messagetracedi Exchange, trovare il messaggio e visualizzare i dettagli dell'intestazione.

Consiglio

Copiare e incollare le intestazioni complete nello strumento Message Header Analyzer per analizzarle in un formato leggibile.

Passaggio 2: Individuare le X-header chiave

I seguenti X-header contengono le informazioni necessarie per tracciare la decisione di filtraggio:

Intestazione Finalità
X-Forefront-Antispam-Report Contiene il verdetto di filtraggio dello spam (SFV), il verdetto IP (IPV), la categoria di minaccia (CAT) e altre decisioni di filtraggio.
X-Microsoft-Antispam Contiene il livello di reclamo collettivo (BCL) e altri campi diagnostici.
X-CustomSpam Visualizzato solo quando un'impostazione ASF ha contrassegnato il messaggio. Identifica quale regola ASF è stata attivata.
Authentication-Results Contiene i risultati di SPF, DKIM, DMARC e autenticazione composita (compauth).

Per informazioni complete su tutti i campi di intestazione, vedere Intestazioni dei messaggi anti-spam nelle organizzazioni cloud.

Passaggio 3: Leggi il verdetto del filtro antispam

Il campo SFV (Spam Filtering Verdict) nell'intestazione è l'indicatore X-Forefront-Antispam-Report principale del componente che ha determinato il destino del messaggio:

Valore SFV Componente Significato
SFV:BLK Elenco dei mittenti bloccati dall'utente Il messaggio è stato bloccato perché il mittente si trova nell'elenco Mittenti bloccati di Outlook del destinatario.
SFV:NSPM Filtro antispam (filtro dei contenuti) Il filtro della posta indesiderata ha determinato che il messaggio non era posta indesiderata.
SFV:SFE Elenco dei mittenti attendibili dell'utente Il filtro è stato ignorato perché il mittente si trova nell'elenco Mittenti attendibili di Outlook del destinatario.
SFV:SKA Elenco di mittenti/domini consentiti per il criterio antispam Il messaggio ha ignorato il filtro della posta indesiderata perché il mittente o il dominio si trova nell'elenco mittenti/domini consentiti.
SFV:SKB Elenco di domini/mittenti bloccati per i criteri di protezione dalla posta indesiderata Il messaggio è stato contrassegnato come posta indesiderata perché il mittente o il dominio si trova nell'elenco mittenti/domini bloccati.
SFV:SKI Elenco indirizzi IP consentiti/bloccati (filtro delle connessioni) Il messaggio ha ignorato il filtro della posta indesiderata perché l'IP di origine era nell'elenco indirizzi IP consentiti.
SFV:SKN Regola del flusso della posta Il sistema ha rispettato la richiesta di saltare il filtraggio dello spam da una regola con l'opzione Imposta l'azione del livello di confidenza dello spam (SCL) impostata su Bypass spam filtering (-SetSCL -1).
SFV:SKQ Rilascio dalla quarantena Il messaggio è stato rilasciato dalla quarantena e recapitato ai destinatari previsti.
SFV:SKS Regola del flusso di posta o Exchange on-premises Il messaggio era stato contrassegnato come spam prima che il filtraggio spam lo processasse, e Secure di default ha rispettato la richiesta. La sorgente è o una regola di flusso di posta che imposta il livello di confidenza dello spam (SCL), oppure una decisione di spam trasmessa da Exchange on-premises in una distribuzione ibrida. La richiesta di contrassegnare il messaggio come spam è un input per il filtraggio, non una decisione finale, quindi SFV:SKS appare solo quando la richiesta viene accolta.
SFV:SPM Filtro antispam (filtro dei contenuti) Il filtro della posta indesiderata ha contrassegnato il messaggio come posta indesiderata in base all'analisi del contenuto.

Passaggio 4: Controllare il campo IPV per le decisioni a livello di connessione

Il campo IPV (verdetto IP) indica se il filtro di connessione ha preso una decisione sull'IP di origine:

Valore IPV Significato
IPV:CAL L'indirizzo IP di origine si trova nell'elenco indirizzi IP consentiti nei criteri del filtro di connessione. Il filtro della posta indesiderata è stato ignorato.
IPV:NLI L'indirizzo IP non è stato trovato in alcun elenco di reputazione IP. Non si è verificata alcuna sovrascrittura a livello di connessione.

Passaggio 5: Controllare la presenza di sovrascritture ASF

Se un'impostazione ASF ha contrassegnato il messaggio, viene aggiunta un'intestazione separata X-CustomSpam che identifica quale regola ASF ha attivato. Ad esempio:

X-CustomSpam: Web bug

Per l'elenco completo delle impostazioni, X-CustomSpam dei valori e dei loro effetti di filtraggio antispam, consulta le impostazioni del Filtro Avanzato Spam (ASF) nelle politiche anti-spam.

Nota

ASF aggiunge l'intestazione X-CustomSpamdopo l'elaborazione del messaggio da parte delle regole del flusso di posta. Non è possibile usare le regole del flusso di posta per identificare o agire sui messaggi contrassegnati da ASF.

Passaggio 6: Verificare il coinvolgimento delle regole del flusso di posta

Se SFV:SKN o SFV:SKS appare nell'intestazione, una regola di flusso di posta ha influenzato il messaggio prima che il filtraggio dello spam lo elaborasse: SFV:SKN per una regola che bypassa il filtraggio dello spam (SCL -1), oppure SFV:SKS per una regola che segna il messaggio come spam (SCL 5-9). In una distribuzione ibrida, SFV:SKS può anche derivare da una decisione di spam Exchange on-local. Queste azioni sono input per il filtraggio, non decisioni finali, e Secure di default potrebbe non rispettarle.

Per identificare quale regola del flusso di posta è responsabile:

  1. Nella pagina Regole del Centro di amministrazione di Exchange all'indirizzo https://admin.exchange.microsoft.com/#/transportrules, cerca le regole con l'azione Imposta il livello di probabilità di posta indesiderata (SCL).
  2. Confronta le condizioni della regola con il messaggio interessato.

In alternativa, usa Message trace nel interfaccia di amministrazione di Exchange (EAC). L'output dettagliato della traccia del messaggio mostra un evento AGENTINFO che indica quale regola è stata attivata.

Trova tutte le regole di flusso di posta che impostano SCL

Per elencare tutte le regole di flusso di posta che impostano la SCL, connettiti a Exchange Online PowerShell ed esegui il seguente comando:

Get-TransportRule | Where-Object {$_.SetSCL -ne $null} | Format-Table Name, State, Priority, @{N='SetSCL';E={$_.SetSCL};Alignment='Right'}, @{N='Conditions';E={($_.Conditions -join ', ') -replace 'Microsoft\.Exchange\.MessagingPolicies\.Rules\.Tasks\.','' -replace 'Predicate',''}} -AutoSize -Wrap

Albero decisionale: tracciare la decisione di filtraggio

Usa il seguente flusso di lavoro per identificare sistematicamente quale componente ha filtrato il messaggio. Per iniziare, leggere l'intestazione X-Forefront-Antispam-Report :

  1. Controllare il valore SFV:

    • SFV:BLK: elenco dei mittenti bloccati dell'utente.
    • SFV:NSPM: Filtro spam (filtro dei contenuti) contrassegnato come Non Spam.
    • SFV:SFE: l'elenco Mittenti attendibili dell'utente.
    • SFV:SKA: elenco di domini/mittenti consentiti per i criteri di protezione dalla posta indesiderata.
    • SFV:SKB: i criteri di protezione dalla posta indesiderata hanno bloccato l'elenco mittente/dominio.
    • SFV:SKI: il filtro delle connessioni (elenco degli indirizzi IP consentiti) ha ignorato il filtro. Verificare che sia presente anche IPV:CAL.
    • SFV:SKN: La regola del flusso di posta ha bypassato il filtraggio.
    • SFV:SKS: Una regola di flusso di posta o Exchange on-premises (in ibrido) segnava il messaggio come spam prima del filtraggio (rispettato di default da Secure).
    • SFV:SPM: Filtro spam (filtro di contenuti) contrassegnato come Spam. Verificare il valore CAT per il tipo di minaccia e l'intestazione X-CustomSpam per i trigger ASF.

  2. Controllare l'intestazione X-CustomSpam (se presente): impostazione ASF attivata. Identificare l'impostazione e disabilitarla se il messaggio è un falso positivo.

  3. Verifica Authentication-Results (compauth):

    • compauth=fail reason=000: Fallimento esplicito DMARC (può portare a un verdetto di spam).
    • compauth=fail reason=001: errore di autenticazione implicita (intelligence per spoofing).

Esempi reali di intestazioni

I seguenti esempi mostrano come interpretare le intestazioni dei messaggi per identificare quale componente ha filtrato il messaggio.

  • Messaggi filtrati tramite filtraggio antispam:

    X-Forefront-Antispam-Report: CIP:198.51.100.50;CTRY:US;LANG:en;
  SFV:SPM;IPV:NLI;SRV:;H:mail.adatum.com;PTR:mail.adatum.com;
  CAT:SPM;SFTY:;DIR:INB;

    Il filtraggio dello spam ha segnato il messaggio come Spam (SFV:SPM, CAT:SPM). Non si è verificato alcun override (IPV:NLI).

  • Filtraggio bypassato da una regola di flusso di posta:

    X-Forefront-Antispam-Report: CIP:203.0.113.10;CTRY:GB;LANG:en;
  SFV:SKN;IPV:NLI;SRV:;H:partner-mail.contoso.com;
  CAT:NONE;DIR:INB;

    SFV:SKN indica che una regola di flusso di posta ha saltato il filtraggio dello spam per il messaggio. Controlla le regole del flusso della posta per la condizione corrispondente.

  • Filtraggio bypassato dalla lista di permessi IP:

    X-Forefront-Antispam-Report: CIP:192.0.2.25;CTRY:DE;LANG:de;
  SFV:SKI;IPV:CAL;SRV:;H:smtp.fabrikam.de;
  CAT:NONE;DIR:INB;

    L'IP di origine (192.0.2.25) è incluso nell'elenco indirizzi IP consentiti (SFV:SKI, IPV:CAL). Il filtraggio delle connessioni ha bypassato il filtraggio dello spam.

  • Messaggio contrassegnato come spam da un'impostazione ASF:

    X-Forefront-Antispam-Report: CIP:198.51.100.99;CTRY:US;LANG:en;
  SFV:SPM;IPV:NLI;SRV:;H:bulk.adatum.com;
  CAT:HSPM;DIR:INB;
X-CustomSpam: Web bug

    Il messaggio corrispondeva ai Web bugs in HTML ASF (X-CustomSpam: Web bug), che lo segnava come spam ad alta fiducia (CAT:HSPM). Il messaggio probabilmente contiene un pixel di tracciamento 1x1. Se il messaggio è una newsletter legittima, disabilitare l'impostazione MarkAsSpamWebBugsInHtml ASF.

  • Messaggio contrassegnato come spam da un guasto DMARC:

    X-Forefront-Antispam-Report: CIP:198.51.100.77;CTRY:US;LANG:en;
  SFV:SPM;IPV:NLI;SRV:;CAT:SPOOF;DIR:INB;
Authentication-Results: spf=fail (sender IP is 198.51.100.77)
  smtp.mailfrom=fabrikam.com; dkim=none;
  dmarc=fail action=quarantine header.from=fabrikam.com;
  compauth=fail reason=000

    Il messaggio falliva DMARC (compauth=motivo fallimento=000), e la politica DMARC del mittente specificava la quarantena. L'applicazione dell'anti-spoofing (DMARC) ha segnato il messaggio come spam (CAT:SPOOF), non il filtro antispam (filtro dei contenuti).

  • Filtraggio bypassato dagli utenti Safe Senders:

    X-Forefront-Antispam-Report: CIP:203.0.113.55;CTRY:IN;LANG:en;
  SFV:SFE;IPV:NLI;SRV:;CAT:NONE;DIR:INB;

    Il mittente è incluso nell'elenco Mittenti attendibili del destinatario (SFV:SFE). Il filtro della posta indesiderata è stato ignorato. Per verificare, collegati a Exchange Online PowerShell e controlla la configurazione delle email indesiderate dell'utente:

    Get-MailboxJunkEmailConfiguration -Identity "user@contoso.com" | Select-Object TrustedSendersAndDomains

Riferimento rapido per la decisione di filtraggio

Evidenza dell'intestazione Componente Azione Amministrazione
CAT:HPHSH Rilevamento del phishing con attendibilità elevata Gli elenchi di elementi consentiti non possono sovrascrivere questo verdetto.
compauth=fail reason=000 + CAT:SPOOF DMARC/anti-spoofing Esamina la politica DMARC del mittente; controlla la configurazione della Catena Ricevuta Autenticata (ARC).
SFV:BLK Mittenti bloccati dall'utente (Outlook) Controlla BlockedSendersAndDomains da Get-MailboxJunkEmailConfiguration.
SFV:SFE Mittenti attendibili per l'utente (Outlook) Controlla TrustedSendersAndDomains da Get-MailboxJunkEmailConfiguration.
SFV:SKA Criteri di protezione dalla posta indesiderata (elenco di mittenti/domini consentiti) Rivedi i mittenti consentiti nella politica anti-spam.
SFV:SKB Criteri di protezione dalla posta indesiderata (elenco mittente/dominio bloccato) Rivedi i mittenti bloccati nella politica anti-spam.
SFV:SKI + IPV:CAL Filtro di connessione (elenco indirizzi IP consentiti) Controlla IPAllowList da Get-HostedConnectionFilterPolicy.
SFV:SKN (bypass filtrando lo spam) Regola del flusso della posta Trova tutte le regole di flusso di posta che impostano SCL
SFV:SKS (contrassegnato come spam prima del filtraggio antispam) Regola del flusso di posta o Exchange on-premises Trova tutte le regole di flusso di posta che impostano SCL. Nelle implementazioni ibride, controlla anche le decisioni di spam on-site.
SFV:SPM + X-CustomSpam: intestazione presente Impostazione ASF Identifica e disabilita l'impostazione ASF problematica.
SFV:SPM o SFV:NSPM, no X-CustomSpam Filtro antispam (filtro dei contenuti) Esaminare le azioni dei criteri di protezione dalla posta indesiderata; inviare falsi positivi.
SRV:BULK + valore BCL in X-Microsoft-Antispam Rilevamento della posta elettronica in blocco (soglia BCL) Regola la soglia BCL nella politica anti-spam.

Impostazioni ASF che causano falsi positivi

Le impostazioni asf (Advanced Spam Filter) contrassegnano i messaggi come posta indesiderata in base a specifiche proprietà dei messaggi. Anche se queste impostazioni hanno come destinazione le caratteristiche comunemente presenti nella posta indesiderata, possono causare falsi positivi quando i messaggi legittimi contengono le stesse proprietà.

Nota

L'abilitazione di una o più impostazioni ASF è un approccio aggressivo al filtro della posta indesiderata. Non è possibile segnalare a Microsoft i messaggi contrassegnati da impostazioni ASF come falsi positivi. Microsoft non consiglia più di abilitare le impostazioni ASF, poiché le funzionalità sono già coperte da altri livelli dello stack di filtri.

Le tabelle seguenti identificano le impostazioni ASF che in genere causano falsi positivi e forniscono indicazioni su quando disabilitarle.

Aumentare le impostazioni del punteggio di posta indesiderata

Queste impostazioni aumentano il punteggio di spam dei messaggi corrispondenti, aumentando la probabilità che il messaggio riceva un verdetto del filtro Spam e l'azione corrispondente nelle politiche anti-spam. Non tutti i messaggi che corrispondono a queste condizioni sono contrassegnati come spam.

Impostazione ASF Parametro di PowerShell Perché causa falsi positivi Raccomandazione
Collegamenti di immagini a siti Web remoti IncreaseScoreWithImageLinks Contrassegna i messaggi contenenti <Img> collegamenti tag HTML a siti remoti. Alcuni messaggi di posta elettronica HTML legittimi includono immagini remote. Disattiva se ricevi messaggi di posta elettronica legittimi con collegamenti di immagini remote.
Indirizzo IP numerico in URL IncreaseScoreWithNumericIps Contrassegna i messaggi contenenti URL con indirizzi IP numerici , http://192.168.1.1/ad esempio . Alcuni sistemi interni legittimi o applicazioni partner usano URL basati su IP. Disattivare se si dispone di mittenti legittimi che usano URL basati su IP.
Reindirizzamento URL ad altra porta IncreaseScoreWithRedirectToOtherPort Contrassegna i messaggi contenenti URL che reindirizzano a porte TCP diverse da 80 (HTTP), 8080 (HTTP alternativo) o 443 (HTTPS). Alcune applicazioni Web legittime usano porte non standard. Disattiva se i messaggi legittimi contengono collegamenti a porte non standard.
Collegamenti a siti Web .biz o .info IncreaseScoreWithBizOrInfoUrls Contrassegna i messaggi contenenti URL .biz o .info. Molte aziende legittime usano questi TTLD. Disattiva se comunichi con mittenti legittimi che usano .biz o .info domini.

Contrassegna come impostazioni di posta indesiderata

Le seguenti impostazioni di Marca come spam segnano i messaggi rilevati con un verdetto di filtro anti-spam ad alta fiducia e l'azione corrispondente nelle politiche anti-spam:

Impostazione ASF Parametro di PowerShell Perché causa falsi positivi Raccomandazione
Messaggi vuoti MarkAsSpamEmptyMessages Contrassegna i messaggi senza oggetto, senza contenuto nel corpo del messaggio e senza allegati. Alcune notifiche automatizzate o avvisi di sistema possono essere vuoti. Disattiva se ricevi notifiche di sistema vuote legittime.
Tag annidati in HTML MarkAsSpamEmbedTagsInHtml Contrassegna i messaggi contenenti <embed> tag HTML. Alcuni messaggi di posta elettronica HTML legittimi usano tag di incorporamento per il contenuto multimediale. Disattiva se ricevi messaggi di posta elettronica HTML legittimi con supporti incorporati.
JavaScript o VBScript in HTML MarkAsSpamJavaScriptInHtml Contrassegna i messaggi contenenti JavaScript o VBScript. Alcune newsletter di posta elettronica legittime o piattaforme di marketing includono script. Disattiva a meno che l'organizzazione non richieda in modo specifico il blocco degli script nella posta elettronica.
Tag Form in HTML MarkAsSpamFormTagsInHtml Contrassegna i messaggi con <form> tag HTML. Gli inviti ai sondaggi legittimi o i messaggi di posta elettronica interattivi potrebbero usare tag modulo. Valutare caso per caso. Lascia attivato per gli ambienti ad alta sicurezza.
Tag frame o iframe in HTML MarkAsSpamFramesInHtml Contrassegna i messaggi con <frame> tag HTML o <iframe> . Alcuni messaggi di posta elettronica legittimi provenienti da sistemi meno recenti usano frame. Disattiva se ricevi messaggi di posta elettronica legittimi con frame.
Web bug in HTML MarkAsSpamWebBugsInHtml Contrassegna i messaggi contenenti pixel di rilevamento (immagini 1×1). Quasi tutte le e-mail e le newsletter di marketing moderne contengono pixel di rilevamento. Disattiva. Questa impostazione causa una frequenza molto elevata di falsi positivi perché i pixel di rilevamento sono standard nei messaggi di posta elettronica di marketing legittimi.
Tag oggetto in HTML MarkAsSpamObjectTagsInHtml Contrassegna i messaggi con <object> tag HTML. Raro nei messaggi di posta elettronica legittimi. In genere si può lasciare attivato, a meno che non si riscontrino falsi positivi specifici.
Parole sensibili MarkAsSpamSensitiveWordList Contrassegna i messaggi contenenti parole dall'elenco di parole sensibili di Microsoft. Può segnalare le comunicazioni hr, mediche o finanziarie legittime. Disattiva se riscontri falsi positivi nelle comunicazioni aziendali contenenti contenuti medici, finanziari o relativi alle risorse umane.
Record SPF: errore irreversibile MarkAsSpamSpfRecordHardFail Contrassegna i messaggi per cui SPF restituisce un errore permanente. Questa impostazione viene attivata da mittenti legittimi con record SPF non configurati correttamente o messaggi inoltrati. La modalità di test non è disponibile per questa impostazione. Disattiva a meno che non sia stato verificato che tutti i mittenti legittimi abbiano record SPF corretti. Usare invece l'applicazione di DMARC.

Le seguenti impostazioni di Contrassegnazione come spam segnano i messaggi rilevati con un verdetto del filtro Spam e l'azione corrispondente nelle politiche anti-spam:

Impostazione ASF Parametro di PowerShell Perché causa falsi positivi Raccomandazione
Filtro ID del mittente: hard fail MarkAsSpamFromAddressAuthFail Contrassegna i messaggi che non riescono a controllare l'ID mittente. L'ID mittente è un protocollo deprecato che molti mittenti legittimi non supportano. La modalità di test non è disponibile per questa impostazione. Disattiva. L'ID mittente è obsoleto. Usare invece SPF/DKIM/DMARC.
Backscatter NDR MarkAsSpamNdrBackscatter Contrassegna i rapporti di mancato recapito (NDR) che sembrano essere backscatter (NDR relativi a messaggi che l'utente non ha inviato). Può contrassegnare i messaggi di rimbalzo legittimi. La modalità di test non è disponibile per questa impostazione. Disattivare a meno che non si verifichi un backscatter significativo. Gli NDR legittimi provenienti da sistemi di posta elettronica validi possono essere contrassegnati erroneamente.

Come identificare i falsi positivi causati da ASF

Quando un'impostazione ASF contrassegna un messaggio, al messaggio viene aggiunta un'intestazione X-CustomSpam X. Il valore dell'intestazione identifica l'impostazione ASF attivata. Per l'elenco completo dei valori dell'intestazione X-CustomSpam e delle impostazioni ASF corrispondenti, consulta Impostazioni del filtro antispam avanzato (ASF) nei criteri antispam.

Come disabilitare le impostazioni asf

È possibile disabilitare le impostazioni asf nel portale di Microsoft Defender o in Exchange Online PowerShell. Per i passaggi dettagliati, vedere Abilitare, disabilitare o testare le impostazioni ASF.

Consiglio

Usare la Modalità di test (disponibile per la maggior parte delle impostazioni Aumenta punteggio posta indesiderata e Contrassegna come posta indesiderata) prima di abilitare le impostazioni ASF in produzione. In modalità test l'impostazione ASF aggiunge l'intestazione X corrispondente X-CustomSpam al messaggio, ma non esegue alcuna azione. Questo approccio consente di identificare i messaggi interessati usando l'analisi dell'intestazione o della traccia dei messaggi prima di eseguire il commit nell'impostazione.

La modalità di test non è disponibile per le impostazioni ASF seguenti: record SPF: hard fail (MarkAsSpamSpfRecordHardFail), filtro ID mittente: hard fail (MarkAsSpamFromAddressAuthFail) e backscatter NDR (MarkAsSpamNdrBackscatter).

Risoluzione dei problemi del flusso di lavoro

Usare il flusso di lavoro seguente per diagnosticare i problemi dei criteri di protezione dalla posta indesiderata:

  1. Identifica quale componente ha filtrato il messaggio: Usa le intestazioni dei messaggi per determinare se il filtraggio dello spam, una regola di flusso di posta, il filtraggio delle connessioni o un altro componente hanno filtrato il messaggio. Per i passaggi dettagliati, vedi Determina quale componente ha filtrato il messaggio.

  2. Verificare la presenza di problemi di precedenza dei criteri:

    • L'utente è incluso nelle politiche di sicurezza preimpostate Standard o Sever? Lo Severo viene applicato prima dello Standard, che viene applicato prima di qualsiasi politica personalizzata.
    • Corrispondono più criteri personalizzati? Vince la politica di priorità più alta (numero di priorità più bassa).
    • Nessun criterio personalizzato corrispondente? Si applica il criterio predefinito.

  3. Verificare la presenza di falsi positivi ASF:

    • Cerca un'intestazione X-CustomSpam tra le intestazioni del messaggio. Il valore dell'intestazione identifica l'impostazione ASF attivata.
    • Disabilitare l'impostazione ASF problematica o usare la modalità test.

Comandi diagnostici di PowerShell

Connettersi a Exchange Online PowerShell e usare i comandi seguenti per diagnosticare rapidamente i problemi di configurazione dei criteri di protezione dalla posta indesiderata.

# List all anti-spam policies with their priority and state
Get-HostedContentFilterRule | Sort-Object Priority | Format-Table Name, Priority, State, SentTo, SentToMemberOf, RecipientDomainIs

# Check for SCL-setting mail flow rules
Get-TransportRule | Where-Object {$_.SetSCL -ne $null} | Format-Table Name, State, SetSCL, Priority

# Check connection filter (IP Allow/Block lists)
Get-HostedConnectionFilterPolicy | Format-List IPAllowList, IPBlockList

# View the full settings of a specific policy
Get-HostedContentFilterPolicy -Identity "Default" | Format-List

# Check if any ASF settings are enabled
Get-HostedContentFilterPolicy | Format-Table Identity, MarkAsSpam*, IncreaseScoreWith* -AutoSize

# Check allowed/blocked senders in anti-spam policies
Get-HostedContentFilterPolicy | Format-Table Identity, AllowedSenders, AllowedSenderDomains, BlockedSenders, BlockedSenderDomains

Contenuto correlato

  • Last updated on