Data/Locales/checks/it/M365ExchangeChecks.json
|
{ "_family": "M365ExchangeChecks.json", "M365EXO-001": { "name": { "value": "Audit dei criteri anti-spam", "status": "machine-draft" }, "description": { "value": "I criteri anti-spam in Exchange Online Protection filtrano la posta in entrata e in uscita per bloccare i messaggi indesiderati e le campagne di phishing basate su spam. Impostazioni anti-spam predefinite o mal configurate possono non offrire una protezione adeguata, consentendo alle email dannose di raggiungere le cassette postali degli utenti. Criteri di filtro anti-spam personalizzati con soglie e azioni appropriate sono essenziali per ridurre il volume di minacce recapitate agli utenti finali.", "status": "machine-draft" }, "recommendedValue": { "value": "Criterio anti-spam personalizzato con lo spam ad alta attendibilità messo in quarantena; soglia della posta in blocco impostata su 6 o inferiore; avvisi di spam in uscita abilitati", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina tutti i criteri anti-spam in Exchange Online e assicurati che lo spam ad alta attendibilità e il phishing ad alta attendibilità siano impostati sulla quarantena anziché sul recapito nella cartella posta indesiderata. Configura la soglia della posta in blocco su 6 o inferiore per intercettare i mittenti massivi aggressivi e abilita le notifiche per il rilevamento dello spam in uscita. Applica il criterio personalizzato a tutti i domini destinatari e verifica che nessun override a livello utente indebolisca il criterio organizzativo.", "status": "machine-draft" } }, "M365EXO-002": { "name": { "value": "Audit dei criteri anti-phishing", "status": "machine-draft" }, "description": { "value": "I criteri anti-phishing utilizzano l'intelligence delle cassette postali e il rilevamento dell'impersonificazione per identificare le email che falsificano mittenti o domini attendibili. Senza criteri anti-phishing configurati correttamente, gli aggressori possono impersonare dirigenti, partner o domini attendibili per condurre attacchi di compromissione della posta aziendale e raccolta di credenziali. Impostazioni anti-phishing avanzate, inclusa la protezione dall'impersonificazione di utenti e domini, sono fondamentali per difendersi dalle campagne di phishing mirate.", "status": "machine-draft" }, "recommendedValue": { "value": "Protezione dall'impersonificazione degli utenti abilitata per dirigenti e VIP; protezione dall'impersonificazione dei domini abilitata per tutti i domini organizzativi; intelligence delle cassette postali abilitata", "status": "machine-draft" }, "remediationSteps": { "value": "Configura i criteri anti-phishing con la protezione dall'impersonificazione per gli obiettivi di alto valore, inclusi dirigenti, membri del team finanziario e amministratori IT. Abilita la protezione dall'impersonificazione dei domini per tutti i domini organizzativi e i principali domini partner, impostando l'azione sulla quarantena dei messaggi impersonati. Abilita l'intelligence delle cassette postali e l'intelligence contro lo spoofing con suggerimenti di sicurezza appropriati per avvisare gli utenti dei mittenti potenzialmente impersonati.", "status": "machine-draft" } }, "M365EXO-003": { "name": { "value": "Audit dei criteri anti-malware", "status": "machine-draft" }, "description": { "value": "I criteri anti-malware in Exchange Online analizzano gli allegati delle email alla ricerca di malware noti, virus e contenuti dannosi prima del recapito. Le impostazioni anti-malware predefinite potrebbero non bloccare tutti i tipi di file pericolosi, e alcuni tipi di allegati comunemente usati negli attacchi, come eseguibili e script, potrebbero passare senza essere filtrati. Un criterio anti-malware completo con il filtro dei tipi di allegato comuni è essenziale per impedire il recapito di malware tramite email.", "status": "machine-draft" }, "recommendedValue": { "value": "Filtro dei tipi di allegato comuni abilitato per bloccare i tipi di file eseguibili e di script; eliminazione automatica a ora zero abilitata; notifiche agli amministratori abilitate per il rilevamento del malware", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina il criterio anti-malware e abilita il filtro degli allegati comuni per bloccare i tipi di file pericolosi, inclusi exe, vbs, js, ps1, bat, cmd e altri formati eseguibili. Abilita l'eliminazione automatica a ora zero (ZAP) per rimuovere retroattivamente il malware rilevato nei messaggi già recapitati. Configura le notifiche agli amministratori per avvisare il team di sicurezza quando viene rilevato malware e verifica che il criterio sia applicato a tutti i destinatari dell'organizzazione.", "status": "machine-draft" } }, "M365EXO-004": { "name": { "value": "Criterio Allegati sicuri", "status": "machine-draft" }, "description": { "value": "Allegati sicuri in Microsoft Defender per Office 365 fa detonare gli allegati delle email in un ambiente sandbox per rilevare malware zero-day e minacce avanzate che l'analisi basata sulle firme non è in grado di identificare. Senza Allegati sicuri abilitato, le nuove varianti di malware recapitate come allegati email possono aggirare i filtri anti-malware tradizionali. Questo livello di difesa è fondamentale per le organizzazioni prese di mira da avversari sofisticati che usano malware personalizzato o polimorfico.", "status": "machine-draft" }, "recommendedValue": { "value": "Allegati sicuri abilitato in modalità Recapito dinamico per tutti gli utenti; impostazioni globali abilitate per SharePoint, OneDrive e Teams", "status": "machine-draft" }, "remediationSteps": { "value": "Crea o aggiorna il criterio Allegati sicuri per usare la modalità Recapito dinamico, che recapita immediatamente il corpo dell'email mentre gli allegati vengono analizzati, riducendo al minimo l'impatto sugli utenti pur mantenendo la protezione. Abilita Allegati sicuri per SharePoint, OneDrive e Teams nelle impostazioni globali per estendere la protezione con detonazione dei file oltre l'email. Assegna il criterio a tutti gli utenti e monitora Threat Explorer per i rilevamenti al fine di convalidare l'efficacia del criterio.", "status": "machine-draft" } }, "M365EXO-005": { "name": { "value": "Criterio Collegamenti sicuri", "status": "machine-draft" }, "description": { "value": "Collegamenti sicuri in Microsoft Defender per Office 365 fornisce la verifica degli URL al momento del clic per proteggere gli utenti dai collegamenti dannosi nei messaggi email e nei documenti di Office. Gli aggressori usano comunemente tecniche di phishing differito in cui un URL è innocuo al momento del recapito ma viene modificato per puntare a un sito dannoso dopo che l'email ha superato l'analisi iniziale. Senza Collegamenti sicuri, gli utenti che fanno clic su questi URL resi dannosi dopo il recapito non sono protetti.", "status": "machine-draft" }, "recommendedValue": { "value": "Collegamenti sicuri abilitato per email e app di Office; riscrittura degli URL abilitata; nessun proseguimento del clic verso URL dannosi; analisi in tempo reale abilitata", "status": "machine-draft" }, "remediationSteps": { "value": "Configura un criterio Collegamenti sicuri che si applichi a tutti gli utenti con l'analisi degli URL abilitata per i messaggi email e le applicazioni Microsoft Office. Abilita l'impostazione per impedire agli utenti di proseguire il clic verso URL rilevati come dannosi e attiva l'analisi degli URL in tempo reale per i collegamenti sospetti. Non aggiungere eccezioni URL ampie all'elenco di non riscrittura ed esamina le eccezioni esistenti per assicurarti che siano ancora necessarie e non creino lacune di sicurezza.", "status": "machine-draft" } }, "M365EXO-006": { "name": { "value": "Convalida DKIM/DMARC/SPF", "status": "machine-draft" }, "description": { "value": "DKIM, DMARC e SPF sono protocolli di autenticazione delle email che verificano l'identità del mittente e prevengono lo spoofing dei domini. Senza tutti e tre i protocolli configurati correttamente, gli aggressori possono inviare email che sembrano provenire dal dominio della tua organizzazione, consentendo campagne di phishing altamente convincenti contro dipendenti, clienti e partner. Un'autenticazione delle email completa è una difesa fondamentale contro la compromissione della posta aziendale e l'impersonificazione dei domini.", "status": "machine-draft" }, "recommendedValue": { "value": "Record SPF con -all (hard fail); firma DKIM abilitata per tutti i domini; criterio DMARC impostato su reject o quarantine con report aggregati abilitati", "status": "machine-draft" }, "remediationSteps": { "value": "Verifica che ogni dominio organizzativo disponga di un record SPF valido che termini con -all (hard fail) e includa tutte le origini di invio autorizzate. Abilita la firma DKIM in Exchange Online per tutti i domini personalizzati e pubblica i record CNAME DKIM nel DNS. Pubblica un record DMARC per ogni dominio iniziando con un criterio none per il monitoraggio, quindi passa progressivamente a quarantine e infine a reject una volta confermate le origini di invio legittime, con i report aggregati configurati per una visibilità continua.", "status": "machine-draft" } }, "M365EXO-007": { "name": { "value": "Criterio di inoltro automatico", "status": "machine-draft" }, "description": { "value": "L'inoltro automatico delle email verso indirizzi esterni è una tecnica di esfiltrazione dei dati comune usata dagli aggressori dopo aver compromesso una cassetta postale. Un aggressore può configurare regole di inoltro automatico per copiare silenziosamente tutta la posta in arrivo verso un indirizzo esterno, mantenendo un accesso persistente alle comunicazioni sensibili anche dopo la revoca del suo accesso. Le organizzazioni dovrebbero bloccare l'inoltro automatico esterno per impostazione predefinita e sottoporre ad audit tutte le regole di inoltro esistenti.", "status": "machine-draft" }, "recommendedValue": { "value": "Inoltro automatico esterno bloccato tramite il criterio anti-spam in uscita; regole di inoltro esistenti sottoposte ad audit e approvate", "status": "machine-draft" }, "remediationSteps": { "value": "Configura il criterio di filtro spam in uscita impostando l'inoltro automatico su 'Automatico - Controllato dal sistema' o 'Disattivato' per bloccare l'inoltro automatico esterno a livello di trasporto. Sottoponi ad audit tutte le regole di inoltro delle cassette postali esistenti e le configurazioni di inoltro SMTP per individuare eventuali inoltri esterni non autorizzati che potrebbero indicare una compromissione. Rimuovi tutte le regole di inoltro non approvate e implementa avvisi di monitoraggio per rilevare la creazione di nuove regole di inoltro usando il log di controllo unificato.", "status": "machine-draft" } }, "M365EXO-008": { "name": { "value": "Inventario e analisi delle regole di trasporto", "status": "machine-draft" }, "description": { "value": "Le regole di trasporto di Exchange Online (regole del flusso di posta) elaborano i messaggi email in transito e possono modificare le intestazioni, reindirizzare i messaggi, aggiungere dichiarazioni di non responsabilità o aggirare i controlli di sicurezza. Regole di trasporto dannose o mal configurate possono reindirizzare silenziosamente le email, rimuovere le intestazioni di sicurezza o aggirare il filtro anti-spam per mittenti specifici. Un audit completo di tutte le regole di trasporto è necessario per individuare le regole che potrebbero indebolire la sicurezza o facilitare l'esfiltrazione dei dati.", "status": "machine-draft" }, "recommendedValue": { "value": "Tutte le regole di trasporto documentate con una giustificazione aziendale; nessuna regola che aggiri il filtro anti-spam o i controlli di sicurezza senza approvazione esplicita", "status": "machine-draft" }, "remediationSteps": { "value": "Esporta ed esamina tutte le regole di trasporto di Exchange Online, prestando particolare attenzione alle regole che aggirano il filtro anti-spam, reindirizzano le email verso indirizzi esterni o modificano le intestazioni dei messaggi. Rimuovi o disabilita le regole prive di una giustificazione aziendale documentata o create da account successivamente compromessi o disattivati. Implementa un processo di gestione delle modifiche per la creazione e la modifica delle regole di trasporto e configura avvisi del log di controllo per le modifiche alle regole di trasporto.", "status": "machine-draft" } }, "M365EXO-009": { "name": { "value": "Audit delle cassette postali abilitato", "status": "machine-draft" }, "description": { "value": "L'audit delle cassette postali registra le azioni eseguite sul contenuto delle cassette postali dal proprietario, dai delegati e dagli amministratori, fornendo prove forensi fondamentali durante le indagini di sicurezza. Sebbene l'audit delle cassette postali sia abilitato per impostazione predefinita in Microsoft 365, le organizzazioni potrebbero averlo disabilitato per cassette postali specifiche o potrebbero non aver verificato che le azioni di audit predefinite siano sufficienti. Senza l'audit delle cassette postali, l'accesso non autorizzato alle cassette postali e l'esfiltrazione dei dati non possono essere rilevati né indagati.", "status": "machine-draft" }, "recommendedValue": { "value": "Audit delle cassette postali abilitato per tutte le cassette postali; le azioni di audit predefinite includono MailItemsAccessed, Send e SoftDelete per tutti i tipi di accesso", "status": "machine-draft" }, "remediationSteps": { "value": "Verifica che l'audit delle cassette postali sia abilitato a livello di organizzazione controllando che il parametro AuditDisabled sia impostato su False su tutte le cassette postali. Esamina le azioni sottoposte ad audit per ogni tipo di accesso (Owner, Delegate, Admin) e assicurati che vengano registrate azioni critiche come MailItemsAccessed, Send, SoftDelete, HardDelete e UpdateFolderPermissions. Per le cassette postali con audit disabilitato, riabilita l'audit e indaga sul motivo della disabilitazione per escludere manomissioni dannose.", "status": "machine-draft" } }, "M365EXO-010": { "name": { "value": "Avvisi per mittenti esterni", "status": "machine-draft" }, "description": { "value": "L'identificazione dei mittenti esterni aiuta gli utenti a riconoscere quando un'email proviene dall'esterno dell'organizzazione, riducendo l'efficacia degli attacchi di impersonificazione e di ingegneria sociale. Senza indicatori visibili dei mittenti esterni, gli utenti potrebbero non distinguere tra colleghi interni e mittenti esterni che falsificano i nomi visualizzati interni. La configurazione di tag per mittenti esterni o suggerimenti posta fornisce un segnale visivo che invita gli utenti a prestare maggiore cautela.", "status": "machine-draft" }, "recommendedValue": { "value": "Tag per mittente esterno o suggerimento posta abilitato per identificare visivamente le email provenienti da mittenti esterni", "status": "machine-draft" }, "remediationSteps": { "value": "Abilita la funzionalità di identificazione dei mittenti esterni nel criterio anti-phishing di Exchange Online per visualizzare un indicatore visivo sulle email provenienti da mittenti esterni. Valuta l'implementazione di una regola di trasporto che anteponga '[External]' alla riga dell'oggetto delle email in entrata provenienti dall'esterno dell'organizzazione come ulteriore avviso visivo. Comunica la modifica agli utenti finali e fornisci indicazioni su come identificare e rispondere alle email esterne sospette.", "status": "machine-draft" } }, "M365EXO-011": { "name": { "value": "Audit OAuth/SMTP AUTH per cassetta postale", "status": "machine-draft" }, "description": { "value": "I protocolli di autenticazione legacy come SMTP AUTH consentono l'autenticazione alla cassetta postale usando solo nome utente e password, aggirando l'autenticazione a più fattori e i controlli di Accesso condizionale. Gli aggressori che ottengono le credenziali di una cassetta postale tramite phishing o password spraying possono usare SMTP AUTH per accedere alla posta senza attivare le richieste MFA. La disabilitazione di SMTP AUTH e dei flussi OAuth legacy sulle cassette postali che non li richiedono chiude un significativo vettore di elusione dell'autenticazione.", "status": "machine-draft" }, "recommendedValue": { "value": "SMTP AUTH disabilitato a livello di organizzazione con eccezioni per singola cassetta postale solo per account di servizio documentati; OAuth legacy disabilitato", "status": "machine-draft" }, "remediationSteps": { "value": "Disabilita SMTP AUTH a livello di organizzazione usando Set-TransportConfig, quindi abilitalo selettivamente solo per le cassette postali degli account di servizio specifici che lo richiedono per l'integrazione applicativa. Sottoponi ad audit tutte le cassette postali con SMTP AUTH abilitato per verificare che esista una giustificazione aziendale documentata e che le credenziali siano gestite in modo sicuro. Monitora i log di accesso per l'uso di SMTP AUTH al fine di rilevare potenziali abusi di credenziali e pianifica la migrazione delle applicazioni legacy verso metodi di autenticazione moderni.", "status": "machine-draft" } }, "M365EXO-012": { "name": { "value": "Impostazione di inoltro automatico dei domini remoti", "status": "machine-draft" }, "description": { "value": "Le impostazioni dei domini remoti in Exchange Online controllano la formattazione dei messaggi e il recapito delle risposte automatiche verso i domini esterni, incluso se l'inoltro automatico è consentito per dominio. Il dominio remoto predefinito (*) potrebbe essere configurato per consentire l'inoltro automatico, sostituendo il criterio anti-spam in uscita e abilitando l'esfiltrazione dei dati tramite regole di inoltro delle cassette postali. Questa impostazione deve essere sottoposta ad audit in modo indipendente dal filtro anti-spam in uscita per garantire controlli coerenti sull'inoltro esterno.", "status": "machine-draft" }, "recommendedValue": { "value": "Inoltro automatico disabilitato sul dominio remoto predefinito (*) e su tutti i domini remoti personalizzati, salvo quando esplicitamente richiesto", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina la configurazione del dominio remoto predefinito (*) e imposta AutoForwardEnabled su False per impedire l'inoltro automatico verso tutti i domini esterni. Sottoponi ad audit tutte le voci dei domini remoti personalizzati e disabilita l'inoltro automatico a meno che non esista un requisito aziendale documentato per un dominio partner specifico. Verifica che le impostazioni dei domini remoti siano allineate alla configurazione di inoltro automatico del criterio anti-spam in uscita per garantire un'applicazione coerente su entrambi i livelli di controllo.", "status": "machine-draft" } }, "M365EXO-013": { "name": { "value": "Inoltro automatico verso domini esterni disabilitato (MS.EXO.1.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.1.1 richiede che l'inoltro automatico verso domini esterni sia disabilitato. La configurazione dei domini remoti in Exchange Online determina se la posta può essere inoltrata automaticamente al di fuori del tenant. Quando il dominio remoto predefinito (*) consente l'inoltro automatico, una cassetta postale compromessa può esfiltrare silenziosamente tutta la posta in arrivo verso un indirizzo esterno controllato dall'aggressore, mantenendo l'accesso anche dopo la reimpostazione delle credenziali.", "status": "machine-draft" }, "recommendedValue": { "value": "AutoForwardEnabled impostato su False sul dominio remoto predefinito (*) e su ogni dominio remoto personalizzato, salvo un'integrazione partner specifica documentata", "status": "machine-draft" }, "remediationSteps": { "value": "Nell'interfaccia di amministrazione di Exchange, in Flusso di posta, apri Domini remoti e modifica la voce Predefinito (*) in modo che l'inoltro automatico non sia consentito (AutoForwardEnabled = False). Ripeti per ogni dominio remoto personalizzato che non abbia un'esigenza aziendale documentata di inoltro automatico tra tenant. Conferma che l'impostazione di inoltro automatico del criterio anti-spam in uscita sia coerente, in modo che entrambi i livelli di controllo applichino la stessa restrizione.", "status": "machine-draft" } }, "M365EXO-014": { "name": { "value": "Elenco degli IP di invio approvati mantenuto (MS.EXO.2.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.2.1 richiede che venga mantenuto un elenco di indirizzi IP approvati per l'invio della posta, che costituisce la base di un record SPF accurato. L'elenco dei mittenti approvati è l'input autorevole che determina quali host possono inviare legittimamente posta per ciascun dominio. Senza un elenco mantenuto, un criterio SPF non può essere definito correttamente e finisce per non bloccare gli spoofer oppure per bloccare i mittenti legittimi.", "status": "machine-draft" }, "recommendedValue": { "value": "Un elenco documentato e aggiornato di tutte le origini di invio approvate per dominio (l'include di Exchange Online più eventuali mittenti di terze parti), riflesso nel record SPF pubblicato", "status": "machine-draft" }, "remediationSteps": { "value": "Effettua l'inventario di ogni sistema che invia legittimamente email per conto di ciascun dominio accettato, inclusi Exchange Online (spf.protection.outlook.com), piattaforme di marketing, sistemi di ticketing e relay locali. Registra questo elenco di mittenti approvati come fonte di verità e assicurati che il record SPF pubblicato faccia riferimento esattamente a tali origini. Rivedi l'elenco ogni volta che un nuovo servizio di invio viene attivato o dismesso, in modo che il record SPF rimanga accurato.", "status": "machine-draft" } }, "M365EXO-015": { "name": { "value": "Criterio SPF pubblicato per ogni dominio (MS.EXO.2.2)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.2.2 richiede che venga pubblicato un criterio SPF per ogni dominio, designando come mittenti solo gli indirizzi approvati e respingendo tutti gli altri. SPF viene pubblicato come record TXT del DNS anziché come impostazione di Exchange Online. Un record SPF mancante, o uno che termina con +all o ?all, consente agli avversari di falsificare il campo FROM della posta che sembra provenire dall'organizzazione, abilitando un phishing convincente.", "status": "machine-draft" }, "recommendedValue": { "value": "Un unico record TXT SPF per dominio che elenca tutti i mittenti approvati e termina con -all (hard fail)", "status": "machine-draft" }, "remediationSteps": { "value": "Pubblica un unico record TXT SPF per ogni dominio accettato che elenchi tutte le origini di invio approvate e termini con -all per respingere in modo rigoroso i mittenti non autorizzati. Rimuovi eventuali record SPF duplicati, che violano l'RFC 7208 e causano il fallimento della convalida. Evita +all e ?all, che neutralizzano l'applicazione di SPF, e convalida il record con una ricerca DNS dopo la pubblicazione.", "status": "machine-draft" } }, "M365EXO-016": { "name": { "value": "DKIM abilitato per tutti i domini (MS.EXO.3.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.3.1 raccomanda che DKIM sia abilitato per tutti i domini. DKIM aggiunge una firma crittografica all'intestazione del messaggio in modo che i destinatari possano verificare l'integrità e l'autenticità del messaggio. Senza DKIM, i destinatari hanno un segnale in meno per rilevare la posta falsificata e l'allineamento DMARC non può basarsi su DKIM, indebolendo l'autenticazione complessiva delle email.", "status": "machine-draft" }, "recommendedValue": { "value": "Firma DKIM abilitata per ogni dominio personalizzato con i corrispondenti record CNAME dei selettori pubblicati nel DNS", "status": "machine-draft" }, "remediationSteps": { "value": "Abilita la firma DKIM in Exchange Online per ogni dominio personalizzato e pubblica i due record CNAME dei selettori generati dal servizio nel DNS del dominio. Verifica che la configurazione di firma riporti lo stato Abilitato una volta propagati i record CNAME. Ruota periodicamente le chiavi e conferma che i domini appena aggiunti abbiano DKIM abilitato come parte dell'attivazione del dominio.", "status": "machine-draft" } }, "M365EXO-017": { "name": { "value": "Criterio DMARC pubblicato per ogni dominio (MS.EXO.4.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.4.1 richiede che venga pubblicato un criterio DMARC per ogni dominio di secondo livello. DMARC è un record TXT del DNS in _dmarc.<dominio> che indica ai destinatari come gestire la posta che non supera SPF e DKIM e dove inviare i report. Senza un record DMARC, i destinatari gestiscono in modo incoerente gli errori di autenticazione, consentendo alla posta falsificata di raggiungere le cassette postali.", "status": "machine-draft" }, "recommendedValue": { "value": "Un record TXT DMARC pubblicato in _dmarc per ogni dominio di secondo livello", "status": "machine-draft" }, "remediationSteps": { "value": "Pubblica un record TXT DMARC in _dmarc.<dominio> per ogni dominio di secondo livello; un record al dominio di secondo livello protegge i suoi sottodomini. Inizia con p=none per raccogliere i report aggregati senza incidere sul recapito, verifica che le origini legittime si allineino tramite SPF o DKIM, quindi aumenta il livello di applicazione. Conferma che il record venga risolto correttamente tramite una ricerca DNS.", "status": "machine-draft" } }, "M365EXO-018": { "name": { "value": "Applicazione DMARC impostata su p=reject (MS.EXO.4.2)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.4.2 richiede che l'opzione di rifiuto dei messaggi DMARC sia impostata su p=reject. Dei tre valori di criterio (none, quarantine, reject), reject offre la protezione più forte istruendo i destinatari a scartare del tutto la posta non autenticata. Un criterio none o quarantine lascia una finestra affinché la posta falsificata raggiunga o si avvicini alle cassette postali degli utenti.", "status": "machine-draft" }, "recommendedValue": { "value": "Il record DMARC di ogni dominio contiene p=reject", "status": "machine-draft" }, "remediationSteps": { "value": "Dopo aver confermato che tutti i mittenti legittimi superano l'allineamento SPF o DKIM in fase di monitoraggio, aggiorna il record DMARC di ogni dominio a p=reject in modo che i destinatari scartino la posta che non supera l'autenticazione. Passa prima attraverso p=none e p=quarantine per evitare di interrompere la posta legittima. Continua a monitorare i report aggregati dopo aver applicato reject per intercettare eventuali mittenti appena attivati e non ancora allineati.", "status": "machine-draft" } }, "M365EXO-019": { "name": { "value": "Contatto per i report aggregati DMARC configurato (MS.EXO.4.3)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.4.3 richiede che il contatto per i report aggregati DMARC (RUA) includa reports@dmarc.cyber.dhs.gov per le agenzie federali del ramo esecutivo e, più in generale, che sia configurata una destinazione per i report aggregati. I report aggregati offrono ai proprietari dei domini visibilità su chi invia posta come loro dominio, il che è essenziale per passare in sicurezza a p=reject e per rilevare le campagne di spoofing.", "status": "machine-draft" }, "recommendedValue": { "value": "Il record DMARC include una destinazione rua= per i report aggregati; le agenzie federali del ramo esecutivo includono reports@dmarc.cyber.dhs.gov", "status": "machine-draft" }, "remediationSteps": { "value": "Aggiungi un tag rua= a ogni record DMARC che punti a una cassetta postale monitorata o a un servizio di elaborazione dei report, in modo che i report aggregati vengano raccolti ed esaminati. I dipartimenti e le agenzie federali del ramo esecutivo devono includere reports@dmarc.cyber.dhs.gov nel campo RUA come previsto dalla BOD 18-01. Assicurati che la cassetta postale o il servizio ricevente sia monitorato attivamente, in modo che le tendenze di spoofing vengano affrontate.", "status": "machine-draft" } }, "M365EXO-020": { "name": { "value": "SMTP AUTH disabilitato a livello di organizzazione (MS.EXO.5.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.5.1 richiede che SMTP AUTH sia disabilitato. SMTP AUTH è un protocollo di invio legacy che si autentica con nome utente e password e non può imporre l'autenticazione a più fattori. Lasciarlo abilitato come impostazione predefinita del tenant offre agli aggressori un percorso per inviare posta usando credenziali rubate, aggirando MFA e Accesso condizionale.", "status": "machine-draft" }, "recommendedValue": { "value": "SMTP AUTH disabilitato come impostazione predefinita dell'organizzazione (SmtpClientAuthenticationDisabled = True), con eccezioni per singola cassetta postale solo per account di servizio documentati", "status": "machine-draft" }, "remediationSteps": { "value": "Disabilita SMTP AUTH come impostazione predefinita globale impostando SmtpClientAuthenticationDisabled su True nella configurazione di trasporto. Laddove un account di servizio specifico richieda realmente SMTP AUTH, abilitalo solo su quella singola cassetta postale e documenta la giustificazione. Monitora la telemetria degli accessi per l'uso di SMTP AUTH e migra le applicazioni legacy all'autenticazione moderna.", "status": "machine-draft" } }, "M365EXO-021": { "name": { "value": "Condivisione delle cartelle Contatti non aperta a tutti i domini (MS.EXO.6.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.6.1 richiede che le cartelle Contatti non siano condivise con tutti i domini. I criteri di condivisione di Exchange Online possono allentare la restrizione predefinita sulla condivisione dei contatti verso l'esterno. Un criterio che condivide i contatti con tutti i domini (una voce di dominio '*') espone ampiamente i dati di directory e dei contatti, creando una via di esfiltrazione dei dati e facilitando la ricognizione per l'ingegneria sociale.", "status": "machine-draft" }, "recommendedValue": { "value": "Nessuna regola del criterio di condivisione concede la condivisione dei contatti al dominio jolly (*); condivisione limitata solo a domini approvati specifici", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina ogni criterio di condivisione di Exchange Online e rimuovi qualsiasi regola che condivida le cartelle Contatti con il dominio jolly (*). Laddove la condivisione dei contatti esterni sia realmente necessaria, limitala a domini partner specifici con nome anziché a tutti i domini. Verifica che il criterio di condivisione predefinito non riabiliti silenziosamente la condivisione dei contatti verso tutti i domini.", "status": "machine-draft" } }, "M365EXO-022": { "name": { "value": "Condivisione dei dettagli del calendario non aperta a tutti i domini (MS.EXO.6.2)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.6.2 richiede che i dettagli del calendario non siano condivisi con tutti i domini. I criteri di condivisione possono consentire la condivisione dei dettagli del calendario verso l'esterno; una regola che copre il dominio jolly (*) espone oggetti delle riunioni, sedi e informazioni sui partecipanti a qualsiasi parte esterna. Questo divulga l'attività organizzativa favorendo il phishing mirato e la ricognizione fisica.", "status": "machine-draft" }, "recommendedValue": { "value": "Nessuna regola del criterio di condivisione concede la condivisione dei dettagli del calendario (CalendarSharing*) al dominio jolly (*); condivisione limitata a domini approvati specifici, idealmente solo disponibilità/non disponibilità", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina ogni criterio di condivisione di Exchange Online e rimuovi qualsiasi regola che condivida i dettagli del calendario con il dominio jolly (*). Se la condivisione del calendario esterno è necessaria, limitala a domini specifici con nome e preferisci i livelli di sola disponibilità/non disponibilità rispetto ai dettagli completi. Conferma che il criterio di condivisione predefinito non esponga i dettagli del calendario a tutti i domini.", "status": "machine-draft" } }, "M365EXO-023": { "name": { "value": "Avviso per mittente esterno implementato (MS.EXO.7.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.7.1 richiede che vengano implementati gli avvisi per i mittenti esterni. Contrassegnare la posta che proviene dall'esterno dell'organizzazione aiuta gli utenti a riconoscere i tentativi di impersonificazione e di ingegneria sociale. Ciò può essere realizzato tramite il tag nativo per mittenti esterni (Set-ExternalInOutlook) o una regola del flusso di posta che antepone un indicatore come [External] all'oggetto della posta esterna in entrata.", "status": "machine-draft" }, "recommendedValue": { "value": "Identificazione nativa del mittente esterno abilitata (Get-ExternalInOutlook Enabled = True) o una regola del flusso di posta che antepone un contrassegno esterno alla posta esterna in entrata", "status": "machine-draft" }, "remediationSteps": { "value": "Abilita la funzionalità nativa di identificazione dei mittenti esterni in modo che Outlook visualizzi un tag External sulla posta proveniente dall'esterno dell'organizzazione. In alternativa, o in aggiunta, crea una regola del flusso di posta abilitata che anteponga un contrassegno come [External] all'oggetto della posta ricevuta dall'esterno dell'organizzazione. Comunica la modifica agli utenti affinché comprendano il significato dell'indicatore.", "status": "machine-draft" } }, "M365EXO-024": { "name": { "value": "Soluzione di prevenzione della perdita dei dati in uso (MS.EXO.8.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.8.1 richiede che venga utilizzata una soluzione DLP, che offra servizi paragonabili alla soluzione Microsoft nativa. La DLP rileva le informazioni sensibili nella posta di Exchange Online e ne previene la divulgazione non autorizzata. Senza DLP, gli utenti possono inavvertitamente o intenzionalmente inviare dati sensibili al di fuori dell'organizzazione senza alcun rilevamento o blocco automatico.", "status": "machine-draft" }, "recommendedValue": { "value": "Almeno un criterio DLP attivo con ambito sul carico di lavoro di Exchange Online", "status": "machine-draft" }, "remediationSteps": { "value": "Distribuisci una soluzione DLP che copra il carico di lavoro della posta di Exchange Online e conferma che almeno un criterio sia abilitato e applicato. Se usi la funzionalità DLP nativa di Microsoft, crea un criterio nel portale di conformità con ambito sull'email di Exchange. Verifica che il criterio sia in modalità di applicazione anziché solo di test, in modo che le divulgazioni vengano effettivamente bloccate.", "status": "machine-draft" } }, "M365EXO-025": { "name": { "value": "La DLP protegge le PII e i tipi di dati sensibili (MS.EXO.8.2)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.8.2 richiede che la soluzione DLP protegga le PII e le informazioni sensibili, limitando come minimo la condivisione tramite email di numeri di carta di credito, codici fiscali del contribuente e numeri di previdenza sociale. Una soluzione DLP esistente ma che non rileva questi identificatori di alto valore non previene le classi più dannose di divulgazione involontaria.", "status": "machine-draft" }, "recommendedValue": { "value": "Il criterio DLP include tipi di informazioni sensibili che coprono numeri di carta di credito, TIN e SSN con un'azione di limitazione/blocco per l'email", "status": "machine-draft" }, "remediationSteps": { "value": "Configura il criterio DLP che copre Exchange Online per rilevare i tipi di informazioni sensibili relativi a numeri di carta di credito, codici fiscali del contribuente e numeri di previdenza sociale, oltre a eventuali altre PII definite dall'agenzia. Imposta l'azione della regola per bloccare o limitare la posta in uscita contenente questi identificatori. Esegui test con dati di esempio per confermare il rilevamento e la generazione di notifiche agli utenti e report sugli incidenti.", "status": "machine-draft" } }, "M365EXO-026": { "name": { "value": "Email filtrate per tipo di file allegato (MS.EXO.9.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.9.1 richiede che le email siano filtrate per tipo di file allegato, in modo paragonabile al filtro degli allegati comuni. Molti payload di malware arrivano come allegati da eseguire con un clic. Il filtro della posta in entrata per tipo di allegato blocca le classi di file pericolosi prima che raggiungano gli utenti, riducendo la probabilità di un'esecuzione accidentale.", "status": "machine-draft" }, "recommendedValue": { "value": "Un criterio anti-malware con il filtro dei tipi di allegato comuni abilitato (EnableFileFilter = True)", "status": "machine-draft" }, "remediationSteps": { "value": "Abilita il filtro degli allegati comuni sul criterio anti-malware in modo che la posta in entrata sia filtrata per tipo di file allegato. Conferma che il criterio sia applicato a tutti i destinatari e non limitato a un sottoinsieme. Laddove un gateway di terze parti paragonabile fornisca questo filtro, verifica che sia abilitato e copra le stesse classi di file pericolosi.", "status": "machine-draft" } }, "M365EXO-027": { "name": { "value": "Il filtro degli allegati valuta il tipo di file reale (MS.EXO.9.2)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.9.2 raccomanda che il filtro degli allegati tenti di determinare il tipo di file reale e valuti l'estensione del file. Gli aggressori rinominano i file per mascherare i tipi pericolosi (ad esempio, rinominando un eseguibile in .txt). Il rilevamento del tipo reale intercetta le discrepanze in cui l'estensione non corrisponde al contenuto effettivo del file, chiudendo una comune tecnica di elusione.", "status": "machine-draft" }, "recommendedValue": { "value": "Filtro degli allegati configurato per ispezionare il tipo di file reale anziché basarsi solo sull'estensione del file", "status": "machine-draft" }, "remediationSteps": { "value": "Assicurati che la soluzione di filtro degli allegati ispezioni il contenuto effettivo del file per determinarne il tipo reale anziché fidarsi dell'estensione del file. Nella soluzione nativa ciò è fornito dal rilevamento del tipo del filtro degli allegati comuni; verifica che sia abilitato. Per i gateway di terze parti, conferma che sia configurata l'ispezione basata sul tipo reale o sul contenuto, in modo che i file pericolosi rinominati vengano comunque intercettati.", "status": "machine-draft" } }, "M365EXO-028": { "name": { "value": "Tipi di file allegato non consentiti impostati (MS.EXO.9.3)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.9.3 richiede che i tipi di file non consentiti siano determinati e impostati, bloccando come minimo i file da eseguire con un clic come .exe, .cmd e .vbe. Un filtro degli allegati abilitato ma con un elenco di blocco vuoto o insufficiente non fornisce alcuna protezione reale. L'organizzazione deve definire e mantenere l'elenco delle estensioni bloccate in linea con la propria tolleranza al rischio.", "status": "machine-draft" }, "recommendedValue": { "value": "Elenco di blocco del filtro degli allegati popolato con tipi eseguibili/da eseguire con un clic, inclusi almeno exe, cmd, vbe, vbs, js, ps1, bat", "status": "machine-draft" }, "remediationSteps": { "value": "Popola l'elenco di blocco del filtro degli allegati con i tipi di file che l'organizzazione non accetterà via email, assicurandoti che siano inclusi almeno gli eseguibili da eseguire con un clic come exe, cmd, vbe, vbs, js, ps1 e bat. Rivedi l'elenco rispetto alle tendenze attuali delle minacce e alla tolleranza al rischio dell'organizzazione. Verifica che l'elenco non sia vuoto e sia applicato a tutti i destinatari.", "status": "machine-draft" } }, "M365EXO-029": { "name": { "value": "Email analizzate per il malware (MS.EXO.10.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.10.1 richiede che le email siano analizzate per il malware. L'email è un canale principale di recapito del malware; l'analisi della posta in entrata rileva i contenuti dannosi noti prima che raggiungano gli utenti. Un'organizzazione senza un criterio anti-malware attivo lascia gli utenti direttamente esposti agli allegati carichi di malware.", "status": "machine-draft" }, "recommendedValue": { "value": "Almeno un criterio anti-malware attivo applicato a tutti i destinatari", "status": "machine-draft" }, "remediationSteps": { "value": "Conferma che almeno un criterio anti-malware sia attivo e applicato a tutti i destinatari, in modo che la posta in entrata sia analizzata per il malware. Se usi una soluzione di terze parti paragonabile, verifica che sia abilitata e copra tutta la posta in entrata. Esamina periodicamente la telemetria dei rilevamenti per confermare che l'analisi funzioni.", "status": "machine-draft" } }, "M365EXO-030": { "name": { "value": "Email con malware messe in quarantena o scartate (MS.EXO.10.2)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.10.2 richiede che le email identificate come contenenti malware siano messe in quarantena o scartate. Il solo rilevamento è insufficiente se il messaggio dannoso viene comunque recapitato. Il criterio anti-malware deve intraprendere un'azione di rimozione, in modo che gli utenti non possano interagire con i messaggi rilevati come contenenti malware.", "status": "machine-draft" }, "recommendedValue": { "value": "L'azione del criterio anti-malware mette in quarantena o scarta i messaggi identificati come malware (nessuna azione di recapito con avviso)", "status": "machine-draft" }, "remediationSteps": { "value": "Configura il criterio anti-malware in modo che i messaggi identificati come contenenti malware siano messi in quarantena o scartati anziché recapitati. Verifica che nessun criterio sia impostato per recapitare i messaggi positivi al malware con un semplice avviso. Conferma che le notifiche agli amministratori siano abilitate, in modo che il team di sicurezza venga avvisato dei rilevamenti.", "status": "machine-draft" } }, "M365EXO-031": { "name": { "value": "Analisi del malware post-recapito abilitata (MS.EXO.10.3)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.10.3 richiede che l'analisi delle email sia in grado di riesaminare le email dopo il recapito. Le firme del malware si aggiornano continuamente, quindi un messaggio innocuo al momento del recapito potrebbe essere successivamente riconosciuto come dannoso. L'eliminazione automatica a ora zero (ZAP) rimuove retroattivamente tali messaggi dalle cassette postali, riducendo la finestra di esposizione.", "status": "machine-draft" }, "recommendedValue": { "value": "Eliminazione automatica a ora zero (ZAP) abilitata su tutti i criteri anti-malware (ZapEnabled = True)", "status": "machine-draft" }, "remediationSteps": { "value": "Abilita l'eliminazione automatica a ora zero (ZAP) su ogni criterio anti-malware, in modo che i messaggi identificati successivamente come malware vengano rimossi dalle cassette postali dopo il recapito. Conferma che ZAP sia abilitato su tutti i criteri, non solo su quello predefinito. Laddove sia in uso una soluzione di terze parti paragonabile, verifica che fornisca una correzione post-recapito equivalente.", "status": "machine-draft" } }, "M365EXO-032": { "name": { "value": "Controlli di protezione dall'impersonificazione abilitati (MS.EXO.11.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.11.1 raccomanda l'uso dei controlli di protezione dall'impersonificazione. La protezione dall'impersonificazione confronta gli indirizzi dei mittenti con utenti e domini noti per segnalare gli indirizzi simili (ad esempio, exmple.com rispetto a example.com). Senza di essa, gli utenti devono distinguere manualmente indirizzi di mittenti quasi identici, il che è inaffidabile e aumenta il successo del phishing.", "status": "machine-draft" }, "recommendedValue": { "value": "Un criterio anti-phishing con protezione dall'impersonificazione di utenti e/o domini abilitata e applicata agli obiettivi di alto valore", "status": "machine-draft" }, "remediationSteps": { "value": "Abilita la protezione dall'impersonificazione di utenti e domini in un criterio anti-phishing e applicala agli obiettivi di alto valore come dirigenti, finanza e IT, oltre ai domini organizzativi e ai principali domini partner. Imposta l'azione per i messaggi impersonati sulla quarantena. Nota che la protezione dall'impersonificazione richiede un piano Defender per Office 365; se non disponibile, valuta una funzionalità di terze parti paragonabile.", "status": "machine-draft" } }, "M365EXO-033": { "name": { "value": "Suggerimenti/avvisi di sicurezza per l'utente visualizzati (MS.EXO.11.2)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.11.2 raccomanda che vengano visualizzati avvisi per l'utente paragonabili ai suggerimenti di sicurezza EOP. I suggerimenti di sicurezza mostrano segnali automatizzati (caratteri insoliti nell'indirizzo FROM, mittenti al primo contatto) direttamente nel client, invitando alla cautela nel momento del rischio. Ciò alleggerisce il lavoro di rilevamento a carico degli utenti e riduce il successo del phishing.", "status": "machine-draft" }, "recommendedValue": { "value": "Un criterio anti-phishing con i suggerimenti di sicurezza al primo contatto e i suggerimenti di sicurezza contro spoofing/impersonificazione abilitati", "status": "machine-draft" }, "remediationSteps": { "value": "Abilita le opzioni dei suggerimenti di sicurezza nel criterio anti-phishing, inclusi i suggerimenti di sicurezza al primo contatto e i suggerimenti di sicurezza contro spoofing e impersonificazione, in modo che gli utenti ricevano avvisi nel client. Applica il criterio a tutti gli utenti. Laddove sia in uso una soluzione di terze parti paragonabile, conferma che presenti avvisi equivalenti rivolti ai destinatari.", "status": "machine-draft" } }, "M365EXO-034": { "name": { "value": "Rilevamento del phishing basato su IA in uso (MS.EXO.11.3)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.11.3 raccomanda uno strumento di rilevamento del phishing basato su IA paragonabile all'intelligence delle cassette postali EOP. L'intelligence delle cassette postali costruisce un modello dei normali corrispondenti di un utente per rilevare i mittenti anomali che i filtri basati su regole non intercettano. Senza un livello basato su IA, il phishing nuovo o altamente mirato ha maggiori probabilità di eludere il rilevamento.", "status": "machine-draft" }, "recommendedValue": { "value": "Un criterio anti-phishing con l'intelligence delle cassette postali abilitata (EnableMailboxIntelligence = True) e l'azione di protezione configurata", "status": "machine-draft" }, "remediationSteps": { "value": "Abilita l'intelligence delle cassette postali nel criterio anti-phishing e configura l'azione di protezione dell'intelligence delle cassette postali per gestire le impersonificazioni rilevate. Applica il criterio a tutti gli utenti. L'intelligence delle cassette postali richiede un piano Defender per Office 365; laddove non disponibile, valuta una funzionalità di terze parti paragonabile di rilevamento del phishing basata su IA.", "status": "machine-draft" } }, "M365EXO-035": { "name": { "value": "Nessun elenco di indirizzi IP consentiti nel filtro di connessione (MS.EXO.12.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.12.1 raccomanda che non vengano creati elenchi di indirizzi IP consentiti. Gli indirizzi nell'elenco consentiti del filtro di connessione aggirano il filtro anti-spam, SPF, DKIM, DMARC e l'applicazione dell'indirizzo FROM. Qualsiasi voce in questo elenco è una falla attraverso la quale un aggressore in grado di inviare da tale indirizzo può recapitare posta che salta tutti i controlli di sicurezza in entrata.", "status": "machine-draft" }, "recommendedValue": { "value": "IPAllowList del criterio di filtro di connessione vuoto per tutti i criteri", "status": "machine-draft" }, "remediationSteps": { "value": "Modifica il criterio di filtro di connessione e rimuovi tutte le voci dall'elenco degli indirizzi IP consentiti, in modo che nessun mittente aggiri il filtro anti-spam e i controlli di autenticazione. Se un mittente deve essere consentito per evitare falsi positivi, preferisci una voce di mittente consentito con ambito ristretto rispetto a un elenco di IP consentiti. Verifica che nessun criterio di filtro di connessione personalizzato reintroduca voci nell'elenco consentiti.", "status": "machine-draft" } }, "M365EXO-036": { "name": { "value": "Elenco sicuro del filtro di connessione disabilitato (MS.EXO.12.2)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.12.2 raccomanda che gli elenchi sicuri non siano abilitati. L'elenco sicuro del filtro di connessione è un elenco dinamico, di provenienza da terze parti, di mittenti 'attendibili' la cui posta aggira il filtro anti-spam e l'autenticazione del mittente. Poiché l'elenco è curato esternamente, abilitarlo cede una decisione di elusione della sicurezza a una fonte che l'organizzazione non controlla.", "status": "machine-draft" }, "recommendedValue": { "value": "EnableSafeList del criterio di filtro di connessione impostato su False per tutti i criteri", "status": "machine-draft" }, "remediationSteps": { "value": "Modifica il criterio di filtro di connessione e assicurati che l'opzione dell'elenco sicuro sia disattivata (EnableSafeList = False), in modo che i mittenti 'attendibili' di provenienza esterna non aggirino i controlli anti-spam e di autenticazione. Verifica l'impostazione sul criterio di filtro di connessione predefinito e su quelli personalizzati. È comunque possibile usare un elenco di IP bloccati del filtro di connessione per bloccare i mittenti dannosi noti.", "status": "machine-draft" } }, "M365EXO-037": { "name": { "value": "Audit delle cassette postali abilitato a livello di organizzazione (MS.EXO.13.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.13.1 richiede che l'audit delle cassette postali sia abilitato. L'audit delle cassette postali registra le azioni eseguite sul contenuto delle cassette postali da proprietari, delegati e amministratori, fornendo prove forensi essenziali per indagare sulle compromissioni. Sebbene sia abilitato per impostazione predefinita, questo controllo protegge da una disabilitazione involontaria o dannosa a livello di organizzazione.", "status": "machine-draft" }, "recommendedValue": { "value": "AuditDisabled dell'organizzazione = False, in modo che l'audit delle cassette postali sia abilitato a livello di tenant", "status": "machine-draft" }, "remediationSteps": { "value": "Verifica che l'audit delle cassette postali sia abilitato a livello di organizzazione confermando che AuditDisabled sia False nella configurazione dell'organizzazione. Se l'audit è disabilitato, riabilitalo e indaga sul motivo della disattivazione per escludere manomissioni. Conferma che le azioni sottoposte ad audit predefinite coprano MailItemsAccessed, Send, SoftDelete e HardDelete per tutti i tipi di accesso.", "status": "machine-draft" } }, "M365EXO-038": { "name": { "value": "Filtro anti-spam in entrata abilitato (MS.EXO.14.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.14.1 richiede che sia abilitato un filtro anti-spam, paragonabile al filtro anti-spam nativo. Lo spam intasa le cassette postali, riduce la produttività e spesso trasporta collegamenti o allegati dannosi. Un'organizzazione senza un criterio anti-spam in entrata attivo lascia gli utenti esposti all'intero volume di posta indesiderata e potenzialmente dannosa.", "status": "machine-draft" }, "recommendedValue": { "value": "Almeno un criterio di filtro dei contenuti ospitato (anti-spam) attivo applicato a tutti i destinatari", "status": "machine-draft" }, "remediationSteps": { "value": "Conferma che almeno un criterio anti-spam in entrata (filtro dei contenuti ospitato) sia attivo e applicato a tutti i destinatari. Se usi un gateway di terze parti paragonabile, verifica che sia abilitato per tutta la posta in entrata. Rivedi le soglie delle azioni anti-spam per assicurarti che i mittenti massivi e di spam aggressivi vengano filtrati.", "status": "machine-draft" } }, "M365EXO-039": { "name": { "value": "Spam instradato nella posta indesiderata o in quarantena (MS.EXO.14.2)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.14.2 richiede che lo spam e lo spam ad alta attendibilità siano spostati nella cartella posta indesiderata o in quarantena. Recapitare lo spam nella posta in arrivo vanifica lo scopo del filtro e aumenta l'esposizione ai contenuti dannosi. Le azioni del criterio anti-spam devono instradare lo spam rilevato lontano dalla posta in arrivo pur consentendo all'utente di esaminare i falsi positivi.", "status": "machine-draft" }, "recommendedValue": { "value": "SpamAction e HighConfidenceSpamAction impostate su MoveToJmf (posta indesiderata) o Quarantine; mai impostate sul recapito nella posta in arrivo", "status": "machine-draft" }, "remediationSteps": { "value": "Configura il criterio anti-spam in modo che le azioni per lo spam e lo spam ad alta attendibilità spostino i messaggi nella cartella posta indesiderata o in quarantena anziché recapitarli nella posta in arrivo. Verifica che nessuna delle due azioni sia impostata per aggiungere un'intestazione e recapitare. Conferma che il criterio si applichi a tutti i destinatari, in modo che l'instradamento dello spam sia coerente.", "status": "machine-draft" } }, "M365EXO-040": { "name": { "value": "Nessun dominio consentito nel criterio anti-spam (MS.EXO.14.3)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.14.3 richiede che non vengano aggiunti domini consentiti ai criteri anti-spam in entrata. Consentire un intero dominio permette a ogni mittente di quel dominio di aggirare le protezioni anti-spam, e i domini comuni possono essere falsificati per abusare dell'eccezione. I singoli mittenti consentiti sono accettabili, ma le voci di consentimento a livello di dominio creano un'ampia elusione.", "status": "machine-draft" }, "recommendedValue": { "value": "AllowedSenderDomains vuoto su tutti i criteri anti-spam (filtro dei contenuti ospitato)", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina ogni criterio anti-spam e rimuovi tutte le voci dall'elenco dei domini mittenti consentiti. Laddove sia necessario gestire i falsi positivi, aggiungi mittenti consentiti specifici anziché interi domini. Conferma che nessun criterio anti-spam personalizzato reintroduca una voce di dominio consentito, in particolare per i domini comuni.", "status": "machine-draft" } }, "M365EXO-041": { "name": { "value": "Confronto con l'elenco di blocco degli URL abilitato (MS.EXO.15.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.15.1 raccomanda che sia abilitato il confronto degli URL con un elenco di blocco. La protezione degli URL al momento del clic confronta i collegamenti con gli elenchi di blocco e gli elenchi di siti noti come dannosi, in modo che gli utenti vengano fermati prima di raggiungere destinazioni pericolose. Senza di essa, i collegamenti resi dannosi dopo il recapito rimangono cliccabili e privi di protezione.", "status": "machine-draft" }, "recommendedValue": { "value": "Criterio Collegamenti sicuri (o paragonabile) abilitato per l'email con l'analisi degli URL attiva (EnableSafeLinksForEmail = True)", "status": "machine-draft" }, "remediationSteps": { "value": "Abilita un criterio Collegamenti sicuri o di protezione degli URL paragonabile per l'email, in modo che i collegamenti vengano confrontati con gli elenchi di blocco e gli elenchi di siti noti come dannosi al momento del clic. Applica il criterio a tutti gli utenti ed evita ampie eccezioni URL di non riscrittura. Collegamenti sicuri richiede un piano Defender per Office 365; laddove non disponibile, valuta una funzionalità di terze parti paragonabile di protezione dei collegamenti.", "status": "machine-draft" } }, "M365EXO-042": { "name": { "value": "Collegamenti di download diretto analizzati per il malware (MS.EXO.15.2)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.15.2 raccomanda che i collegamenti di download diretto siano analizzati per il malware. I collegamenti nella posta possono puntare direttamente a download di malware. L'analisi in tempo reale del file di destinazione quando un utente fa clic su un collegamento di download diretto blocca il download se viene rilevato malware, prevenendo l'infezione del dispositivo.", "status": "machine-draft" }, "recommendedValue": { "value": "Criterio Collegamenti sicuri (o paragonabile) con l'analisi in tempo reale di URL/file abilitata (ScanUrls = True)", "status": "machine-draft" }, "remediationSteps": { "value": "Abilita l'analisi in tempo reale degli URL e delle destinazioni di download diretto nel criterio Collegamenti sicuri o paragonabile, in modo che i file dietro i collegamenti vengano analizzati per il malware al momento del clic. Applica il criterio a tutti gli utenti. Verifica che l'opzione di recapitare solo dopo il completamento dell'analisi sia configurata ove appropriato per massimizzare la protezione.", "status": "machine-draft" } }, "M365EXO-043": { "name": { "value": "Tracciamento dei clic dell'utente abilitato (MS.EXO.15.3)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.15.3 raccomanda che sia abilitato il tracciamento dei clic dell'utente. Il tracciamento dei clic registra quando gli utenti fanno clic sui collegamenti nella posta, fornendo visibilità a posteriori sull'eventuale visita di un collegamento dannoso. Ciò è essenziale per delimitare e rispondere agli incidenti che coinvolgono collegamenti di phishing.", "status": "machine-draft" }, "recommendedValue": { "value": "Criterio Collegamenti sicuri (o paragonabile) con il tracciamento dei clic abilitato (DoNotTrackUserClicks = False)", "status": "machine-draft" }, "remediationSteps": { "value": "Assicurati che il tracciamento dei clic dell'utente sia abilitato nel criterio Collegamenti sicuri o paragonabile, in modo che i clic sui collegamenti nella posta vengano registrati (l'opzione di non tracciamento dovrebbe essere disattivata). Applica il criterio a tutti gli utenti. Conferma che la telemetria dei clic sia disponibile nella pertinente superficie di reportistica per le indagini sugli incidenti.", "status": "machine-draft" } }, "M365EXO-044": { "name": { "value": "Avvisi richiesti di Exchange Online abilitati (MS.EXO.16.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.16.1 richiede che sia abilitato un set minimo di avvisi, tra cui modelli di invio email sospetti, attività sospetta dei connettori, attività sospetta di inoltro delle email, messaggi ritardati, tenant a cui è impedito l'invio di email non fornite, tenant a cui è impedito l'invio di email e clic su un URL potenzialmente dannoso rilevato. Questi avvisi offrono agli amministratori informazioni in tempo reale sui probabili incidenti di sicurezza.", "status": "machine-draft" }, "recommendedValue": { "value": "I sette criteri di avviso richiesti abilitati: modelli di invio sospetti, attività sospetta dei connettori, inoltro sospetto, messaggi ritardati, tenant a cui è impedito l'invio di email non fornite, tenant a cui è impedito l'invio di email, clic su URL dannoso", "status": "machine-draft" }, "remediationSteps": { "value": "Verifica che ciascuno dei sette criteri di avviso richiesti sia abilitato: modelli di invio email sospetti, attività sospetta dei connettori, attività sospetta di inoltro delle email, messaggi ritardati, tenant a cui è impedito l'invio di email non fornite, tenant a cui è impedito l'invio di email e clic su un URL potenzialmente dannoso rilevato. Abilita quelli disabilitati. Laddove sia in uso una soluzione di avviso di terze parti paragonabile, conferma che copra condizioni equivalenti.", "status": "machine-draft" } }, "M365EXO-045": { "name": { "value": "Avvisi instradati verso una destinazione monitorata (MS.EXO.16.2)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.16.2 raccomanda che gli avvisi siano inviati a un indirizzo monitorato o incorporati in un SIEM. Un avviso che si attiva ma viene recapitato in un luogo non monitorato non è attuabile, consentendo agli eventi sospetti di rimanere non affrontati e aumentando l'impatto dell'incidente. Ogni criterio di avviso richiesto dovrebbe notificare un destinatario monitorato o alimentare un SIEM.", "status": "machine-draft" }, "recommendedValue": { "value": "Ogni criterio di avviso abilitato ha i destinatari delle notifiche impostati su una cassetta postale monitorata o viene acquisito da un SIEM", "status": "machine-draft" }, "remediationSteps": { "value": "Configura ogni criterio di avviso abilitato con uno o più destinatari delle notifiche che puntino a una cassetta postale o a un elenco di distribuzione monitorati, oppure inoltra gli avvisi in un SIEM. Conferma che la destinazione sia monitorata attivamente, in modo che gli avvisi vengano gestiti tempestivamente. Laddove sia in uso una soluzione di avviso di terze parti, verifica che i suoi avvisi raggiungano la stessa destinazione monitorata o SIEM.", "status": "machine-draft" } }, "M365EXO-046": { "name": { "value": "Registrazione di Purview Audit (Standard) abilitata (MS.EXO.17.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.17.1 richiede che sia abilitata la registrazione di Microsoft Purview Audit (Standard), il log di controllo unificato. Il log di controllo unificato acquisisce l'attività di utenti e amministratori in Microsoft 365 ed è fondamentale per la risposta agli incidenti e il rilevamento delle minacce. Se l'acquisizione del log di controllo unificato è disabilitata, le prove dell'attività non vengono raccolte e le indagini risultano gravemente ostacolate.", "status": "machine-draft" }, "recommendedValue": { "value": "Acquisizione del log di controllo unificato abilitata (UnifiedAuditLogIngestionEnabled = True)", "status": "machine-draft" }, "remediationSteps": { "value": "Verifica che l'acquisizione del log di controllo unificato sia abilitata (UnifiedAuditLogIngestionEnabled = True), in modo che l'attività di utenti e amministratori venga acquisita nel log di controllo di Microsoft 365. Se disabilitata, abilitala tramite la configurazione del log di controllo. Conferma che la registrazione sia attiva eseguendo query sugli eventi recenti dopo l'abilitazione.", "status": "machine-draft" } }, "M365EXO-047": { "name": { "value": "Registrazione di Purview Audit (Premium) abilitata (MS.EXO.17.2)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.17.2 richiede che sia abilitata la registrazione di Microsoft Purview Audit (Premium). L'audit Premium aggiunge tipi di eventi di alto valore (come MailItemsAccessed) e una conservazione predefinita più lunga che lo Standard non include, migliorando in modo sostanziale la visibilità durante un'indagine. L'audit Premium richiede licenze E5/G5 o un componente aggiuntivo equivalente.", "status": "machine-draft" }, "recommendedValue": { "value": "Tipi di eventi di audit Premium (ad esempio MailItemsAccessed) e funzionalità di conservazione degli audit abilitati, soggetti a licenze E5/G5 o componente aggiuntivo", "status": "machine-draft" }, "remediationSteps": { "value": "Abilita le funzionalità di Microsoft Purview Audit (Premium), in modo che vengano acquisiti tipi di eventi aggiuntivi come MailItemsAccessed. Conferma che il tenant disponga delle licenze E5/G5 richieste o del componente aggiuntivo di conformità; laddove non concesso in licenza, questo controllo non può essere soddisfatto e dovrebbe essere tracciato come non valutato anziché superato. Verifica che gli eventi di audit di alto valore vengano registrati dopo l'abilitazione.", "status": "machine-draft" } }, "M365EXO-048": { "name": { "value": "La conservazione del log di controllo soddisfa il minimo (MS.EXO.17.3)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.17.3 richiede che i log di controllo siano conservati per almeno la durata minima dettata dall'OMB M-21-31 (Appendice C), che prevede almeno dodici mesi nell'archiviazione attiva. La conservazione predefinita potrebbe essere più breve di quanto richiesto, e i log non disponibili quando servono impediscono l'indagine su incidenti più datati. Un criterio esplicito di conservazione del log di controllo impone la durata richiesta.", "status": "machine-draft" }, "recommendedValue": { "value": "Un criterio di conservazione del log di controllo che conservi i log di controllo unificati per almeno 12 mesi nell'archiviazione attiva (secondo l'OMB M-21-31 Appendice C)", "status": "machine-draft" }, "remediationSteps": { "value": "Crea un criterio di conservazione del log di controllo che conservi i log di controllo unificati per almeno dodici mesi nell'archiviazione attiva come richiesto dall'OMB M-21-31 Appendice C, con ulteriore conservazione in archiviazione fredda ove applicabile. Conferma che le licenze del tenant supportino la conservazione personalizzata degli audit (E5/G5 o componente aggiuntivo); laddove non concesso in licenza, traccia questo come non valutato anziché superato. Verifica che l'ambito del criterio copra i tipi di record di Exchange e del log di controllo unificato pertinenti.", "status": "machine-draft" } }, "M365EXO-049": { "name": { "value": "Tipi di allegato eseguibili bloccati (MS.EXO.9.5)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.9.5 richiede che i tipi di file eseguibili da eseguire con un clic (ad esempio .exe, .cmd e .vbe) siano bloccati al gateway della posta. Microsoft Defender per Office 365 applica ciò tramite il filtro degli allegati comuni sul criterio anti-malware, che rifiuta del tutto i messaggi che trasportano i tipi di file elencati indipendentemente dall'analisi del contenuto. Gli allegati eseguibili sono un vettore principale di recapito del malware; bloccare per estensione i tipi ad alto rischio ferma i payload più comuni prima che sia necessaria alcuna detonazione. Questo controllo ispeziona ogni criterio anti-malware e conferma che il filtro degli allegati comuni sia abilitato e copra come minimo .exe, .cmd e .vbe.", "status": "machine-draft" }, "recommendedValue": { "value": "Filtro degli allegati comuni abilitato su tutti i criteri anti-malware, che blocca come minimo .exe, .cmd e .vbe", "status": "machine-draft" }, "remediationSteps": { "value": "Nel portale di Microsoft Defender, in Email e collaborazione > Criteri e regole > Criteri per le minacce > Anti-malware, abilita il filtro degli allegati comuni su ogni criterio e assicurati che l'elenco dei tipi di file bloccati includa gli eseguibili da eseguire con un clic (.exe, .cmd, .vbe e tipi correlati). Preferisci i criteri di sicurezza preimpostati Standard o Strict, che abilitano questa impostazione per impostazione predefinita. Conferma che il criterio si applichi a tutti i destinatari.", "status": "machine-draft" } }, "M365EXO-050": { "name": { "value": "La DLP limita la condivisione di SSN, ITIN e numeri di carta di credito (MS.EXO.8.4)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.8.4 richiede che la soluzione di prevenzione della perdita dei dati limiti, come minimo, la condivisione tramite email di numeri di carta di credito, codici fiscali individuali del contribuente statunitense (ITIN) e numeri di previdenza sociale statunitensi (SSN). Questo controllo ispeziona le regole di conformità DLP raccolte dal tenant e conferma che almeno una regola abilitata faccia riferimento a ciascuno di questi tre tipi di informazioni sensibili. Legge le regole DLP (non solo i criteri); poiché Get-DlpComplianceRule non è in grado di distinguere una soluzione DLP non configurata da una che non è stato possibile leggere, un set di regole assente o vuoto viene segnalato come Non valutato anziché come un errore o un superamento. Un FAIL viene restituito solo quando le regole sono presenti ma dimostrabilmente non coprono uno dei tre tipi richiesti.", "status": "machine-draft" }, "recommendedValue": { "value": "Almeno una regola DLP abilitata per ciascuno dei tipi di informazioni sensibili SSN statunitense, ITIN statunitense e numero di carta di credito, con ambito sull'email di Exchange", "status": "machine-draft" }, "remediationSteps": { "value": "Nel portale di conformità di Microsoft Purview, in Prevenzione della perdita dei dati > Criteri, crea o estendi un criterio con ambito sulla posizione dell'email di Exchange con regole che rilevino i tipi di informazioni sensibili numero di carta di credito, numero di previdenza sociale statunitense (SSN) e codice fiscale individuale del contribuente statunitense (ITIN), e imposta l'azione per bloccare o limitare la condivisione esterna. Abilita il criterio (non in modalità di test), in modo che le regole vengano applicate.", "status": "machine-draft" } } } |