Microsoft Defender for Office 365
Microsoft Defender for Office 365 (MDO) è la suite di sicurezza avanzata che protegge utenti M365 da phishing, malware, ransomware e attacchi sofisticati. Va oltre il filtro antispam base EOP: aggiunge intelligenza artificiale, sandboxing, simulazioni di attacco. Vediamo cosa fa, quando serve e come configurarlo correttamente.
Cosa è Defender for Office 365
MDO è un'add-on (o incluso in alcuni piani come Business Premium ed E5) che protegge: email Exchange, file SharePoint/OneDrive, link Teams. Funzionalità chiave: Safe Links (link cliccati vengono verificati in tempo reale), Safe Attachments (allegati eseguiti in sandbox prima di consegna), anti-phishing AI (rileva impersonation, BEC), Attack Simulator (training contro phishing), Threat Explorer (caccia minacce).
Piani Defender for Office 365
Plan 1 (incluso in Business Premium, add-on per altri): Safe Links, Safe Attachments, anti-phishing. Plan 2 (incluso in E5, add-on): tutto Plan 1 + Threat Explorer, Attack Simulator, Automated Investigation and Response (AIR). Per la PMI italiana Plan 1 via Business Premium è il rapporto qualità/prezzo migliore.
Safe Links: come funziona
Quando un'utente clicca un link in email/Teams/Office, Safe Links lo intercetta: il link viene riscritto in una URL Microsoft che, al click, scansiona la destinazione in tempo reale. Se è phishing o malware, blocca l'accesso. Se la destinazione è cambiata in modo malevolo dopo la consegna dell'email (tecnica "delayed malicious"), Safe Links protegge comunque.
Safe Attachments: come funziona
Gli allegati ricevuti vengono detonati in una sandbox virtuale: aperti, eseguiti, comportamenti analizzati. Se dannosi, l'allegato non arriva all'utente o viene quarantenato. Aggiunge 0-3 minuti al recapito email ma blocca ransomware zero-day che antivirus tradizionali non rilevano. Disponibile anche per SharePoint, OneDrive, Teams: file caricati vengono scansionati.
Anti-phishing AI
MDO rileva campagne phishing sofisticate: impersonation del CEO ("manda urgentemente bonifico"), domini lookalike (azienda-it.com invece di azienda.it), spoofing avanzato. L'AI analizza pattern di comunicazione interni e segnala anomalie. Configura mailbox da proteggere come "VIP" (CEO, CFO, HR): MDO aggiunge protezione extra contro impersonation.
Procedura passo-passo: configurare MDO
- Accedi a Defender Portal (security.microsoft.com).
- Vai su Email & collaboration > Policies & rules > Threat policies.
- Configura Safe Links: crea policy "Default" applicata a tutti gli utenti.
- Abilita: Block malicious URLs, Apply Safe Links to internal email, Display branding.
- Configura Safe Attachments: policy "Default" con action "Dynamic Delivery" (allega corpo email mentre scansiona allegato in background).
- Configura Anti-phishing: policy "Default" con users to protect (VIP), domains to protect (dominio aziendale).
- Abilita Impersonation protection e Mailbox intelligence.
- Configura quarantine policies e notifiche per utenti.
- Salva tutte le policy e monitora dashboard.
Attack Simulator
Con Plan 2, simula attacchi phishing controllati contro i tuoi utenti: invia email di test con template realistici (credenziali finte, finto allegato). Misura tassi click, tassi credenziali inserite. Eroga training automatico a chi cade nella simulazione. Strumento fondamentale per cultura della sicurezza: la maggior parte delle violazioni reali avviene per errore umano.
Threat Explorer
Con Plan 2, hai accesso a Threat Explorer: dashboard per analizzare minacce nel tuo tenant. Cerca email per mittente/oggetto/URL, vedi chi è stato colpito, quante email bloccate, identifica campagne in corso. Strumento essenziale per security operations e incident response.
Errori comuni e come risolverli
- MDO non attivato: la licenza c'è ma le policy default non applicate, configura esplicitamente.
- Whitelist troppo permissiva: alcuni admin disabilitano MDO per "evitare falsi positivi", grave errore.
- Notifiche utente disabilitate: gli utenti devono sapere quando un'email è in quarantena.
- Nessuna VIP protection: i target principali (CEO/CFO) sono esposti a BEC.
- Skip Attack Simulator: la formazione utenti è la difesa più importante.
Domande frequenti
D: MDO sostituisce l'antivirus endpoint?
R: No, lavora a livello cloud su email/file M365; serve comunque antivirus su PC.
D: Quanto rallenta la posta?
R: Generalmente 0-3 minuti di delay con Safe Attachments Dynamic Delivery; molti utenti non se ne accorgono.
D: Posso whitelist mittenti specifici?
R: Sì, ma usare con parsimonia: ogni whitelist è una breccia potenziale.
D: MDO costa molto?
R: Plan 1 ~2€/utente/mese se add-on, incluso gratis in Business Premium.
Tuning policy per ridurre falsi positivi
Defender è bilanciato out-of-the-box ma può richiedere tuning per la tua realtà. Whitelist mirate per: domini partner verificati, fornitori SaaS legittimi (Mailchimp, SendGrid se li usi). Crea Allow lists granulari, non blanket. Monitora Submissions in Defender Portal: utenti segnalano email come "Non phishing" e Microsoft impara dai feedback. Dopo 30-60 giorni di tuning attivo, falsi positivi si riducono drasticamente.
Threat Intelligence e IOC
Con E5 o MDO Plan 2 hai accesso a Threat Intelligence: feed di indicatori di compromissione (IOC) globali. Configura policy per bloccare automaticamente IOC noti (URL, hash file, IP). Integrazione con Microsoft Sentinel per SOC avanzati. Per la maggior parte delle PMI italiane MDO Plan 1 + Defender for Endpoint è sufficiente: G Tech Group consiglia E5 solo a clienti con requisiti compliance specifici o esigenze di SOC avanzato.
Hai bisogno di aiuto?
Se vuoi supporto Microsoft 365 dal team di G Tech Group, scrivici tramite il modulo di contatto.