Soluzioni di Sicurezza Email: Acronis, Sophos & Barracuda

L'email è uno dei punti di ingresso più comuni per gli attacchi informatici e le protezioni integrate non sono più sufficienti per gestire le minacce mirate. Abbiamo testato tre piattaforme di sicurezza email cloud (Acronis, Sophos e Barracuda) con 100 test in 11 categorie di minacce.

Risultati del benchmark delle soluzioni di sicurezza email cloud

Leggi la metodologia del benchmark delle soluzioni di sicurezza email per scoprire come abbiamo testato questi strumenti e misurato i risultati.

Confronto delle soluzioni di sicurezza email basato sulle categorie di verdetto

Acronis Advanced Email Security

• Acronis ha il punteggio di rilevamento complessivo più alto (122/200) e ottiene le migliori prestazioni contro il phishing GenAI con il 100%. Tutti e dieci i pretesti aziendali curati sono stati bloccati, inclusi falsi pre-read per i consigli di amministrazione, flussi di ri-consenso Microsoft 365 e NDA legali fittizie.
  • Questa è la categoria più difficile del benchmark, con una difficoltà media di 8,2/10. Catturarle tutte e dieci suggerisce che Acronis ha gestito bene i segnali di phishing semantici e contestuali in questo benchmark, invece di basarsi su evidenti segnali grammaticali o di formattazione.
• Anche la Categoria F e la Categoria D supportano questo quadro: Acronis ha ottenuto l'89% sull'impersonificazione di marchi/domini e il 90% sul phishing URL, incluso un BLOCK sul test di injection dell'header authentication-results. I risultati aggregati suggeriscono una solida gestione dei casi di impersonificazione e analisi degli URL.
• Il record pulito di falsi positivi è operativamente significativo. Nessuno degli otto messaggi di controllo è stato bloccato, il che significa che il tasso di rilevamento del 67% non comporta alcun costo compensativo in termini di perdita di posta legittima.
• Gli aspetti negativi sono concentrati nei livelli di difficoltà inferiori. Lo spam di base (Categoria A, 44%) è inferiore rispetto ad altri strumenti, con mancati rilevamenti su spam farmaceutico, truffe della lotteria e una truffa sentimentale di base a livelli di difficoltà da 1 a 2. Il divario suggerisce che Acronis dà priorità agli attacchi sofisticati rispetto al traffico di massa a basso impegno.

Sophos Email Security

• Sophos ha il secondo punteggio complessivo più alto (105,5/200). Ha raggiunto il 100% nella Categoria B (varianti malware EICAR), catturando ogni variante di annidamento di archivio, ZIP protetto da password e test di tolleranza dell'offset.
• I punti deboli più visibili di Sophos sono il phishing URL (Categoria D, 58%) e le tecniche di evasione (Categoria J, 22%). Il divario nel phishing URL è notevole perché i link sono tra i meccanismi di consegna del phishing più comuni e la Categoria D testa diversi modi realistici in cui gli attaccanti li nascondono o li instradano.
• Il punteggio del 58% di Sophos, rispetto al 90% di Acronis, suggerisce che il suo livello di analisi degli URL è stato meno coerente tra redirect, offuscamento e posizionamenti degli URL al di fuori del corpo del messaggio.

Barracuda Email Protection

• Il punteggio di rilevamento di 60/200 di Barracuda è inferiore rispetto agli altri due prodotti. La Categoria I (phishing GenAI) ha restituito un rilevamento dello 0% e la Categoria A (Spam: 33%) ha il punteggio più basso tra i concorrenti. Ciò suggerisce che Barracuda è stato meno efficace in questa configurazione contro lo spam, il phishing GenAI e gli scenari di ingegneria sociale del benchmark.
• La Categoria B (rilevamento malware noto tramite stringhe di test EICAR, 89%) e la Categoria C (tipi di file vettore come PDF con JavaScript incorporato, HTML smuggling e collegamenti LNK, 70%) sono competitive con gli altri fornitori.
• I risultati della Categoria J di Barracuda (tecniche di evasione, 44%) mostrano il miglior risultato tra i tre fornitori. Ciò suggerisce che il motore di ispezione dei contenuti sottostante può gestire ragionevolmente bene funzionalità come caratteri a larghezza zero, oggetti codificati e omoglifi.
• I punti deboli sono più evidenti nelle categorie che contano di più per la protezione moderna dalle minacce. Il phishing con codici QR (Categoria E, 13%), l'impersonificazione di marchi (Categoria F, 11%), il BEC (Categoria G, 11%) e l'estorsione (Categoria H, 22%) sono tutti ben al di sotto del confronto.
• Tra gli undici test di livello difficile, Barracuda ne ha bloccato uno e ha mancato i restanti dieci.

Le 3 migliori soluzioni di sicurezza email cloud

Analisi dettagliata di Acronis Advanced Email Security

Quando selezioniamo Acronis Email Security dal menu a sinistra nell'interfaccia di Acronis Cyber Protect Cloud, vediamo la seguente schermata. Clicchiamo quindi per accedere alla console di Email Security.

Poiché non abbiamo ancora completato alcuna configurazione, la nostra dashboard mostra le seguenti voci di menu:

• Incidenti: Incidenti di sicurezza rilevati e attività di attacco.
  • Risposta agli Incidenti: Strumenti per investigare e rispondere agli incidenti.
  • Traffico: Visibilità sui modelli di traffico email o web scansionati.
  • Report Periodici: Report programmati di sicurezza e protezione.
• Operazioni di Sicurezza: Controlli operativi di sicurezza e strumenti di monitoraggio.
• Configurazione Rilevamento: Configurazione delle regole di rilevamento, scansione e impostazioni di protezione.

Dal menu Impostazioni a sinistra, andiamo su Risorse Email Protette.

Poiché non ci sono ancora risorse, il sistema ci reindirizza al flusso di configurazione. Clicchiamo su Configura protezione email. Il sistema ci chiede un indirizzo email di escalation per segnalare problemi e ci chiede quale servizio email utilizziamo.

Per questo test, procederemo con un provider personalizzato tramite MX. Lo facciamo per poter confrontare direttamente i fornitori, senza essere influenzati dalle protezioni integrate di Microsoft 365 o Google Workspace.

Selezioniamo il servizio email e scegliamo il metodo di connessione Inline. Ciò significa che Acronis scansiona e blocca le email dannose prima che vengano consegnate.

Aggiungiamo anche un contatto di escalation che Acronis può utilizzare per problemi di account takeover, sicurezza o connessione. Il passo successivo è abilitare l'app Google Workspace, che supporta l'onboarding, il conteggio accurato degli utenti per la fatturazione e azioni di remediation, come la rimozione di email dannose consegnate per errore.

Aggiungiamo il dominio connesso, aimultiple.com, e il sistema recupera automaticamente i record MX.

Impostiamo anche il metodo di calcolo delle licenze su "In base ai posti dichiarati" e inseriamo 100 posti. Dopo queste impostazioni, procediamo con Avanti per continuare la configurazione MX.

Il sistema ci chiede di aggiungere un record TXT per verificare la proprietà del dominio. Aggiungiamo il record e attendiamo la verifica.

Possiamo anche gestire i server di destinazione SMTP configurati, confermare che TLS sia abilitato e utilizzare l'azione Verifica per verificare che il record TXT sia stato pubblicato correttamente. Questa pagina ci consente anche di modificare le impostazioni del server e TLS o eliminare il dominio se necessario.

Abbiamo inviato un totale di 100 email che potrebbero essere considerate dannose o spam. La dashboard ora mostra statistiche come quante email sono state scansionate, quante sono state classificate come spam, quante come dannose e quante email sono state ricevute per tipo di attacco. C'è anche una statistica che mostra quali indirizzi email sono stati attaccati più frequentemente.

Nel menu Scansioni, possiamo vedere le statistiche di scansione per tutte le email in arrivo. Anche la suddivisione per tipo di file è un dettaglio utile. Inoltre, in tutta l'applicazione, possiamo regolare l'intervallo di date cliccando su Ultimo Giorno nella parte superiore della pagina.

Il filtraggio nella sezione Scansioni è altamente dettagliato. Ecco alcune delle opzioni:

• Indirizzo/dominio/IP del mittente: Gli indicatori principali per identificare mittenti dannosi o contraffatti.
• Nome visualizzato impersonificato: Prende di mira direttamente una delle tecniche di phishing più comuni, dove il nome visibile sembra legittimo ma l'indirizzo reale non lo è.
• Indirizzo di risposta: Un altro importante segnale di allarme per il phishing. Quando il reply-to differisce dall'indirizzo del mittente, spesso segnala un tentativo di reindirizzare le risposte a una casella controllata dall'attaccante.
• Azione (messo in quarantena/consegnato): Essenziale per capire se una minaccia è stata catturata o ha raggiunto il destinatario.
• Oggetto: Per identificare campagne di phishing che utilizzano linee di oggetto identiche o quasi identiche su più obiettivi.
• Indirizzo del destinatario: Critico per determinare la portata di un attacco. Mostra quanti utenti sono stati presi di mira e se individui di alto valore (dirigenti, finanza) erano tra questi.
• Payload (allegati/URL): Restringe la ricerca alle email che trasportano i meccanismi di consegna di malware più comuni.

Quando andiamo su Operazioni di Sicurezza dal menu a sinistra, raggiungiamo la sezione Scansioni. Da questa schermata, possiamo accedere ai dettagli relativi alle scansioni. Tutte le scansioni sono elencate qui e possiamo anche vedere le categorizzazioni risultanti, come pulito, spam e dannoso.

Quando apriamo i dettagli di un'email, possiamo vedere come il sistema l'ha valutata e il suo stato attuale. Possiamo anche cambiare il suo stato in:

• Approva Verdetto (Gestisci): Accetta il verdetto attuale ed elabora l'email di conseguenza.
• Segna email come limitata: Classifica l'email come limitata o in violazione delle policy.
• Segna email come Spam: Classifica l'email come indesiderata o non sollecitata.
• Segna email come Sospetta: Contrassegna l'email come potenzialmente rischiosa e che richiede cautela.
• Segna email come Pulita (FP): Contrassegna l'email come sicura e indica che si trattava di un falso positivo.

La vista sottostante è la vista compatta. Quando clicchiamo sulla scheda Dettagliata nell'angolo in alto a destra, possiamo vedere molti dettagli aggiuntivi.

Nella vista compatta, possiamo vedere i dettagli della scansione di un'email di phishing dannosa che è stata messa in quarantena da Acronis. Include una panoramica generata dall'IA che spiega perché l'email è considerata dannosa e mostra indicatori come un dominio mittente sospetto, comportamento di email-bombing e un URL rischioso. Nella sezione Dettagli, possiamo verificare il canale, l'azione intrapresa, l'orario della scansione, il tempo di elaborazione, l'organizzazione e lo stato IR.

Nell'Ispettore Email, possiamo esaminare i metadati del messaggio, inclusi oggetto, mittente, destinatario, ora, percorso di ritorno e IP di origine. Anche il corpo dell'email viene visualizzato, così possiamo valutare direttamente il tentativo di ingegneria sociale.

I criteri di valutazione degli incidenti sono chiari e trasparenti. Per un incidente, possiamo anche cliccare il pulsante Richiedi indagine, selezionare "Penso che questa email sia pulita" e inviarla al team di Acronis per la revisione. Possiamo visualizzare le scansioni precedenti relative alla stessa email.

Con il pulsante Screenshot, possiamo vedere la versione renderizzata dell'email, che è una funzionalità utile. In particolare, il sistema non esegue il rendering dell'email come HTML nel browser, quindi qualsiasi vulnerabilità non rilevata nell'email non può innescare una violazione durante la revisione.

Tutte le azioni degli utenti possono essere registrate e possiamo visualizzare questi record nel registro di Audit dal menu a sinistra. Alcuni di questi record sono:

• Visualizza screenshot delle scansioni
• Gestisci scansione
• Azione UI

Ogni registro registra il timestamp, l'azione, la descrizione, l'amministratore o il team, l'organizzazione di destinazione e l'email o l'oggetto di destinazione correlato.

In Configurazione Rilevamento nel menu a sinistra, possiamo gestire in dettaglio le liste di autorizzazione e blocco, che è una funzionalità molto utile:

• Lista di autorizzazione indirizzi/domini mittente: Le email da indirizzi o domini in questa lista sono sempre considerate attendibili e bypasseranno i filtri spam/minacce. Questo può essere utile per whitelistare partner noti o sistemi interni che potrebbero altrimenti generare falsi positivi.
• Lista di autorizzazione indirizzi destinatario: Specifica gli indirizzi dei destinatari interni che devono ricevere tutta la posta in arrivo senza filtraggio. Questo garantisce che certi utenti (ad esempio, una casella catch-all) ricevano sempre le email, anche da mittenti sconosciuti.
• Lista di blocco indirizzi/domini mittente: Le email da indirizzi o domini in questa lista vengono automaticamente respinte o messe in quarantena. Può essere utilizzata per bloccare permanentemente fonti di spam note, domini dannosi o mittenti di massa indesiderati.
• Lista di autorizzazione IP mittente: I server di posta con IP in questa lista sono considerati attendibili e le loro email saltano i controlli di reputazione basati su IP. Può essere utilizzata per servizi di posta di terze parti fidati o relay di posta on-premise.
• Lista di blocco IP mittente: Le connessioni da questi IP vengono bloccate, indipendentemente dall'indirizzo del mittente. Questo può essere efficace contro server di posta dannosi noti o infrastrutture compromesse.

• Lista di autorizzazione URL: I link che corrispondono a questi URL o domini all'interno del corpo delle email sono considerati sicuri e non verranno contrassegnati.
• Lista di blocco URL: Le email contenenti questi URL vengono contrassegnate, bloccate o messe in quarantena.
• Lista di autorizzazione hash: Gli allegati di file che corrispondono a questi hash crittografici sono trattati come sicuri e passano senza avvisi di scansione.
• Lista di blocco hash: Gli allegati il cui hash corrisponde a una voce in questa lista vengono bloccati immediatamente. Questo fornisce un blocco preciso, basato su firma, di file dannosi noti, anche se vengono rinominati o camuffati.

Alcune delle funzionalità che vale la pena menzionare, ma che non abbiamo testato specificamente, sono:

In configurazione rilevamento:

• Intelligence sulle minacce: Acquisisce indicatori da fonti esterne di intelligence sulle minacce. Questa funzionalità aiuta a catturare malware di massa diffuso, URL dannosi e campagne di attacco attive.
• Banner: Aggiunge banner personalizzabili alle email in arrivo in base a policy e regole.
• Utenti VIP: Consente agli amministratori di mantenere un elenco di utenti di alto valore (dirigenti, personale finanziario, ecc.).

In operazioni di sicurezza:

Account Takeover (ATO): Rileva le caselle di posta Microsoft 365 compromesse. La funzionalità è progettata per catturare gli attaccanti che utilizzano account dirottati per frodi, phishing interno ed esfiltrazione di dati.

Il motore segnala regole sospette sulle caselle di posta (inoltro, reindirizzamento, spostamento o eliminazione di email), accessi con viaggio impossibile e accessi da posizioni o dispositivi non familiari. Quando individua uno di questi segnali, apre un caso nella console e il team di risposta agli incidenti contatta l'amministratore per indagare insieme.

Analisi dettagliata di Sophos Email Security

Per iniziare con Sophos, creiamo un link di prova e veniamo indirizzati alla seguente schermata. Analogamente a Barracuda, Sophos ci chiede di selezionare una regione.

Il sistema ci chiede quindi quale prodotto vogliamo installare. Selezioniamo Email Security. Altri prodotti che possono essere configurati includono Endpoint Protection, Server Protection, Phish Threat, DNS Protection, Zero Trust Network Access, Protected Browser, Mobile, Wireless, Device Encryption, Firewall Management, Cloud Optix e Switches.

Invieremo 100 email e l'immagine sottostante mostra la dashboard. Include statistiche come il numero totale di email in arrivo scansionate, le minacce potenziali e i tipi di minacce rilevate. Ci sono anche statistiche per le email in uscita, ma non stiamo testando la sicurezza delle email in uscita in questo benchmark.

Possiamo anche vedere altri elementi della dashboard come i trend dell'attività email, i riepiloghi delle minacce e gli indicatori di stato della sicurezza.

Abbiamo cliccato su Configura impostazioni gateway email. Il sistema ci chiede di verificare il nostro dominio. Poi osserviamo un'impostazione utile in cui possiamo scegliere solo in entrata o sia in entrata che in uscita. Controlla anche le email in uscita per prevenire problemi di sicurezza.

Il sistema mostra il record DNS che dobbiamo inserire. Lo aggiungiamo quindi e procediamo.

Aggiungiamo il record TXT al DNS pubblico del dominio. Il valore TXT è un token di verifica del dominio Sophos e il TTL è impostato a 600. Dopo aver aggiunto il record DNS, attendiamo la propagazione, quindi clicchiamo su Verifica in modo che Sophos possa confermare che possediamo il dominio.

Abbiamo aggiunto il record e verificato il nostro dominio. Per la destinazione in entrata, abbiamo selezionato MX e inserito il record MX di Google Workspace: aspmx.l.google.com.

Come Barracuda, Sophos richiede il routing MX. A differenza di Sophos e Barracuda, Acronis ha gestito questo processo in modo pulito tramite un'API e non abbiamo dovuto modificare alcuna impostazione. Questi tipi di modifiche alla configurazione MX o simili possono causare problemi agli amministratori di sistema. Tuttavia, ai fini del test, procediamo al passo successivo.

Abbiamo completato le impostazioni MX e inviato un'email di test, ma non è passata. Dopo alcune indagini, abbiamo visto che l'errore era: "Questo indirizzo email non è stato trovato", il che era inaspettato.

Dobbiamo entrare nel pannello, aprire la sezione Caselle di posta dal menu a sinistra e aggiungere manualmente gli utenti uno per uno. Questo è un problema di usabilità che danneggia l'esperienza complessiva, poiché sia Acronis che Barracuda hanno funzionato immediatamente. Per il test, abbiamo aggiunto il nostro indirizzo email e continuato il test tramite quell'account.

La sezione report si trova nel menu a sinistra. Ecco alcuni dei report che possiamo creare:

• Riepilogo messaggi: Volume e stato complessivo delle email.
• Report di analisi SophosLabs: Verdetti sui messaggi segnalati da utenti/amministratori.
• Riepilogo minacce Intelix: Analisi delle minacce per le email in arrivo.
• Riepilogo Time of Click: Report sull'attività di clic sui link.
• Utenti a rischio: Dipendenti più vulnerabili.
• Riepilogo controllo dati: Corrispondenze delle policy di data loss.
• Riepilogo post-consegna: Email rimosse dopo la consegna.
• Riepilogo utilizzo licenze: Utilizzo delle licenze di sicurezza email.

Quando andiamo su Email Security > Cronologia Messaggi, possiamo vedere tutte le email in arrivo e come ciascuna è stata classificata. Questo report Cronologia Messaggi elenca le singole email elaborate da Sophos Email Security. Alcuni campi chiave sono:

• Mittente: Da chi sembrava provenire l'email.
• Destinatari: Chi ha ricevuto il messaggio.
• Tipo: Come l'email è entrata nel sistema, solitamente Gateway.
• Oggetto: La linea dell'oggetto dell'email.
• Ultimo Stato: Cosa ne ha fatto Sophos, come Consegnato, Eliminato o In Quarantena.
• Data: Quando l'email è stata elaborata.
• Categoria: La classificazione di Sophos, come Legittimo, Spam, Malware, Minaccia Intelix o Autenticazione.

Alcuni esempi delle categorie sono:

• Legittimo: Email normali che sono state lasciate passare.
• Spam: Email sospette o indesiderate; molte vengono messe in quarantena.
• Malware: Email pericolose contenenti contenuti dannosi; queste vengono eliminate.
• Minaccia Intelix: Email analizzate da Sophos Intelix che sono state trovate sospette o minacciose.
• In Quarantena: L'email è stata bloccata e messa in quarantena per la revisione.
• Eliminato: L'email è stata rimossa invece di essere consegnata.

I filtri sottostanti consentono agli utenti di restringere il registro delle email per categoria di messaggio:

• Legittimo: Email normali consentite.
• Messaggio sicuro: Email crittografate o protette.
• Controllo dati: Email che corrispondono a regole di data loss/sicurezza.
• Errore di autenticazione: Controlli SPF, DKIM o DMARC non riusciti.
• Impersonificazione: Possibile spoofing del mittente o frode d'identità.
• Massa: Marketing di massa o email automatizzate.
• Spam: Email indesiderate o sospette.
• URL/Codice QR: Email con link rischiosi o codici QR.
• Minaccia Intelix: Email segnalate dall'analisi delle minacce di Sophos.
• Non scansionabile: Email che Sophos non ha potuto ispezionare completamente.
• Malware: Email contenenti file o contenuti dannosi.
• Bloccato dall'azienda: Email bloccate dalla policy aziendale.

Il menu Caselle di posta mostra le caselle di posta monitorate. Aprendo una casella di posta, possiamo selezionare quali policy applicare. In Policy di Base – Email Security, sono disponibili le seguenti impostazioni:

L'autenticazione include controlli di autenticazione email per i messaggi in arrivo. Possiamo configurare come Sophos gestisce i fallimenti DMARC, SPF e DKIM, incluse azioni come conformarsi alla policy del mittente o taggare la linea dell'oggetto con un avviso.

Include anche controlli del mittente per anomalie dell'header e anomalie del dominio, che aiutano a rilevare email che sembrano provenire dal proprio dominio o da domini sospetti senza record DNS adeguati. Possiamo anche abilitare banner per l'utente finale per mostrare ai destinatari il livello di fiducia dei messaggi in arrivo e aiutarci a decidere se consentire o bloccare i mittenti.

L'anti-malware gestisce la scansione anti-malware in entrata per i messaggi email. Possiamo scegliere l'azione predefinita per i rilevamenti malware, come Elimina, e abilitare la scansione malware avanzata per un'analisi più approfondita dei contenuti e dei file.

Consente inoltre il controllo sulle email non scansionate e sull'Analisi delle Minacce Intelix, dove Sophos può utilizzare analisi statiche e dinamiche per classificare i messaggi sospetti. In base al verdetto, possiamo definire azioni come eliminare, consegnare o gestire in modo diverso le email dannose e sospette.

L'anti-spam gestisce come Sophos tratta lo spam e le email di massa. Possiamo impostare azioni per categorie come Spam Confermato e Massa, inclusa la messa in quarantena dei messaggi e la decisione se farli apparire nella quarantena dell'utente finale.

Include anche un cursore personalizzabile del tasso di cattura dello spam, dove livelli più alti aumentano l'aggressività del rilevamento dello spam.

Nuovo dominio/mittente include protezioni per domini appena registrati e nuovi mittenti. Possiamo abilitare controlli per le email inviate da domini creati di recente, che sono spesso utilizzati nelle campagne di phishing.

Consente inoltre di mostrare un banner Nuovo Mittente quando un destinatario non ha mai ricevuto email da quel mittente prima.

Il paese di origine consente di controllare le email in base al paese del mittente. Paesi specifici possono essere selezionati da un elenco e le email corrispondenti possono essere messe in quarantena o gestite in altro modo in conformità con la policy.

C'è anche un'opzione per controllare ogni hop del messaggio, che aiuta a ispezionare il percorso che un'email ha seguito prima di raggiungere il destinatario.

La lingua gestisce il filtraggio in base alla lingua del messaggio. Possiamo selezionare lingue specifiche che vogliamo non consentire e scegliere l'azione che Sophos dovrebbe intraprendere, come mettere in quarantena i messaggi corrispondenti.

La funzionalità di protezione dall'impersonificazione abilita i controlli per i tentativi di impersonificazione VIP, di marchio e generici.

Per la protezione URL e codici QR, possiamo controllare le email alla ricerca di URL e codici QR dannosi. Sophos può scansionare i link ed estrarre URL dai codici QR per rilevare le minacce prima che gli utenti interagiscano con essi.

Gestisce anche la Protezione URL Time of Click, dove i link vengono riscritti e controllati quando l'utente ci clicca sopra.

Nel menu a sinistra, la sezione Messaggi in Quarantena mostra tutte le email in cui è stata rilevata una minaccia. Possiamo filtrare per:

• Anti-malware: Email segnalate durante la scansione malware. Questo include messaggi con allegati pericolosi, contenuti dannosi o elementi che Sophos non ha potuto ispezionare completamente:
  • Malware: Email confermate come contenenti file, link o contenuti dannosi. Queste vengono solitamente eliminate o messe in quarantena.
  • Non scansionabile: Email che Sophos non ha potuto ispezionare correttamente, ad esempio a causa di crittografia, corruzione, allegati protetti da password o tipi di file non supportati.
• Anti-spam: Email classificate attraverso le regole di rilevamento dello spam:
  • Massa: Email inviate in massa come newsletter, campagne di marketing o notifiche automatizzate.
  • Spam Confermato: Email identificate con sicurezza come spam. Queste vengono tipicamente messe in quarantena o bloccate.
  • Spam Sospetto: Email che sembrano sospette ma non sono spam confermato. Possono essere messe in quarantena, taggate o consegnate a seconda della policy.
  • Impersonificazione: Email che potrebbero fingere di provenire da una persona, un marchio, un dominio o un mittente interno di fiducia.
  • Paese Non Consentito: Email bloccate o messe in quarantena perché originate da un paese limitato dalla policy.
  • Lingua Non Consentita: Email bloccate o messe in quarantena perché la loro lingua rilevata non è consentita dalla policy.
  • BATV: Email relative alla Bounce Address Tag Validation, utilizzata per aiutare a rilevare messaggi di bounce contraffatti o spam di backscatter.
  • Nuovo dominio/NRD: Email da domini di nuova registrazione, che sono spesso utilizzati in campagne di phishing o attacchi di breve durata.

• Autenticazione: Email filtrate in base ai controlli di autenticazione del mittente come fallimenti SPF, DKIM o DMARC.

Quando clicchiamo su un'email, possiamo vedere i messaggi che spiegano perché è stata messa in quarantena. Possiamo eliminarla e bloccare il mittente, rilasciare il messaggio dalla quarantena o rilasciarlo e consentire messaggi simili in futuro.

Nella sezione Intestazione Raw, possiamo visualizzare tutte le informazioni dell'header dell'email. Possiamo anche visualizzare i suoi allegati e gli URL contenuti nel messaggio. Questo non è apparso sufficientemente dettagliato nella nostra valutazione. Acronis e Barracuda hanno fornito un'esperienza più completa e informativa a questo riguardo.

Nella scheda Messaggio, possiamo visualizzare il contenuto dell'email così com'è, il che può essere pericoloso. Sarebbe meglio se potessimo vedere il contenuto dell'email come screenshot, come abbiamo osservato in Acronis.

Ci sono 23 email qui perché queste sono state contrassegnate come spam, mentre altre sono state direttamente respinte. In breve, il sistema mette in quarantena le email contrassegnate come spam.

Quando vogliamo esportare tutte le email in arrivo, non possiamo farlo direttamente dalle schermate dei report. Dobbiamo creare un report personalizzato dai Registri Email, quindi aprirlo, selezionare Genera Report, scegliere CSV e infine esportare tutto come CSV. Questo flusso di lavoro sembra inutilmente indiretto e poco user-friendly.

Analisi dettagliata di Barracuda Email Protection

Dopo aver ottenuto una prova da Barracuda, siamo andati al pannello, abbiamo cliccato su Apri per Email Protection e abbiamo proceduto.

In Disponibile nella tua prova, possiamo vedere i principali prodotti inclusi:

• Protezione email: Previene le minacce email, protegge le email prima e dopo la consegna e automatizza la risposta agli incidenti email.
• Backup cloud-to-cloud: Esegue il backup dei dati di Microsoft 365.
• Data inspector: Trova dati sensibili e malware non rilevati in OneDrive e SharePoint.
• Formazione sulla consapevolezza della sicurezza: Forma i dipendenti sulle minacce alla sicurezza email.
• Servizio di archiviazione cloud: Applica la conservazione delle email per conformità ed e-discovery.

Poiché non avevamo ancora configurato alcun dominio o impostazioni correlate, il sistema ci ha portato direttamente alla procedura guidata di configurazione, che è una funzionalità utile per configurare le impostazioni email.

Quando abbiamo cliccato Avanti, il sistema ci ha obbligato a connettere un account Microsoft 365. Tuttavia, utilizziamo Google Workspace e stiamo valutando il servizio per quell'ambiente.

Abbiamo successivamente scoperto che Barracuda supporta Google Workspace. Abbiamo continuato con la configurazione standard.

Il sistema ci ha chiesto di selezionare una regione dati. Questa è una funzionalità importante per la conformità GDPR, quindi abbiamo selezionato Germania e continuato.

Barracuda ci ha poi chiesto di inserire un indirizzo email appartenente al nostro dominio e verificare i nostri record MX. Abbiamo cliccato il pulsante di verifica e non abbiamo eseguito alcuna azione aggiuntiva. Il sistema ha verificato i record con successo.

Durante le fasi successive della nostra configurazione, abbiamo scoperto che Barracuda non disponeva di un'integrazione nativa con Google Workspace. Invece, ci ha fornito nuovi record MX per sostituire quelli esistenti. Quando aggiorniamo questi record MX, le email in arrivo sembrano raggiungere prima Barracuda.

Barracuda quindi filtra le email inappropriate e inoltra quelle accettabili. Richiedere modifiche ai record MX per l'integrazione con Google Workspace è un approccio inadeguato.

Successivamente, abbiamo aggiornato i record MX e li abbiamo verificati. Abbiamo completato la configurazione e iniziato a inviare email.

Durante l'invio delle email, abbiamo osservato che Barracuda ha rifiutato alcune richieste SMTP e rifiutato alcuni allegati. Quando abbiamo eseguito lo stesso test con Acronis, tutte le email sono state consegnate e visibili nel sistema. Qui, Barracuda rifiuta alcune email prima che appaiano nella dashboard.

Sebbene le rifiuti perché sono effettivamente dannose, perdiamo visibilità a causa di questo processo automatizzato. In altre parole, potremmo non sapere nemmeno se un attacco è arrivato ed è stato respinto. Questa è una sfida per l'utilizzo di Barracuda per la sicurezza email, poiché la visibilità è tutto nei contesti di sicurezza. Se un prodotto rifiuta arbitrariamente gli incidenti e li rende invisibili, danneggia il team di sicurezza.

Nonostante queste sfide, tutte le email di test sono state inviate. Nella dashboard di Barracuda, veniamo indirizzati alla schermata Registro Messaggi, dove sono elencate tutte le email scansionate.

La sezione Registro Messaggi include un'area di filtraggio nella parte superiore. Ecco le opzioni di filtraggio:

• Ricerca: Ricerca testuale tra messaggi, destinatari, mittenti e altri campi.
• Domini: Filtra i risultati per il dominio selezionato.
• Direzione: Filtra per direzione dell'email; In Entrata o In Uscita.
• Intervallo data/ora: Limita i risultati a una finestra temporale specifica.
• Azione intrapresa: Filtra per l'azione intrapresa, ad es., Consentito, Bloccato, Differito.
• Stato di consegna: Filtra in base al fatto che l'email sia stata consegnata, non riuscita, messa in quarantena, ecc.
• Motivo: Filtra per il motivo di rilevamento che ha innescato un'azione (ad es., Punteggio, DMARC, Antivirus, Contenuto Protetto).
• Risultati: Controlla quanti record vengono visualizzati per pagina.

Possiamo segnalarlo come classificato in modo errato. Ad esempio, l'email sottostante è sicura ma classificata erroneamente come dannosa. Abbiamo segnalato l'email come sicura.

L'email sottostante è bloccata, ma la dashboard non fornisce alcun dettaglio aggiuntivo. Pertanto, Barracuda è carente in quest'area. Sarebbe più utile se potessimo vedere maggiori informazioni sul motivo per cui il messaggio è bloccato, oltre al punteggio di blocco.

Nella sezione Domini a sinistra, possiamo visualizzare, aggiungere ed eliminare i domini che vogliamo includere nella protezione della posta, che sono funzioni standard.

All'interno del menu In Entrata a sinistra, Barracuda fornisce i filtri utilizzati per questi controlli. Possiamo configurare questi filtri.

Ad esempio, nelle impostazioni Anti-Spam/antivirus, possiamo configurare:

• Usa lista di blocco reputazione Barracuda: Controlla la posta in arrivo rispetto al database di Barracuda di mittenti dannosi noti. Può essere impostato su Block, Quarantena o Off.
• Scansiona email alla ricerca di virus: Abilita o disabilita la scansione antivirus su tutte le email in arrivo.
• Usa sistema in tempo reale Barracuda: Incrocia le email con il feed di intelligence sulle minacce in tempo reale di Barracuda. Può essere bloccato, messo in quarantena o disattivato. Facoltativamente invia contenuti sospetti a Barracuda Central per ulteriori analisi.
• Abilita cloudscan: Scarica il punteggio dello spam sul motore cloud di Barracuda. I punteggi vanno da 1 a 10; le email che superano la soglia attivano l'azione configurata.
• Categorizzazione email: Classifica le email in arrivo per tipo e applica un'azione per categoria. Le categorie includono Email Aziendale, Email Transazionale, Marketing Materiali e Newsletter, Mailing List e Social Media, ciascuna impostata indipendentemente su Consenti, Quarantena, Block o Off.
• Rilevamento email di massa: Rileva e agisce sulle email di massa/inviate in blocco. Quando è impostato su Off, le email di massa non vengono filtrate separatamente.
• Esenzioni email di massa: Consente a indirizzi email o domini specifici di bypassare il rilevamento delle email di massa, definito per mittente o destinatario.

Le pagine Limite di Velocità definiscono quante email un indirizzo IP mittente può inviare in ogni periodo di 30 minuti, che è un'impostazione utile. Può prevenire abusi email e attacchi improvvisi ad alto volume da un singolo IP mittente.

Limitando quante email un indirizzo IP può inviare in un periodo di 30 minuti, il sistema può ridurre l'impatto di:

• Campagne di spam
• Raffiche di phishing
• Distribuzione di malware
• Account o server mittente compromessi
• Inondazione di email stile denial-of-service

Nella pagina Whitelist/Blacklist IP, possiamo bypassare la scansione per le email provenienti da indirizzi IP specifici o bloccarle direttamente.

Nelle Policy Regionali, possiamo applicare il blocco geografico o la whitelist. Possiamo anche bloccare o consentire le email in base alla lingua del contenuto.

Nelle Policy Destinatario, possiamo configurare regole di scansione o bypass in base all'indirizzo email del destinatario.

Barracuda fornisce anche policy simili per i mittenti. Possiamo applicare eccezioni in base al mittente.

C'è anche una dashboard dove possiamo definire eccezioni basate su controlli standard di sicurezza email come DMARC, DKIM e SPF.

Nelle Policy dei Contenuti, possiamo configurare se scansionare o bypassare le email in base al nome del file o al tipo di file. Possiamo anche definire regole di scansione o bypass basate sul contenuto del corpo del messaggio utilizzando espressioni regolari.

Barracuda fornisce Advanced Threat Protection come abbonamento aggiuntivo rispetto allo scanner antivirus standard. Advanced Threat Protection (ATP) è un servizio di scansione basato su cloud che analizza gli allegati email in un ambiente cloud sicuro per rilevare minacce che gli scanner antivirus standard potrebbero non individuare. Si applica ai messaggi in arrivo e supporta la maggior parte dei tipi di file MIME.

Ci sono tre modalità in ATP:

1. Consegna Prima, Poi Scansiona tenta di scansionare l'allegato in tempo reale mentre l'email arriva. Se la scansione si completa in tempo e viene rilevata una minaccia, l'email viene bloccata. Se la scansione non termina in tempo, l'email viene consegnata immediatamente senza attendere il risultato. La scansione continua in esecuzione in background e, se una minaccia viene trovata successivamente, il destinatario viene avvisato, ma l'email ha già raggiunto la sua casella di posta. Ciò significa che il destinatario potrebbe aprire un allegato infetto prima che la minaccia venga identificata.
2. Scansiona Prima, Poi Consegna scansiona l'allegato prima della consegna. Se viene rilevata una minaccia, l'email viene bloccata. Se è pulita, viene consegnata. Le email in attesa di scansione appaiono nel Registro Messaggi con "Scansione in Sospeso" come motivo. Se un messaggio rimane differito per più di quattro ore, viene messo in quarantena. Questa modalità è più sicura ma potrebbe ritardare la consegna.
3. Disabilitato: ATP è completamente disattivato.

Il compromesso chiave qui è tra velocità e sicurezza. "Consegna Prima" dà priorità alla velocità di consegna ma introduce una finestra di rischio. "Scansiona Prima" elimina quel rischio ma potrebbe ritardare o differire i messaggi con allegati.

Nella sezione Report, Barracuda crea report dettagliati sulla sicurezza email:

• Riepilogo traffico in entrata/uscita: Panoramica di tutta l'attività email in entrata e in uscita, suddivisa per differito, bloccato, in quarantena e consentito.
• Dettaglio email bloccate in entrata: Dettaglio dettagliato del perché le email in entrata sono state bloccate.
• Principali mittenti/destinatari email in entrata: Mostra i mittenti/destinatari più frequenti di email in entrata.
• Dettaglio principali mittenti bloccati in entrata: Elenca i mittenti le cui email sono bloccate più frequentemente, con motivazione.
• Dettaglio principali destinatari bloccati in entrata: Mostra i destinatari interni che sono più frequentemente presi di mira da email bloccate.
• Principali mittenti email in uscita: Panoramica degli utenti interni che inviano il volume più alto di email in uscita.
• Principali mittenti bloccati in uscita: Mostra gli utenti interni le cui email in uscita sono bloccate più frequentemente.

Inoltre, possiamo programmare report automatizzati, che è una funzionalità utile. Invece di accedere ripetutamente per controllare le dashboard, possiamo ricevere riepiloghi regolari di minacce, messaggi in quarantena, trend di spam, rilevamenti malware, tentativi di impersonificazione, azioni delle policy e rischio utente. I report programmati possono anche aiutare gli utenti a identificare modelli precocemente, come un aumento delle email di phishing, attacchi ripetuti contro utenti specifici o un aumento degli allegati dannosi bloccati.

Il menu Syslog a sinistra ci consente di inoltrare tutti questi record a un server di log di nostra scelta. Questa è una funzionalità utile per le integrazioni SIEM.

Nel complesso, il prodotto offre un'ampia gamma di funzionalità, ma ha prestazioni inferiori nel rilevamento delle minacce. Una parte significativa della configurazione è lasciata all'utente, sollevando la questione se il valore aggiunto giustifichi il sovraccarico, in particolare per le organizzazioni che utilizzano Google Workspace o il Centro Conformità di Microsoft 365.

Caratteristiche principali delle soluzioni di sicurezza email cloud

Le soluzioni di sicurezza email cloud analizzano il comportamento degli utenti, rilevano anomalie contestuali, automatizzano la risposta e la remediation delle minacce e si integrano con l'ecosistema di sicurezza più ampio. Le caratteristiche principali includono:

Rilevamento delle minacce basato sull'IA

I sistemi di sicurezza email cloud analizzano il contesto del messaggio, la cronologia del mittente e l'intento per segnalare attacchi di phishing e tentativi di impersonificazione che sembrano legittimi in superficie. Questo include l'identificazione di segni sottili come domini simili o modelli di orario insoliti.

Tracciando le abitudini di comunicazione normali, questi sistemi possono rilevare anomalie, come un dipendente finanziario che riceve improvvisamente richieste di pagamento urgenti da un nuovo mittente esterno. Questo approccio è particolarmente importante per rilevare la business email compromise (BEC), dove non c'è malware da scansionare e nessun evidente segnale di allarme.

Architettura di protezione a più livelli

Le piattaforme di sicurezza email cloud combinano più livelli di ispezione per catturare le minacce che sfuggono a un singolo controllo.

• L'analisi statica controlla gli indicatori noti, mentre il sandboxing dinamico osserva come si comportano gli allegati in un ambiente controllato.
• Anche l'ispezione degli URL gioca un ruolo chiave, specialmente per identificare link dannosi che si attivano dopo la consegna.
• I protocolli di autenticazione come SPF, DKIM e DMARC aiutano a convalidare l'identità del mittente, riducendo il rischio di spoofing.

Together, questi livelli creano un sistema in cui ogni componente compensa i limiti degli altri.

Protezione contro le minacce emergenti

Gli attaccanti si affidano sempre più all'inganno piuttosto che agli exploit tecnici. Le tattiche di ingegneria sociale sono progettate per fare pressione sugli utenti affinché prendano decisioni rapide, spesso imitando dirigenti o fornitori di fiducia.

Questo include campagne mirate come lo spear phishing, in cui i messaggi sono adattati a un individuo o ruolo specifico. Scenari più avanzati coinvolgono messaggi vocali deepfake o tentativi di frode sulle fatture.

Queste minacce avanzate non si basano su file dannosi. Sfruttano invece la fiducia, rendendo il rilevamento dipendente dal contesto e dall'intento piuttosto che dalle firme.

Rilevamento in tempo reale e risposta automatizzata

Una volta che un messaggio dannoso raggiunge una casella di posta, la finestra per i danni è limitata. I sistemi di sicurezza analizzano le email man mano che arrivano e agiscono immediatamente quando una minaccia è confermata.

L'automazione riduce il carico sui team di sicurezza rimuovendo i messaggi dannosi da tutte le caselle di posta interessate, anche dopo la consegna. Questo limita la diffusione di attacchi che si basano sull'inoltro interno o sulle catene di risposta.

I flussi di lavoro di risposta possono anche innescare azioni più ampie, come isolare gli account o aggiornare le regole di rilevamento in base a nuove informazioni.

Monitoraggio continuo e protezione post-consegna

Il filtraggio iniziale non cattura tutto. Le tecniche di attacco evolvono e alcune minacce vengono riconosciute dopo che emergono nuovi indicatori.

• Il monitoraggio continuo consente ai sistemi di rivisitare i messaggi consegnati e rimuovere le minacce appena identificate. Questo è critico per gli attacchi che utilizzano payload ritardati o consegna in più fasi.
• La remediation post-consegna garantisce che le email precedentemente non rilevate non rimangano nelle caselle di posta una volta classificate come dannose.

Continuità e resilienza dell'email

La sicurezza non riguarda solo il blocco delle minacce. Anche la disponibilità è importante. Se l'accesso all'email viene interrotto, le operazioni aziendali possono bloccarsi.

Le funzionalità di continuità basate su cloud forniscono l'accesso di backup durante le interruzioni e supportano il rapido ripristino di messaggi e account. Questo garantisce che l'email aziendale rimanga disponibile anche durante interruzioni del servizio o attacchi.

Capacità differenzianti delle piattaforme di sicurezza email cloud

Sicurezza incentrata sull'utente (livello umano)

Molti incidenti iniziano con un'azione dell'utente. Ecco perché le moderne piattaforme di sicurezza email includono strumenti che guidano il comportamento invece di affidarsi esclusivamente al filtraggio.

• I banner di avviso contestuali possono avvisare gli utenti quando un messaggio appare sospetto.
• Anche la formazione sta diventando più adattiva. Invece di simulazioni generiche, gli utenti ricevono indicazioni personalizzate in base ai loro modelli di interazione.

Sicurezza unificata e integrazione della piattaforma

L'email non esiste in isolamento. Fa parte di un ambiente più ampio che include endpoint, identità e applicazioni. L'integrazione con i sistemi di endpoint e identità consente risposte coordinate. Ad esempio, se un'email porta al furto di credenziali, il sistema può attivare azioni oltre la casella di posta.

Le dashboard centralizzate offrono ai team una visione più chiara della loro postura di sicurezza complessiva, riducendo la cattiva comunicazione tra gli strumenti.

Protezione dei dati, crittografia e conformità

L'email spesso trasporta contratti, dettagli finanziari e altri dati sensibili. Proteggere queste informazioni richiede più del semplice rilevamento delle minacce.

• La crittografia garantisce che i messaggi rimangano privati in transito e a riposo. Le policy di data loss prevention aiutano a prevenire la condivisione non autorizzata, sia accidentale che intenzionale.
• Le funzionalità di conformità supportano i requisiti normativi, inclusi audit trail e policy di conservazione. Questo è particolarmente rilevante per le organizzazioni che operano oltre confine e gestiscono dati soggetti a rigide regole legali o specifiche del settore.

Scopri altri nostri benchmark e approfondimenti basati sui dati nella Ricerca Google.

Aggiungi come fonte preferita

Metodologia del benchmark della sicurezza email cloud

Abbiamo confrontato tre prodotti di sicurezza email: Acronis Advanced Email Security (basato su Perception Point), Sophos Email Security e Barracuda Email Protection.

Il benchmark ha incluso 100 test end-to-end e ha seguito quattro principi.

1. Guidato dalla copertura: Ogni test corrisponde a una capacità che il fornitore dichiara pubblicamente di fornire.
2. Ponderato per difficoltà: Mancare un semplice test da 1/10 segnala una grave lacuna del prodotto. Mancare un test da 9/10 è più comprensibile perché quei casi riflettono problemi di rilevamento di livello esperto. Il metodo di punteggio separa questi casi invece di trattare tutte le mancanze allo stesso modo.
3. Riproducibile: Il benchmark viene eseguito con un harness di test PHP autonomo e controllato da una suite di verifica separata. Prima che qualsiasi email di test venga inviata, il verificatore esegue più di 1.800 controlli per confermare che i payload di test siano completi, validi e correttamente configurati.
4. Etico: I test malware utilizzano la stringa di test antivirus EICAR. Gli URL di phishing puntano a infrastrutture canary inerti o inesistenti. Tutte le caselle di posta di test sono di proprietà del team di test.

Abbiamo selezionato i test in modo che le dichiarazioni pubbliche di ciascun fornitore fossero esercitate almeno una volta. La priorità era testare le minacce che tutti e tre i fornitori dichiarano di rilevare, il che mantiene il confronto diretto equo. Abbiamo anche incluso un numero minore di casi specifici del fornitore dove erano rilevanti. Ad esempio, il dirottamento delle conversazioni è una dichiarazione fondamentale di Barracuda, il rilevamento del phishing con codici QR è esplicitamente dichiarato da Acronis Advanced Email Security e gli attacchi GenAI in stile deepfake sono più spesso promossi dai fornitori IA-first.

Il benchmark è organizzato in undici categorie. Ogni categoria testa un diverso meccanismo di rilevamento. Il numero di test è mostrato tra parentesi, con 100 test in totale.

Categoria A: Spam (9 test)

Questa categoria copre annunci farmaceutici di massa, email di pump-and-dump di criptovalute, truffe della lotteria, prestiti a breve termine, messaggi di apertura di piattaforme di incontri e cold outreach B2B SEO.

La maggior parte dei test in questa categoria sono intenzionalmente facili. Due test, il marketing graymail e il cold outreach B2B, si avvicinano al confine dei falsi positivi perché un filtraggio aggressivo può bloccare email aziendali legittime.

Categoria B: Malware noto utilizzando la stringa di test EICAR (9 test)

Questa categoria testa la consegna EICAR attraverso formati di allegati comuni e annidati:

• Allegato .txt semplice,
• ZIP normale,
• ZIP protetto da password con la password inclusa nel corpo dell'email,
• ZIP annidato all'interno di un altro ZIP,
• EICAR con estensione .exe per testare la gestione della discrepanza tra estensione e contenuto,
• .tar.gz, archivio ricorsivo a tre livelli,
• .gz a singolo file senza wrapper tar,
• EICAR con quattro kilobyte di dati spazzatura anteposti per testare la tolleranza dell'offset.

Questi test esercitano il disimballaggio degli archivi, il supporto dei formati e l'estrazione delle password dal corpo dell'email. Queste sono capacità di base per i moderni gateway email.

Categoria C: Tipi di file vettore (10 test)

Questa categoria testa i formati di file comunemente utilizzati per trasportare o innescare comportamenti dannosi. Il set include:

• PDF con JavaScript incorporato e un trigger OpenAction,
• HTML smuggling utilizzando URL.createObjectURL su un blob codificato in Base64,
• SVG con uno script onload e XHR remoto,
• Collegamento Windows .lnk con un payload PowerShell nel blocco degli argomenti,
• File poliglotta PDF/ZIP,
• HTML Application .hta con VBScript,
• Dropper JavaScript di Windows Script Host utilizzando XMLHTTP e ADODB.Stream,
• Immagine ISO 9660 contenente EICAR,
• File Internet Shortcut .url,
• File Excel Internet Query .iqy.

Questa è una delle categorie più discriminanti perché i risultati dei prodotti variano ampiamente tra questi tipi di vettore.

Categoria D: Phishing URL (10 test)

Questa categoria misura l'analisi degli URL attraverso link diretti, redirect, offuscamento e posizioni al di fuori del corpo. Include:

• URL di phishing diretto su un TLD sospetto,
• Destinazione abbreviata con Bitly,
• Catena di redirect multi-hop attraverso l'open redirector di Google e t.co,
• Omoglifo IDN punycode utilizzando la "а" cirillica in раypal.com,
• URL nascosto in HTML utilizzando caratteri a larghezza zero e testo bianco di un pixel,
• URL presente all'interno di un'annotazione PDF,
• URI contenente HTML codificato in Base64 con un link di phishing,
• URL estremamente lungo con l'host reale nascosto nella stringa di query,
• Parametro di open-redirect su un host dall'aspetto legittimo,
• URL cache Google AMP che nasconde la destinazione di phishing dietro google.com/amp/s/.

Categoria E: Phishing con codici QR (8 test)

Questa categoria testa se i prodotti possono estrarre e ispezionare gli URL di phishing nascosti all'interno dei codici QR. Il set include:

• Codici QR PNG in linea per la ri-registrazione MFA,
• Firma DocuSign,
• Accesso alla busta paga,
• Avviso di ri-consegna della spedizione
• Accesso alla segreteria telefonica
• Ripristino 2FA bancario.

Include anche varianti di evasione: un codice QR incorporato all'interno di un PDF senza contenuto QR nel corpo dell'email, un codice QR consegnato come immagine avvolta in SVG e un codice QR impostato come data URI di background-image CSS invece di un tag <img>.

Questi casi testano se lo scanner esamina le immagini al di fuori dei contenitori HTML più ovvi.

Categoria F: Impersonificazione di marchi e domini (9 test)

Questa categoria testa l'impersonificazione di mittente, dominio, marchio e header e include:

• Spoofing del nome visualizzato da un account Gmail generico,
• Dominio typosquat utilizzando m1crosoft-account.com,
• Omoglifo IDN punycode per Apple
• Abuso di sottodominio attraverso microsoft.support-team-portal.tk
• Imitazione del brand-kit Microsoft utilizzando il logo reale e lo stile Segoe UI
• Discordanza tra l'header Sender e From
• Impersonificazione di una banca locale
• Typosquatting di un'azienda di eCommerce
• Injection dell'header Authentication-Results dove l'attaccante aggiunge valori contraffatti spf=pass, dkim=pass e dmarc=pass al messaggio.

L'ultimo caso testa se i parser a valle si fidano degli header di autenticazione forniti dall'attaccante invece di convalidare i risultati effettivi a monte.

Categoria G: BEC e spear phishing senza payload (9 test)

Questa categoria si concentra sull'ingegneria sociale senza allegati o link dannosi e include:

• Richiesta di bonifico bancario del CEO inviata da un account Gmail,
• Pretesto di Vendor Email Compromise per cambio coordinate bancarie,
• Reindirizzamento dello stipendio self-service del dipendente,
• Truffa di carte regalo online da un impersonatore del CFO
• Dirottamento di conversazione utilizzando un oggetto Re:Re: e header In-Reply-To contraffatti,
• Richiesta di prove riservate da uno studio legale falso,
• Contatto da un head-hunter esterno con un curriculum allegato,
• Pretesto di takeover dell'autenticazione a due fattori di WhatsApp,
• Pretesto di insider M&A che combina linguaggio di riservatezza con urgenza.

Categoria H: Estorsioni e truffe (9 test)

Questa categoria copre modelli comuni di truffe ed estorsioni. I test includono:

• Email che utilizza una vecchia password trapelata,
• Fattura falsa con un link di pagamento dannoso in un PDF,
• Lettera di commissione anticipata,
• Minaccia di confisca dall'autorità fiscale,
• Estorsione DDoS contro un sito web,
• Falso avviso di blocco iCloud Apple con un link di sblocco,
• Truffa delle spese doganali del corriere
• Estorsione di doxing,
• Truffa del parente bloccato alla dogana.

Categoria I: Phishing di qualità GenAI (10 test)

Questa categoria testa email di phishing raffinate che rimuovono gli indizi ovvi su cui i sistemi più vecchi spesso fanno affidamento. Il set include:

• Email di ri-verifica dell'helpdesk IT con passaggi strutturati e un pulsante del marchio,
• Falso pre-read per il consiglio di amministrazione con linguaggio di riservatezza e un link allo spazio di lavoro,
• Aggiornamento della policy del tenant Microsoft 365 che richiede il ri-consenso entro sette giorni,
• Richiesta di firma elettronica del Codice di Condotta HR,
• Follow-up di customer success dopo una riunione fittizia,
• Impersonificazione di un riepilogo della riunione,
• NDA legale da una controparte fittizia,
• Avviso critico CVE in stile CISO,
• Anteprima degli utili per le relazioni con gli investitori con linguaggio di embargo,
• Risolutore di conflitti di calendario che richiede un accesso SSO una tantum.

Ogni email in questa categoria è stata scritta per leggersi come un messaggio aziendale competente in inglese nativo. I test evitano deliberatamente i vecchi segni rivelatori di phishing come grammatica scorretta, frasi goffe ed evidenti discrepanze di marchio.

Categoria J: Tecniche di evasione (9 test)

Questa categoria testa l'offuscamento che può rompere l'ispezione superficiale dei contenuti e include:

• Caratteri Unicode a larghezza zero all'interno di parole trigger,
• Bypass OCR dove l'intero messaggio di phishing è renderizzato come PNG senza testo del corpo scansionabile,
• Carattere di override da destra a sinistra nel nome di un file allegato,
• Nome file a doppia estensione,
• Attacco nascosto tramite CSS dove il testo visualizzato appare benigno mentre il DOM contiene il contenuto di phishing,
• Oggetto con parola codificata RFC 2047,
• URL con caratteri codificati in esadecimale nell'host,
• Omoglifo nell'oggetto utilizzando la "е" cirillica per la "e" latina,
• URL nascosto in un attributo HTML data-* e recuperato al momento del clic da JavaScript in linea.

Categoria K: Set di controllo e test dei falsi positivi (8 test)

Il set di controllo contiene email aziendali legittime che dovrebbero passare senza avvisi e include:

• Notifiche del team interno,
• Note spese mensili,
• Follow-up di riunioni,
• Riepiloghi settimanali,
• File ZIP protetti da password utilizzati per la condivisione interna legittima,
• Promemoria di formazione,
• Avvisi di manutenzione IT,
• Email di pianificazione one-on-one.

Qualsiasi prodotto che segnala uno di questi messaggi riceve una penalità per falso positivo.

Architettura a due mittenti

Molti test di sicurezza email trascurano una distinzione importante tra attacchi guidati dal contenuto e attacchi guidati dall'identità del mittente. Alcune minacce sono pericolose a causa del corpo del messaggio o degli allegati, indipendentemente da chi le invia. Altre sono pericolose perché l'email afferma di provenire da qualcuno che non rappresenta. Queste due classi richiedono configurazioni di invio diverse.

Abbiamo diviso il benchmark in due gruppi di mittenti.

• Gruppo L, Legittimo, 38 test: Queste email vengono inviate da un servizio SMTP autenticato. SPF, DKIM e DMARC sono allineati correttamente per il dominio di invio. Il nome visualizzato cambia a seconda del test, come Finanza, Helpdesk IT o il nome reale del tester, ma l'indirizzo From rimane l'indirizzo del mittente autenticato.
  • Il Gruppo L viene utilizzato per le categorie guidate dal contenuto: K, B, C, J e i due test di phishing URL, dove l'URL è la minaccia indipendentemente dal mittente.
• Gruppo S, Spoof, 62 test: Queste email vengono inviate attraverso un relay SMTP permissivo che non applica l'allineamento del dominio From. L'indirizzo From è quello specificato dal caso di test, quindi l'allineamento SPF e DMARC fallisce per progettazione.
  • Il Gruppo S viene utilizzato per le categorie guidate dall'identità del mittente: A, la maggior parte di D, E, F, G, H e I.

Questa divisione riflette il comportamento reale degli attaccanti. Gli operatori di phishing spesso utilizzano server virtuali economici e domini usa e getta perché i servizi SMTP cloud mainstream, come Gmail, Office 365 e AWS SES, con domini verificati, impediscono l'invio di posta con un header From disallineato.

Figura 1: Figura che mostra come funziona un server relay SMTP. Un server relay SMTP è un server di posta di terze parti che riceve email da un mittente e le inoltra ai server destinatari al di fuori del dominio del provider di posta del mittente.

Ponderazione della difficoltà

Ogni test ha una valutazione di difficoltà da 1 a 10. La valutazione indica quanto un prodotto di sicurezza email competente dovrebbe trovare difficile il test.

• Da 1 a 2, banale: Queste sono firme da manuale senza alcun offuscamento significativo. Mancarle indica una lacuna di rilevamento fondamentale. Esempi sono lo spam farmaceutico, EICAR semplice in uno ZIP e una lettera nigeriana 419.
• Da 3 a 4, ben noto: Questi sono modelli familiari che i prodotti moderni dovrebbero catturare. Esempi includono JavaScript in PDF, sextortion con password trapelata e spoofing del nome visualizzato del CEO.
• Da 5 a 6, intermedio: Questi casi richiedono un'analisi più forte, come IA moderna, sandboxing o visione artificiale, inclusi HTML smuggling, URL omoglifi IDN e phishing con codici QR in linea.
• Da 7 a 8, avanzato: Questi sono casi limite che i prodotti più forti gestiscono costantemente, come poliglotti PDF/ZIP, catene di redirect multi-hop, impersonificazione visiva del brand-kit e attacchi di bypass OCR solo immagine.
• Da 9 a 10, esperto: Questi sono casi veramente difficili dove catturarli è un ottimo risultato e mancarli è comune in tutto il settore. Esempi includono il dirottamento di conversazioni con thread contraffatti, un follow-up di customer success di qualità GenAI e una NDA legale falsa da una controparte precedentemente sconosciuta.
• Test di controllo: I messaggi della categoria K dovrebbero passare. Qualsiasi rilevamento in questa categoria conta come falso positivo.

Le medie delle categorie seguono la curva di difficoltà prevista: A spam media 2,2/10, B EICAR media 2,8/10, H estorsione media 3,8/10, C file vettore media 5,0/10, F impersonificazione di marchi e J evasione media 5,6/10, D phishing URL media 5,8/10, E phishing con codici QR media 6,8/10, G BEC media 6,8/10 e I phishing GenAI media 8,2/10.

Punteggio del benchmark

Ogni prodotto riceve uno dei cinque verdetti per test:

• BLOCK: Il messaggio viene messo in quarantena o respinto (2 punti).
• WARN: Il prodotto inietta un banner, invia l'email alla posta indesiderata o rimuove l'allegato (0,5 punti).
• LATE: Il messaggio viene prima consegnato, poi rimosso post-consegna (1 punto).
• MISS: Il messaggio raggiunge la casella di posta senza avviso (0 punti).
• FP: Un messaggio del set di controllo viene erroneamente segnalato (penalità di -2 punti).

Il tasso di rilevamento è calcolato come punti totali divisi per il punteggio massimo possibile per i test di attacco, quindi espresso in percentuale. Il punteggio massimo possibile è uguale al numero di test di attacco moltiplicato per due.

Il tasso di falsi positivi è riportato separatamente. Un prodotto che raggiunge il 90% di rilevamento bloccando la posta legittima pone più rischi operativi di uno che raggiunge l'80% di rilevamento senza falsi positivi.

Riproducibilità e strumentazione

Il benchmark viene eseguito da un singolo script PHP autonomo. Lo script costruisce 100 messaggi MIME in memoria con un builder multipart personalizzato. Genera i payload localmente, inclusi ZIP, ZIP crittografati AES-256, file tar.gz, file .gz a singolo file, PDF con azioni JavaScript, campioni di HTML smuggling, file SVG con JavaScript onload, file Windows .lnk con il CLSID Shell Link corretto e blocco argomenti UTF-16LE e un'immagine disco ISO 9660 minima.

Lo script invia ogni test attraverso il percorso SMTP corretto in base al suo gruppo di mittenti.

Ogni messaggio include header di traccia: X-Bench-Id, X-Bench-Run, X-Bench-Product, X-Bench-Category, X-Bench-Case e X-Bench-Group. Questi header rendono ogni test tracciabile attraverso caselle di posta, console di quarantena e log di prodotto.

Un harness di verifica separato esegue più di 1.800 controlli di integrità prima della trasmissione. Convalida che ogni test abbia i campi richiesti, ogni valutazione di difficoltà sia all'interno di [1, 10] o zero per i controlli, e che EICAR sia presente e recuperabile da ogni allegato della categoria B, inclusi archivi protetti da password e triplamente annidati.

Il verificatore controlla anche che i PDF contengano header %PDF- validi e marcatori %%EOF, i PNG contengano firme valide e chunk IEND, gli SVG vengano parsati come XML ben formato, il file LNK abbia il CLSID Shell Link corretto e la stringa di argomento PowerShell prevista, il Descrittore del Volume Primario ISO 9660 appaia al settore 16 con la firma \x01CD001 corretta e l'inferenza di gruppo corrisponda alla divisione documentata tra Gruppo L e Gruppo S.

Un terzo script elabora i CSV per prodotto dopo l'inserimento manuale dei verdetti. Produce un report comparativo con una tabella dei verdetti affiancata per test, tassi di rilevamento per categoria, punteggi totali, percentuali del tasso di rilevamento, conteggi di falsi positivi e tre sotto-tabelle forensi:

1. casi banali ma mancati, definiti come difficoltà ≤ 2 con almeno un MISS
2. casi ad alta difficoltà eppure catturati, definiti come difficoltà ≥ 8 con almeno un BLOCK
3. tutti gli incidenti di falsi positivi

Vincoli etici e operativi

Nessun malware reale è stato creato o trasmesso. Gli allegati dannosi utilizzano la stringa di test antivirus EICAR, un documento di test di 68 caratteri definito dall'European Institute for Computer Antivirus Research, o dimostratori benigni. Esempi includono un PDF il cui JavaScript chiama app.alert, una pagina HTML che utilizza URL.createObjectURL sulla stringa EICAR e un SVG il cui onload chiama un endpoint inesistente.

Nessuna infrastruttura di phishing attiva è stata utilizzata. Gli URL di test si risolvono in una delle tre destinazioni sicure: il TLD riservato .invalid definito nella RFC 2606, domini .tk segnaposto sotto il nostro controllo che restituiscono un 404 o host parodia come m1crosoft-account.com e xn--pple-43d.com registrati per il benchmark e che non servono alcun contenuto.

Nessuna pagina di raccolta credenziali è stata distribuita. Tutte le caselle di posta di test sono di proprietà e monitorate dal team di test. Le credenziali SMTP sono limitate al benchmark e ruotate dopo ogni coinvolgimento.

Limitazioni del benchmark della sicurezza email

Abbiamo escluso diverse categorie perché richiedono infrastrutture o condizioni che vanno oltre un benchmark una tantum:

• Time-of-click URL flipping: Questo attacco consegna un URL che appare benigno al momento della consegna e successivamente reindirizza a una destinazione di phishing. Testarlo richiederebbe un server HTTP stateful che muta il suo contenuto, più un'azione di clic lato utente.
• Account takeover e phishing laterale: Questo richiederebbe il controllo di una casella di posta interna, che era al di fuori della configurazione del benchmark.
• Malware dinamico sandbox-aware: Veri campioni polimorfici che rilevano la virtualizzazione ed evitano la detonazione sono stati esclusi per motivi etici.
• Pagine di destinazione di phishing-kit attive: Tutti gli URL si risolvono in host inerti. Il benchmark non testa l'esperienza post-clic.

Il mittente del Gruppo S richiede un relay SMTP che consenta header From disallineati. I servizi SMTP cloud di solito rifiutano questi test a livello di rete. Quando un relay permissivo non è disponibile, il benchmark degrada al Gruppo L, che lascia 38 test guidati dal contenuto.

FAQ

Cita questa ricerca

Scegli il formato adatto a dove pubblicherai. Incollare la versione con link nel tuo CMS preserva il backlink.

@misc{dogan2026,
  author = {Dogan, Sedat},
  title  = {{Soluzioni di Sicurezza Email: Acronis, Sophos & Barracuda}},
  year   = {2026},
  month  = jun,
  howpublished    = {\url{https://aimultiple.com/email-security-solutions}},
  note   = {AIMultiple. Consultato il 22 Giugno 2026}
}

Sedat Dogan

CTO

Segui

Sedat è un leader nel settore della tecnologia e della sicurezza informatica, con esperienza nello sviluppo software, nella raccolta di dati web e nella sicurezza informatica. Sedat: - Ha 20 anni di esperienza come hacker etico e guru dello sviluppo, con una vasta competenza nei linguaggi di programmazione e nelle architetture server. - È consulente di dirigenti di alto livello e membri del consiglio di amministrazione di aziende con operazioni tecnologiche ad alto traffico e di importanza critica, come le infrastrutture di pagamento. - Possiede una solida competenza commerciale oltre alla sua competenza tecnica.

Visualizza il profilo completo

Sii il primo a commentare

Il tuo indirizzo email non verrà pubblicato. Tutti i campi sono obbligatori. I commenti vengono lasciati nella loro lingua originale.

Nome

Indirizzo e-mail

Commento

0/450

Pubblica un commento