Soluzioni di sicurezza email: Acronis Email Security e Sophos

L'email è uno dei principali punti di ingresso per gli attacchi informatici e le protezioni integrate non sono più sufficienti a gestire le minacce mirate. Abbiamo testato tre piattaforme di sicurezza email cloud (Acronis Email Security, Sophos Email Security e Barracuda Email Protection) con 100 test in 11 categorie di minacce.

Risultati del benchmark delle soluzioni di sicurezza email cloud

Leggi la metodologia del benchmark delle soluzioni di sicurezza email per scoprire come abbiamo testato questi strumenti e misurato i risultati.

Confronto delle soluzioni di sicurezza email in base alle categorie di verdetto

Acronis Email Security

• Acronis ha il punteggio di rilevamento complessivo più alto (122/200) ed è il più efficace contro il phishing GenAI al 100%. Tutti e dieci i pretesti aziendali curati sono stati bloccati, inclusi falsi pre-read per il consiglio, flussi di ri-consenso Microsoft 365 e NDA legali fittizi.
  • Questa era la categoria più difficile del benchmark, con una difficoltà media di 8.2/10. Catturarli tutti e dieci suggerisce che Acronis ha gestito bene gli indizi di phishing semantici e contestuali in questo benchmark, invece di affidarsi esclusivamente a segnali evidenti di grammatica o formattazione.
• Anche la Categoria F e la Categoria D supportano questo quadro: Acronis ha ottenuto 89% nell'imitazione di brand/dominio e 90% nel phishing URL, incluso un BLOCCO nel test di iniezione dell'header authentication-results. I risultati aggregati suggeriscono una gestione solida dei casi di impersonificazione e analisi URL.
• Il record pulito di falsi positivi è significativo a livello operativo. Nessuno degli otto messaggi di controllo è stato bloccato, il che significa che il tasso di rilevamento del 61% non comporta costi compensativi in termini di perdita di posta legittima.
• I punti negativi si concentrano nei livelli di difficoltà più bassi. Lo spam di base (Categoria A, 44%) è inferiore rispetto ad altri strumenti, con mancati rilevamenti di spam farmaceutico, truffe della lotteria e una truffa romantica di base ai livelli di difficoltà da 1 a 2. Il divario suggerisce che Acronis dà priorità agli attacchi sofisticati rispetto al traffico massivo e a basso sforzo.

Sophos Email Security

• Sophos ha il secondo punteggio complessivo più alto (105.5/200). Ha ottenuto il 100% nella Categoria B (varianti di malware EICAR), intercettando ogni variante di annidamento di archivi, ZIP protetti da password e test di tolleranza dell'offset.
• I punti deboli più evidenti di Sophos sono il phishing URL (Categoria D, 58%) e le tecniche di evasione (Categoria J, 22%). Il divario nel phishing URL è notevole perché i link sono tra i meccanismi di distribuzione del phishing più comuni e la Categoria D testa diversi modi realistici in cui gli attaccanti li nascondono o li instradano.
• Il punteggio di 58% di Sophos, rispetto al 90% di Acronis, suggerisce che il suo livello di analisi URL è stato meno coerente tra redirect, offuscamento e posizionamenti URL fuori dal corpo.

Barracuda Email Protection

• Il punteggio di rilevamento di 60/200 di Barracuda è inferiore rispetto agli altri due prodotti. La Categoria I (phishing GenAI) ha restituito un rilevamento dello 0%, e la Categoria A (Spam: 33%) ha il punteggio più basso tra i concorrenti. Ciò suggerisce che Barracuda è stato meno efficace in questa configurazione contro gli scenari di spam, phishing GenAI e ingegneria sociale del benchmark.
• La Categoria B (rilevamento di malware noti tramite stringhe di test EICAR, 89%) e la Categoria C (tipi di file vettore come PDF con JavaScript incorporato, HTML smuggling e collegamenti LNK, 70%) sono competitive rispetto ad altri fornitori.
• I risultati di Barracuda nella Categoria J (tecniche di evasione, 44%) mostrano il migliore dei tre fornitori. Ciò suggerisce che il motore sottostante di ispezione dei contenuti può gestire ragionevolmente bene funzionalità come caratteri a larghezza zero, oggetti codificati e omoglifi.
• I punti deboli sono più evidenti nelle categorie che contano di più per la protezione moderna dalle minacce. Il phishing tramite QR code (Categoria E, 13%), l'imitazione del brand (Categoria F, 11%), la BEC (Categoria G, 11%) e l'estorsione (Categoria H, 22%) sono tutte ben al di sotto del confronto.
• Negli undici test di livello difficile, Barracuda ne ha bloccato uno e ha mancato i restanti dieci.

Le 3 migliori soluzioni di sicurezza email cloud

Acronis Email Security analisi dettagliata

Acronis Cyber Protect

Email Security console

Quando selezioniamo Acronis Email Security dal menu a sinistra nell'interfaccia Acronis Cyber Protect Cloud, vediamo la schermata seguente. Quindi clicchiamo per accedere alla console Email Security.

Poiché non abbiamo ancora completato alcuna configurazione, la nostra dashboard mostra le voci di menu:

• Incidenti: Incidenti di sicurezza rilevati e attività di attacco.
  • Risposta agli incidenti: Strumenti per indagare e rispondere agli incidenti.
  • Traffico: Visibilità sui modelli di traffico email o web scansionati.
  • Report periodici: Report pianificati di sicurezza e protezione.
• Operazioni di sicurezza: Controlli operativi di sicurezza e strumenti di monitoraggio.
• Configurazione rilevamento: Configurazione per regole di rilevamento, scansione e impostazioni di protezione.

Dal menu Impostazioni a sinistra, andiamo su Risorse email protette.

Poiché non ci sono ancora risorse, il sistema ci reindirizza al flusso di configurazione. Clicchiamo su Configura protezione email. Il sistema ci chiede un indirizzo email di escalation per segnalare problemi e quale servizio email utilizziamo.

Acronis Cyber Protect

Email service configuration

Per questo test, procederemo con un fornitore personalizzato tramite MX. Lo facciamo per confrontare direttamente i fornitori, senza essere influenzati dalle protezioni integrate di Microsoft 365 o Google Workspace.

Selezioniamo il servizio email e scegliamo il metodo di connessione Inline. Ciò significa che Acronis scansiona e blocca le email dannose prima che vengano consegnate.

Aggiungiamo anche un contatto di escalation che Acronis può utilizzare per problemi di account takeover, sicurezza o connessione. Il passo successivo è abilitare l'app Google Workspace, che supporta onboarding, conteggio preciso degli utenti per la fatturazione e azioni di rimedio, come la rimozione di email dannose consegnate per errore.

Aggiungiamo il dominio connesso, aimultiple.com, e il sistema recupera automaticamente i record MX.

Impostiamo inoltre il metodo di calcolo delle licenze su «Secondo i posti dichiarati» e inseriamo 100 posti. Dopo queste impostazioni, procediamo con Avanti per continuare la configurazione MX.

Il sistema ci chiede di aggiungere un record TXT per verificare la proprietà del dominio. Aggiungiamo il record e attendiamo la verifica.

Possiamo anche gestire i server di destinazione SMTP configurati, confermare che TLS sia abilitato e utilizzare l'azione Verifica per verificare che il record TXT sia stato pubblicato correttamente. Questa pagina ci consente inoltre di modificare le impostazioni del server e TLS o di eliminare il dominio se necessario.

Abbiamo inviato un totale di 100 email che potevano essere considerate dannose o spam. La dashboard ora mostra statistiche come quante email sono state scansionate, quante sono state classificate come spam, quante come dannose e quante sono state ricevute per tipo di attacco. C'è anche una statistica che mostra quali indirizzi email sono stati attaccati più frequentemente.

Nel menu Scansioni possiamo vedere le statistiche di scansione per tutte le email in arrivo. Anche la suddivisione per tipo di file è un dettaglio utile. Inoltre, in tutta l'applicazione possiamo regolare l'intervallo di date facendo clic su Ultimo giorno in cima alla pagina.

Il filtraggio nella sezione Scansioni è estremamente dettagliato. Ecco alcune opzioni:

• Indirizzo mittente/dominio/IP: Gli indicatori primari per identificare mittenti dannosi o contraffatti.
• Nome visualizzato contraffatto: Colpisce direttamente una delle tecniche di phishing più comuni, in cui il nome visibile sembra legittimo ma l'indirizzo reale non lo è.
• Indirizzo di risposta: Un altro importante campanello d'allarme di phishing. Quando l'indirizzo di risposta differisce dall'indirizzo del mittente, spesso segnala un tentativo di reindirizzare le risposte verso una casella controllata dall'attaccante.
• Azione (quarantena/consegnato): Essenziale per capire se una minaccia è stata intercettata o ha raggiunto il destinatario.
• Oggetto: Per identificare campagne di phishing che utilizzano righe di oggetto identiche o quasi identiche su più bersagli.
• Indirizzo del destinatario: Critico per determinare la portata di un attacco. Mostra quanti utenti sono stati presi di mira e se tra loro c'erano figure di alto valore (dirigenti, finanza).
• Payload (allegati/URL): Restringe la ricerca alle email che trasportano i meccanismi di distribuzione di malware più comuni.

Quando andiamo su Operazioni di sicurezza dal menu a sinistra, raggiungiamo la sezione Scansioni. Da questa schermata possiamo accedere ai dettagli relativi alle scansioni. Tutte le scansioni sono elencate qui e possiamo anche vedere le categorizzazioni risultanti, come pulito, spam e dannoso.

Quando apriamo i dettagli di un'email, possiamo vedere come il sistema l'ha valutata e il suo stato attuale. Possiamo anche cambiare il suo stato in:

• Approva verdetto (Gestisci): Accetta il verdetto attuale ed elabora l'email di conseguenza.
• Contrassegna email come limitata: Classifica l'email come limitata o in violazione delle policy.
• Contrassegna email come Spam: Classifica l'email come indesiderata o non sollecitata.
• Contrassegna email come Sospetta: Segnala l'email come potenzialmente rischiosa e che richiede cautela.
• Contrassegna email come Pulita (FP): Segnala l'email come sicura e indica che si è trattato di un falso positivo.

La visualizzazione qui sotto è la visualizzazione compatta. Quando facciamo clic sulla scheda Dettagliata nell'angolo in alto a destra, possiamo vedere molti dettagli aggiuntivi.

Nella visualizzazione compatta possiamo vedere i dettagli di scansione di un'email di phishing dannosa messa in quarantena da Acronis. Include una panoramica generata dall'IA che spiega perché l'email è considerata dannosa e mostra indicatori come un dominio mittente sospetto, comportamento di email bombing e un URL rischioso. Nella sezione Dettagli possiamo verificare canale, azione intrapresa, ora di scansione, tempo di elaborazione, organizzazione e stato IR.

Acronis Cyber Protect

Scan details compact view

Nell'Email Inspector possiamo esaminare i metadati del messaggio, inclusi oggetto, mittente, destinatario, ora, percorso di ritorno e IP di origine. Viene visualizzato anche il corpo dell'email, così possiamo valutare direttamente il tentativo di ingegneria sociale.

I criteri di valutazione degli incidenti sono chiari e trasparenti. Per un incidente possiamo anche fare clic sul pulsante Richiedi indagine, selezionare «Penso che questa email sia pulita» e inviarla al team Acronis per la revisione. Possiamo visualizzare le scansioni precedenti relative alla stessa email.

Con il pulsante Screenshot possiamo vedere la versione renderizzata dell'email, una funzionalità utile. Da notare che il sistema non renderizza l'email come HTML nel browser, quindi eventuali vulnerabilità non rilevate nell'email non possono innescare una violazione durante la revisione.

Le azioni utente osservate in questo test erano disponibili nel registro di audit dal menu a sinistra. Alcuni di questi record sono:

• Guarda screenshot delle scansioni
• Gestisci scansione
• Azione UI

Ogni registro registra timestamp, azione, descrizione, admin o team, organizzazione target e l'email o l'oggetto target correlato.

In Configurazione rilevamento nel menu a sinistra possiamo gestire in dettaglio le liste consentite e bloccate, una funzionalità molto utile:

• Allowlist mittente indirizzo email/dominio: Le email provenienti da indirizzi o domini presenti in questa lista sono sempre attendibili e bypassano i filtri anti-spam/minacce. Può essere utile per inserire nella whitelist partner noti o sistemi interni che altrimenti potrebbero generare falsi positivi.
• Allowlist indirizzo email destinatario: Specifica gli indirizzi destinatari interni che devono ricevere tutta la posta in entrata senza filtraggio. Garantisce che determinati utenti (ad esempio una casella catch-all) ricevano sempre le email, anche da mittenti sconosciuti.
• Blocklist mittente indirizzo email/dominio: Le email provenienti da indirizzi o domini in questa lista vengono automaticamente rifiutate o messe in quarantena. Può essere usata per bloccare in modo permanente fonti di spam note, domini dannosi o mittenti massivi indesiderati.
• Allowlist IP mittente: I server di posta con IP in questa lista sono considerati attendibili e le loro email saltano i controlli di reputazione basati su IP. Può essere usata per servizi di posta di terze parti attendibili o relay di posta on-premise.
• Blocklist IP mittente: Le connessioni da questi IP vengono bloccate, indipendentemente dall'indirizzo del mittente. Può essere efficace contro server di posta dannosi noti o infrastrutture compromesse.

• Allowlist URL: I link che corrispondono a questi URL o domini nei corpi delle email sono considerati sicuri e non verranno segnalati.
• Blocklist URL: Le email che contengono questi URL vengono segnalate, bloccate o messe in quarantena.
• Allowlist hash: Gli allegati di file che corrispondono a questi hash crittografici sono trattati come sicuri e passano senza avvisi di scansione.
• Blocklist hash: Gli allegati il cui hash corrisponde a una voce in questa lista vengono bloccati immediatamente. Ciò fornisce un blocco preciso e basato su firma dei file dannosi noti, anche se rinominati o camuffati.

Alcune funzionalità che vale la pena menzionare, ma che non abbiamo testato specificamente, sono:

Sotto configurazione rilevamento:

• Threat intelligence: Estrae indicatori da fonti esterne di threat intelligence. Questa funzionalità aiuta a intercettare malware commodity diffusi, URL dannosi e campagne di attacco attive.
• Banner: Aggiunge banner personalizzabili alle email in arrivo in base a policy e regole.
• Utenti VIP: Consente agli amministratori di mantenere un elenco di utenti di alto valore (dirigenti, personale finanziario, ecc.).

Sotto operazioni di sicurezza:

Account Takeover (ATO): rileva segnali di caselle di posta Microsoft 365 compromesse.

Il motore segnala regole sospette della casella di posta (inoltrate, reindirizzate, spostate o eliminate), accessi con spostamenti impossibili e accessi da posizioni o dispositivi non familiari. Quando rileva uno di questi segnali, apre un caso nella console e il team di risposta agli incidenti contatta l'amministratore per indagare insieme.

Sophos Email Security analisi dettagliata

Sophos Secure Email Gateway

Account activation

Per iniziare con Sophos, creiamo un link di prova e veniamo indirizzati alla schermata seguente. Similmente a Barracuda, Sophos ci chiede di selezionare una regione.

Il sistema poi chiede quale prodotto vogliamo installare. Selezioniamo Email Security. Altri prodotti configurabili includono Endpoint Protection, Server Protection, Phish Threat, DNS Protection, Zero Trust Network Access, Protected Browser, Mobile, Wireless, Device Encryption, Firewall Management, Cloud Optix e Switches.

Invieremo 100 email e l'immagine qui sotto mostra la dashboard. Include statistiche come il numero totale di email in arrivo scansionate, le potenziali minacce e i tipi di minaccia rilevati. Ci sono anche statistiche per le email in uscita, ma non stiamo testando la sicurezza delle email in uscita in questo benchmark.

Possiamo anche vedere altri elementi della dashboard come le tendenze dell'attività email, i riepiloghi delle minacce e gli indicatori di stato della sicurezza.

Abbiamo cliccato su Configura impostazioni gateway email. Il sistema ci chiede di verificare il nostro dominio. Poi osserviamo un'impostazione utile in cui possiamo scegliere solo in entrata o sia in entrata sia in uscita. Controlla anche le email in uscita per prevenire problemi di sicurezza.

Il sistema mostra il record DNS che dobbiamo inserire. Lo aggiungiamo quindi e procediamo.

Aggiungiamo il record TXT al DNS pubblico del dominio. Il valore TXT è un token di verifica del dominio Sophos e il TTL è impostato a 600. Dopo aver aggiunto il record DNS, attendiamo la propagazione, quindi facciamo clic su Verifica affinché Sophos possa confermare che possediamo il dominio.

Abbiamo aggiunto il record e verificato il nostro dominio. Per la destinazione in entrata abbiamo selezionato MX e inserito il record MX di Google Workspace: aspmx.l.google.com.

Come Barracuda, Sophos richiede il routing MX. A differenza di Sophos e Barracuda, Acronis ha gestito questo processo in modo pulito tramite un'API e non abbiamo dovuto modificare alcuna impostazione.

Abbiamo completato le impostazioni MX e inviato un'email di prova, ma non è passata. Dopo alcune verifiche abbiamo visto che l'errore era: «Questo indirizzo email non è stato trovato», il che era inaspettato.

Dobbiamo entrare nel pannello, aprire la sezione Caselle di posta dal menu a sinistra e aggiungere manualmente gli utenti uno per uno. Questo è un problema di usabilità che danneggia l'esperienza complessiva, poiché sia Acronis sia Barracuda hanno funzionato immediatamente. Per il test abbiamo aggiunto il nostro indirizzo email e continuato i test tramite quell'account.

La sezione report si trova nel menu a sinistra. Ecco alcuni dei report che possiamo creare:

• Riepilogo messaggi: Volume complessivo delle email e stato.
• Report di analisi SophosLabs: Verdetti sui messaggi segnalati da utenti/amministratori.
• Riepilogo minacce Intelix: Analisi delle minacce per le email in arrivo.
• Riepilogo ora del clic: Report sull'attività di clic sui link.
• Utenti a rischio: Dipendenti più vulnerabili.
• Riepilogo controllo dati: Corrispondenze delle policy di prevenzione della perdita di dati.
• Riepilogo post-consegna: Email rimosse dopo la consegna.
• Riepilogo utilizzo licenze: Utilizzo delle licenze di sicurezza email.

Quando andiamo su Email Security > Cronologia messaggi, possiamo vedere tutte le email in arrivo e come ciascuna è stata classificata. Il report Cronologia messaggi elenca le singole email elaborate da Sophos Email Security. Alcuni campi chiave sono:

• Mittente: Da chi sembrava provenire l'email.
• Destinatari: Chi ha ricevuto il messaggio.
• Tipo: Come l'email è entrata nel sistema, solitamente Gateway.
• Oggetto: La riga dell'oggetto dell'email.
• Ultimo stato: Cosa ha fatto Sophos con l'email, ad esempio Consegnata, Eliminata o In quarantena.
• Data: Quando l'email è stata elaborata.
• Categoria: La classificazione di Sophos, come Legittima, Spam, Malware, minaccia Intelix o Autenticazione.

Alcuni esempi dalle categorie sono:

• Legittima: Email normali che sono state lasciate passare.
• Spam: Email sospette o indesiderate; molte vengono messe in quarantena.
• Malware: Email pericolose contenenti contenuti dannosi; queste vengono eliminate.
• Minaccia Intelix: Email analizzate da Sophos Intelix trovate sospette o minacciose.
• In quarantena: L'email è stata bloccata e messa in quarantena per la revisione.
• Eliminata: L'email è stata rimossa invece di essere consegnata.

I filtri seguenti consentono agli utenti di restringere il registro email per categoria di messaggio:

• Legittima: Email normali consentite.
• Messaggio sicuro: Email cifrate o protette.
• Controllo dati: Email corrispondenti a regole di sicurezza/prevenzione della perdita di dati.
• Errore di autenticazione: Controlli SPF, DKIM o DMARC non superati.
• Impersonificazione: Possibile spoofing del mittente o frode d'identità.
• Bulk: Email di marketing di massa o automatizzate.
• Spam: Email indesiderate o sospette.
• URL/QR code: Email con link o codici QR rischiosi.
• Minaccia Intelix: Email segnalate dall'analisi delle minacce Sophos.
• Non scansionabili: Email che Sophos non è riuscito a ispezionare completamente.
• Malware: Email contenenti file o contenuti dannosi.
• Bloccata dall'azienda: Email bloccate dalla policy aziendale.

Il menu Caselle di posta mostra le caselle monitorate. Aprendo una casella possiamo selezionare quali policy applicare. In Policy di base – Email Security sono disponibili le seguenti impostazioni:

Sophos Secure Email Gateway

Base Policy & Email Security,

Autenticazione include controlli di autenticazione email per i messaggi in entrata. Possiamo configurare come Sophos gestisce gli errori DMARC, SPF e DKIM, incluse azioni come conformarsi alla policy del mittente o etichettare la riga dell'oggetto con un avviso.

• Include anche controlli del mittente per anomalie dell'header e anomalie del dominio, che aiutano a rilevare email che sembrano provenire dal proprio dominio o da domini sospetti senza record DNS adeguati. Possiamo anche abilitare banner per gli utenti finali per mostrare ai destinatari il livello di attendibilità dei messaggi in entrata e aiutarci a decidere se consentire o bloccare i mittenti.

Anti-malware gestisce la scansione anti-malware in entrata per i messaggi email. Possiamo scegliere l'azione predefinita per i rilevamenti malware, come Elimina, e abilitare la scansione malware avanzata per un'analisi più approfondita di contenuti e file.

• Consente inoltre il controllo delle email non scansite e di Intelix Threat Analysis, dove Sophos può utilizzare analisi statiche e dinamiche per classificare i messaggi sospetti. In base al verdetto possiamo definire azioni come eliminare, consegnare o gestire diversamente le email dannose e sospette.

Anti-spam gestisce il modo in cui Sophos tratta spam ed email massive. Possiamo impostare azioni per categorie come Spam confermato e Bulk, inclusa la messa in quarantena dei messaggi e la scelta se mostrarli nella quarantena dell'utente finale. Include anche un cursore personalizzabile del tasso di intercettazione dello spam, dove i livelli più alti aumentano l'aggressività del rilevamento dello spam.

Nuovo dominio/mittente include protezioni per domini appena registrati e nuovi mittenti. Possiamo abilitare controlli per le email inviate da domini creati di recente, spesso usati nelle campagne di phishing. Consente inoltre di mostrare un banner Nuovo mittente quando un destinatario non ha mai ricevuto email da quel mittente.

La nazione di origine consente di controllare le email in base al paese del mittente. Paesi specifici possono essere selezionati da un elenco e le email corrispondenti possono essere messe in quarantena o gestite in altro modo in conformità alla policy.

• C'è anche un'opzione per controllare ogni hop del messaggio, che aiuta a ispezionare il percorso seguito da un'email prima di raggiungere il destinatario.

Lingua gestisce il filtraggio per lingua del messaggio. Possiamo selezionare lingue specifiche che vogliamo vietare e scegliere l'azione che Sophos deve intraprendere, come mettere in quarantena i messaggi corrispondenti.

La protezione dall'impersonificazione abilita controlli per tentativi di impersonificazione di VIP, brand e generici.

Per la protezione di URL e codici QR, possiamo controllare le email alla ricerca di URL e codici QR dannosi. Sophos può scansionare i link ed estrarre URL dai codici QR per rilevare le minacce prima che gli utenti interagiscano con essi. Gestisce inoltre la protezione URL Time of Click, in cui i link vengono riscritti e controllati quando l'utente ci clicca.

Nel menu a sinistra, la sezione Messaggi in quarantena mostra tutte le email in cui è stata rilevata una minaccia. Possiamo filtrare per:

• Anti-malware: Email segnalate durante la scansione malware. Include messaggi con allegati pericolosi, contenuti dannosi o elementi che Sophos non è riuscito a ispezionare completamente:
  • Malware: Email confermate contenenti file, link o contenuti dannosi. Di solito vengono eliminate o messe in quarantena.
  • Non scansionabile: Email che Sophos non è riuscito a ispezionare correttamente, ad esempio per crittografia, corruzione, allegati protetti da password o tipi di file non supportati.
• Anti-spam: Email classificate tramite regole di rilevamento dello spam:
  • Bulk: Email inviate in massa come newsletter, campagne di marketing o notifiche automatizzate.
  • Spam confermato: Email identificate con sicurezza come spam. Di solito vengono messe in quarantena o bloccate.
  • Spam sospetto: Email che sembrano sospette ma non sono spam confermato. Possono essere messe in quarantena, etichettate o consegnate a seconda della policy.
  • Impersonificazione: Email che potrebbero fingere di provenire da una persona attendibile, un brand, un dominio o un mittente interno.
  • Paese non consentito: Email bloccate o messe in quarantena perché originate da un paese limitato dalla policy.
  • Lingua non consentita: Email bloccate o messe in quarantena perché la lingua rilevata non è consentita dalla policy.
  • BATV: Email relative al Bounce Address Tag Validation, utilizzato per aiutare a rilevare messaggi di bounce falsificati o spam di backscatter.
  • Nuovo dominio/NRD: Email da domini appena registrati, spesso usati in campagne di phishing o attacchi di breve durata.
• Autenticazione: Email filtrate in base a controlli di autenticazione del mittente come errori SPF, DKIM o DMARC.

Quando clicchiamo su un'email possiamo vedere i messaggi che spiegano perché è stata messa in quarantena. Possiamo eliminarla e bloccare il mittente, rilasciare il messaggio dalla quarantena oppure rilasciarlo e consentire messaggi simili in futuro.

Sophos

Raw Header

Nella sezione Raw Header possiamo visualizzare tutte le informazioni dell'header dell'email. Possiamo anche visualizzare i suoi allegati e gli URL contenuti nel messaggio. Questo non ci è sembrato sufficientemente dettagliato nella nostra valutazione. Acronis e Barracuda hanno offerto un'esperienza più completa e informativa a questo riguardo.

Nella scheda Messaggio possiamo visualizzare il contenuto dell'email così com'è, il che può essere pericoloso. Sarebbe meglio poter vedere il contenuto dell'email come screenshot, come abbiamo osservato in Acronis.

Qui ci sono 23 email perché queste sono state contrassegnate come spam, mentre altre sono state rifiutate direttamente. In breve, il sistema mette in quarantena le email contrassegnate come spam.

Quando vogliamo esportare tutte le email in arrivo, non possiamo farlo direttamente dalle schermate dei report. Dobbiamo creare un report personalizzato da Registri email, quindi aprirlo, selezionare Genera report, scegliere CSV e infine esportare tutto come CSV. Questo flusso di lavoro risulta inutilmente indiretto e poco intuitivo.

Barracuda Email Protection analisi dettagliata

Dopo aver ottenuto una prova da Barracuda, siamo andati al pannello, abbiamo fatto clic su Apri per Email Protection e abbiamo proceduto.

Sotto Disponibile nella tua prova possiamo vedere i principali prodotti inclusi:

• Protezione email: Previene le minacce email, protegge le email prima e dopo la consegna e automatizza la risposta agli incidenti email.
• Backup cloud-to-cloud: Esegue il backup dei dati di Microsoft 365.
• Ispettore dati: Trova dati sensibili e malware non rilevati in OneDrive e SharePoint.
• Formazione sulla consapevolezza della sicurezza: Forma i dipendenti sulle minacce alla sicurezza email.
• Servizio di archiviazione cloud: Applica la conservazione delle email per conformità ed e-discovery.

Barracuda Cloud Archiving Service

Trail dashboard

Poiché non avevamo ancora configurato domini o impostazioni correlate, il sistema ci ha portato direttamente alla procedura guidata di configurazione, una funzionalità utile per configurare le impostazioni email.

Quando abbiamo fatto clic su Avanti, il sistema ci ha obbligato a collegare un account Microsoft 365. Tuttavia, utilizziamo Google Workspace e stiamo valutando il servizio per quell'ambiente.

In seguito abbiamo scoperto che Barracuda supporta Google Workspace. Abbiamo continuato con la configurazione standard.

Barracuda Cloud Archiving Service

Data region selection

Il sistema ci ha chiesto di selezionare una regione dati. Questa è una funzionalità importante per la conformità GDPR, quindi abbiamo selezionato Germania e continuato.

In seguito Barracuda ci ha chiesto di inserire un indirizzo email appartenente al nostro dominio e di verificare i nostri record MX. Abbiamo fatto clic sul pulsante di verifica e non abbiamo eseguito alcuna azione aggiuntiva. Il sistema ha verificato i record correttamente.

Nelle fasi successive della configurazione abbiamo scoperto che Barracuda non disponeva di un'integrazione nativa con Google Workspace. Ci ha invece fornito nuovi record MX per sostituire quelli esistenti. Aggiornando questi record MX, le email in arrivo sembrano raggiungere prima Barracuda.

Barracuda quindi filtra le email inappropriate e inoltra quelle accettabili. Richiedere modifiche ai record MX per l'integrazione con Google Workspace è un approccio inadeguato.

Successivamente abbiamo aggiornato e verificato i record MX. Abbiamo completato la configurazione e iniziato a inviare email.

Durante l'invio delle email abbiamo osservato che Barracuda ha rifiutato alcune richieste SMTP e rifiutato alcuni allegati. Quando abbiamo eseguito lo stesso test con Acronis, tutte le email sono state consegnate e visibili nel sistema. Qui Barracuda rifiuta alcune email prima che appaiano nella dashboard.

Sebbene le rifiuti perché sono effettivamente dannose, perdiamo visibilità a causa di questo processo automatizzato. In altre parole, potremmo non sapere nemmeno se un attacco è arrivato ed è stato rifiutato. Questo è un problema per l'uso di Barracuda per la sicurezza email, poiché la visibilità è tutto nei contesti di sicurezza. Se un prodotto rifiuta arbitrariamente gli incidenti rendendoli invisibili, danneggia il team di sicurezza.

Nonostante queste difficoltà, tutte le email di test sono state inviate. Nella dashboard di Barracuda veniamo indirizzati alla schermata Registro messaggi, dove sono elencate tutte le email scansionate.

La sezione Registro messaggi include un'area di filtraggio in alto. Ecco le opzioni di filtraggio:

• Ricerca: Ricerca testuale tra messaggi, destinatari, mittenti e altri campi.
• Domini: Filtra i risultati per il dominio selezionato.
• Direzione: Filtra per direzione dell'email; in entrata o in uscita.
• Intervallo data/ora: Limita i risultati a una finestra temporale specifica.
• Azione intrapresa: Filtra per azione intrapresa, ad es. Consentita, Bloccata, Differita.
• Stato di consegna: Filtra in base al fatto che l'email sia stata consegnata, non riuscita, messa in quarantena, ecc.
• Motivo: Filtra per il motivo di rilevamento che ha attivato un'azione (ad es. Punteggio, DMARC, Antivirus, Contenuto protetto).
• Risultati: Controlla quanti record vengono visualizzati per pagina.

Barracuda Cloud Archiving Service

Incorrectly classified email

Possiamo segnalarlo come classificato in modo errato. Ad esempio, un'email è sicura ma classificata erroneamente come dannosa. Abbiamo segnalato l'email come sicura.

Un'altra email è bloccata, ma la dashboard non fornisce ulteriori dettagli. Pertanto, Barracuda è carente in quest'area. Sarebbe più utile vedere maggiori informazioni sul motivo del blocco del messaggio, oltre al punteggio di blocco.

Nella sezione Domini a sinistra possiamo visualizzare, aggiungere ed eliminare i domini che vogliamo includere nella protezione della posta, che sono funzioni standard.

Nel menu In entrata a sinistra, Barracuda fornisce i filtri utilizzati per questi controlli. Possiamo configurare questi filtri.

Ad esempio, sotto le impostazioni Anti-spam/antivirus, possiamo configurare:

• Utilizza la lista di blocco della reputazione Barracuda: Controlla la posta in arrivo rispetto al database di Barracuda dei mittenti dannosi noti. Può essere impostata su Block, Quarantena o Off.
• Scansiona le email alla ricerca di virus: Abilita o disabilita la scansione antivirus su tutte le email in arrivo.
• Utilizza il sistema in tempo reale Barracuda: Incrocia le email con il feed di threat intelligence live di Barracuda. Possono essere bloccate, messe in quarantena o disattivate. Inviano facoltativamente contenuti sospetti a Barracuda Central per ulteriori analisi.
• Abilita cloudscan: Scarica il punteggio dello spam al motore cloud di Barracuda. I punteggi vanno da 1 a 10; le email che superano la soglia attivano l'azione configurata.
• Categorizzazione email: Classifica le email in arrivo per tipo e applica un'azione per categoria. Le categorie includono Email aziendale, Email transazionale, Materiali di Marketing e Newsletter, Mailing list e Social Media, ciascuna impostata in modo indipendente su Consenti, Quarantena, Block o Off.
• Rilevamento email massive: Rileva e agisce sulle email inviate in massa. Quando è impostato su Off, le email massive non vengono filtrate separatamente.
• Esenzioni email massive: Consente a specifici indirizzi email o domini di bypassare il rilevamento delle email massive, definiti per mittente o destinatario.

Barracuda Cloud Archiving Service

Rate Limit

Le pagine di limitazione della velocità definiscono quante email un indirizzo IP mittente può inviare in ogni periodo di 30 minuti, un'impostazione utile. Può prevenire abusi email e improvvisi attacchi ad alto volume da un singolo IP mittente.

Limitando quante email un indirizzo IP può inviare in un periodo di 30 minuti, il sistema può ridurre l'impatto di:

• Campagne di spam
• Raffiche di phishing
• Distribuzione di malware
• Account o server mittenti compromessi
• Allagamento email in stile denial-of-service

Nella pagina Whitelist/Blacklist IP possiamo bypassare la scansione per le email provenienti da indirizzi IP specifici o bloccarle direttamente.

Nelle Policy regionali possiamo applicare il blocco geografico o la whitelisting. Possiamo anche bloccare o consentire le email in base alla lingua del contenuto.

Nelle Policy destinatario possiamo configurare regole di scansione o bypass in base all'indirizzo email del destinatario.

Barracuda fornisce anche policy simili per i mittenti. Possiamo applicare eccezioni in base al mittente.

C'è anche una dashboard in cui possiamo definire eccezioni basate su controlli standard di sicurezza email come DMARC, DKIM e SPF.

Nelle Policy sui contenuti possiamo configurare se scansionare o bypassare le email in base al nome o al tipo di file. Possiamo anche definire regole di scansione o bypass basate sul contenuto del corpo del messaggio utilizzando espressioni regolari.

Barracuda offre Advanced Threat Protection come abbonamento in aggiunta allo scanner antivirus standard. Advanced Threat Protection (ATP) è un servizio di scansione basato su cloud che analizza gli allegati email in un ambiente cloud sicuro per rilevare minacce che gli scanner antivirus standard potrebbero non individuare. Si applica ai messaggi in entrata e supporta la maggior parte dei tipi di file MIME.

Ci sono tre modalità in ATP:

1. Consegna prima, poi scansione tenta di scansionare l'allegato in tempo reale mentre l'email arriva. Se la scansione termina in tempo e viene rilevata una minaccia, l'email viene bloccata. Se la scansione non termina in tempo, l'email viene consegnata immediatamente senza attendere il risultato. La scansione continua in background e, se una minaccia viene trovata in seguito, il destinatario viene avvisato, ma l'email ha raggiunto la sua casella. Ciò significa che il destinatario potrebbe aprire un allegato infetto prima che la minaccia venga identificata.
2. Scansione prima, poi consegna scansiona l'allegato prima della consegna. Se viene rilevata una minaccia, l'email viene bloccata. Se è pulita, viene consegnata. Le email in attesa di scansione appaiono nel Registro messaggi con "Scansione in sospeso" come motivo. Se un messaggio rimane differito per più di quattro ore, viene messo in quarantena. Questa modalità è più sicura ma può ritardare la consegna.
3. Disabilitata: ATP è completamente disattivata.

Il compromesso chiave qui è tra velocità e sicurezza. «Consegna prima» dà priorità alla velocità di consegna ma introduce una finestra di rischio. «Scansione prima» elimina tale rischio ma può ritardare o differire i messaggi con allegati.

Nella sezione Report Barracuda crea report dettagliati sulla sicurezza email:

• Riepilogo traffico in entrata/uscita: Panoramica di tutta l'attività email in entrata e in uscita, suddivisa per differita, bloccata, in quarantena e consentita.
• Dettaglio email in entrata bloccate: Dettaglio dei motivi per cui le email in entrata sono state bloccate.
• Principali mittenti/destinatari di email in entrata: Mostra i mittenti/destinatari più frequenti di email in entrata.
• Dettaglio principali mittenti bloccati in entrata: Elenca i mittenti le cui email vengono bloccate più frequentemente, con motivazioni.
• Dettaglio principali destinatari bloccati in entrata: Mostra i destinatari interni più frequentemente colpiti da email bloccate.
• Principali mittenti di email in uscita: Panoramica degli utenti interni che inviano il maggior volume di email in uscita.
• Principali mittenti bloccati in uscita: Mostra gli utenti interni le cui email in uscita vengono bloccate più frequentemente.

Inoltre possiamo pianificare report automatici, una funzionalità utile. Invece di accedere ripetutamente per controllare le dashboard, possiamo ricevere riepiloghi regolari di minacce, messaggi in quarantena, tendenze dello spam, rilevamenti malware, tentativi di impersonificazione, azioni delle policy e rischio utente. I report pianificati possono anche aiutare gli utenti a identificare tempestivamente i modelli, come un aumento delle email di phishing, attacchi ripetuti contro utenti specifici o un incremento di allegati dannosi bloccati.

Il menu Syslog a sinistra ci consente di inoltrare tutti questi record a un server di log di nostra scelta. Questa è una funzionalità utile per le integrazioni SIEM.

Nel complesso, il prodotto offre un'ampia gamma di funzionalità, ma sottoperforma nel rilevamento delle minacce in questo test. Una parte significativa della configurazione è lasciata all'utente, sollevando la questione se il valore aggiunto giustifichi l'onere, in particolare per le organizzazioni che utilizzano Google Workspace o il Centro conformità di Microsoft 365.

Funzionalità chiave delle soluzioni di sicurezza email cloud

Capacità differenzianti delle piattaforme di sicurezza email cloud

Sicurezza incentrata sull'utente (livello umano)

Molti incidenti iniziano con un'azione dell'utente. Ecco perché le moderne piattaforme di sicurezza email includono strumenti che guidano il comportamento invece di affidarsi esclusivamente al filtraggio.

• I banner di avviso contestuali possono avvisare gli utenti quando un messaggio appare sospetto.
• Anche la formazione sta diventando più adattiva. Invece di simulazioni generiche, gli utenti ricevono indicazioni personalizzate in base ai loro modelli di interazione.

Sicurezza unificata e integrazione della piattaforma

L'integrazione con i sistemi endpoint e di identità consente risposte coordinate. Ad esempio, se un'email porta al furto di credenziali, il sistema può attivare azioni oltre la casella di posta.

Le dashboard centralizzate offrono ai team una visione più chiara del loro livello di sicurezza complessivo, riducendo i problemi di comunicazione tra gli strumenti.

Protezione dei dati, crittografia e conformità

Le email spesso trasportano contratti, dettagli finanziari e altri dati sensibili. Proteggere queste informazioni richiede più del semplice rilevamento delle minacce.

• La crittografia garantisce che i messaggi rimangano privati in transito e a riposo. Le policy di prevenzione della perdita di dati aiutano a prevenire la condivisione non autorizzata, sia accidentale sia intenzionale.
• Le funzionalità di conformità supportano i requisiti normativi, inclusi audit trail e policy di conservazione. Ciò è particolarmente rilevante per le organizzazioni che operano oltre confine e trattano dati soggetti a rigide regole legali o specifiche del settore.

Non perderti i nostri benchmark e approfondimenti basati sui dati. Il pulsante apre Google; selezionare AIMultiple conferma che desideri vedere AIMultiple più spesso nei risultati di ricerca di Google.

Aggiungi come fonte preferita

Metodologia del benchmark della sicurezza email cloud

Abbiamo confrontato tre prodotti di sicurezza email: Acronis Email Security (basato su Perception Point), Sophos Email Security e Barracuda Email Protection.

Il benchmark comprendeva 100 test end-to-end e seguiva quattro principi.

1. Orientato alla copertura: Ogni test corrisponde a una capacità che il fornitore dichiara pubblicamente di offrire.
2. Ponderato per difficoltà: Mancare un test semplice da 1/10 segnala una grave lacuna del prodotto. Mancare un test da 9/10 è più comprensibile perché quei casi riflettono problemi di rilevamento a livello esperto. Il metodo di punteggio separa questi casi invece di trattare tutti i mancati rilevamenti allo stesso modo.
3. Riproducibile: Il benchmark viene eseguito con un harness di test PHP autonomo e controllato da una suite di verifica separata. Prima dell'invio di qualsiasi email di test, il verificatore esegue più di 1.800 controlli per confermare che i payload di test siano completi, validi e configurati correttamente.
4. Etico: I test sul malware utilizzano la stringa di test antivirus EICAR. Gli URL di phishing puntano a infrastrutture canary inerti o inesistenti. Tutte le caselle di posta di test sono di proprietà del team di test.

Abbiamo selezionato i test in modo che le affermazioni pubbliche di ciascun fornitore fossero esercitate almeno una volta. Abbiamo dato priorità alle minacce che tutti e tre i fornitori dichiarano di rilevare per mantenere equo il confronto diretto. Abbiamo anche incluso un numero minore di casi specifici del fornitore dove erano rilevanti. Ad esempio, il dirottamento delle conversazioni è una rivendicazione fondamentale di Barracuda e le esche GenAI in stile deepfake sono promosse soprattutto dai fornitori IA-first.

Il benchmark è organizzato in undici categorie. Ogni categoria testa un diverso meccanismo di rilevamento. Il numero di test è mostrato tra parentesi, per un totale di 100 test.

Categoria A: Spam (9 test)

Questa categoria copre annunci farmaceutici di massa, email di pump-and-dump di criptovalute, truffe della lotteria, prestiti a breve termine, messaggi di apertura di piattaforme di incontri e cold outreach B2B SEO.

La maggior parte dei test in questa categoria è volutamente facile. Due test, il marketing graymail e il cold outreach B2B, si collocano più vicino al confine dei falsi positivi perché un filtraggio aggressivo può bloccare email aziendali legittime.

Categoria B: Malware noto utilizzando la stringa di test EICAR (9 test)

Questa categoria testa la consegna di EICAR in formati di allegati comuni e annidati:

• Allegato .txt semplice,
• ZIP normale,
• ZIP protetto da password con la password inclusa nel corpo dell'email,
• ZIP annidato dentro un altro ZIP,
• EICAR con estensione .exe per testare la gestione dell'incoerenza tra estensione e contenuto,
• .tar.gz, archivio ricorsivo a tre livelli,
• File singolo .gz senza wrapper tar,
• EICAR con quattro kilobyte di dati spazzatura anteposti per testare la tolleranza dell'offset.

Questi test esercitano l'estrazione degli archivi, il supporto dei formati e l'estrazione della password dal corpo dell'email. Si tratta di capacità di base per i moderni gateway di posta.

Categoria C: Tipi di file vettore (10 test)

Questa categoria testa i formati di file comunemente usati per trasportare o innescare comportamenti dannosi. Il set include:

• PDF con JavaScript incorporato e trigger OpenAction,
• HTML smuggling tramite URL.createObjectURL su un blob codificato Base64,
• SVG con script onload e XHR remoto,
• Collegamento Windows .lnk con payload PowerShell nel blocco argomenti,
• File poliglotta PDF/ZIP,
• HTML Application .hta con VBScript,
• Dropper JavaScript Windows Script Host che usa XMLHTTP e ADODB.Stream,
• Immagine ISO 9660 contenente EICAR,
• File .url di collegamento Internet,
• File .iqy di query Internet di Excel.

Questa è una delle categorie più discriminanti perché i risultati dei prodotti variano notevolmente tra questi tipi di file vettore.

Categoria D: Phishing URL (10 test)

Questa categoria misura l'analisi degli URL tra link diretti, redirect, offuscamento e posizioni fuori dal corpo. Include:

• URL di phishing diretto su un TLD sospetto,
• Destinazione abbreviata con Bitly,
• Catena di redirect multi-hop attraverso l'open redirector di Google e t.co,
• Omoglifo IDN punycode che usa la “а” cirillica in раypal.com,
• URL nascosto HTML con caratteri a larghezza zero e testo bianco di un pixel,
• URL presente in un'annotazione PDF,
• URI che trasporta HTML codificato Base64 con link di phishing,
• URL estremamente lungo con l'host reale nascosto nella stringa di query,
• Parametro di open redirect su un host dall'aspetto legittimo,
• URL della cache AMP di Google che nasconde la destinazione di phishing dietro google.com/amp/s/.

Categoria E: Phishing tramite QR code (8 test)

Questa categoria verifica se i prodotti sono in grado di estrarre e ispezionare gli URL di phishing nascosti nei codici QR. Il set include:

• Codici QR PNG inline per la ri-registrazione MFA,
• Firma DocuSign,
• Accesso alla busta paga,
• Avviso di riconsegna della spedizione
• Accesso alla segreteria telefonica
• Reset della 2FA bancaria.

Include anche varianti di evasione: un codice QR incorporato in un PDF senza contenuto QR nel corpo dell'email, un codice QR consegnato come immagine avvolta in SVG e un codice QR impostato come URI dati background-image CSS invece di un tag <img>.

Questi casi verificano se lo scanner esamina le immagini al di fuori dei contenitori HTML più ovvi.

Categoria F: Impersonificazione di brand e dominio (9 test)

Questa categoria testa l'impersonificazione di mittente, dominio, brand e header e include:

• Spoofing del nome visualizzato da un account Gmail generico,
• Dominio typosquat che utilizza m1crosoft-account.com,
• Omoglifo IDN punycode per Apple
• Abuso di sottodominio tramite microsoft.support-team-portal.tk
• Imitazione del brand kit Microsoft con logo reale e stile Segoe UI
• Discordanza tra header Sender e From
• Impersonificazione di una banca locale
• Un'azienda di eCommerce che pratica typosquatting
• Iniezione dell'header Authentication-Results in cui l'attaccante aggiunge valori falsi spf=pass, dkim=pass e dmarc=pass al messaggio.

L'ultimo caso verifica se i parser downstream si fidano degli header di autenticazione forniti dall'attaccante invece di convalidare i risultati upstream effettivi.

Categoria G: BEC e spear phishing senza payload (9 test)

Questa categoria si concentra sull'ingegneria sociale senza allegati o link dannosi e include:

• Richiesta di bonifico del CEO inviata da un account Gmail,
• Pretesto di modifica bancaria Vendor Email Compromise,
• Reindirizzamento dello stipendio self-service del dipendente,
• Truffa online di buoni regalo da un impersonatore del CFO
• Dirottamento della conversazione con oggetto Re:Re: e header In-Reply-To falsificati,
• Richiesta di prove riservate da uno studio legale falso,
• Contatto esterno di un head-hunter con curriculum allegato,
• Pretesto di acquisizione dell'autenticazione a due fattori WhatsApp,
• Pretesto interno M&A che combina linguaggio di riservatezza e urgenza.

Categoria H: Estorsioni e truffe (9 test)

Questa categoria copre i modelli comuni di truffa ed estorsione. I test includono:

• Email che usa una vecchia password trapelata,
• Fattura falsa con link di pagamento dannoso in un PDF,
• Lettera di commissione anticipata,
• Minaccia di confisca dall'autorità fiscale,
• Estorsione DDoS contro un sito web,
• Falso avviso di blocco iCloud di Apple con link di sblocco,
• Truffa della tassa doganale del corriere
• Estorsione tramite doxing,
• Truffa del parente bloccato in dogana.

Categoria I: Phishing di qualità GenAI (10 test)

Questa categoria testa email di phishing curate che eliminano gli indizi evidenti su cui i sistemi più vecchi spesso si basano. Il set include:

• Email di ri-verifica dell'helpdesk IT con passaggi strutturati e un pulsante del brand,
• Falso pre-read per il consiglio con linguaggio di riservatezza e link a uno spazio di lavoro,
• Aggiornamento della policy tenant di Microsoft 365 che richiede il nuovo consenso entro sette giorni,
• Richiesta di firma elettronica del Codice di condotta HR,
• Follow-up del customer success dopo una riunione fittizia,
• Impersonificazione di riepilogo riunione,
• NDA legale da una controparte fittizia,
• Avviso critico CVE in stile CISO,
• Anteprima degli utili di investor relations con linguaggio di embargo,
• Risolutore di conflitti di calendario che richiede un accesso SSO una tantum.

Ogni email di questa categoria è stata scritta per sembrare un messaggio aziendale competente di un madrelingua inglese. I test evitano deliberatamente i vecchi segnali di phishing come grammatica scorretta, frasi impacciate ed evidenti incongruenze di brand.

Categoria J: Tecniche di evasione (9 test)

Questa categoria testa l'offuscamento che può aggirare l'ispezione superficiale dei contenuti e include:

• Caratteri Unicode a larghezza zero dentro parole trigger,
• Bypass OCR in cui l'intero messaggio di phishing è renderizzato come PNG senza testo del corpo scansionabile,
• Carattere di override destra-sinistra nel nome file di un allegato,
• Nome file con doppia estensione,
• Esche nascoste via CSS in cui il testo renderizzato appare innocuo mentre il DOM contiene il contenuto di phishing,
• Oggetto codificato secondo RFC 2047,
• URL con caratteri codificati in esadecimale nell'host,
• Omoglifo nell'oggetto che usa la “е” cirillica per la “e” latina,
• URL nascosto in un attributo HTML data-* e recuperato al momento del clic da JavaScript inline.

Categoria K: Set di controllo e test dei falsi positivi (8 test)

Il set di controllo contiene email aziendali legittime che dovrebbero passare senza avvisi e include:

• Notifiche interne del team,
• Report spese mensili,
• Follow-up di riunioni,
• Sintesi settimanali,
• File ZIP protetti da password usati per la condivisione interna legittima,
• Promemoria di formazione,
• Avvisi di manutenzione IT,
• Email di pianificazione one-to-one.

Qualsiasi prodotto che segnali uno di questi messaggi riceve una penalità per falso positivo.

Limiti del benchmark della sicurezza email

Abbiamo escluso diverse categorie perché richiedono infrastrutture o condizioni che vanno oltre un benchmark una tantum:

• Time-of-click URL flipping: Questo attacco consegna un URL che appare innocuo al momento della consegna e successivamente reindirizza verso una destinazione di phishing. Testarlo richiederebbe un server HTTP stateful che muti il proprio contenuto, oltre a un'azione di clic lato utente.
• Account takeover e phishing laterale: Richiederebbe il controllo di una casella di posta interna, il che era al di fuori della configurazione del benchmark.
• Malware dinamico consapevole della sandbox: Campioni polimorfici reali che rilevano la virtualizzazione ed evitano la detonazione sono stati esclusi per motivi etici.
• Pagine di destinazione di phishing kit live: Tutti gli URL risolvono verso host inerti. Il benchmark non testa l'esperienza post-clic.

Il mittente del Gruppo S richiede un relay SMTP che consenta header From disallineati. I servizi SMTP cloud di solito rifiutano questi test a livello di rete. Quando un relay permissivo non è disponibile, il benchmark degrada al Gruppo L, che lascia 38 test guidati dal contenuto.

Architettura a due mittenti

Molti test di sicurezza email trascurano un'importante distinzione tra attacchi guidati dal contenuto e attacchi guidati dall'identità del mittente. Alcune minacce sono pericolose per il corpo o gli allegati del messaggio, indipendentemente da chi le invia. Altre sono pericolose perché l'email afferma di provenire da qualcuno che non rappresenta. Queste due classi richiedono configurazioni di invio diverse.

Abbiamo suddiviso il benchmark in due gruppi di mittenti.

• Gruppo L, Legit, 38 test: Queste email vengono inviate da un servizio SMTP autenticato. SPF, DKIM e DMARC si allineano correttamente per il dominio di invio. Il nome visualizzato cambia in base al test, come Finance, IT Helpdesk o il vero nome del tester, ma l'indirizzo From rimane l'indirizzo del mittente autenticato.
  • Il Gruppo L è usato per le categorie guidate dal contenuto: K, B, C, J e i due test di phishing URL, dove l'URL è la minaccia indipendentemente dal mittente.
• Gruppo S, Spoof, 62 test: Queste email vengono inviate attraverso un relay SMTP permissivo che non applica l'allineamento del dominio From. L'indirizzo From è quello specificato dal test case, quindi l'allineamento SPF e DMARC fallisce per progettazione.
  • Il Gruppo S è usato per le categorie guidate dall'identità del mittente: A, la maggior parte di D, E, F, G, H e I.

Questa suddivisione riflette il comportamento reale degli attaccanti. Gli operatori di phishing spesso usano server virtuali economici e domini usa e getta perché i servizi SMTP cloud mainstream, come Gmail, Office 365 e AWS SES, con domini verificati, impediscono l'invio di posta con un header From disallineato.

Figura 1: Figura che mostra come funziona un server relay SMTP. Un server relay SMTP è un server di posta di terze parti che riceve le email da un mittente e le inoltra ai server dei destinatari al di fuori del dominio del provider di posta del mittente.

Ponderazione della difficoltà

Ogni test ha una valutazione di difficoltà da 1 a 10. La valutazione indica quanto difficile dovrebbe risultare il test per un prodotto di sicurezza email competente.

• Da 1 a 2, banale: Sono firme da manuale senza offuscamento significativo. Mancarle indica una lacuna fondamentale nel rilevamento. Esempi sono spam farmaceutico, EICAR semplice in uno ZIP e una lettera nigeriana 419.
• Da 3 a 4, noti: Sono modelli familiari che i prodotti moderni dovrebbero intercettare. Esempi includono JavaScript in PDF, sextortion con password trapelata e spoofing del nome visualizzato del CEO.
• Da 5 a 6, intermedio: Questi casi richiedono analisi più forti, come IA moderna, sandboxing o visione artificiale, tra cui HTML smuggling, URL omoglifi IDN e phishing con QR code inline.
• Da 7 a 8, avanzato: Sono casi limite che i prodotti più solidi gestiscono con coerenza, come poliglotti PDF/ZIP, catene di redirect multi-hop, impersonificazione visiva del brand kit ed esche di bypass OCR solo immagine.
• Da 9 a 10, esperto: Sono casi realmente difficili in cui il rilevamento è un ottimo risultato e il mancato rilevamento è comune in tutto il settore. Esempi includono dirottamento di conversazioni su thread falsificati, un follow-up customer success di qualità GenAI e un falso NDA legale da una controparte precedentemente sconosciuta.
• Test di controllo: I messaggi della categoria K devono passare. Qualsiasi rilevamento in questa categoria conta come falso positivo.

Le medie delle categorie seguono la curva di difficoltà prevista: lo spam A ha una media di 2.2/10, B EICAR ha una media di 2.8/10, l'estorsione H ha una media di 3.8/10, i file vettore C hanno una media di 5.0/10, l'impersonificazione del brand F e l'evasione J hanno una media di 5.6/10, il phishing URL D ha una media di 5.8/10, il phishing QR code E ha una media di 6.8/10, la BEC G ha una media di 6.8/10 e il phishing GenAI I ha una media di 8.2/10.

Punteggio del benchmark

Ogni prodotto riceve uno dei cinque verdetti per test:

• BLOCCO: Il messaggio viene messo in quarantena o rifiutato (2 punti).
• AVVISO: Il prodotto inietta un banner, invia l'email nella posta indesiderata o rimuove l'allegato (0.5 punti).
• TARDIVO: Il messaggio viene consegnato prima e rimosso successivamente (1 punto).
• MANCATO: Il messaggio raggiunge la posta in arrivo senza avviso (0 punti).
• FP: Un messaggio del set di controllo viene erroneamente segnalato (penalità di -2 punti).

Il tasso di rilevamento è calcolato come punti totali divisi per il punteggio massimo possibile per i test di attacco, quindi espresso in percentuale. Il punteggio massimo possibile è pari al numero di test di attacco moltiplicato per due.

Il tasso di falsi positivi è riportato separatamente. Un prodotto che raggiunge il 90% di rilevamento bloccando posta legittima comporta un rischio operativo maggiore di uno che raggiunge l'80% di rilevamento senza falsi positivi.

Riproducibilità e strumentazione

Il benchmark viene eseguito da un singolo script PHP autonomo. Lo script costruisce 100 messaggi MIME in memoria con un generatore multipart personalizzato. Genera i payload localmente, inclusi ZIP, ZIP cifrati AES-256, file tar.gz, file .gz a file singolo, PDF con azioni JavaScript, campioni di HTML smuggling, file SVG con JavaScript onload, file Windows .lnk con il CLSID Shell Link corretto e il blocco argomenti UTF-16LE, e un'immagine disco ISO 9660 minima.

Lo script invia ogni test attraverso il percorso SMTP corretto in base al gruppo del mittente.

Ogni messaggio include header di tracciamento: X-Bench-Id, X-Bench-Run, X-Bench-Product, X-Bench-Category, X-Bench-Case e X-Bench-Group. Questi header rendono ogni test tracciabile attraverso caselle di posta, console di quarantena e log di prodotto.

Un harness di verifica separato esegue più di 1.800 controlli di integrità prima della trasmissione. Verifica che ogni test abbia i campi obbligatori, che ogni valutazione di difficoltà sia compresa tra [1, 10] o zero per i controlli e che EICAR sia presente e recuperabile da ogni allegato di categoria B, inclusi archivi protetti da password e annidati tre volte.

Il verificatore controlla inoltre che i PDF contengano header %PDF- validi e marcatori %%EOF, che i PNG contengano firme valide e chunk IEND, che gli SVG siano XML ben formato, che il file LNK abbia il CLSID Shell Link corretto e la stringa di argomenti PowerShell attesa, che il Primary Volume Descriptor ISO 9660 appaia al settore 16 con la firma corretta \x01CD001 e che l'inferenza dei gruppi corrisponda alla suddivisione documentata tra Gruppo L e Gruppo S.

Un terzo script elabora i CSV per prodotto dopo l'inserimento manuale dei verdetti. Produce un report comparativo con una tabella dei verdetti affiancata per test, tassi di rilevamento per categoria, punteggi totali, percentuali del tasso di rilevamento, conteggi dei falsi positivi e tre sotto-tabelle forensi:

1. casi banali ma mancati, definiti come difficoltà ≤ 2 con almeno un MANCATO
2. casi ad alta difficoltà ma intercettati, definiti come difficoltà ≥ 8 con almeno un BLOCCO
3. tutti gli incidenti di falsi positivi

Etica e vincoli operativi

Nessun malware reale è stato creato o trasmesso. Gli allegati dannosi utilizzano la stringa di test antivirus EICAR, un documento di test di 68 caratteri definito dall'European Institute for Computer Antivirus Research, oppure dimostratori benigni. Esempi includono un PDF il cui JavaScript chiama app.alert, una pagina HTML che usa URL.createObjectURL sulla stringa EICAR e un SVG il cui onload chiama un endpoint inesistente.

Non è stata utilizzata alcuna infrastruttura di phishing live. Gli URL di test risolvono verso una di tre destinazioni sicure: il TLD riservato .invalid definito nella RFC 2606, domini .tk segnaposto sotto il nostro controllo che restituiscono un 404, oppure host parodia come m1crosoft-account.com e xn--pple-43d.com registrati per il benchmark e senza contenuti.

Non è stata distribuita alcuna pagina di raccolta delle credenziali. Tutte le caselle di posta di test sono di proprietà e monitorate dal team di test. Le credenziali SMTP sono limitate al benchmark e ruotate dopo ogni sessione.

Cita questo benchmark

Scegli il formato adatto a dove pubblicherai. Incollare la versione con link nel tuo CMS preserva il backlink.

@misc{dogan2026,
  author = {Dogan, Sedat},
  title  = {{Soluzioni di sicurezza email: Acronis Email Security e Sophos}},
  year   = {2026},
  month  = sep,
  howpublished    = {\url{https://aimultiple.com/email-security-solutions}},
  note   = {AIMultiple. Consultato il 30 settembre 2026}
}

Sedat Dogan

CTO

Segui

Sedat è un leader tecnologico e della sicurezza informatica con 20 anni di esperienza nello sviluppo software, nelle infrastrutture di rete e nella cybersecurity. Sedat:
- Ha 20 anni di esperienza come hacker white-hat e guru dello sviluppo, con una vasta competenza nei linguaggi di programmazione e nelle architetture dei server.
- È consulente del consiglio di amministrazione presso una società di venture capital che investe in aziende tecnologiche in fase iniziale e presso Ödeal, una piattaforma di pagamento digitale regionale che serve 125.000 commercianti.
- Ha guidato l'infrastruttura tecnologica e la cybersecurity di sette elezioni nazionali ed è stato riconosciuto nella Hall of Fame della cybersecurity da leader tecnologici globali tra cui Twitter.

Visualizza il profilo completo

Sii il primo a commentare

Il tuo indirizzo email non verrà pubblicato. Tutti i campi sono obbligatori. I commenti vengono lasciati nella loro lingua originale.

Nome

Indirizzo e-mail

Commento

0/450

Pubblica un commento