Soluzioni di sicurezza email: Acronis, Sophos & Barracuda

La posta elettronica è uno dei punti di ingresso più comuni per gli attacchi informatici e le protezioni integrate non sono più sufficienti per gestire le minacce mirate. Abbiamo testato tre piattaforme di sicurezza email cloud (Acronis, Sophos e Barracuda) con 100 test in 11 categorie di minacce.

Risultati del benchmark delle soluzioni di sicurezza email cloud

Leggi la metodologia del benchmark delle soluzioni di sicurezza email per scoprire come abbiamo testato questi strumenti e misurato i risultati.

Confronto delle soluzioni di sicurezza email in base alle categorie di verdetto

Acronis Advanced Email Security

• Acronis ha il punteggio di rilevamento complessivo più alto (122/200) e ottiene la prestazione migliore contro il phishing GenAI con il 100%. Tutti e dieci i pretesti aziendali curati sono stati bloccati, incluse false letture preliminari per il consiglio, flussi di nuovo consenso di Microsoft 365 e NDA legali fittizi.
  • Questa è la categoria più difficile del benchmark, con una difficoltà media di 8,2/10. Aver rilevato tutti e dieci i casi suggerisce che Acronis abbia gestito bene i segnali semantici e contestuali del phishing in questo benchmark, invece di dipendere da evidenti segnali grammaticali o di formattazione.
• Anche la Categoria F e la Categoria D supportano questo quadro: Acronis ha ottenuto l'89% sull'impersonificazione di marchi/domini e il 90% sul phishing tramite URL, incluso un BLOCK nel test di iniezione dell'header authentication-results. I risultati aggregati suggeriscono una gestione solida dei casi di impersonificazione e di analisi degli URL.
• Il record pulito di falsi positivi è operativamente significativo. Nessuno degli otto messaggi di controllo è stato bloccato, il che significa che il tasso di rilevamento del 67% non comporta costi compensativi in termini di perdita di posta legittima.
• I punti negativi sono concentrati nei livelli di difficoltà inferiori. Lo spam di base (Categoria A, 44%) è inferiore rispetto agli altri strumenti, con mancati rilevamenti su spam farmaceutico, truffe alla lotteria e una truffa romantica di base a livelli di difficoltà da 1 a 2. Il divario suggerisce che Acronis privilegi gli attacchi sofisticati rispetto al traffico massivo e a basso impegno.

Sophos Email Security

• Sophos ha il secondo punteggio complessivo più alto (105,5/200). Ha raggiunto il 100% nella Categoria B (varianti malware EICAR), rilevando ogni variante di annidamento di archivi, ZIP protetti da password e test di tolleranza agli offset.
• I punti deboli più visibili di Sophos sono il phishing tramite URL (Categoria D, 58%) e le tecniche di evasione (Categoria J, 22%). Il divario nel phishing tramite URL è notevole perché i link sono tra i meccanismi di recapito del phishing più comuni e la Categoria D testa diversi modi realistici con cui gli aggressori li nascondono o li instradano.
• Il punteggio di 58% di Sophos, rispetto al 90% di Acronis, suggerisce che il suo livello di analisi degli URL sia stato meno costante tra redirect, offuscamento e posizionamenti degli URL al di fuori del corpo del messaggio.

Barracuda Email Protection

• Il punteggio di rilevamento di 60/200 di Barracuda è inferiore rispetto agli altri due prodotti. La Categoria I (phishing GenAI) ha restituito un rilevamento del 0% e la Categoria A (Spam: 33%) ha il punteggio più basso tra i concorrenti. Questo suggerisce che Barracuda sia stato meno efficace, in questa configurazione, contro gli scenari di spam, phishing GenAI e ingegneria sociale del benchmark.
• La Categoria B (rilevamento di malware noti tramite stringhe di test EICAR, 89%) e la Categoria C (tipi di file vettore come PDF con JavaScript incorporato, HTML smuggling e collegamenti LNK, 70%) sono competitive rispetto agli altri fornitori.
• I risultati della Categoria J di Barracuda (tecniche di evasione, 44%) mostrano il migliore dei tre fornitori. Questo suggerisce che il motore di ispezione dei contenuti sottostante sia in grado di gestire ragionevolmente funzioni come caratteri a larghezza zero, oggetti codificati e omoglifi.
• I punti deboli sono più evidenti nelle categorie che contano di più per la protezione dalle minacce moderne. Il phishing tramite codice QR (Categoria E, 13%), l'impersonificazione del marchio (Categoria F, 11%), la BEC (Categoria G, 11%) e l'estorsione (Categoria H, 22%) sono tutti ben al di sotto del confronto.
• Negli undici test di livello difficile, Barracuda ne ha bloccato uno e ha mancato i restanti dieci.

Le 3 migliori soluzioni di sicurezza email cloud

Analisi dettagliata di Acronis Advanced Email Security

Quando selezioniamo Acronis Email Security dal menu a sinistra nell'interfaccia di Acronis Cyber Protect Cloud, vediamo la schermata seguente. Poi facciamo clic per accedere alla console di Email Security.

Poiché non abbiamo ancora completato alcuna configurazione, la nostra dashboard mostra le seguenti voci di menu:

• Incidenti: Incidenti di sicurezza rilevati e attività di attacco.
  • Risposta agli incidenti: Strumenti per investigare e rispondere agli incidenti.
  • Traffico: Visibilità sui modelli di traffico email o web analizzati.
  • Rapporti periodici: Rapporti programmati di sicurezza e protezione.
• Operazioni di sicurezza: Controlli operativi di sicurezza e strumenti di monitoraggio.
• Impostazione del rilevamento: Configurazione delle regole di rilevamento, della scansione e delle impostazioni di protezione.

Dal menu Impostazioni a sinistra andiamo su Risorse email protette.

Poiché non ci sono ancora risorse, il sistema ci reindirizza al flusso di configurazione. Facciamo clic su Configura la protezione email. Il sistema ci chiede un indirizzo email di escalation per segnalare i problemi e ci chiede quale servizio email utilizziamo.

Per questo test procederemo con un provider personalizzato tramite MX. Lo facciamo per poter confrontare direttamente i fornitori, senza essere influenzati dalle protezioni integrate di Microsoft 365 o di Google Workspace.

Selezioniamo il servizio email e scegliamo il metodo di connessione Inline. Ciò significa che Acronis esegue la scansione e blocca le email dannose prima che vengano consegnate.

Aggiungiamo anche un contatto di escalation che Acronis può usare per problemi di acquisizione dell'account, sicurezza o connessione. Il passo successivo è abilitare l'app di Google Workspace, che supporta l'onboarding, il conteggio accurato degli utenti per la fatturazione e azioni di correzione, come la rimozione delle email dannose consegnate per errore.

Aggiungiamo il dominio connesso, aimultiple.com, e il sistema recupera automaticamente i record MX.

Impostiamo anche il metodo di calcolo delle licenze su "In base ai posti dichiarati" e inseriamo 100 posti. Dopo queste impostazioni, procediamo con Avanti per continuare la configurazione MX.

Il sistema ci chiede di aggiungere un record TXT per verificare la proprietà del dominio. Aggiungiamo il record e attendiamo la verifica.

Possiamo anche gestire i server di destinazione SMTP configurati, confermare che TLS sia abilitato e usare l'azione Verifica per verificare che il record TXT sia stato pubblicato correttamente. Questa pagina consente inoltre di modificare le impostazioni del server e TLS o di eliminare il dominio se necessario.

Abbiamo inviato un totale di 100 email che potrebbero essere considerate dannose o spam. La dashboard ora mostra statistiche come quante email sono state analizzate, quante sono state classificate come spam, quante come dannose e quante email sono state ricevute per tipo di attacco. È presente anche una statistica che mostra quali indirizzi email sono stati attaccati più frequentemente.

Nel menu Scansioni possiamo vedere le statistiche di scansione per tutte le email in arrivo. Anche la suddivisione per tipo di file è un dettaglio utile. Inoltre, in tutta l'applicazione, possiamo regolare l'intervallo di date facendo clic su Ultimo giorno nella parte superiore della pagina.

Il filtraggio nella sezione Scansioni è estremamente dettagliato. Ecco alcune opzioni:

• Indirizzo/dominio/IP del mittente: Gli indicatori principali per identificare mittenti dannosi o contraffatti.
• Nome visualizzato impersonato: Colpisce direttamente una delle tecniche di phishing più comuni, in cui il nome visibile sembra legittimo ma l'indirizzo reale non lo è.
• Indirizzo di risposta: Un altro importante campanello d'allarme del phishing. Quando il reply-to è diverso dall'indirizzo del mittente, spesso segnala un tentativo di reindirizzare le risposte a una casella controllata dall'aggressore.
• Azione (messa in quarantena/consegnata): Essenziale per capire se una minaccia è stata fermata o ha raggiunto il destinatario.
• Oggetto: Per identificare campagne di phishing che usano righe di oggetto identiche o quasi identiche verso più destinatari.
• Indirizzo del destinatario: Critico per determinare la portata di un attacco. Mostra quanti utenti sono stati presi di mira e se tra loro figurano individui di alto valore (dirigenti, finanza).
• Payload (allegati/URL): Restringe la ricerca alle email che trasportano i meccanismi di recapito malware più comuni.

Quando andiamo su Operazioni di sicurezza dal menu a sinistra, raggiungiamo la sezione Scansioni. Da questa schermata possiamo accedere ai dettagli relativi alle scansioni. Tutte le scansioni sono elencate qui e possiamo anche vedere le categorizzazioni risultanti, come pulito, spam e dannoso.

Quando apriamo i dettagli di un'email, possiamo vedere come il sistema l'ha valutata e il suo stato attuale. Possiamo anche modificarne lo stato in:

• Approva verdetto (Gestisci): Accetta il verdetto attuale ed elabora l'email di conseguenza.
• Segna l'email come limitata: Classifica l'email come limitata o in violazione delle policy.
• Segna l'email come spam: Classifica l'email come indesiderata o non sollecitata.
• Segna l'email come sospetta: Contrassegna l'email come potenzialmente rischiosa e meritevole di cautela.
• Segna l'email come pulita (FP): Segna l'email come sicura e indica che si trattava di un falso positivo.

La vista seguente è la vista compatta. Quando facciamo clic sulla scheda Dettagli nell'angolo in alto a destra, possiamo vedere molti dettagli aggiuntivi.

Nella vista compatta possiamo vedere i dettagli della scansione di un'email di phishing dannosa messa in quarantena da Acronis. Include una panoramica generata dall'IA che spiega perché l'email è considerata dannosa e mostra indicatori come un dominio del mittente sospetto, comportamento di email bombing e un URL rischioso. Nella sezione Dettagli possiamo verificare canale, azione intrapresa, ora della scansione, tempo di elaborazione, organizzazione e stato IR.

Nell'Email Inspector possiamo esaminare i metadati del messaggio, tra cui oggetto, mittente, destinatario, ora, percorso di ritorno e IP di origine. Viene visualizzato anche il corpo dell'email, così possiamo valutare direttamente il tentativo di ingegneria sociale.

I criteri di valutazione degli incidenti sono chiari e trasparenti. Per un incidente possiamo anche fare clic sul pulsante Richiedi indagine, selezionare "Penso che questa email sia pulita" e inviarla al team di Acronis per la revisione. Possiamo visualizzare le scansioni precedenti relative alla stessa email.

Con il pulsante Screenshot possiamo vedere la versione renderizzata dell'email, una funzione utile. In particolare, il sistema non esegue il rendering dell'email come HTML nel browser, quindi eventuali vulnerabilità non rilevate nell'email non possono innescare una violazione durante la revisione.

Tutte le azioni degli utenti possono essere registrate e possiamo visualizzare questi record nel registro di audit dal menu a sinistra. Alcuni di questi record sono:

• Guarda gli screenshot delle scansioni
• Gestisci scansione
• Azione UI

Ogni registro annota data e ora, azione, descrizione, amministratore o team, organizzazione di destinazione e l'email o l'oggetto correlato.

In Impostazione del rilevamento, nel menu a sinistra, possiamo gestire in dettaglio liste consentite e liste bloccate, una funzione estremamente utile:

• Elenco consentiti per indirizzo email/dominio del mittente: Le email provenienti da indirizzi o domini in questo elenco sono sempre considerate attendibili e ignoreranno i filtri antispam/antiminacce. Può essere utile per inserire nella whitelist partner noti o sistemi interni che altrimenti potrebbero generare falsi positivi.
• Elenco consentiti per indirizzo email del destinatario: Specifica gli indirizzi interni dei destinatari che devono ricevere tutta la posta in ingresso senza filtraggio. Garantisce che determinati utenti (ad es. una casella catch-all) ricevano sempre le email, anche da mittenti sconosciuti.
• Elenco bloccati per indirizzo email/dominio del mittente: Le email provenienti da indirizzi o domini in questo elenco vengono automaticamente rifiutate o messe in quarantena. Può essere usato per bloccare definitivamente fonti di spam note, domini dannosi o mittenti massivi indesiderati.
• Elenco consentiti per IP del mittente: I server di posta con IP in questo elenco sono considerati attendibili e le loro email saltano i controlli di reputazione basati sull'IP. Può essere usato per servizi di posta di terze parti attendibili o relay di posta on-premise.
• Elenco bloccati per IP del mittente: Le connessioni da questi IP vengono bloccate, indipendentemente dall'indirizzo del mittente. Può essere efficace contro server di posta dannosi noti o infrastrutture compromesse.

• Elenco consentiti per URL: I link corrispondenti a questi URL o domini all'interno del corpo delle email sono considerati sicuri e non verranno contrassegnati.
• Elenco bloccati per URL: Le email contenenti questi URL vengono contrassegnate, bloccate o messe in quarantena.
• Elenco consentiti per hash: Gli allegati di file corrispondenti a questi hash crittografici sono trattati come sicuri e passano senza avvisi di scansione.
• Elenco bloccati per hash: Gli allegati il cui hash corrisponde a una voce in questo elenco vengono bloccati immediatamente. Fornisce un blocco preciso, basato sulla firma, di file dannosi noti, anche se rinominati o camuffati.

Alcune funzioni che vale la pena menzionare, ma che non abbiamo testato specificamente, sono:

In Impostazione del rilevamento:

• Intelligence sulle minacce: Recupera indicatori da fonti esterne di intelligence sulle minacce. Questa funzione aiuta a individuare malware diffuso, URL dannosi e campagne di attacco attive.
• Banner: Aggiunge banner personalizzabili alle email in arrivo in base a criteri e regole.
• Utenti VIP: Consente agli amministratori di mantenere un elenco di utenti di alto valore (dirigenti, personale finanziario, ecc.).

In Operazioni di sicurezza:

Account Takeover (ATO): Rileva caselle di posta Microsoft 365 compromesse. La funzione è progettata per individuare aggressori che usano account dirottati per frodi, phishing interno ed esfiltrazione di dati.

Il motore segnala regole sospette sulle caselle di posta (inoltro, reindirizzamento, spostamento o eliminazione di email), accessi con spostamenti impossibili e accessi da luoghi o dispositivi non familiari. Quando individua uno di questi segnali, apre un caso nella console e il team di risposta agli incidenti contatta l'amministratore per indagare insieme.

Analisi dettagliata di Sophos Email Security

Per iniziare con Sophos, creiamo un link di prova e veniamo indirizzati alla schermata seguente. Analogamente a Barracuda, Sophos ci chiede di selezionare una regione.

Il sistema chiede poi quale prodotto vogliamo installare. Selezioniamo Email Security. Tra gli altri prodotti configurabili figurano Endpoint Protection, Server Protection, Phish Threat, DNS Protection, Zero Trust Network Access, Protected Browser, Mobile, Wireless, Device Encryption, Firewall Management, Cloud Optix e Switches.

Invieremo 100 email e l'immagine seguente mostra la dashboard. Include statistiche come il numero totale di email in arrivo analizzate, le potenziali minacce e i tipi di minacce rilevate. Sono presenti anche statistiche per le email in uscita, ma in questo benchmark non stiamo testando la sicurezza delle email in uscita.

Possiamo anche vedere altri elementi della dashboard come trend di attività email, riepiloghi delle minacce e indicatori dello stato di sicurezza.

Abbiamo fatto clic su Configura le impostazioni del gateway email. Il sistema ci chiede di verificare il nostro dominio. Poi osserviamo un'impostazione utile in cui possiamo scegliere solo in entrata oppure sia in entrata sia in uscita. Controlla anche le email in uscita per prevenire problemi di sicurezza.

Il sistema mostra il record DNS che dobbiamo inserire. Lo aggiungiamo e procediamo.

Aggiungiamo il record TXT al DNS pubblico del dominio. Il valore TXT è un token di verifica del dominio Sophos e il TTL è impostato su 600. Dopo aver aggiunto il record DNS, attendiamo la propagazione e poi facciamo clic su Verifica affinché Sophos possa confermare che possediamo il dominio.

Abbiamo aggiunto il record e verificato il nostro dominio. Per la destinazione in ingresso abbiamo selezionato MX e inserito il record MX di Google Workspace: aspmx.l.google.com.

Come Barracuda, Sophos richiede il routing MX. A differenza di Sophos e Barracuda, Acronis ha gestito questo processo in modo pulito tramite un'API e non abbiamo dovuto modificare alcuna impostazione. Questi tipi di modifiche MX o simili possono causare problemi agli amministratori di sistema. Tuttavia, ai fini del test, procediamo al passo successivo.

Abbiamo completato le impostazioni MX e inviato un'email di prova, ma non è passata. Dopo alcune verifiche abbiamo visto che l'errore era: "Questo indirizzo email non è stato trovato", cosa inaspettata.

Dobbiamo entrare nel pannello, aprire la sezione Caselle di posta dal menu a sinistra e aggiungere manualmente gli utenti uno per uno. Si tratta di un problema di usabilità che danneggia l'esperienza complessiva, poiché sia Acronis sia Barracuda hanno funzionato immediatamente. Per il test abbiamo aggiunto il nostro indirizzo email e abbiamo continuato i test tramite quell'account.

La sezione Rapporti si trova nel menu a sinistra. Ecco alcuni dei report che possiamo creare:

• Riepilogo messaggi: Volume e stato complessivi delle email.
• Rapporto di analisi SophosLabs: Verdetti sui messaggi segnalati da utenti/amministratori.
• Riepilogo minacce Intelix: Analisi delle minacce per le email in ingresso.
• Riepilogo ora del clic: Rapporto sull'attività di clic sui link.
• Utenti a rischio: Dipendenti più vulnerabili.
• Riepilogo controllo dati: Corrispondenze con le policy di prevenzione della perdita di dati.
• Riepilogo post-consegna: Email rimosse dopo la consegna.
• Riepilogo utilizzo licenze: Utilizzo delle licenze di sicurezza email.

Quando andiamo su Email Security > Cronologia messaggi, possiamo vedere tutte le email in ingresso e come ciascuna è stata classificata. Questo report Cronologia messaggi elenca le singole email elaborate da Sophos Email Security. Alcuni campi chiave sono:

• Mittente: Da chi risultava provenire l'email.
• Destinatari: Chi ha ricevuto il messaggio.
• Tipo: Come l'email è entrata nel sistema, in genere Gateway.
• Oggetto: La riga dell'oggetto dell'email.
• Ultimo stato: Cosa ha fatto Sophos, ad esempio Consegnata, Eliminata o Messa in quarantena.
• Data: Quando l'email è stata elaborata.
• Categoria: La classificazione di Sophos, ad esempio Legittima, Spam, Malware, Minaccia Intelix o Autenticazione.

Alcuni esempi delle categorie sono:

• Legittima: Email normali che sono state lasciate passare.
• Spam: Email sospette o indesiderate; molte vengono messe in quarantena.
• Malware: Email pericolose contenenti contenuti dannosi; vengono eliminate.
• Minaccia Intelix: Email analizzate da Sophos Intelix che sono risultate sospette o minacciose.
• In quarantena: L'email è stata bloccata e messa in quarantena per la revisione.
• Eliminata: L'email è stata rimossa invece di essere consegnata.

I filtri seguenti consentono agli utenti di restringere il registro email per categoria di messaggio:

• Legittima: Email normali consentite.
• Messaggio sicuro: Email crittografate o protette.
• Controllo dati: Email corrispondenti a regole di perdita di dati/sicurezza.
• Errore di autenticazione: Controlli SPF, DKIM o DMARC non riusciti.
• Impersonificazione: Possibile spoofing del mittente o furto d'identità.
• Massiva: Email di marketing massivo o email automatizzate.
• Spam: Email indesiderate o sospette.
• URL/Codice QR: Email con link o codici QR rischiosi.
• Minaccia Intelix: Email segnalate dall'analisi delle minacce di Sophos.
• Non analizzabile: Email che Sophos non è riuscita a ispezionare completamente.
• Malware: Email contenenti file o contenuti dannosi.
• Bloccata dall'azienda: Email bloccate dalle policy aziendali.

Il menu Caselle di posta mostra le caselle monitorate. Aprendo una casella possiamo selezionare quali policy applicare. In Policy di base – Email Security sono disponibili le seguenti impostazioni:

L'autenticazione include controlli di autenticazione delle email per i messaggi in ingresso. Possiamo configurare il modo in cui Sophos gestisce gli errori DMARC, SPF e DKIM, incluse azioni come conformarsi alla policy del mittente o etichettare la riga dell'oggetto con un avviso.

Include anche controlli del mittente per anomalie nell'header e nel dominio, che aiutano a rilevare email che sembrano provenire dal proprio dominio o da domini sospetti senza record DNS adeguati. Possiamo anche abilitare banner per l'utente finale per mostrare ai destinatari il livello di affidabilità dei messaggi in ingresso e aiutarci a decidere se consentire o bloccare i mittenti.

L'antimalware gestisce la scansione antimalware in ingresso per i messaggi email. Possiamo scegliere l'azione predefinita per i rilevamenti malware, come Elimina, e abilitare la scansione malware avanzata per un'analisi più approfondita dei contenuti e dei file.

Consente inoltre il controllo sulle email non analizzate e sull'Intelix Threat Analysis, dove Sophos può usare analisi statiche e dinamiche per classificare i messaggi sospetti. In base al verdetto possiamo definire azioni come eliminare, consegnare o gestire in modo diverso le email dannose e sospette.

L'antispam gestisce il modo in cui Sophos tratta lo spam e la posta massiva. Possiamo impostare azioni per categorie come Spam confermato e Massiva, inclusa la messa in quarantena dei messaggi e la decisione se devono comparire nella quarantena dell'utente finale.

Include anche un cursore personalizzabile del tasso di rilevamento dello spam, dove livelli più alti aumentano l'aggressività del rilevamento dello spam.

Nuovo dominio/mittente include protezioni per i domini registrati di recente e per i nuovi mittenti. Possiamo abilitare controlli per le email inviate da domini creati di recente, spesso usati nelle campagne di phishing.

Consente inoltre di mostrare un banner Nuovo mittente quando un destinatario non ha ricevuto email da quel mittente in precedenza.

Il paese di origine consente di controllare le email in base al paese del mittente. È possibile selezionare paesi specifici da un elenco e le email corrispondenti possono essere messe in quarantena o gestite in altro modo secondo la policy.

C'è anche un'opzione per controllare ogni hop del messaggio, che aiuta a ispezionare il percorso compiuto da un'email prima di raggiungere il destinatario.

La lingua gestisce il filtraggio in base alla lingua del messaggio. Possiamo selezionare le lingue specifiche che vogliamo vietare e scegliere l'azione che Sophos deve intraprendere, ad esempio mettere in quarantena i messaggi corrispondenti.

La funzione di protezione dall'impersonificazione abilita controlli per tentativi di impersonificazione di VIP, marchi e impersonificazione generica.

Per la protezione da URL e codici QR, possiamo controllare le email alla ricerca di URL e codici QR dannosi. Sophos può analizzare i link ed estrarre gli URL dai codici QR per rilevare le minacce prima che gli utenti interagiscano con essi.

Gestisce anche la Time of Click URL Protection, in cui i link vengono riscritti e controllati quando l'utente vi fa clic.

Nel menu a sinistra, la sezione Messaggi in quarantena mostra tutte le email in cui è stata rilevata una minaccia. Possiamo filtrare per:

• Antimalware: Email segnalate durante la scansione malware. Include messaggi con allegati pericolosi, contenuti dannosi o elementi che Sophos non è riuscita a ispezionare completamente:
  • Malware: Email che è stato confermato contengano file, link o contenuti dannosi. Vengono in genere eliminate o messe in quarantena.
  • Non analizzabile: Email che Sophos non è riuscita a ispezionare correttamente, ad esempio a causa di crittografia, corruzione, allegati protetti da password o tipi di file non supportati.
• Antispam: Email classificate tramite le regole di rilevamento dello spam:
  • Massiva: Email inviate in massa come newsletter, campagne di marketing o notifiche automatiche.
  • Spam confermato: Email identificate con sicurezza come spam. Vengono in genere messe in quarantena o bloccate.
  • Spam sospetto: Email dall'aspetto sospetto ma non confermato come spam. Possono essere messe in quarantena, etichettate o consegnate a seconda della policy.
  • Impersonificazione: Email che potrebbero fingere di provenire da una persona, un marchio, un dominio o un mittente interno attendibile.
  • Paese non consentito: Email bloccate o messe in quarantena perché provenienti da un paese limitato dalla policy.
  • Lingua non consentita: Email bloccate o messe in quarantena perché la lingua rilevata non è consentita dalla policy.
  • BATV: Email relative alla Bounce Address Tag Validation, usata per aiutare a rilevare messaggi di rimbalzo falsificati o backscatter spam.
  • Nuovo dominio/NRD: Email da domini registrati di recente, spesso usati in campagne di phishing o attacchi di breve durata.
• Autenticazione: Email filtrate in base a controlli di autenticazione del mittente come errori SPF, DKIM o DMARC.

Quando facciamo clic su un'email, possiamo vedere i messaggi che spiegano perché è stata messa in quarantena. Possiamo eliminarla e bloccare il mittente, rilasciare il messaggio dalla quarantena oppure rilasciarlo e consentire messaggi simili in futuro.

Nella sezione Intestazione raw possiamo visualizzare tutte le informazioni di intestazione dell'email. Possiamo anche visualizzarne gli allegati e gli URL contenuti nel messaggio. A nostro avviso, questo non è apparso sufficientemente dettagliato. Acronis e Barracuda hanno fornito un'esperienza più completa e informativa sotto questo aspetto.

Nella scheda Messaggio possiamo visualizzare il contenuto dell'email così com'è, il che può essere insicuro. Sarebbe meglio poter vedere il contenuto dell'email come screenshot, come abbiamo osservato in Acronis.

Qui ci sono 23 email perché sono state contrassegnate come spam, mentre alcune altre sono state rifiutate direttamente. In sintesi, il sistema mette in quarantena le email contrassegnate come spam.

Quando vogliamo esportare tutte le email in ingresso, non possiamo farlo direttamente dalle schermate dei report. Dobbiamo creare un report personalizzato dai Registri email, quindi aprirlo, selezionare Genera report, scegliere CSV e infine esportare tutto come CSV. Questo flusso di lavoro appare inutilmente indiretto e poco intuitivo.

Analisi dettagliata di Barracuda Email Protection

Dopo aver ottenuto una prova da Barracuda, siamo passati al pannello, abbiamo fatto clic su Apri per Email Protection e abbiamo proceduto.

In Disponibile nella tua prova possiamo vedere i principali prodotti inclusi:

• Protezione email: Previene le minacce email, protegge le email prima e dopo la consegna e automatizza la risposta agli incidenti email.
• Backup cloud-to-cloud: Esegue il backup dei dati di Microsoft 365.
• Data Inspector: Trova dati sensibili e malware non rilevati in OneDrive e SharePoint.
• Formazione sulla consapevolezza della sicurezza: Forma i dipendenti sulle minacce alla sicurezza email.
• Servizio di archiviazione cloud: Applica la conservazione delle email per conformità ed e-discovery.

Poiché non avevamo ancora configurato domini o impostazioni correlate, il sistema ci ha portato direttamente alla procedura guidata di configurazione, una funzione utile per configurare le impostazioni email.

Quando abbiamo fatto clic su Avanti, il sistema ci ha obbligato a collegare un account Microsoft 365. Tuttavia, noi utilizziamo Google Workspace e stiamo valutando il servizio per quell'ambiente.

In seguito abbiamo scoperto che Barracuda supporta Google Workspace. Abbiamo continuato con la configurazione standard.

Il sistema ci ha chiesto di selezionare una regione per i dati. Questa è una funzione importante per la conformità al GDPR, quindi abbiamo selezionato Germania e continuato.

In seguito Barracuda ci ha chiesto di inserire un indirizzo email appartenente al nostro dominio e di verificare i nostri record MX. Abbiamo fatto clic sul pulsante di verifica e non abbiamo eseguito alcuna azione aggiuntiva. Il sistema ha verificato i record correttamente.

Durante le fasi successive della configurazione abbiamo scoperto che Barracuda non disponeva di un'integrazione nativa con Google Workspace. Invece, ci ha fornito nuovi record MX per sostituire quelli esistenti. Quando aggiorniamo questi record MX, le email in arrivo sembrano raggiungere prima Barracuda.

Barracuda filtra poi le email inappropriate e inoltra quelle accettabili. Richiedere modifiche ai record MX per l'integrazione con Google Workspace è un approccio inadeguato.

Successivamente abbiamo aggiornato i record MX e li abbiamo verificati. Abbiamo completato la configurazione e iniziato a inviare email.

Durante l'invio delle email abbiamo osservato che Barracuda ha rifiutato alcune richieste SMTP e rifiutato alcuni allegati. Quando abbiamo eseguito lo stesso test con Acronis, tutte le email sono state consegnate e visibili nel sistema. Qui Barracuda rifiuta alcune email prima che compaiano nella dashboard.

Sebbene le rifiuti perché sono effettivamente dannose, a causa di questo processo automatico perdiamo visibilità. In altre parole, potremmo non sapere nemmeno se un attacco è arrivato ed è stato rifiutato. Questo è un problema per l'uso di Barracuda per la sicurezza email, poiché nei contesti di sicurezza la visibilità è tutto. Se un prodotto rifiuta arbitrariamente gli incidenti rendendoli invisibili, danneggia il team di sicurezza.

Nonostante queste difficoltà, tutte le email di test sono state inviate. Nella dashboard di Barracuda veniamo indirizzati alla schermata Registro messaggi, dove sono elencate tutte le email analizzate.

La sezione Registro messaggi include un'area di filtraggio in alto. Ecco le opzioni di filtraggio:

• Ricerca: Ricerca testuale tra messaggi, destinatari, mittenti e altri campi.
• Domini: Filtra i risultati in base al dominio selezionato.
• Direzione: Filtra per direzione dell'email; In entrata o In uscita.
• Intervallo data/ora: Limita i risultati a una finestra temporale specifica.
• Azione intrapresa: Filtra in base all'azione intrapresa, ad es. Consentito, Bloccato, Differito.
• Stato di consegna: Filtra in base a se l'email è stata consegnata, non riuscita, messa in quarantena, ecc.
• Motivo: Filtra in base al motivo di rilevamento che ha attivato un'azione (ad es. Punteggio, DMARC, Antivirus, Contenuto protetto).
• Risultati: Controlla quanti record vengono visualizzati per pagina.

Possiamo segnalarlo come classificato in modo errato. Ad esempio, l'email seguente è sicura ma è stata classificata erroneamente come dannosa. Abbiamo segnalato l'email come sicura.

L'email seguente è bloccata, ma la dashboard non fornisce ulteriori dettagli. Barracuda risulta quindi carente in quest'area. Sarebbe più utile poter vedere maggiori informazioni sul motivo per cui il messaggio è bloccato, oltre al punteggio di blocco.

Nella sezione Domini a sinistra possiamo visualizzare, aggiungere ed eliminare i domini che vogliamo includere nella protezione della posta; si tratta di funzioni standard.

Nel menu In entrata a sinistra, Barracuda fornisce i filtri usati per questi controlli. Possiamo configurare questi filtri.

Ad esempio, in Impostazioni antispam/antivirus possiamo configurare:

• Usa elenco di blocco reputazione Barracuda: Controlla la posta in ingresso rispetto al database di Barracuda dei mittenti dannosi noti. Può essere impostato su Blocca, Quarantena o Disattivato.
• Scansiona le email alla ricerca di virus: Abilita o disabilita la scansione antivirus su tutte le email in ingresso.
• Usa il sistema in tempo reale Barracuda: Confronta le email con il feed di intelligence sulle minacce in tempo reale di Barracuda. Possono essere bloccate, messe in quarantena o disattivate. Facoltativamente invia contenuti sospetti a Barracuda Central per ulteriori analisi.
• Abilita cloudscan: Scarica il punteggio dello spam al motore cloud di Barracuda. I punteggi vanno da 1 a 10; le email che superano la soglia attivano l'azione configurata.
• Categorizzazione email: Classifica le email in ingresso per tipo e applica un'azione per categoria. Le categorie includono Email aziendale, Email transazionale, Marketing, Materiali e Newsletter, Mailing List e Social Media, ciascuna impostata indipendentemente su Consenti, Quarantena, Blocca o Disattivato.
• Rilevamento email massiva: Rileva e agisce sulle email massive/inviate in massa. Quando è impostato su Disattivato, le email massive non vengono filtrate separatamente.
• Esenzioni per email massive: Consente a indirizzi email o domini specifici di ignorare il rilevamento delle email massive, definiti per mittente o destinatario.

Le pagine Rate Limit definiscono quante email può inviare un indirizzo IP del mittente in ogni periodo di 30 minuti, un'impostazione utile. Può prevenire abusi email e improvvisi attacchi ad alto volume da un singolo IP mittente.

Limitando quante email può inviare un indirizzo IP in un periodo di 30 minuti, il sistema può ridurre l'impatto di:

• Campagne di spam
• Raffiche di phishing
• Distribuzione di malware
• Account o server mittente compromessi
• Inondazioni di email in stile denial-of-service

Nella pagina Whitelist/Blacklist IP possiamo ignorare la scansione per le email provenienti da indirizzi IP specifici o bloccarle direttamente.

In Policy regionali possiamo applicare il blocco geografico o la whitelist. Possiamo anche bloccare o consentire le email in base alla lingua del contenuto.

In Policy destinatario possiamo configurare regole di scansione o bypass in base all'indirizzo email del destinatario.

Barracuda fornisce anche policy simili per i mittenti. Possiamo applicare eccezioni in base al mittente.

Esiste anche una dashboard in cui possiamo definire eccezioni in base a controlli standard di sicurezza email come DMARC, DKIM e SPF.

In Policy contenuti possiamo configurare se scansionare o ignorare le email in base al nome o al tipo di file. Possiamo anche definire regole di scansione o bypass in base al contenuto del corpo del messaggio usando espressioni regolari.

Barracuda fornisce Advanced Threat Protection come abbonamento aggiuntivo rispetto al normale scanner antivirus. Advanced Threat Protection (ATP) è un servizio di scansione basato su cloud che analizza gli allegati email in un ambiente cloud sicuro per rilevare minacce che i normali scanner antivirus potrebbero non individuare. Si applica ai messaggi in ingresso e supporta la maggior parte dei tipi di file MIME.

In ATP sono disponibili tre modalità:

1. Consegna prima, scansione poi tenta di analizzare l'allegato in tempo reale all'arrivo dell'email. Se la scansione si completa in tempo e viene rilevata una minaccia, l'email viene bloccata. Se la scansione non termina in tempo, l'email viene consegnata immediatamente senza attendere il risultato. La scansione continua in background e se una minaccia viene trovata in seguito, il destinatario viene avvisato, ma l'email ha già raggiunto la sua casella. Ciò significa che il destinatario potrebbe aprire un allegato infetto prima che la minaccia venga identificata.
2. Scansione prima, consegna poi analizza l'allegato prima della consegna. Se viene rilevata una minaccia, l'email viene bloccata. Se è pulita, viene consegnata. Le email in attesa di scansione compaiono nel Registro messaggi con "Scansione in sospeso" come motivo. Se un messaggio rimane differito per più di quattro ore, viene messo in quarantena. Questa modalità è più sicura ma può ritardare la consegna.
3. Disattivato: ATP è completamente disattivato.

Il compromesso chiave qui è tra velocità e sicurezza. "Consegna prima" privilegia la velocità di consegna ma introduce una finestra di rischio. "Scansione prima" elimina tale rischio ma può ritardare o differire i messaggi con allegati.

Nella sezione Report, Barracuda crea report dettagliati sulla sicurezza email:

• Riepilogo traffico in entrata/uscita: Panoramica di tutta l'attività email in entrata e in uscita, suddivisa in differita, bloccata, messa in quarantena e consentita.
• Dettaglio email in entrata bloccate: Dettaglio dei motivi per cui le email in entrata sono state bloccate.
• Principali mittenti/destinatari di email in entrata: Mostra i mittenti/destinatari più frequenti di email in entrata.
• Dettaglio principali mittenti bloccati in entrata: Elenca i mittenti le cui email vengono bloccate più di frequente, con le relative motivazioni.
• Dettaglio principali destinatari bloccati in entrata: Mostra i destinatari interni che vengono presi di mira più spesso da email bloccate.
• Principali mittenti di email in uscita: Panoramica degli utenti interni che inviano il maggior volume di email in uscita.
• Principali mittenti bloccati in uscita: Mostra gli utenti interni le cui email in uscita vengono bloccate più di frequente.

Inoltre possiamo programmare report automatici, una funzione utile. Invece di accedere ripetutamente per controllare le dashboard, possiamo ricevere riepiloghi periodici di minacce, messaggi in quarantena, trend dello spam, rilevamenti malware, tentativi di impersonificazione, azioni delle policy e rischio utente. I report programmati possono anche aiutare gli utenti a identificare precocemente dei pattern, come un aumento delle email di phishing, attacchi ripetuti contro utenti specifici o un incremento di allegati dannosi bloccati.

Il menu Syslog a sinistra ci consente di inoltrare tutti questi record a un server di log di nostra scelta. Questa è una funzione utile per le integrazioni SIEM.

Nel complesso, il prodotto offre un'ampia gamma di funzionalità, ma ha prestazioni insufficienti nel rilevamento delle minacce. Una parte significativa della configurazione è lasciata all'utente, sollevando la questione se il valore aggiunto giustifichi l'onere, in particolare per le organizzazioni che utilizzano Google Workspace o Microsoft 365 Compliance Center.

Funzionalità chiave delle soluzioni di sicurezza email cloud

Le soluzioni di sicurezza email cloud analizzano il comportamento degli utenti, rilevano anomalie contestuali, automatizzano la risposta e la correzione delle minacce e si integrano con l'ecosistema di sicurezza più ampio. Le funzionalità chiave includono:

Rilevamento delle minacce basato sull'IA

I sistemi di sicurezza email cloud analizzano il contesto del messaggio, la cronologia del mittente e l'intento per segnalare attacchi di phishing e tentativi di impersonificazione che in superficie sembrano legittimi. Ciò include l'identificazione di segnali subdoli come domini simili o schemi temporali insoliti.

Tracciando le normali abitudini di comunicazione, questi sistemi possono rilevare anomalie, come un dipendente dell'ufficio finanziario che riceve improvvisamente richieste urgenti di pagamento da un nuovo mittente esterno. Questo approccio è particolarmente importante per rilevare la business email compromise (BEC), in cui non c'è malware da analizzare e non ci sono segnali evidenti.

Architettura di protezione multilivello

Le piattaforme di sicurezza email cloud combinano più livelli di ispezione per intercettare le minacce che sfuggono a un singolo controllo.

• L'analisi statica verifica gli indicatori noti, mentre il sandboxing dinamico osserva come si comportano gli allegati in un ambiente controllato.
• Anche l'ispezione degli URL svolge un ruolo chiave, soprattutto per identificare i link dannosi che si attivano dopo la consegna.
• I protocolli di autenticazione come SPF, DKIM e DMARC aiutano a convalidare l'identità del mittente, riducendo il rischio di spoofing.

Insieme, questi livelli creano un sistema in cui ogni componente compensa i limiti degli altri.

Protezione dalle minacce emergenti

Gli aggressori fanno sempre più affidamento sull'inganno piuttosto che sugli exploit tecnici. Le tattiche di ingegneria sociale sono progettate per spingere gli utenti a prendere decisioni rapide, spesso imitando dirigenti o fornitori fidati.

Ciò include campagne mirate come lo spear phishing, in cui i messaggi sono adattati a un individuo o ruolo specifico. Gli scenari più avanzati coinvolgono messaggi vocali deepfake o tentativi di frode alle fatture.

Queste minacce avanzate non si basano su file dannosi. Sfruttano invece la fiducia, rendendo il rilevamento dipendente dal contesto e dall'intento piuttosto che dalle firme.

Rilevamento in tempo reale e risposta automatizzata

Una volta che un messaggio dannoso raggiunge una casella di posta, la finestra per il danno è limitata. I sistemi di sicurezza analizzano le email all'arrivo e agiscono immediatamente quando una minaccia viene confermata.

L'automazione riduce il carico sui team di sicurezza rimuovendo i messaggi dannosi da tutte le caselle interessate, anche dopo la consegna. Ciò limita la diffusione di attacchi che si basano sull'inoltro interno o sulle catene di risposta.

I flussi di lavoro di risposta possono anche attivare azioni più ampie, come isolare gli account o aggiornare le regole di rilevamento in base alle nuove informazioni.

Monitoraggio continuo e protezione post-consegna

Il filtraggio iniziale non intercetta tutto. Le tecniche di attacco evolvono e alcune minacce vengono riconosciute solo dopo la comparsa di nuovi indicatori.

• Il monitoraggio continuo consente ai sistemi di riesaminare i messaggi consegnati e rimuovere le minacce appena identificate. Questo è fondamentale per gli attacchi che utilizzano payload ritardati o consegne a tappe.
• La correzione post-consegna garantisce che le email precedentemente sfuggite non rimangano nelle caselle una volta classificate come dannose.

Continuità e resilienza della posta elettronica

La sicurezza non riguarda solo il blocco delle minacce. Anche la disponibilità è importante. Se l'accesso alla posta elettronica viene interrotto, le operazioni aziendali possono bloccarsi.

Le funzionalità di continuità basate su cloud forniscono un accesso di backup durante le interruzioni e supportano il rapido ripristino di messaggi e account. Ciò garantisce che la posta elettronica aziendale rimanga disponibile anche durante interruzioni del servizio o attacchi.

Capacità distintive delle piattaforme di sicurezza email cloud

Sicurezza incentrata sull'utente (livello umano)

Molti incidenti iniziano con un'azione dell'utente. Ecco perché le moderne piattaforme di sicurezza email includono strumenti che guidano il comportamento invece di affidarsi solo al filtraggio.

• I banner di avviso contestuale possono avvisare gli utenti quando un messaggio appare sospetto.
• Anche la formazione sta diventando più adattiva. Invece di simulazioni generiche, gli utenti ricevono indicazioni personalizzate in base ai loro modelli di interazione.

Sicurezza unificata e integrazione della piattaforma

La posta elettronica non esiste in modo isolato. Fa parte di un ambiente più ampio che include endpoint, identità e applicazioni. L'integrazione con i sistemi di endpoint e di identità consente risposte coordinate. Ad esempio, se un'email porta al furto di credenziali, il sistema può attivare azioni che vanno oltre la casella di posta.

Le dashboard centralizzate offrono ai team una visione più chiara del loro livello di sicurezza complessivo, riducendo le incomprensioni tra gli strumenti.

Protezione dei dati, crittografia e conformità

La posta elettronica trasporta spesso contratti, dettagli finanziari e altri dati sensibili. Proteggere queste informazioni richiede più del semplice rilevamento delle minacce.

• La crittografia garantisce che i messaggi rimangano privati in transito e a riposo. Le policy di prevenzione della perdita di dati aiutano a prevenire la condivisione non autorizzata, accidentale o intenzionale.
• Le funzionalità di conformità supportano i requisiti normativi, inclusi audit trail e policy di conservazione. Ciò è particolarmente rilevante per le organizzazioni che operano oltre confine e gestiscono dati soggetti a rigide regole legali o di settore.

Non perderti i nostri benchmark e approfondimenti basati sui dati. Il pulsante apre Google; selezionare AIMultiple conferma che desideri vedere AIMultiple più spesso nei risultati di ricerca di Google.

Aggiungi come fonte preferita

Metodologia del benchmark sulla sicurezza email cloud

Abbiamo confrontato tre prodotti di sicurezza email: Acronis Advanced Email Security (basato su Perception Point), Sophos Email Security e Barracuda Email Protection.

Il benchmark ha incluso 100 test end-to-end e ha seguito quattro principi.

1. Basato sulla copertura: Ogni test corrisponde a una capacità che il fornitore dichiara pubblicamente di offrire.
2. Ponderato per la difficoltà: Mancare un test semplice da 1/10 segnala una grave lacuna del prodotto. Mancare un test da 9/10 è più comprensibile perché quei casi riflettono problemi di rilevamento di livello esperto. Il metodo di punteggio separa questi casi invece di trattare tutte le mancanze allo stesso modo.
3. Riproducibile: Il benchmark viene eseguito con un harness di test PHP autonomo e controllato da una suite di verifica separata. Prima che qualsiasi email di test venga inviata, il verificatore esegue più di 1.800 controlli per confermare che i payload di test siano completi, validi e configurati correttamente.
4. Etico: I test malware utilizzano la stringa di test antivirus EICAR. Gli URL di phishing puntano a infrastrutture canary inerti o inesistenti. Tutte le caselle di posta di test appartengono al team di test.

Abbiamo selezionato i test in modo che le dichiarazioni pubbliche di ciascun fornitore fossero esercitate almeno una volta. La priorità era testare le minacce che tutti e tre i fornitori dichiarano di rilevare, il che mantiene equo il confronto diretto. Abbiamo incluso anche un numero minore di casi specifici del fornitore quando rilevanti. Ad esempio, il dirottamento della conversazione è un'affermazione chiave di Barracuda, il rilevamento del phishing tramite codice QR è esplicitamente dichiarato da Acronis Advanced Email Security e gli adescamenti GenAI in stile deepfake sono promossi soprattutto dai fornitori IA-first.

Il benchmark è organizzato in undici categorie. Ogni categoria testa un diverso meccanismo di rilevamento. Il numero di test è indicato tra parentesi, per un totale di 100 test.

Categoria A: Spam (9 test)

Questa categoria copre pubblicità farmaceutiche massive, email pump-and-dump di criptovalute, truffe alla lotteria, prestiti payday, messaggi di apertura da piattaforme di incontri e cold outreach B2B SEO.

La maggior parte dei test di questa categoria è volutamente facile. Due test, marketing graymail e cold outreach B2B, si collocano più vicino al confine dei falsi positivi perché un filtraggio aggressivo può bloccare la posta elettronica aziendale legittima.

Categoria B: Malware noti tramite la stringa di test EICAR (9 test)

Questa categoria testa la consegna di EICAR attraverso formati di allegati comuni e annidati:

• Allegato .txt semplice,
• ZIP regolare,
• ZIP protetto da password con la password inclusa nel corpo dell'email,
• ZIP annidato dentro un altro ZIP,
• EICAR con estensione .exe per testare la gestione della discrepanza tra estensione e contenuto,
• .tar.gz, archivio ricorsivo a tre livelli,
• File .gz singolo senza wrapper tar,
• EICAR con quattro kilobyte di dati spazzatura anteposti per testare la tolleranza agli offset.

Questi test mettono alla prova l'estrazione degli archivi, il supporto dei formati e l'estrazione della password dal corpo dell'email. Si tratta di capacità di base per i moderni gateway email.

Categoria C: Tipi di file vettore (10 test)

Questa categoria testa i formati di file comunemente usati per trasportare o innescare comportamenti dannosi. Il set include:

• PDF con JavaScript incorporato e trigger OpenAction,
• HTML smuggling tramite URL.createObjectURL su un blob codificato in Base64,
• SVG con script onload e XHR remoto,
• Collegamento Windows .lnk con payload PowerShell nel blocco degli argomenti,
• File poliglotta PDF/ZIP,
• HTML Application .hta con VBScript,
• Dropper JavaScript di Windows Script Host tramite XMLHTTP e ADODB.Stream,
• Immagine ISO 9660 contenente EICAR,
• File .url di collegamento Internet,
• File .iqy di Excel Internet Query.

Questa è una delle categorie più discriminanti perché i risultati dei prodotti variano notevolmente tra questi tipi di vettore.

Categoria D: Phishing tramite URL (10 test)

Questa categoria misura l'analisi degli URL tra link diretti, redirect, offuscamento e posizioni al di fuori del corpo. Include:

• URL di phishing diretto su un TLD sospetto,
• Destinazione abbreviata con Bitly,
• Catena di redirect multi-hop tramite l'open redirector di Google e t.co,
• Omoglifo IDN punycode che utilizza la “а” cirillica in раypal.com,
• URL nascosto nell'HTML tramite caratteri a larghezza zero e testo bianco di un pixel,
• URL presente dentro un'annotazione PDF,
• URI contenente HTML codificato in Base64 con un link di phishing,
• URL estremamente lungo con l'host reale sepolto nella stringa di query,
• Parametro open-redirect su un host dall'aspetto legittimo,
• URL della cache AMP di Google che nasconde la destinazione di phishing dietro google.com/amp/s/.

Categoria E: Phishing tramite codice QR (8 test)

Questa categoria verifica se i prodotti sono in grado di estrarre e ispezionare gli URL di phishing nascosti nei codici QR. Il set include:

• Codici QR PNG in linea per la ri-iscrizione MFA,
• Firma DocuSign,
• Accesso alla busta paga,
• Avviso di riconsegna della spedizione
• Accesso alla segreteria telefonica
• Reimpostazione 2FA bancaria.

Include anche varianti di evasione: un codice QR incorporato in un PDF senza contenuto QR nel corpo dell'email, un codice QR consegnato come immagine avvolta in SVG e un codice QR impostato come URI dati di background CSS invece di un tag <img>.

Questi casi verificano se lo scanner esamina le immagini al di fuori dei contenitori HTML più ovvi.

Categoria F: Impersonificazione di marchi e domini (9 test)

Questa categoria testa l'impersonificazione di mittente, dominio, marchio e header e include:

• Spoofing del nome visualizzato da un account Gmail generico,
• Dominio typosquat che utilizza m1crosoft-account.com,
• Omoglifo IDN punycode per Apple
• Abuso di sottodominio tramite microsoft.support-team-portal.tk
• Imitazione del brand kit di Microsoft tramite il logo reale e lo stile Segoe UI
• Discrepanza tra header Sender e From
• Impersonificazione di una banca locale
• Typosquatting di un'azienda eCommerce
• Iniezione dell'header Authentication-Results in cui l'aggressore aggiunge valori contraffatti spf=pass, dkim=pass e dmarc=pass al messaggio.

L'ultimo caso verifica se i parser a valle si fidano degli header di autenticazione forniti dall'aggressore invece di convalidare i risultati effettivi a monte.

Categoria G: BEC e spear phishing senza payload (9 test)

Questa categoria si concentra sull'ingegneria sociale senza allegati o link dannosi e include:

• Richiesta di bonifico dell'AD inviata da un account Gmail,
• Pretesto di modifica bancaria nella Vendor Email Compromise,
• Reindirizzamento dello stipendio self-service del dipendente,
• Truffa online delle carte regalo da parte di un impersonatore del CFO
• Dirottamento della conversazione tramite oggetto Re:Re: e header In-Reply-To falsificati,
• Richiesta di prove riservate da un finto studio legale,
• Contatto esterno di head-hunter con curriculum allegato,
• Pretesto di acquisizione dell'autenticazione a due fattori di WhatsApp,
• Pretesto insider M&A che combina linguaggio di riservatezza e urgenza.

Categoria H: Estorsioni e truffe (9 test)

Questa categoria copre i modelli comuni di truffe ed estorsioni. I test includono:

• Email che utilizza una vecchia password trapelata,
• Fattura falsa con link di pagamento dannoso in un PDF,
• Lettera con richiesta di pagamento anticipato,
• Minaccia di confisca da parte dell'autorità fiscale,
• Estorsione DDoS contro un sito web,
• Falso avviso di blocco iCloud Apple con link di sblocco,
• Truffa delle spese doganali del corriere
• Estorsione tramite doxing,
• Truffa del parente bloccato alla dogana.

Categoria I: Phishing di qualità GenAI (10 test)

Questa categoria testa email di phishing curate che eliminano gli indizi evidenti su cui spesso si basano i sistemi più vecchi. Il set include:

• Email di nuova verifica dell'helpdesk IT con passaggi strutturati e pulsante del marchio,
• Falsa lettura preliminare per il consiglio con linguaggio di riservatezza e link a uno spazio di lavoro,
• Aggiornamento della policy del tenant Microsoft 365 che richiede un nuovo consenso entro sette giorni,
• Richiesta di firma elettronica del Codice di condotta HR,
• Follow-up del customer success dopo una riunione fittizia,
• Impersonificazione del riepilogo di una riunione,
• NDA legale da una controparte fittizia,
• Avviso critico su una CVE in stile CISO,
• Anteprima degli utili delle relazioni con gli investitori con linguaggio di embargo,
• Risolutore di conflitti di calendario che richiede un accesso SSO una tantum.

Ogni email di questa categoria è stata scritta per leggersi come un messaggio aziendale competente in inglese nativo. I test evitano deliberatamente i vecchi segnali di phishing come grammatica scorretta, frasi goffe e palesi incongruenze di marchio.

Categoria J: Tecniche di evasione (9 test)

Questa categoria testa l'offuscamento che può superare un'ispezione superficiale dei contenuti e include:

• Caratteri Unicode a larghezza zero dentro le parole trigger,
• Bypass OCR in cui l'intero messaggio di phishing viene renderizzato come PNG senza testo analizzabile nel corpo,
• Carattere di override da destra a sinistra nel nome di un allegato,
• Nome file con doppia estensione,
• Adescamento nascosto via CSS in cui il testo renderizzato appare innocuo mentre il DOM contiene il contenuto di phishing,
• Oggetto con parola codificata RFC 2047,
• URL con caratteri codificati esadecimali nell'host,
• Omoglifo nell'oggetto tramite la “е” cirillica al posto della “e” latina,
• URL nascosto in un attributo HTML data-* e recuperato al momento del clic tramite JavaScript in linea.

Categoria K: Set di controllo e test dei falsi positivi (8 test)

Il set di controllo contiene email aziendali legittime che dovrebbero passare senza avvisi e include:

• Notifiche interne del team,
• Report spese mensili,
• Follow-up di riunioni,
• Digest settimanali,
• File ZIP protetti da password usati per la condivisione interna legittima,
• Promemoria di formazione,
• Avvisi di manutenzione IT,
• Email di pianificazione one-to-one.

Qualsiasi prodotto che segnala uno di questi messaggi riceve una penalità per falso positivo.

Architettura a due mittenti

Molti test di sicurezza email trascurano una distinzione importante tra attacchi guidati dal contenuto e attacchi guidati dall'identità del mittente. Alcune minacce sono pericolose per via del corpo del messaggio o degli allegati, indipendentemente da chi le invia. Altre sono pericolose perché l'email dichiara di provenire da qualcuno che non rappresenta. Queste due classi richiedono configurazioni di invio diverse.

Abbiamo suddiviso il benchmark in due gruppi di mittenti.

• Gruppo L, Legittimo, 38 test: Queste email vengono inviate da un servizio SMTP autenticato. SPF, DKIM e DMARC sono allineati correttamente per il dominio di invio. Il nome visualizzato cambia a seconda del test, ad esempio Finanza, Helpdesk IT o il nome reale del tester, ma l'indirizzo From rimane l'indirizzo del mittente autenticato.
  • Il Gruppo L è usato per le categorie guidate dal contenuto: K, B, C, J e i due test di phishing tramite URL, dove l'URL è la minaccia indipendentemente dal mittente.
• Gruppo S, Spoof, 62 test: Queste email vengono inviate tramite un relay SMTP permissivo che non applica l'allineamento del dominio From. L'indirizzo From è quello specificato dal test, pertanto l'allineamento SPF e DMARC fallisce per progettazione.
  • Il Gruppo S è usato per le categorie guidate dall'identità del mittente: A, gran parte di D, E, F, G, H e I.

Questa suddivisione riflette il comportamento reale degli aggressori. Gli operatori di phishing usano spesso server virtuali economici e domini usa e getta perché i servizi SMTP cloud tradizionali, come Gmail, Office 365 e AWS SES, con domini verificati, impediscono l'invio di posta con un header From disallineato.

Figura 1: Figura che mostra il funzionamento di un server relay SMTP. Un server relay SMTP è un server di posta di terze parti che riceve email da un mittente e le inoltra ai server destinatari al di fuori del dominio del provider di posta del mittente.

Ponderazione della difficoltà

Ogni test ha una valutazione di difficoltà da 1 a 10. La valutazione indica quanto un prodotto di sicurezza email competente dovrebbe trovare difficile il test.

• Da 1 a 2, banale: Si tratta di firme da manuale senza offuscamento significativo. Mancarli indica una lacuna di rilevamento fondamentale. Esempi sono lo spam farmaceutico, EICAR semplice in uno ZIP e una lettera nigeriana 419.
• Da 3 a 4, ben noto: Si tratta di schemi familiari che i prodotti moderni dovrebbero rilevare. Esempi includono JavaScript nei PDF, sextortion con password trapelata e spoofing del nome visualizzato dell'AD.
• Da 5 a 6, intermedio: Questi casi richiedono analisi più robuste, come IA moderna, sandboxing o computer vision, inclusi HTML smuggling, URL omoglifi IDN e phishing tramite codice QR in linea.
• Da 7 a 8, avanzato: Si tratta di casi limite che i prodotti più robusti gestiscono con costanza, come poliglotti PDF/ZIP, catene di redirect multi-hop, impersonificazione visiva del brand kit e adescamenti con bypass OCR solo immagine.
• Da 9 a 10, esperto: Si tratta di casi davvero difficili in cui rilevarli è un ottimo risultato e mancarli è comune in tutto il settore. Esempi includono il dirottamento di conversazioni con thread falsificati, un follow-up del customer success di qualità GenAI e una falsa NDA legale da una controparte precedentemente sconosciuta.
• Test di controllo: I messaggi della categoria K dovrebbero passare. Qualsiasi rilevamento in questa categoria conta come falso positivo.

Le medie delle categorie seguono la curva di difficoltà prevista: lo spam A ha una media di 2,2/10, EICAR B ha una media di 2,8/10, l'estorsione H ha una media di 3,8/10, i file vettore C hanno una media di 5,0/10, l'impersonificazione del marchio F e l'evasione J hanno una media di 5,6/10, il phishing tramite URL D ha una media di 5,8/10, il phishing tramite codice QR E ha una media di 6,8/10, la BEC G ha una media di 6,8/10 e il phishing GenAI I ha una media di 8,2/10.

Punteggio del benchmark

Ogni prodotto riceve uno dei cinque verdetti per test:

• BLOCK: Il messaggio viene messo in quarantena o rifiutato (2 punti).
• WARN: Il prodotto inserisce un banner, invia l'email alla posta indesiderata o rimuove l'allegato (0,5 punti).
• LATE: Il messaggio viene prima consegnato e poi rimosso dopo la consegna (1 punto).
• MISS: Il messaggio raggiunge la casella di posta senza avviso (0 punti).
• FP: Un messaggio del set di controllo viene erroneamente contrassegnato (penalità di -2 punti).

Il tasso di rilevamento è calcolato come punti totali divisi per il punteggio massimo possibile per i test di attacco, poi espresso in percentuale. Il punteggio massimo possibile è pari al numero di test di attacco moltiplicato per due.

Il tasso di falsi positivi viene riportato separatamente. Un prodotto che raggiunge il 90% di rilevamento bloccando posta legittima comporta più rischi operativi di uno che raggiunge l'80% di rilevamento senza falsi positivi.

Riproducibilità e strumentazione

Il benchmark viene eseguito da un singolo script PHP autonomo. Lo script crea 100 messaggi MIME in memoria con un builder multipart personalizzato. Genera i payload localmente, inclusi ZIP, ZIP crittografati AES-256, file tar.gz, file .gz singoli, PDF con azioni JavaScript, campioni HTML smuggling, file SVG con JavaScript onload, file Windows .lnk con il CLSID Shell Link corretto e blocco argomenti UTF-16LE, e un'immagine disco ISO 9660 minimale.

Lo script invia ogni test attraverso il percorso SMTP corretto in base al gruppo di mittenti.

Ogni messaggio include header di tracciamento: X-Bench-Id, X-Bench-Run, X-Bench-Product, X-Bench-Category, X-Bench-Case e X-Bench-Group. Questi header rendono ogni test tracciabile tra caselle di posta, console di quarantena e log di prodotto.

Un harness di verifica separato esegue più di 1.800 controlli di integrità prima della trasmissione. Convalida che ogni test contenga i campi obbligatori, che ogni valutazione di difficoltà sia compresa in [1, 10] o zero per i controlli, e che EICAR sia presente e recuperabile da ogni allegato di categoria B, inclusi archivi protetti da password e a triplo annidamento.

Il verificatore controlla anche che i PDF contengano header %PDF- e marcatori %%EOF validi, che i PNG contengano firme valide e chunk IEND, che gli SVG siano XML ben formato, che il file LNK abbia il CLSID Shell Link corretto e la stringa di argomento PowerShell prevista, che il Descriptor del volume primario ISO 9660 compaia al settore 16 con la firma corretta \x01CD001 e che l'inferenza di gruppo corrisponda alla suddivisione documentata tra Gruppo L e Gruppo S.

Un terzo script elabora i CSV per prodotto dopo l'inserimento manuale dei verdetti. Produce un rapporto comparativo con una tabella dei verdetti affiancata per test, tassi di rilevamento per categoria, punteggi totali, percentuali di tasso di rilevamento, conteggi dei falsi positivi e tre sotto-tabelle forensi:

1. casi banali ma mancati, definiti come difficoltà ≤ 2 con almeno un MISS
2. casi ad alta difficoltà eppure rilevati, definiti come difficoltà ≥ 8 con almeno un BLOCK
3. tutti gli incidenti di falsi positivi

Vincoli etici e operativi

Non è stato creato o trasmesso malware reale. Gli allegati dannosi usano la stringa di test antivirus EICAR, un documento di test di 68 caratteri definito dall'European Institute for Computer Antivirus Research, oppure dimostratori innocui. Tra gli esempi vi sono un PDF il cui JavaScript richiama app.alert, una pagina HTML che usa URL.createObjectURL sulla stringa EICAR e un SVG il cui onload chiama un endpoint inesistente.

Non è stata usata infrastruttura di phishing attiva. Gli URL di test risolvono verso una delle tre destinazioni sicure: il TLD riservato .invalid definito nella RFC 2606, domini .tk segnaposto sotto il nostro controllo che restituiscono un 404, oppure host parodia come m1crosoft-account.com e xn--pple-43d.com registrati per il benchmark e senza alcun contenuto.

Non è stata distribuita alcuna pagina di raccolta credenziali. Tutte le caselle di posta di test sono di proprietà e monitorate dal team di test. Le credenziali SMTP sono limitate al benchmark e ruotate dopo ogni attività.

Limitazioni del benchmark sulla sicurezza email

Abbiamo escluso diverse categorie perché richiedono infrastrutture o condizioni che vanno oltre un benchmark one-shot:

• Riscrittura degli URL al momento del clic: Questo attacco distribuisce un URL che al momento della consegna appare innocuo e che successivamente reindirizza a una destinazione di phishing. Testarlo richiederebbe un server HTTP stateful che modifichi il proprio contenuto, oltre a un clic lato utente.
• Account takeover e phishing laterale: Ciò richiederebbe il controllo di una casella di posta interna, che era al di fuori della configurazione del benchmark.
• Malware dinamico sandbox-aware: Campioni polimorfici reali che rilevano la virtualizzazione ed evitano la detonazione sono stati esclusi per motivi etici.
• Pagine di destinazione di phishing kit attive: Tutti gli URL risolvono verso host inerti. Il benchmark non testa l'esperienza post-clic.

Il mittente del Gruppo S richiede un relay SMTP che consenta header From disallineati. I servizi SMTP cloud di solito rifiutano questi test a livello di rete. Quando un relay permissivo non è disponibile, il benchmark degrada al Gruppo L, che lascia 38 test guidati dal contenuto.

FAQ

Cita questo benchmark

Scegli il formato adatto a dove pubblicherai. Incollare la versione con link nel tuo CMS preserva il backlink.

@misc{dogan2026,
  author = {Dogan, Sedat},
  title  = {{Soluzioni di sicurezza email: Acronis, Sophos & Barracuda}},
  year   = {2026},
  month  = jun,
  howpublished    = {\url{https://aimultiple.com/email-security-solutions}},
  note   = {AIMultiple. Consultato il 22 Giugno 2026}
}

Sedat Dogan

CTO

Segui

Sedat è un leader tecnologico e della sicurezza informatica con 20 anni di esperienza nello sviluppo software, nelle infrastrutture di rete e nella cybersecurity. Sedat:
- Ha 20 anni di esperienza come hacker white-hat e guru dello sviluppo, con una vasta competenza nei linguaggi di programmazione e nelle architetture dei server.
- È consulente del consiglio di amministrazione presso una società di venture capital che investe in aziende tecnologiche in fase iniziale e presso Ödeal, una piattaforma di pagamento digitale regionale che serve 125.000 commercianti.
- Ha guidato l'infrastruttura tecnologica e la cybersecurity di sette elezioni nazionali ed è stato riconosciuto nella Hall of Fame della cybersecurity da leader tecnologici globali tra cui Twitter.

Visualizza il profilo completo

Sii il primo a commentare

Il tuo indirizzo email non verrà pubblicato. Tutti i campi sono obbligatori. I commenti vengono lasciati nella loro lingua originale.

Nome

Indirizzo e-mail

Commento

0/450

Pubblica un commento