Configura le policy di Safe Links di Microsoft Defender per consentire la navigazione verso i domini di SMARTFENSE senza che vengano bloccati come siti dannosi. Questa configurazione è la soluzione quando, eseguendo una simulazione di phishing, gli utenti ricevono correttamente l’email ma cliccando sul link appare un messaggio di blocco di Microsoft Defender.
Nota: questo articolo copre le esclusioni a livello di URL di navigazione all’interno del portale di Microsoft Defender. È complementare alla configurazione tramite Header che si applica sulle email di simulazione. Per il bypass di Safe Links tramite Header nelle email in arrivo, consulta l’articolo Microsoft - Implementazione di Whitelist in ATP quando si utilizza mezzo di invio tramite DMI.
Quando è necessaria questa configurazione?
Applica questa configurazione quando, nell’invio di una simulazione di phishing, si verificano contemporaneamente queste due condizioni:
- L’email della simulazione arriva correttamente nella casella di posta dell’utente.
- Cliccando sul link della simulazione, il browser mostra un avviso di Microsoft Defender che blocca l’accesso al sito.
Il messaggio tipico dell’avviso è il seguente:
Questo sito web è classificato come dannoso.
Aprire questo sito web potrebbe non essere sicuro.
Si raccomanda di non aprire questo sito web. Potrebbe non essere sicuro, danneggiare il dispositivo o comportare un uso illecito dei tuoi dati personali.
Questo messaggio corrisponde all’analisi in tempo reale di Safe Links: Microsoft Defender rileva l’URL della simulazione come sospetta e blocca la navigazione dell’utente. Di conseguenza, le statistiche della campagna non registrano clic né interazioni successive, e la simulazione perde il suo valore formativo.
Con la configurazione descritta in questo articolo, gli URL dei domini di SMARTFENSE vengono esclusi dall’analisi di Safe Links, la navigazione dell’utente non viene più intercettata e le statistiche della campagna tornano a registrarsi normalmente.
Prerequisiti
Prima di iniziare la configurazione, assicurati di soddisfare i seguenti requisiti:
- Disporre di un ruolo di amministratore in Microsoft Defender. I ruoli abituali sono Security Administrator o Global Administrator.
- Avere accesso alla piattaforma SMARTFENSE per consultare la lista dei domini di navigazione in Impostazioni > Sicurezza > Whitelist.
- Conoscere il nome della policy attiva di Safe Links nel proprio tenant.
Passaggi per la configurazione
1. Accedere al portale di Microsoft Defender
Accedi a https://security.microsoft.com e effettua il login con un account con ruolo di amministratore.
2. Andare alle policy di Safe Links
Naviga su Posta elettronica e collaborazione > Policy e regole > Policy minacce > Safe Links (in inglese: Email & collaboration > Policies & rules > Threat policies > Safe Links).
3. Modificare la policy esistente
Clicca sulla policy attiva per aprirla in modalità modifica.
Importante: se la tua organizzazione ha più policy di Safe Links applicate a gruppi diversi, ripeti i passaggi 3 e 4 in ciascuna di esse per assicurare una copertura completa.
4. Aggiungere gli URL di SMARTFENSE alla lista delle esclusioni
Nella sezione Non riscrivere i seguenti URL (in inglese: Do not rewrite the following URLs), aggiungi i domini di navigazione di SMARTFENSE. Clicca su Salva.
Dove trovo i domini esatti? I domini di navigazione di SMARTFENSE sono disponibili nella sezione Impostazioni > Sicurezza > Whitelist della piattaforma. Li trovi anche nell’articolo Processo di Whitelist in SMARTFENSE.
5. Rafforzare con la lista consentiti a livello tenant
Come ulteriore rafforzamento, vai su Policy minacce > Liste consentite/bloccate del tenant > URL e aggiungi gli stessi domini di SMARTFENSE nella lista dei Consentiti.
Questo passaggio garantisce che i domini siano abilitati anche quando la policy di Safe Links non si applica alla casella (ad esempio, in licenze specifiche o in configurazioni legacy).
Verificare la configurazione
Una volta salvata la configurazione, verifica che i domini siano effettivamente esclusi:
- Attendi fino a due ore affinché le policy si propaghino a tutti gli utenti del tenant.
- Invia una simulazione di prova a una casella inclusa nell’ambito della policy.
- Conferma nell’email ricevuta che i link ai domini di SMARTFENSE non vengono riscritti con il prefisso
safelinks.protection.outlook.com. - Verifica nella piattaforma SMARTFENSE che le statistiche della campagna non registrino clic automatici immediatamente dopo l’invio.
Nota: se le statistiche continuano a mostrare clic falsi o il link continua a essere riscritto, verifica che i domini siano stati aggiunti esattamente come appaiono nella sezione Whitelist di SMARTFENSE, senza spazi aggiuntivi o caratteri invisibili.
💡 Best practice
- Consulta e applica la lista completa dei domini di navigazione da Impostazioni > Sicurezza > Whitelist di SMARTFENSE. I domini possono variare a seconda dell’istanza e aggiornarsi con nuove versioni della piattaforma.
- Applica la stessa lista sia nella policy di Safe Links che nella lista consentiti del tenant, per coprire scenari con licenze miste.
- Se hai più policy di Safe Links attive, verifica che tutte includano i domini di SMARTFENSE.
- Documenta internamente la data e il responsabile dell’ultima modifica della lista di esclusione, per facilitare audit e aggiornamenti.
- Dopo ogni modifica massiva nelle policy di Microsoft Defender, verifica con una campagna di prova che la configurazione delle esclusioni sia ancora valida.
- Combina questa configurazione con il bypass di Safe Links tramite Header quando utilizzi DMI, per coprire sia la riscrittura dei link nelle email sia l’intercettazione della navigazione successiva.