Vai al contenuto principale

Riot in Trend Micro

❶ Introduzione

Riot invia e-mail di simulazione di phishing. Senza una configurazione adeguata, alcune di queste e-mail possono essere bloccate o messe in quarantena da Trend Micro, falsando le statistiche delle vostre campagne.

Le impostazioni necessarie dipendono da due fattori: come Riot consegna le e-mail alle vostre caselle di posta e quale prodotto Trend Micro le protegge.

Questa guida descrive i passaggi per configurare Trend Micro e autorizzare i mittenti, gli URL e i domini necessari.

❷ Definizione

Trend Micro è una soluzione di sicurezza integrata (antispam, antivirus, filtraggio web) applicata alle e-mail e al traffico web. Permette di definire policy di invio, mittenti autorizzati, scansione dei file e regole di reputazione web.

Trend Micro protegge la posta elettronica con due prodotti, che possono funzionare in parallelo:

  • Trend Micro Email Security (chiamato anche Cloud Email Gateway Protection): un gateway che filtra le e-mail prima che raggiungano le vostre caselle di posta.

  • Cloud Email and Collaboration Protection (in Trend Vision One, in precedenza Cloud App Security): si collega a Microsoft 365 o Google Workspace e analizza le e-mail una volta che sono già nelle caselle di posta.

❸ Quali impostazioni si applicano al vostro caso

Verificate come Riot consegna le vostre e-mail: è il metodo che avete scelto quando avete verificato il vostro dominio in Riot (Microsoft API, Google API o IP whitelist).

Metodo di consegna di Riot

Trend Micro Email Security (gateway)

Cloud Email and Collaboration Protection

Microsoft API o Google API

Non dovete fare nulla. Riot inserisce le e-mail direttamente nelle caselle di posta, quindi non passano mai dal gateway. Gli elenchi di mittenti e di IP non hanno alcun effetto.

❹ Approvare l'header di Riot

IP whitelist

❺ Autorizzare l'IP di invio di Riot

❹ Approvare l'header di Riot

❹ Approvare l'header di Riot (Cloud Email and Collaboration Protection)

Ogni e-mail di simulazione inviata da Riot contiene un header con l'ID del vostro workspace Riot: X-Riot-Workspace-Id. Una volta approvato questo header, le e-mail di Riot saltano le scansioni di protezione dalle minacce e di prevenzione della perdita di dati (DLP) di Trend Micro. Trend Micro ha concepito questa impostazione per le simulazioni di phishing. Non approva alcun dominio mittente, quindi il vostro traffico e-mail reale continua a essere analizzato.

Trovare l'ID del vostro workspace

  1. Inviatevi una attack preview da Riot.

  2. Aprite gli header dell'e-mail: in Outlook, File > Proprietà > Intestazioni Internet; in Gmail, Mostra originale. Potete anche aprire un'e-mail di Riot in quarantena dalla console di Trend Micro.

  3. Copiate il valore di X-Riot-Workspace-Id. Ha questo aspetto: 01234567-89ab-7cde-8f01-23456789abcd.

Se non lo trovate, contattate il supporto Riot.

Aggiungere l'header

  1. In Cloud Email and Collaboration Protection, andate in Policies > Global Settings > User-Defined Lists > Approved/Blocked Lists.

  2. Fate clic su Exchange Online (Microsoft 365) o su Gmail (Google Workspace), quindi andate alla sezione Approved Header Fields.

  3. Attivate l'elenco dei campi header approvati.

  4. Aggiungete queste due voci. Il nome (Name) e il valore (Value) distinguono tra maiuscole e minuscole, quindi digitateli esattamente così:

    • Name X-Riot-Workspace-Id, Value: l'ID del vostro workspace, match Equals

    • Name x-riot-workspace-id, Value: l'ID del vostro workspace, match Equals

  5. Fate clic su Add dopo ogni voce e, infine, su OK.

Se avete più workspace Riot, aggiungete le due voci per ciascun ID workspace. Trend Micro accetta fino a 50 voci.

Verificare l'impostazione

Rilasciate le e-mail di Riot già in quarantena, inviate una attack preview da Riot e verificate che arrivi nella posta in arrivo.

❺ Autorizzare l'IP di invio di Riot (Email Security, solo con IP whitelist)

Saltate questa sezione se Riot consegna le vostre e-mail tramite Microsoft API o Google API.

  1. Nella console di Trend Micro Email Security, andate in Administration > Service Integration > Phishing Simulation.

  2. Nella sezione Third-party phishing simulation, aggiungete l'IP di invio di Riot: 159.135.234.25. Questo IP è dedicato a Riot e non è condiviso con nessun altro.

  3. Salvate.

❻ Opzioni e funzionalità associate (policy di Cloud Email and Collaboration Protection)

Se avete approvato l'header di Riot al punto ❹, le e-mail di Riot saltano già queste policy. Utilizzate le impostazioni seguenti come configurazione di base oppure se non potete usare l'header.

🔒 Advanced Spam Protection (Trend Micro)

  1. Andate alla scheda Advanced Threat Protection > Add.

  2. Selezionate la policy interessata (Exchange, OneDrive, ecc.).

  3. Nel menu a sinistra, fate clic su Advanced Spam Protection.

  4. Attivate l'opzione Enable Advanced Spam Protection.

  5. Andate alla sezione Approved/Blocked Sender List.

  6. Attivate Enable the approved sender list.

  7. Aggiungete noreply.link e tryriot.com, quindi fate clic su Add.

    Questo copre solo le simulazioni inviate da questi due domini. Le vostre campagne utilizzano anche altri domini mittente, quindi l'header del punto ❹ è l'opzione più affidabile.

  8. Nella sezione Rules configuration:

    • Apply to: Incoming messages

    • Detection Level: Medium

🦠 Malware Scanning

  1. Nel menu a sinistra, andate in Malware Scanning.

  2. Nella sezione Rules configuration:

    • Apply to: All messages

    • Attivate le opzioni seguenti:

      • Scan all files

      • Scan message body

      • Enable IntelliTrap

  3. In Action configuration:

    • Scegliete Trend Micro recommended actions.

    • Notification: Notify

📁 File Blocking

Attivate File Blocking (consigliato).

⚠️ Non disattivate questa opzione: si applica a tutti i messaggi, non solo a quelli di Riot.

🌐 Web Reputation e approvazione degli URL

  1. Nel menu a sinistra, andate in Web Reputation.

  2. Attivate Web Reputation.

  3. Nella sezione Rules configuration:

    • Apply to: All messages

    • Security Level: Medium

  4. Nella sezione Approved/Blocked URL List:

    • Attivate Enable the approved URL list.

    • Attivate Add internal domains to the approved URL list.

    • Aggiungete i domini generati da Riot (esempi):

      domain1.com
      domain2.com
      domain3.com

  5. Quindi fate clic su Add >.

💡 Un piccolo extra

Iniziate dall'header del punto ❹: copre tutte le simulazioni di Riot, qualunque sia il dominio mittente.

  • Utilizzate i domini di attacco esatti forniti da Riot per l'elenco degli approvati.

  • Verificate che noreply.link e tryriot.com siano presenti nell'elenco dei mittenti approvati.

  • Assicuratevi che le policy siano applicate ai messaggi in entrata (Incoming messages) con un livello di rilevamento Medium.

Le e-mail già in quarantena restano lì dopo la modifica delle impostazioni: rilasciatele manualmente.

Hai ricevuto la risposta alla tua domanda?

Articoli correlati