La posta è il primo vettore d’attacco per le PMI: phishing, account compromessi, Business Email Compromise. Monitorarla con metodo fa la differenza tra accorgersi di un problema in tempo o scoprirlo dai clienti. Con PowerShell e l’Unified Audit Log si controllano traffico, minacce e configurazioni in pochi minuti. Ecco un toolkit di 10 script pronti.
🛠️ Scarica il toolkit: Toolkit PowerShell audit e sicurezza email Microsoft 365 (10 script) — gratuito, codice originale SynSphere, archivio ZIP. Tutti report di sola lettura.
Prerequisiti
- PowerShell 5.1+ o PowerShell 7 + Exchange Online Management (
Install-Module ExchangeOnlineManagement). - Account amministratore; gli audit (03-06) richiedono il ruolo View-Only Audit Logs e il mailbox auditing attivo (verificalo con lo script 07).
📈 Traffico e minacce
- Traffico email (
01) — messaggi inviati e ricevuti per utente: volumi e anomalie. - Mail flow status (
02) — spam, malware, phishing e mail buona per direzione. Un picco di Outbound Spam/Malware = account compromesso: è uno dei primi segnali da monitorare. - Quarantena (
10) — i messaggi bloccati da EOP/Defender (spam, phish, malware) con mittente e tipo, anche per scovare i falsi positivi.
🔎 Audit di accessi e invii
- Eliminazioni email (
03) — chi ha cancellato cosa e quando (contestazioni, cancellazioni dolose). - Send As (
04) — email inviate a nome di un’altra casella. - Invii da shared mailbox (
05) — chi ha realmente inviato da info@/vendite@ (responsabilità e tracciabilità). - Accessi non-owner (
06) — accessi alle caselle da parte di delegati o admin, non del proprietario: utile per rilevare curiosità indebite o accessi non autorizzati.
⚙️ Configurazione di sicurezza
- Mailbox auditing (
07) — quali caselle hanno l’auditing disabilitato (senza, gli audit sopra non funzionano). - Transport rules (
08) — le regole di flusso della posta, da rivedere per redirect/BCC nascosti o bypass del filtro. - Connettori (
09) — connettori inbound/outbound: un outbound connector non autorizzato è una tecnica nota di Business Email Compromise. Da verificare.
Da dove partire
Tre controlli di sicurezza prioritari:
- Mail flow status (
02) — cerca l’Outbound Spam/Malware (compromissioni in corso). - Connettori (
09) e transport rules (08) — verifica che nessuno abbia aggiunto instradamenti o regole malevoli. - Mailbox auditing (
07) — assicurati che l’auditing sia attivo, così gli altri audit funzionano.
Si collega ai trend cybersecurity per le PMI e ai segnali di phishing che bypassa la 2FA.
Quando conviene un supporto
Il monitoraggio continuo della posta è il cuore di un servizio di sicurezza gestita con Microsoft Defender. Vedi anche il toolkit Exchange/mailbox per deleghe e inoltri.
Scarica il toolkit o parla con un nostro consulente per un assessment di sicurezza della posta.