• Cloud, Guide, Microsoft 365, Sicurezza
• 6 Settembre 2026

Microsoft Defender for Office 365 è un servizio di sicurezza della posta elettronica basato su cloud, utile a proteggere il flusso di email delle organizzazioni, ma anche file e strumenti di collaborazione come ad esempio Microsoft Teams, OneDrive e SharePoint, da minacce avanzate come phishing, malware zero-day e attacchi di social engineering.

Tutte le sottoscrizioni Microsoft 365 che includono servizi di posta elettronica sono dotate di funzionalità di sicurezza predefinite.

La componente di Defender for Office 365 (MDO), offre servizi di sicurezza avanzati per i servizi Office 365 ed è la soluzione di sicurezza email principale.

Questa soluzione è disponibile in due piani:

• Defender for Office 365 Piano 1
• Defender for Office 365 Piano 2

Vi lascio anche il sito m365maps dove potete vedere la differenza dei due piani che comunque andremo a vedere insieme all’interno di questo articolo Microsoft Defender for Office 365 | M365 Maps

Figura 1: Schema di funzionamento di Defender for Office 365

Quali sono le reali differenze tra questi due Piani?

Per darvi evidenza delle differenze di funzionalità incluse in questi piani vi riporto una tabella riassuntiva, che Microsoft stessa inserisce in documentazione ufficiale

Entrando ancora più nello specifico dei singoli Piani e capire nel dettaglio le differenze vi riporto la descrizione delle funzionalità specifiche:

Defender for Office 365 Plan 1

Defender for Office 365 Plan 2

Include tutto quanto già presente all’interno del Plan 1 con l’aggiunta delle seguenti funzionalità:

Quali licenze sono necessarie per usare le funzionalità di Defender for Office 365?

Come accennato all’inizio di questo articolo, il licensing dipende da quali funzionalità vorrete utilizzare all’interno della vostra organizzazione.

Vi riporto quindi sia il licensing inerente alla componente Defender for Office 365 Plan 1 che risulta inclusa in questi piani:

• Microsoft 365 Business Premium
• Office 365 E3 (dal 1° luglio 2026)
• Microsoft 365 E3 (dal 1° luglio 2026)
• Defender for Office 365 Plan 1 (standalone)

La novità importante della Plan 1 è proprio che dalla data del 1 Luglio 2026 risulta inclusa in Office 365 E3 e Microsoft 365 E3, una novità veramente importante per le organizzazioni con questo licensing che ora possono sfruttare le funzionalità di Safe Links, Safe Attachments, Anti-Phishing e rilevamenti in tempo reale.

Per quanto riguarda invece Defender for Office 365 Plan 2 risulta incluso nei seguenti piani:

• Microsoft 365 E5
• Microsoft 365 A5
• Microsoft 365 G5
• Office 365 E5
• Office 365 A5
• Office 365 G5
• Microsoft Defender Suite / EDU / GOV / FLW
• Microsoft Defender + Purview Suite FLW
• Defender for Office 365 Plan 2 (standalone)

Prima di intraprendere qualsiasi configurazione inerente alla protezione avanzata della posta elettronica vi invito a prendere visione degli articolo, scritti per la community sui protocolli di protezione email:

• DMARC: Proteggi le tue e-mail ed il tuo Business – ICT Power
• Proteggere la posta elettronica e la reputazione dell’azienda con SPF, DKIM e DMARC – ICT Power

All’interno di questa guida vi mostrerò l’implementazione delle policy che è possibile configurare attraverso la suite Microsoft 365 E5 che al suo interno contiene Defender for Office 365 Plan 2.

Figura 2: Licenze utilizzate per darvi evidenza delle funzionalità

L’interfaccia unica della sicurezza è sempre il portale Microsoft Defender

Figura 3: Portale di riferimento della security, con evidenziato la componente di posta elettronica

Partirei dal definire una “Quarantine Policy” che vi permette di definire le azioni che è possibile intraprendere quando una e-mail viene messa in quarantena

Figura 4: Sezione Mail Protection, relativa alla Quarantena delle email

Figura 5: Aggiunta di una nuova policy

Figura 6: Forniamo un nome alla policy e proseguiamo con la configurazione

Figura 7: Decido di permettere agli utenti di vedere la Preview delle email e di poter bloccare o inserire in Withelist i mittenti, qui varia in base alle policy della vostra organizzazione

Figura 8: Decido di includere nel report anche i messaggi provenienti da mittenti “bloccati”

Creazione delle policy Anti-Phishing

Figura 9: Sezione per la creazione delle policy Anti-Pishing

Figura 10: Scegliamo un nome per la policy Anti-Phishing

Figura 11: Scelgo di applicare la policy a tutti i miei domini

Ora prima di mostrarvi le configurazioni che è possibile implementare ve le descrivo così da darvi una visione ancora più ampia della soluzione:

• Phishing e-mail Threshold: prevede 4 modalità vi lascio il link ufficiale Microsoft per approfondimento Anti-phishing policies in Microsoft 365 – Microsoft Defender for Office 365 | Microsoft Learn:
  • 1- Standard
  • 2 – Aggressive
  • 3 – More aggressive
  • 4 – Most agrressive
• Impersonation Users: identifica e richiede l’inserimento degli utenti che vogliamo siano protetti da questa funzionalità, di solito vengono inseriti gli utenti considerati VIP che sono quelli più soggetti a impersonificazione per approfondimenti vi rimando al link ufficiale Anti-phishing policies in Microsoft 365 – Microsoft Defender for Office 365 | Microsoft Learn
  
• Impersonation Domain: identifica e richiede l’inserimento dei domini che vogliamo siano protetti da questa funzionalità, in questo caso il mio consiglio è di attivarla per tutti i domini in gestione al tenant Microsoft 365, questo perché di solito gli attaccanti creano falsi domini, simili a quelli delle organizzazioni per eseguire tentativi di Pishing
  
• Trusted Senders and Domains: impostazione che prevede di creare delle Withelist globali per mittenti e/o domini
  
• Enable mailbox intelligence: funzionalità che consiglio di abilitare in quanto permette, tramite uso di AI di “imparare” le abitudini di comunicazione di ogni singolo utente per bloccare i tentativi di truffa e di furto di identità
  
• Enable Intelligence for impersonation Protection: se abilitata permette al sistema di utilizzare AI per l’analisi del comportamento e impedire la rappresentazione / impersonificazione durante i tentativi di pishing
  
• Enable Spoof Intelligence: se abilitata permette di analizzare e gestire le e-mail per bloccare i mittenti “falsificati”
  

Figura 12: Configurazioni effettuate per la policy di Anti-Pishing

Figura 13: Azioni configurate per la componente di Anti-Pishing

Creazione delle policy Anti-Spam

Per la componente Anti-Spam esistono due modalità di configurazione delle policy:

• Inbound: servono per proteggere le e-mail in ingresso destinate agli utenti dell’organizzazione
• Outbound: policy utili a limitare il numero di e-mail per ora che gli utenti posso inviare all’esterno per non finire in blacklist

Vediamo prima la configurazione della componente Inbound

Figura 14: Assegniamo un nome ed una eventuale descrizione alla policy Anti-Spam Inbound

Figura 15: Applico la Policy a tutti i miei domini

Prima di darvi evidenza della schermata di configurazione di tutte le impostazioni, ve le spiego così da concedervi l’opportunità di capire le singole configurazioni nel dettaglio

Figura 16: Configurazione Anti-Spam Policy

Figura 17: Le configurazioni variano in base a quanto volete implementare all’interno dell’organizzazione, ma la parte evidenziata a mio avviso va configurata in ON

Figura 18: Azioni policy Anti-Spam

Figura 19: Configurazioni Policy Anti-Spam, ho aumentato a 30 il numero di giorni in cui le e-mail rimangono in quarantena

Figura 20: Eventuale Allowlist e BlockList che è possibile configurare

Outbound Policy Anti-Spam

Figura 21: Come per le altre policy nome e descrizione parlanti

Figura 22: Applico la Policy a tutti i miei domini

Anche per questa modalità, vi spiego le singole configurazioni

Figura 23: Configurazioni Policy Outbound Anti-Spam

Anti-Malware Policy

Figura 24: Scegliamo nome e descrizione “parlanti” anche per queste policy

Figura 25: Sceglgo di applicare la policy a tutti i miei domini

Figura 26: Configurazioni per la componente Anti-Malware

Safe Attachments Policy

Figura 27: Per proteggere SharePoint Online, OneDrive e di conseguenza Microsoft Teams è necessario abilitare la funzionalità

Figura 28: Assegniamo un nome alla policy

Figura 29: Applico la policy a tutti i miei domini

Ecco a voi la spiegazione delle varie configurazioni

Figura 30: Configurazioni attuate per la componente Safe

Safe Link Policy

Figura 31: Come per le altre policy scegliamo nome e descrizione parlante

Figura 32: Applico la policy a tutti i miei dominini

Ecco a voi spiegate le singole configurazioni

Figura 33: Configurazioni della policy Safe Link

Figura 34: Lascio le notifiche di Default

Attack Simulation Training

Per la componente di Attack Simulation Training vi rimango all’articolo di Marco Passanisi dove spiega nel dettaglio questa funzionalità

Simulazioni di attacco in Microsoft 365: Migliorare la consapevolezza degli utenti con Attack Simulation Training – ICT Power

Ma come si comportano queste configurazioni lato utenti?

Vorrei darvi evidenza di come queste configurazioni vengono viste dalla parte utenti così da darvi una visione completa sulle varie funzionalità

Figura 35: Esperienza utente Safe Link, che essendo considerato malevolo viene bloccato

Per eseguire i test di funzionamento delle policy ho utilizzato il sistema offerto da LibraCyber che permette di eseguire tutta una serie di test Benigni per testare le funzionalità Anti-spam ecc Email Security Tester | LibraCyber

Tramite il seguente link potete verificare quali email sono state inserite in quarantena, loggandovi con un utenza con i permessi corretti Quarantena Microsoft

Figura 36: Tutte le email sono state bloccate, questo dimostra la bontà delle policy configurate

    Figura 37: Scansione dinamica allegato in corso con policy tip, una volta scansionato la mail conterrà gli allegati corretti se ritenuti leciti

Figura 38: Dopo la scansione gli allegati sono correttamente presenti

Figura 39: File Excel ricevuto tramite e-mail

Per evitare di far eseguire il Download agli utenti dei file considerati infetti da SharePoint Online e OneDrive bisogna configurare un’impostazione tramite PowerShell

Figura 40: Impostazione a False nel mio tenant

Figura 41: Impostazione configurata correttamente

Figura 42: File considerato malevolo

Figura 43: Avviso per il file

Posso avere della Dashboard che posso mostrare al Management?

Si, il portale di Microsoft Defender offre proprio per questo motivo la sezione “Report”

Figura 44: Sezioni Report, E-mail & Collaboration

Figura 45: Dashboard disponibili

Figura 46: Report disponibili

È possibile accedere anche al dettaglio per una Overview più precisa

Figura 47: Dettaglio Mail flow

Figura 48: Ulteriore dettaglio Mail flow

Conclusioni

Defender for Office 365 offre un set di protezioni molto solido, ma la vera differenza non la fa la configurazione in sé: la fa la verifica. Una policy impostata correttamente e una policy che protegge davvero non sono la stessa cosa finché non lo si dimostra sul campo. Il bello è che gli strumenti per farlo esistono già e sono sicuri, dagli artefatti di test standard fino ad Attack Simulation Training. Il mio consiglio è semplice: dopo ogni modifica al tenant, testate e documentate dai report di Defender. È l’unico modo per passare da “ho configurato” a “so che funziona”. Strumenti come Defender for Office 365 completamente integrabili con tutto l’ecosistema ed estremamente personalizzabili sono alla base per le organizzazioni, che posso rispecchia i più alti standard di sicurezza, senza dover “bloccare” il proprio Business, le e-mail sono ancora uno strumento utilizzato molto, forse quello più utilizzato, e proteggerle può fare davvero la differenza tra contenere un attacco e subirne le conseguenze.