Wat Safe Links en Safe Attachments wel en niet zijn
Safe Links (veilige koppelingen) zit in de mail- en Office-bescherming van Microsoft Defender voor Office 365. Bij een klik op een URL in mail (en vaak ook in Teams of Office-documenten, afhankelijk van beleid) wordt die link gecontroleerd — soms via herschrijven naar een Microsoft-proxy, soms via click-time checks. Het doel: phishing- en malware-URL’s blokkeren ook als ze na verzending “besmettelijk” worden, niet alleen op het moment van binnenkomst.
Safe Attachments (veilige bijlagen) stuurt verdachte of onbekende bijlagen eerst door een detonation-omgeving: het bestand wordt in een geïsoleerde sandbox geopend en beoordeeld voordat (of terwijl) de gebruiker het ziet. Dat is iets anders dan alleen een virusscanner-handtekening: het vangt ook gedrag dat nog niet in een bekende handtekening zit.
Het is geen vervanging van quarantaine, SPF/DKIM/DMARC of MFA. Quarantaine houdt hele berichten vast; Safe Links/Attachments richten zich op links en bijlagen binnen (of naast) die keten. Zie berichtenquarantaine in Microsoft 365 voor wie berichten mag vrijgeven — die afspraak hoort bij dezelfde mailhygiëne.
Wat het MKB doorgaans aanzet
Drie patronen komen terug. Geen Defender voor Office 365-licentie of beleid nooit aangezet — dan blijven klikken en bijlagen grotendeels op oudere Exchange Online Protection-filters. Wel licentie, maar Safe Links/Attachments “uit” of te slap omdat iemand ooit een false positive klaagde — dan betaalt u voor bescherming die u niet gebruikt. Of alles staat aan zonder uitzonderingenproces: legitieme factuur-PDF’s of interne tools lopen vast, en de directeur zet de hele policy uit “tot het weer werkt”.
De praktische lijn: zet Safe Links en Safe Attachments aan voor gebruikers die mail en bijlagen verwerken (vaak iedereen met een mailbox); kies een beleid dat past bij uw licentie (bijvoorbeeld dynamische levering waar beschikbaar, zodat mail niet uren stilstaat); en spreek af hoe u met geblokkeerde links of bijlagen omgaat — ticket naar Floor ICT of named contact, niet “zet maar uit”.
False positives: wie beslist
False positive: een bekende leverancier, een verwachte bijlage of een interne tool-URL die Safe Links of Safe Attachments te streng behandelt. Dan kan een gerichte uitzondering of een herbeoordeling terecht zijn — na check op afzender, domein en inhoud.
Echte dreiging: onbekende afzender, urgentie, lookalike-domein, of een bijlage/link die niet bij een lopende relatie past. Dan is “niet openen / niet omzeilen” de standaard; escaleer. Omzeilen van Safe Links (URL handmatig plakken, “Allow” zonder check) ondermijnt MFA en training — zie security awareness.
Twijfel = niet omzeilen. Vraag Floor ICT of de processeigenaar; documenteer wat u deed. Vrijgeven uit quarantaine en “toch openen ondanks Safe Links-blokkade” zijn verwante keuzes — zie opnieuw de quarantaine-afspraak.
Wat u schriftelijk vastlegt
Houd het kort genoeg om dit kwartaal echt te besluiten:
- of Safe Links en Safe Attachments aan staan voor welke groepen (namen of “alle mailboxen”);
- wie uitzonderingen mag aanvragen of tijdelijke overrides mag goedkeuren (niet “iedereen met Outlook”);
- wanneer u escaleert naar Floor ICT (geblokkeerde legitieme factuur, VIP-doelwit, herhaalde phishing-URL’s);
- dat omzeilen van een blokkade een bewuste keuze is: noteer datum, wie, welk bericht/URL/bijlage, en waarom;
- reviewcadans: periodiek kijken of te veel false positives wijzen op te streng beleid of op ontbrekende allowlists voor bekende partners;
- koppeling met quarantaine, SPF/DKIM/DMARC, MFA en app-toestemming — één mailhygiëne, geen losse knoppen.
Schrijf die punten op één pagina. Dat is uw Safe Links / Safe Attachments-afspraak; de tenant volgt die tekst.
Wat Floor ICT configureert — en wat u beslist
In de Microsoft 365-tenant zetten wij doorgaans: Safe Links- en Safe Attachments-beleid dat past bij uw licentie; dekking voor mail (en waar van toepassing Teams/Office); werkwijze voor geblokkeerde URL’s en bijlagen via ticket naar Floor ICT; en afstemming met anti-spam, anti-phishing en quarantaine. We helpen false positives analyseren en koppelen dit aan SPF/DKIM/DMARC en MFA.
U beslist nog steeds: of een specifieke partner-URL of bijlage-type na review “toegestaan” mag; hoe streng u wilt filteren versus hoe vaak u false positives accepteert; en wie in uw organisatie overrides mag goedkeuren. Technische knoppen zonder die afspraak geven schijnveiligheid; beleid zonder werkende Safe Links/Attachments ook niet.
Meer diepte
Checklist voor directeuren in het MKB
1) Bevestig of u Defender voor Office 365-licenties heeft die Safe Links en Safe Attachments ondersteunen. 2) Zet beide beleidsregels aan voor mailbox-gebruikers — niet “later eens kijken”. 3) Wijs maximaal een handvol mensen (of Floor ICT) aan die uitzonderingen mogen regelen. 4) Spreek af: geblokkeerde link/bijlage bij twijfel = ticket, niet omzeilen. 5) Noteer overrides kort (wie/wanneer/waarom). 6) Laat dit meelopen in dezelfde mailreview als quarantaine, SPF/DKIM/DMARC en Secure Score-acties.
Licenties en wat er zonder Defender ontbreekt
Basisbescherming via Exchange Online Protection filtert spam en bekende malware; Safe Links (click-time URL-checks) en Safe Attachments (detonation) horen bij Microsoft Defender voor Office 365. Zonder die laag mist u precies de controle op “link die later kwaadaardig wordt” en “bijlage zonder bekende handtekening”. Floor ICT zegt eerlijk wat uw huidige licentie wel en niet dekt — geen upsell-angst, wel een heldere keuze.
Relatie met quarantaine en phishing
Quarantaine houdt verdachte berichten vast vóór of naast aflevering; Safe Links grijpt in als iemand wél een mail krijgt en op een link klikt; Safe Attachments grijpt in op de bijlage. Samen horen ze bij anti-phishing. Een bericht kan in quarantaine staan óf door Safe Attachments worden vastgehouden — behandel beide als “niet blind openen”. Zie berichtenquarantaine voor vrijgave-rechten.