Barracuda Email Gateway Defense: architettura, configurazione DNS e alternative

⚡TL;DR

• 🛡️ Barracuda Email Gateway Defense (EGD) è il SEG cloud storicamente orientato alle PMI e agli MSP, con oltre 200.000 clienti nel mondo. Si frappone davanti a Microsoft 365, Google Workspace o Exchange tramite redirezione MX e filtra il 100% del traffico in entrata.
• 🔧 Impatto DNS specifico: MX nel formato <identificativo-cliente>.ess.barracudanetworks.com (priorità 99 per la fase di test, poi commutazione), SPF include regionale (spf.ess.barracudanetworks.com negli US, varianti DE/UK/CA/AU/IN), DKIM firmato in console e DMARC da pilotare verso p=reject.
• ⚠️ Distinzione di prodotto cruciale: la CVE-2023-2868 (CVSS 9.8, sfruttata da UNC4841) colpiva l'appliance ESG legacy, non il servizio cloud EGD. Non confondere le due gamme: Barracuda raccomanda la migrazione da ESG a EGD.
• 📊 Posizionamento: Visionario al Magic Quadrant Gartner Email Security per il 2° anno consecutivo (1° dicembre 2025), da distinguere dagli attori posizionati come Leader nel quadrante 2025. Acquisito da KKR nel 2022 (~4 mld$) dopo Thoma Bravo. Target: SMB, mid-market e MSP multi-tenant.

Se sei una PMI, un ente locale, uno studio professionale o un MSP che gestisce diverse decine di clienti, ci sono buone probabilità che tu abbia già incrociato Barracuda. Il vendor californiano rivendica oltre 200.000 clienti e si è imposto come uno dei fornitori di sicurezza email più diffusi sul segmento al di fuori delle grandi aziende. Laddove Proofpoint domina il Fortune 100 e Mimecast le medie imprese multi-esigenze, Barracuda segue una strategia diversa: cloud semplice da distribuire, un programma MSP solido e un listino prezzi pensato per organizzazioni che non hanno un team SOC dedicato.

Ma il nome «Barracuda» ricopre in realtà due prodotti molto diversi che si confondono di continuo. Da un lato, Email Gateway Defense (EGD), il SEG cloud di cui parla questo articolo, ospitato sotto *.ess.barracudanetworks.com. Dall'altro, Email Security Gateway (ESG), l'appliance fisica o virtuale legacy, quella che ha fatto notizia nel 2023 con una vulnerabilità critica sfruttata da un attore statale. Questa confusione non è banale: porta regolarmente i decisori a scartare Barracuda sulla base di un incidente che non riguardava il prodotto cloud che stavano valutando.

La posta in gioco non ha nulla di teorico. Il 2025 Email Threats Report di Barracuda, costruito su quasi 670 milioni di email analizzate, quantifica al 24% la quota dei messaggi dannosi o indesiderati, rileva che un QR code di phishing si nasconde nel 68% dei PDF trappola e nell'83% dei documenti Office infetti, e constata che il 47% dei domini email non ha ancora configurato DMARC. Filtrare il flusso in entrata non serve a nulla se il tuo dominio resta usurpabile per mancanza di autenticazione: verifica prima di tutto a che punto sei con il verificatore di sintassi DMARC CaptainDNS.

In CaptainDNS, analizziamo Barracuda sotto l'angolo che ci riguarda: l'impatto sui tuoi record DNS e sulla tua autenticazione email. Distribuire EGD non significa spuntare una casella di sicurezza. Significa reindirizzare i tuoi MX verso ess.barracudanetworks.com, regolare il tuo SPF con il giusto include regionale, pubblicare la tua chiave DKIM e pilotare il tuo DMARC. Questa guida copre tutto: architettura, configurazione DNS dettagliata con i valori reali, metodo di rilevamento di un dominio dietro Barracuda, distinzione EGD/ESG, trattamento fattuale della CVE-2023-2868, confronto e piano d'azione.

📌 Cos'è il gateway email cloud di Barracuda?

Barracuda Email Gateway Defense è un Secure Email Gateway cloud che filtra il 100% del traffico email in entrata prima che raggiunga il tuo server di posta. Reindirizzi i tuoi record MX verso l'infrastruttura Barracuda, che ispeziona ogni messaggio poi trasferisce unicamente il traffico pulito verso Microsoft 365, Google Workspace o Exchange.

Per le basi di un SEG (modello gateway, redirezione MX, distinzione con le soluzioni ICES API-native), rimandiamo al nostro articolo completo su Mimecast, che pone questi fondamentali in dettaglio. Ciò che devi ricordare: un SEG si frappone tra Internet e la tua posta, vede l'integralità del flusso in entrata e blocca le minacce in pre-consegna invece che a posteriori.

Dove Barracuda richiede vigilanza è sulla nomenclatura di prodotto. Tre nomi ricorrono di continuo nella documentazione, e mescolarli porta a errori di configurazione costosi.

Email Gateway Defense (EGD) è il servizio SEG cloud, anticamente commercializzato sotto i nomi Barracuda Email Security Service (BESS) o «Email Security Essentials». È l'oggetto di questo articolo. Tutto è ospitato presso Barracuda, sotto il dominio ess.barracudanetworks.com. Nessuna appliance da gestire, nessuna patch da applicare lato cliente. Il servizio vive in datacenter regionali operati da Barracuda.

Email Security Gateway (ESG) è tutta un'altra gamma: un'appliance fisica (hardware rack) o virtuale, distribuita on-premise o nel cloud del cliente, che l'organizzazione amministra da sé. È un prodotto legacy, a fine ciclo commerciale, ed è questa gamma ad aver subito la CVE-2023-2868. Barracuda spinge attivamente la migrazione dei clienti ESG verso EGD tramite il suo programma «ESG Elevate».

Barracuda Email Protection è la suite che ingloba il tutto. Si declina in tre piani: Advanced, Premium e Premium Plus. EGD costituisce il mattone di base. I piani superiori aggiungono moduli come la protezione contro la frode del dominio (DMARC avanzato), Impersonation Protection, la sensibilizzazione degli utenti (Security Awareness Training), lo Zero Trust Access e il backup Cloud-to-Cloud Backup.

🏢 Barracuda: l'azienda in breve

Barracuda Networks è passata da produttore di appliance anti-spam degli anni 2000 ad attore cloud da 200.000 clienti sotto bandiera KKR. Il percorso si riassume in vent'anni di pivot e due acquisizioni da parte di fondi di private equity.

Barracuda Networks è stata fondata nel 2003 a Campbell, in California. L'azienda si è fatta conoscere innanzitutto per il suo Spam Firewall, un'appliance hardware che democratizzava il filtraggio anti-spam per le PMI in un'epoca in cui le soluzioni concorrenti erano costose e complesse. Questo modello «appliance semplice, prezzo accessibile» ha strutturato il DNA dell'azienda per un decennio: hardware facile da distribuire per organizzazioni senza un grande team IT.

La svolta cloud arriva progressivamente negli anni 2010 con il lancio del Barracuda Email Security Service, antenato diretto dell'attuale Email Gateway Defense. Invece di vendere una scatola da collegare nel rack, Barracuda ospita il filtraggio nei propri datacenter. Il cliente reindirizza semplicemente i suoi MX. Questo pivot accompagna lo spostamento generale del mercato verso Microsoft 365 e Google Workspace, dove l'appliance on-premise non ha più senso.

Sul piano capitalistico, Barracuda ha conosciuto due operazioni di rilievo. Thoma Bravo acquisisce l'azienda nel 2017 per circa 1,6 miliardi di dollari, ritirandola dalla quotazione. Poi, nel 2022, KKR acquisisce Barracuda da Thoma Bravo per una valutazione di circa 4 miliardi di dollari, ovvero più del doppio in cinque anni. Questo passaggio sotto KKR ha accompagnato il riposizionamento di Barracuda come piattaforma di cybersecurity orientata al mid-market e agli MSP, al di là della sola email.

Oggi, Barracuda rivendica oltre 200.000 clienti nel mondo, con una forte concentrazione sulle PMI, sulle medie imprese e su un ecosistema MSP particolarmente sviluppato. Il programma partner MSP permette a un fornitore di gestire la sicurezza email di decine di clienti da una console multi-tenant, con remediation in massa e una fatturazione a consumo. È uno degli argomenti più differenzianti di Barracuda rispetto a concorrenti storicamente pensati per il cliente finale unico.

Sul fronte analisti, Barracuda figura come Visionario al Magic Quadrant Gartner Email Security per il 2° anno consecutivo (edizione del 1° dicembre 2025). La sfumatura conta: un Visionario ha una visione di prodotto riconosciuta, ma una capacità di esecuzione giudicata al di sotto degli attori posizionati come Leader sullo stesso quadrante (Proofpoint, Mimecast e Microsoft in particolare). Barracuda non gioca quindi nel campionato di Proofpoint sulla threat intelligence d'élite. Sul fronte dei feedback dei clienti, ottiene comunque 4,6/5 su 439 recensioni Gartner Peer Insights per il mercato Email Security Platforms. Sul rapporto semplicità/prezzo/copertura, tiene una posizione solida per il segmento a cui punta.

⚙️ Architettura tecnica: come Barracuda filtra le tue email

Prima di raggiungere il tuo server, ogni messaggio passa per una catena di pre-filtraggio ospitata nei datacenter regionali di Barracuda. A questa si aggiungono moduli di analisi avanzata e, sui piani superiori, uno strato di rilevamento comportamentale tramite API. Esaminiamo il tutto.

Modello gateway: la redirezione MX verso ess.barracudanetworks.com

Come ogni SEG tradizionale, EGD si basa sulla redirezione MX. I tuoi record MX puntano all'infrastruttura cloud Barracuda, ospitata sotto ess.barracudanetworks.com. Quando un mittente invia un'email a contact@captaindns.com, il suo server risolve l'MX, trova un host Barracuda e vi consegna il messaggio. Barracuda applica la sua catena di rilevamento, poi trasferisce il messaggio convalidato verso il tuo server reale.

Il flusso si svolge in cinque tempi:

1. Un mittente invia un'email a contact@captaindns.com
2. Il suo server effettua una query DNS MX per captaindns.com
3. Il DNS restituisce l'MX Barracuda (ad esempio d9307303a.ess.barracudanetworks.com)
4. Il messaggio arriva presso Barracuda, che lo sottopone alla sua catena di ispezione (reputazione, anti-spam, anti-malware, ATP, anti-phishing)
5. Se il messaggio è approvato, Barracuda lo trasferisce verso il tuo server email reale (Microsoft 365, Google Workspace, Exchange on-premise)

Il vantaggio è diretto: Barracuda vede il 100% del traffico in entrata e blocca le minacce prima che tocchino la tua infrastruttura. Il tuo server riceve solo traffico già filtrato.

Il pre-filtraggio cloud: reputazione, anti-spam, anti-malware

La prima linea di difesa di Barracuda è uno stadio di pre-filtraggio che elimina il rumore di fondo prima di qualsiasi analisi costosa. Il servizio valuta la reputazione dell'IP sorgente al momento della connessione SMTP, appoggiandosi ai flussi di reputazione mantenuti da Barracuda (il vendor gestisce del resto la propria Barracuda Reputation Block List, una blocklist storica utilizzata ben oltre i propri prodotti). Le connessioni provenienti da botnet note o da IP massicciamente segnalati sono rifiutate fin dall'handshake, senza nemmeno analizzare il contenuto.

Viene poi l'analisi anti-spam e anti-malware classica: signature, euristiche, scan antivirus multi-motore. Questo strato tratta il volume rapidamente ed elimina le minacce note. È efficace sullo spam massiccio e sui malware catalogati, ma insufficiente per le minacce mirate e gli allegati sconosciuti, da cui gli stadi successivi.

La sandbox ATP contro le minacce zero-day

L'Advanced Threat Protection (ATP) di Barracuda tratta gli allegati e i payload che le signature non riconoscono. I file sospetti sono reindirizzati verso un ambiente di sandbox dove vengono eseguiti e osservati: tentativi di connessione in uscita, modifica di file di sistema, comportamento di cifratura, iniezione di codice. È la risposta alle minacce zero-day, per le quali non esiste ancora alcuna signature.

L'ATP combina analisi statica (ispezione della struttura del file, delle macro, degli script integrati) e analisi dinamica (detonazione nella sandbox). Il verdetto alimenta poi le decisioni di blocco. Sui piani superiori, attiva anche azioni di remediation automatizzate.

La protezione anti-usurpazione tramite IA comportamentale

La protezione contro l'usurpazione è uno degli argomenti forti di Barracuda sul segmento PMI, particolarmente esposto agli attacchi di Business Email Compromise (BEC) per mancanza di mezzi di rilevamento interni. Il modulo Impersonation Protection (storicamente derivato dal mattone «Sentinel») applica un'analisi comportamentale tramite apprendimento automatico per rilevare la frode.

Il motore apprende gli schemi di comunicazione normali dell'organizzazione: chi scrive a chi, da quali indirizzi, con quale tono, a quali orari. Segnala poi le anomalie tipiche di un attacco BEC: un'email presumibilmente inviata dal dirigente da un indirizzo esterno, una richiesta di bonifico insolita, un nome visualizzato che imita un collaboratore, un dominio somigliante (typosquatting). Il problema è che questi attacchi spesso non contengono né link né allegato. Nessuna signature li intercetta. Il rilevamento comportamentale resta l'unico modo per individuarli.

La difesa tramite API e la remediation post-consegna

Al di là del gateway, i piani superiori aggiungono uno strato di difesa della casella di posta tramite API su Microsoft 365. Questo approccio completa il filtraggio in pre-consegna con un'analisi post-consegna dei messaggi già arrivati, alla maniera delle soluzioni ICES. Sfrutta l'accesso ai metadati interni del tenant (relazioni tra utenti, storico di comunicazione) per affinare il rilevamento comportamentale.

Il modulo Incident Response chiude il cerchio: quando una minaccia viene identificata dopo la consegna, l'amministratore (o l'MSP) può rimuovere automaticamente il messaggio dalle caselle di posta interessate, su scala di tutti gli utenti toccati. Per un MSP che gestisce decine di tenant, la remediation in massa è un guadagno operativo decisivo: neutralizzare una campagna sull'intero parco in pochi clic, invece che tenant per tenant.

Datacenter regionali e architettura multi-tenant per MSP

Barracuda opera EGD da diverse regioni geografiche, ciascuna con la propria console e il proprio include SPF. Due esigenze giustificano questa suddivisione: la latenza (trattare la posta il più vicino possibile all'organizzazione) e la residenza dei dati (un cliente europeo vuole i suoi dati trattati in Europa, conformità GDPR obbliga). Le regioni disponibili oggi coprono gli Stati Uniti, la Germania (per l'Europa), il Regno Unito, il Canada, l'Australia e l'India.

L'architettura è nativamente multi-tenant, tagliata per il modello MSP. Un fornitore dispone di una console centrale da cui provisiona, configura e supervisiona la sicurezza email di tutti i suoi clienti. Le policy si ereditano da un modello comune poi si affinano per tenant, e la fatturazione segue il consumo. È una delle ragioni della forte presenza di Barracuda presso gli MSP, là dove soluzioni enterprise restano pesanti da operare in modalità multi-cliente.

🔧 La configurazione DNS, passo dopo passo

Distribuire EGD modifica quattro record DNS: MX, SPF, DKIM e DMARC. Un errore su uno di essi, e le tue email spariscono o aggirano il filtraggio. Ecco ogni tappa con i valori reali e le trappole da evitare.

Il record MX nel formato ess.barracudanetworks.com

Il record MX di Barracuda EGD segue il formato <identificativo-cliente>.ess.barracudanetworks.com. L'identificativo è un codice unico generato da Barracuda per il tuo account, visibile sulla pagina di verifica del dominio della console (sezione Domains). Ad esempio, un account può ricevere un MX del tipo d9307303a.ess.barracudanetworks.com.

È una differenza notevole con Mimecast o Proofpoint, i cui MX seguono una nomenclatura regionale generica (eu-smtp-inbound-1.mimecast.com, mx0a-XXXXXXXX.pphosted.com). Presso Barracuda, l'hostname MX è proprio del tuo account, il che costituisce del resto una signature di rilevamento comoda (vedi più avanti).

Barracuda raccomanda un approccio di commutazione in due tempi tramite la priorità MX. Durante la fase di test, aggiungi l'MX Barracuda con una priorità elevata (99), cioè la meno prioritaria. I tuoi MX esistenti conservano la loro priorità bassa e continuano a ricevere la posta legittima. Questo ti permette di convalidare che l'account Barracuda accetti bene il traffico del tuo dominio senza rischiare di perdere messaggi. Una volta convalidata la configurazione, inverti: l'MX Barracuda passa in priorità bassa (10) e rimuovi i vecchi MX.

# Verificare gli MX attuali
dig MX captaindns.com +short

Risultato atteso una volta terminata la commutazione:

10 d9307303a.ess.barracudanetworks.com.

Trappola classica. Non lasciare alcun MX residuo che punti al tuo vecchio server (Exchange on-premise, o direttamente il tuo tenant *.mail.protection.outlook.com). Un MX residuo è una backdoor: un aggressore che conosce la tua infrastruttura Microsoft 365 può consegnare direttamente alle tue caselle aggirando Barracuda. Dopo la commutazione, verifica con dig MX che resti solo l'MX Barracuda, e blocca il tuo connettore M365 affinché accetti solo gli IP Barracuda.

L'SPF con l'include regionale

È qui che la geografia conta. Per la posta in uscita veicolata da Barracuda, devi aggiungere l'include SPF corrispondente alla tua regione. Utilizzare l'include di un'altra regione non funzionerà, poiché gli IP di invio differiscono.

Regione	Include SPF	Console regionale
Stati Uniti (US)	include:spf.ess.barracudanetworks.com	us.ess.barracudanetworks.com
Germania / Europa (DE)	include:spf.ess.de.barracudanetworks.com	de.ess.barracudanetworks.com
Regno Unito (UK)	include:spf.ess.uk.barracudanetworks.com	uk.ess.barracudanetworks.com
Canada (CA)	include:spf.ess.ca.barracudanetworks.com	ca.ess.barracudanetworks.com
Australia (AU)	include:spf.ess.au.barracudanetworks.com	au.ess.barracudanetworks.com
India (IN)	include:spf.ess.in.barracudanetworks.com	in.ess.barracudanetworks.com

Esempio di record SPF per un cliente US che invia anche tramite Google Workspace:

v=spf1 include:spf.ess.barracudanetworks.com include:_spf.google.com -all

Barracuda raccomanda il meccanismo -all (hardfail), più rigoroso del ~all (softfail). Con una policy DMARC in p=reject, il ~all basta poiché DMARC detta il rifiuto, ma il -all aggiunge una protezione a livello di SPF stesso, il che è coerente con la postura di default consigliata dal vendor. Sorveglia comunque il numero totale di lookup DNS: la specifica SPF (RFC 7208) impone un limite di 10 lookup ricorsivi. Cumula Barracuda, Google Workspace e due o tre ESP, e ti avvicini rapidamente al tetto, con un PermError come conseguenza.

Verifica il tuo record con il verificatore di sintassi SPF CaptainDNS, che conteggia i lookup e segnala i superamenti.

La firma DKIM

DKIM firma crittograficamente le tue email in uscita, permettendo al destinatario di verificare che provengano davvero dal tuo dominio e non siano state alterate. Con Barracuda EGD, la configurazione si pilota nella console:

1. Attivare la firma DKIM per il tuo dominio nella console EGD (sezione Outbound / Sender Authentication), scegliendo un selettore
2. Recuperare la chiave pubblica generata da Barracuda e pubblicarla nel tuo DNS sotto forma di record TXT all'indirizzo selettore._domainkey.captaindns.com
3. Attivare la firma una volta che il record DNS è propagato e verificato dalla console

Verifica della pubblicazione:

dig TXT barracuda._domainkey.captaindns.com +short

Il risultato deve contenere la chiave pubblica nel formato v=DKIM1; k=rsa; p=MIGfMA0GCS.... Ricordati di scegliere una lunghezza di chiave di 2048 bit invece di 1024 per una sicurezza conforme alle best practice attuali, e pianifica una rotazione ogni sei o dodici mesi.

L'allineamento DMARC

DMARC verifica che il dominio visibile nel campo From sia allineato con il dominio autenticato da SPF o DKIM, e definisce la policy da applicare in caso di fallimento. È il pezzo finale dell'autenticazione, e Barracuda si appoggia sulla tua configurazione SPF/DKIM per produrre l'allineamento.

Un punto spesso trascurato in modalità gateway: il relay in uscita tramite Barracuda riscrive l'envelope SMTP, il che fa perdere l'informazione SPF d'origine lato destinatario. SPF non si presenta allora più allineato con il dominio del From, ed è DKIM a diventare il pilastro dell'allineamento DMARC dietro Barracuda. Da qui l'importanza di attivare correttamente la firma DKIM in console EGD prima di irrigidire la policy: senza di essa, messaggi pur legittimi falliranno a DMARC.

La progressione raccomandata è la stessa di qualsiasi deployment:

1. p=none (sorveglianza): ricevi i report aggregati senza intaccare la consegna. Durata raccomandata: da 2 a 4 settimane.
2. p=quarantine: i messaggi non autenticati partono in spam. Durata: da 2 a 4 settimane.
3. p=reject: i messaggi non autenticati sono rifiutati. È la policy obiettivo.

Esempio di record DMARC di partenza:

v=DMARC1; p=none; rua=mailto:dmarc@captaindns.com; ruf=mailto:dmarc-forensic@captaindns.com; fo=1;

Sui piani superiori (Premium Plus), Barracuda fornisce un modulo di Domain Fraud Protection che aggrega e visualizza i report DMARC, identifica le sorgenti di invio legittime non ancora autenticate e accompagna la salita verso p=reject. Se resti su EGD da solo, piloti DMARC con uno strumento di terze parti. Convalida ogni evoluzione del tuo record con il verificatore di sintassi DMARC CaptainDNS.

🔍 Come rilevare che un dominio è protetto da Barracuda?

Per sapere se un dominio utilizza Barracuda Email Gateway Defense, esamina i suoi record MX e SPF: un MX che termina con .ess.barracudanetworks.com o un SPF contenente include:spf.ess[.<regione>].barracudanetworks.com è la signature non ambigua del servizio cloud.

Questo rilevamento è utile in diversi casi: auditare un prospect prima di un appuntamento commerciale, qualificare lo stack di un partner, o semplicemente capire da cosa transitano le tue stesse email. Il metodo si basa su due signature DNS.

Signature MX. Qualsiasi record MX il cui hostname termina con .ess.barracudanetworks.com indica un dominio dietro Barracuda EGD. Il prefisso (d9307303a nei nostri esempi) è l'identificativo unico dell'account cliente.

# Rilevare Barracuda tramite l'MX
dig MX captaindns.com +short
# Una risposta del tipo "10 d9307303a.ess.barracudanetworks.com." = Barracuda EGD

Signature SPF. La presenza di un include:spf.ess.barracudanetworks.com (o della sua variante regionale spf.ess.de/uk/ca/au/in.barracudanetworks.com) nel record TXT del dominio conferma che Barracuda veicola la posta in uscita.

# Rilevare Barracuda tramite l'SPF
dig TXT captaindns.com +short | grep spf
# Presenza di "include:spf.ess.barracudanetworks.com" = Barracuda in uscita

Per un'analisi completa e leggibile dei record di un dominio senza manipolare dig, utilizza lo strumento DNS Lookup di CaptainDNS, che mostra gli MX, i TXT e gli altri record con un solo colpo d'occhio. Incrociare MX e SPF toglie ogni ambiguità: un MX in .ess.barracudanetworks.com accoppiato all'include SPF corrispondente identifica senza errore un dominio integralmente protetto da Barracuda EGD, in entrata e in uscita.

🔄 Confronto con Mimecast, Proofpoint e Microsoft

Barracuda Email Gateway Defense si distingue dai concorrenti per il suo posizionamento SMB e MSP: Proofpoint mira al Fortune 100, Mimecast alle medie imprese multi-esigenze, Microsoft Defender agli ambienti full M365. La tabella qui sotto confronta i criteri che pesano realmente in una scelta.

Criterio	Barracuda EGD	Mimecast	Proofpoint	Microsoft Defender
Tipo	SEG cloud + Inbox Defense API	SEG + API (2026)	SEG enterprise + ICES	Nativo M365
Target	PMI, mid-market, MSP	PMI/medie imprese multi-esigenze	Fortune 100, grandi imprese	Ambienti M365
Rilevamento IA/ML	Impersonation Protection, ML comportamentale	Multi-vector + CyberGraph	Nexus AI 6 componenti	9,1/10 test indipendenti
Modello MSP multi-tenant	Sì (punto di forza)	Parziale	Limitato	Tramite partner CSP
DMARC	Domain Fraud (Premium Plus)	DMARC Analyzer integrato	EFD con consulenti	No
Archiviazione	Tramite Cloud Archiving (add-on)	Sì (da 1 giorno a 99 anni)	Tramite partner	Tramite retention M365
Formato MX	<id>.ess.barracudanetworks.com	eu-smtp-inbound-1.mimecast.com	mx0a-XXXX.pphosted.com	*.mail.protection.outlook.com
Gartner 2025	Visionario	Leader	Leader (#1 Execution)	Leader
Ideale per	SMB e MSP che cercano semplicità/prezzo	Centralizzare sicurezza + archiviazione	Threat intel d'élite	Full M365, budget ridotto

Mimecast e Proofpoint: il riferimento medie imprese ed enterprise

Sul mid-market e sulle medie imprese, Mimecast propone una suite più ampia sul fronte delle funzionalità native: archiviazione a lunga durata integrata, continuità email, DMARC Analyzer senza costo aggiuntivo. Se la tua esigenza è centralizzare sicurezza, archiviazione e continuità in un'unica console, Mimecast offre spesso un miglior rapporto funzionale rispetto a Barracuda, al prezzo di una console più complessa. La nostra guida completa su Mimecast descrive la sua architettura e la sua configurazione DNS.

Sulle grandissime aziende, Proofpoint domina per la sua threat intelligence e il suo approccio people-centric (concetto VAP). È il riferimento per i SOC maturi dei settori più presi di mira (finanza, difesa, sanità), ma a un costo e a una complessità che superano largamente le esigenze di una PMI. Vedi la nostra guida completa su Proofpoint.

Microsoft Defender e Abnormal: il nativo e il comportamentale

Se la tua organizzazione è full Microsoft 365, Defender for Office 365 resta la scelta più evidente in rapporto prezzo/copertura: protezione nativa senza cambio di MX, spesso meno di 2 euro per utente al mese, o addirittura inclusa nella licenza E5. I test indipendenti gli attribuiscono un punteggio di rilevamento elevato. Per una PMI M365 dalle esigenze standard, è un punto d'ingresso difficile da battere. Barracuda conserva il vantaggio sull'indipendenza nei confronti del fornitore email (utile in ambiente ibrido o Google Workspace) e sul modello MSP.

Sul fronte del rilevamento comportamentale puro, Abnormal Security funziona esclusivamente tramite API ed eccelle sul BEC e sul VEC (vedi la nostra guida completa su Abnormal Security). Molte organizzazioni lo utilizzano a complemento di un SEG invece che in sostituzione.

Il verdetto: per chi Barracuda è la scelta giusta?

Barracuda EGD è pertinente se sei una PMI o una media impresa che cerca una protezione email cloud semplice da distribuire e da operare, senza team SOC dedicato, con un buon rapporto prezzo/copertura. È anche la scelta privilegiata degli MSP grazie alla sua console multi-tenant e alla sua remediation in massa. Barracuda non è invece il candidato naturale se miri alla threat intelligence d'élite di una grande azienda (Proofpoint), a una suite archiviazione/continuità all-in-one (Mimecast), o se sei full M365 con esigenze di base (Defender basta).

🖥️ Migrazione e deployment passo dopo passo

Il deployment di Barracuda Email Gateway Defense si fa senza interruzione di servizio grazie alla commutazione per priorità MX: si testa in priorità 99, poi si commuta in priorità bassa. La sequenza qui sotto dettaglia le cinque tappe, dall'inventario DNS alla pulizia degli MX residui.

Guida di deployment in 5 tappe, dall'inventario DNS alla commutazione MX

1. Documenta lo stato attuale dei tuoi record MX, SPF, DKIM e DMARC con gli strumenti CaptainDNS. Censisci soprattutto tutte le sorgenti di invio legittime del tuo dominio: server principale, marketing (Mailchimp, HubSpot), transazionale (SendGrid, Mailgun), CRM (Salesforce), ticketing (Zendesk), prodotti interni. Ciascuna dovrà essere autenticata nella tua nuova configurazione SPF e presa in considerazione nella roadmap DMARC.

2. Nella console EGD della tua regione (us., de., uk., ca., au. o in.ess.barracudanetworks.com), aggiungi il tuo dominio e verificane la proprietà. Recupera il tuo identificativo di account unico per l'MX (<id>.ess.barracudanetworks.com). Configura la connessione verso il tuo server di destinazione (M365, Google Workspace, Exchange) e sincronizza la directory utente. Annota bene la tua regione: condiziona l'include SPF da utilizzare.

3. Aggiungi l'MX Barracuda con una priorità 99 (la meno prioritaria). I tuoi MX esistenti conservano una priorità bassa e continuano a ricevere la posta legittima. Invia email di test per verificare che l'account Barracuda accetti bene il traffico del tuo dominio e che il routing verso il tuo server di destinazione funzioni. Questa fase convalida la configurazione senza alcun rischio di perdita di messaggi.

4. Una volta convalidata la configurazione, passa l'MX Barracuda in priorità bassa (10) e rimuovi tutti i vecchi MX. Effettua la commutazione al di fuori delle ore di punta. Verifica con dig MX captaindns.com +short che sussista solo l'MX Barracuda. Blocca poi il tuo connettore Microsoft 365 o Google Workspace affinché accetti il traffico in entrata solo dagli IP Barracuda, chiudendo la backdoor dell'MX residuo.

5. Aggiungi l'include SPF regionale Barracuda (non un'altra regione), restando sotto i 10 lookup. Attiva la firma DKIM 2048 bit in console e pubblica la chiave pubblica nel DNS. Distribuisci DMARC in p=none, sorveglia i report da 2 a 4 settimane, poi sali verso p=quarantine e p=reject. Convalida ogni record con i verificatori CaptainDNS.

Il caso particolare della migrazione dall'appliance ESG

Se sfrutti ancora l'appliance Email Security Gateway (ESG), Barracuda spinge la migrazione verso il servizio cloud EGD tramite il suo programma «ESG Elevate». La logica è chiara: l'appliance legacy non riceve più gli stessi investimenti, impone di gestire l'hardware e le patch da soli, e l'incidente del 2023 ha ricordato il costo di una vulnerabilità su un prodotto che il cliente deve patchare lui stesso.

La migrazione da ESG a EGD equivale a passare da un filtraggio on-premise a un filtraggio cloud. Concretamente: provisioni EGD nella console, riporti le tue policy di filtraggio (Barracuda fornisce assistenti per questo), testi in priorità 99 come descritto più sopra, poi commuti gli MX dall'appliance verso <id>.ess.barracudanetworks.com. Per limitare il lavoro manuale, il programma propone uno strumento di conversione che migra automaticamente i parametri, i domini e gli utenti dall'ESG verso EGD tramite un account Barracuda Cloud Control, e Barracuda annuncia una commutazione «in meno di un'ora». Il beneficio principale: non hai più appliance da mantenere né patch critica da applicare d'urgenza. È precisamente lo scenario d'incidente che la sezione seguente descrive.

⚠️ Limiti, svantaggi e la vulnerabilità del 2023

I limiti principali di Barracuda Email Gateway Defense sono una threat intelligence sotto i Leader, una suite meno completa in nativo e sei sole regioni di datacenter. Quanto all'incidente serio che la reputazione del marchio si trascina, riguarda un prodotto preciso, l'appliance ESG, da distinguere dal servizio cloud. Passiamo prima in rassegna i limiti fattuali di EGD, poi la CVE-2023-2868.

I limiti del servizio cloud

• Threat intelligence al di sotto dei Leader. Sul rilevamento degli attacchi BEC e APT più sofisticati, Barracuda resta dietro a Proofpoint e Mimecast secondo gli analisti. Il suo posizionamento di Visionario al Gartner 2025 riflette una visione di prodotto riconosciuta ma un'esecuzione giudicata inferiore ai Leader. Per un settore ultra-mirato (finanza, difesa), non è la prima scelta.

• Suite meno completa in nativo. L'archiviazione (Cloud Archiving), la sensibilizzazione e alcune protezioni avanzate sono moduli o piani superiori (Premium, Premium Plus). Il prezzo d'ingresso di EGD è attraente, ma una postura completa impone di cumulare i mattoni, e il costo totale sale. Confronta il perimetro esatto di ogni piano prima di firmare.

• Copertura regionale più ristretta. Sei regioni (US, DE, UK, CA, AU, IN), è meno fine di alcuni concorrenti. Verifica che la tua esigenza di residenza dei dati corrisponda a una regione disponibile, in particolare per vincoli di sovranità rigorosi.

• Riscrittura di URL e falsi positivi. Come ogni SEG, Barracuda può riscrivere link tramite Link Protection: gli URL puntano allora verso un indirizzo di redirezione Barracuda. Buona notizia per i timori abituali sui magic link, gli URL riscritti non scadono, e Barracuda non riscrive i domini comuni (google.com, microsoft.com, teams.microsoft.com) proprio per limitare i falsi positivi. Il rischio sui link monouso (reimpostazione di password) è quindi più misurato di quanto si tema. La vigilanza riguarda piuttosto la quarantena, da sorvegliare le prime settimane: mittenti pur inseriti in lista di autorizzazione vi si ritrovano talvolta bloccati, e i feedback degli utenti (G2) segnalano una regolazione manuale da prevedere all'avvio.

La CVE-2023-2868 colpiva l'appliance, non il cloud

La CVE-2023-2868 è l'incidente di sicurezza più rilevante della storia di Barracuda. Una precisazione si impone subito: questa vulnerabilità colpiva l'appliance Email Security Gateway (ESG), non il servizio cloud Email Gateway Defense (EGD) di cui parla questo articolo. Se valuti o utilizzi EGD, non eri esposto. Riprendiamo i fatti nell'ordine, senza drammatizzare.

La vulnerabilità era un'iniezione di comando tramite il modulo di parsing dei file .tar ricevuti in allegato, nel codice Perl dell'appliance ESG. Il suo punteggio CVSS era di 9,8 (critico), il quasi-massimo. Concretamente, un aggressore poteva inviare un'email con un allegato .tar appositamente formato per eseguire codice arbitrario sull'appliance.

La cronologia è istruttiva. Lo sfruttamento in-the-wild è iniziato fin da ottobre 2022, ovvero diversi mesi prima di qualsiasi rilevamento. Mandiant (Google Cloud Threat Intelligence) ha attribuito la campagna a UNC4841, un attore sospettato di essere legato alla Cina (China-nexus). Barracuda ha rilevato un traffico anomalo il 18 maggio 2023, distribuito una patch mondiale il 20 maggio 2023 e pubblicato la divulgazione il 23 maggio 2023.

Il punto che ha colpito gli animi è la raccomandazione di sostituzione fisica: Barracuda l'ha formulata inizialmente il 31 maggio 2023, poi ribadita il 6 giugno 2023, consigliando la sostituzione immediata di tutte le appliance ESG compromesse, qualunque fosse il livello di patch applicato. La ragione: gli aggressori avevano distribuito backdoor persistenti (i malware SEASPY, SUBMARINE e SALTWATER, tra gli altri) che sopravvivevano alle correzioni. L'FBI ha rilanciato questa raccomandazione di sostituzione hardware. È un caso raro in cui un vendor consiglia di buttare l'hardware invece di patcharlo, il che la dice lunga sulla profondità della compromissione. Barracuda non ha del resto mai pubblicato un numero esatto di organizzazioni toccate, evocando solo un «numero limitato» tra le centinaia di migliaia di appliance distribuite.

Per una decisione nel 2026, l'incidente dice soprattutto una cosa: il rischio strutturale delle appliance che il cliente deve patchare lui stesso. Un cloud gestito come EGD trasferisce questa responsabilità al vendor. Il resto segue. EGD non era interessato da questa CVE, e scartare il prodotto cloud sulla base dell'incidente ESG resta un errore di analisi frequente. È del resto l'argomento che Barracuda fa valere per spingere la migrazione da ESG a EGD: eliminare la superficie d'attacco dell'appliance on-premise.

📋 Piano d'azione raccomandato

Valutare poi distribuire Barracuda Email Gateway Defense richiede dieci tappe ordinate, dall'audit della postura email attuale alla policy DMARC p=reject. Ecco la sequenza completa.

1. Auditare la tua postura email attuale (MX, SPF, DKIM, DMARC) con gli strumenti CaptainDNS
2. Chiarire l'esigenza di prodotto: conferma che stai valutando EGD (cloud) e non l'appliance ESG, e scegli il piano (Advanced, Premium, Premium Plus) in base alle tue esigenze di DMARC, sensibilizzazione e backup
3. Confrontare con Mimecast, Proofpoint e Microsoft Defender in base alla tua dimensione, al tuo budget e al tuo modello (interno o MSP)
4. Richiedere un POC e identificare la tua regione EGD (US, DE, UK, CA, AU, IN) che condiziona l'include SPF
5. Configurare la console regionale, aggiungere il dominio, recuperare l'identificativo MX e sincronizzare la directory
6. Testare in priorità 99: convalidare il routing senza rischio di perdita di messaggi
7. Commutare gli MX in priorità bassa al di fuori delle ore di punta e rimuovere tutti i vecchi MX
8. Bloccare il connettore M365/Google Workspace affinché accetti solo gli IP Barracuda
9. Mettere in posizione SPF (include regionale, -all), DKIM (2048 bit) e DMARC (p=none poi irrigidimento)
10. Sorvegliare la quarantena, i report DMARC e salire verso p=reject dopo 4-8 settimane di sorveglianza pulita

📚 Guide ai gateway email

Questa analisi fa parte della nostra serie sulle soluzioni di sicurezza email:

• Mimecast Secure Email Gateway: architettura, configurazione DNS, confronto e piano d'azione
• Proofpoint Secure Email Gateway: Nexus AI, TAP, EchoSpoofing 2024 e configurazione DNS
• Abnormal Security: IA comportamentale, deployment API, Attune 1.0

FAQ

Cos'è Barracuda Email Gateway Defense?

Barracuda Email Gateway Defense (EGD) è un Secure Email Gateway cloud che filtra il 100% del traffico email in entrata prima che raggiunga il tuo server di posta. Reindirizzi i tuoi record MX verso l'infrastruttura Barracuda (<id>.ess.barracudanetworks.com), che ispeziona ogni messaggio (reputazione, anti-spam, anti-malware, Advanced Threat Protection, anti-phishing) poi trasferisce il traffico pulito verso Microsoft 365, Google Workspace o Exchange. È l'ex Barracuda Email Security Service (BESS), storicamente orientato alle PMI e agli MSP, con oltre 200.000 clienti nel mondo.

Qual è la differenza tra Email Gateway Defense ed Email Security Gateway?

Sono due prodotti distinti. Email Gateway Defense (EGD) è il servizio SEG cloud, ospitato interamente presso Barracuda sotto ess.barracudanetworks.com, senza hardware da gestire. Email Security Gateway (ESG) è un'appliance fisica o virtuale legacy, distribuita on-premise o nel cloud del cliente, che l'organizzazione amministra e patcha lei stessa. È l'appliance ESG, e non il servizio cloud EGD, a essere stata colpita dalla CVE-2023-2868 nel 2023. Barracuda spinge attivamente la migrazione dei clienti ESG verso EGD tramite il suo programma ESG Elevate.

Quali sono i record MX di Barracuda?

Gli MX di Barracuda Email Gateway Defense seguono il formato <identificativo-cliente>.ess.barracudanetworks.com, ad esempio d9307303a.ess.barracudanetworks.com. L'identificativo è unico per il tuo account e visibile sulla pagina di verifica del dominio della console EGD. Durante il deployment, Barracuda raccomanda di aggiungere questo MX in priorità 99 per la fase di test (la posta legittima resta sul vecchio server), poi di passarlo in priorità bassa (10) e di rimuovere i vecchi MX una volta convalidata la configurazione.

Quale SPF include utilizzare con Barracuda?

L'include SPF dipende dalla tua regione. Negli Stati Uniti: include:spf.ess.barracudanetworks.com. In Germania/Europa: include:spf.ess.de.barracudanetworks.com. Nel Regno Unito: include:spf.ess.uk.barracudanetworks.com. In Canada: include:spf.ess.ca.barracudanetworks.com. In Australia: include:spf.ess.au.barracudanetworks.com. In India: include:spf.ess.in.barracudanetworks.com. Barracuda raccomanda di terminare il record con -all. Sorveglia il numero totale di lookup DNS per restare sotto il limite di 10 imposto dalla RFC 7208.

Come rilevare che un dominio è protetto da Barracuda?

Due signature DNS lo identificano. Lato entrante: un record MX che termina con .ess.barracudanetworks.com (dig MX dominio.com +short). Lato uscente: la presenza di un include:spf.ess[.<regione>].barracudanetworks.com nel record TXT del dominio (dig TXT dominio.com +short). Incrociare i due toglie ogni ambiguità. Puoi anche utilizzare lo strumento DNS Lookup di CaptainDNS per mostrare questi record in modo leggibile senza manipolare dig.

Barracuda funziona con Microsoft 365 e Google Workspace?

Sì. Barracuda Email Gateway Defense è indipendente dal fornitore di posta. In modalità gateway, reindirizzi gli MX verso Barracuda qualunque sia il tuo server di destinazione (Microsoft 365, Google Workspace, Exchange on-premise), poi configuri la connessione in uscita nella console EGD. Lato Microsoft 365, l'integrazione si basa concretamente su tre connettori (due entranti, uno uscente) più una policy «allow spoofing» per il traffico proveniente da Barracuda; il blocco anti-aggiramento passa per un connettore partner entrante che accetta solo gli IP Barracuda. Per Microsoft 365, i piani superiori aggiungono uno strato di difesa della casella di posta tramite API e un modulo Incident Response per rimuovere i messaggi dannosi già consegnati.

La CVE-2023-2868 colpisce Email Gateway Defense (cloud)?

No. La CVE-2023-2868 (iniezione di comando tramite parsing di file .tar, CVSS 9.8) colpiva esclusivamente l'appliance Email Security Gateway (ESG), non il servizio cloud Email Gateway Defense (EGD). Se utilizzi EGD, non eri esposto a questa falla. L'incidente, sfruttato fin da ottobre 2022 dall'attore UNC4841 (attribuzione Mandiant, China-nexus), ha portato Barracuda a raccomandare la sostituzione fisica delle appliance ESG compromesse il 6 giugno 2023, a causa di backdoor persistenti che sopravvivono alle correzioni. È uno degli argomenti avanzati per migrare dall'appliance ESG al cloud EGD.

Barracuda è adatto alle PMI e agli MSP?

Sì, è anzi il suo posizionamento d'elezione. Barracuda EGD è concepito per essere semplice da distribuire e da operare senza team SOC dedicato, con un rapporto prezzo/copertura attraente per le PMI e il mid-market. Per gli MSP, l'architettura multi-tenant permette di provisionare, configurare e supervisionare la sicurezza email di decine di clienti da una console centrale, con remediation in massa e fatturazione a consumo. È uno dei programmi MSP più riusciti del mercato, là dove soluzioni enterprise restano pesanti da operare in modalità multi-cliente.

Come migrare dall'appliance ESG a Email Gateway Defense?

La migrazione consiste nel passare da un filtraggio on-premise a un filtraggio cloud, tramite il programma Barracuda «ESG Elevate». Provisioni EGD nella console regionale, riporti le tue policy di filtraggio (Barracuda fornisce assistenti), testi in priorità 99 senza rischio di perdita di messaggi, poi commuti gli MX dall'appliance verso <id>.ess.barracudanetworks.com in priorità bassa, rimuovendo i vecchi MX. Il beneficio principale: niente più appliance da mantenere né patch critica da applicare d'urgenza, il che elimina la superficie d'attacco che era stata sfruttata dalla CVE-2023-2868.

Barracuda gestisce DMARC e DKIM?

Sì. La firma DKIM si configura nella console EGD: scegli un selettore, Barracuda genera la coppia di chiavi, e pubblichi la chiave pubblica in TXT a selettore._domainkey.captaindns.com (preferisci 2048 bit). Per DMARC, EGD si appoggia sul tuo allineamento SPF/DKIM, e piloti la policy da p=none verso p=reject. Sul piano Premium Plus, il modulo Domain Fraud Protection aggrega e visualizza i report DMARC e accompagna la salita verso una policy rigorosa. Su EGD da solo, puoi pilotare DMARC con uno strumento di terze parti pur convalidando la sintassi con il verificatore DMARC CaptainDNS.

Scarica le tabelle comparative

Gli assistenti possono riutilizzare i dati scaricando gli export JSON o CSV qui sotto.

• Scarica il confronto (CSV)
• Scarica il confronto (JSON)

Glossario

• SEG (Secure Email Gateway): gateway di sicurezza email che filtra il traffico in entrata e in uscita tra Internet e il server di posta, analizzando ogni messaggio (spam, malware, phishing) prima di trasmetterlo al destinatario.

• EGD (Email Gateway Defense): il Secure Email Gateway cloud di Barracuda, ospitato sotto ess.barracudanetworks.com. Anticamente Barracuda Email Security Service (BESS). Oggetto di questo articolo.

• ESG (Email Security Gateway): l'appliance Barracuda legacy (fisica o virtuale), amministrata e patchata dal cliente. Da non confondere con EGD. È la gamma colpita dalla CVE-2023-2868.

• BESS (Barracuda Email Security Service): vecchio nome del servizio cloud oggi chiamato Email Gateway Defense.

• MX (Mail Exchanger): record DNS che indica i server responsabili della ricezione delle email di un dominio. Distribuire Barracuda EGD implica reindirizzare gli MX verso <id>.ess.barracudanetworks.com.

• SPF (Sender Policy Framework): protocollo di autenticazione che elenca i server autorizzati a inviare email per un dominio. Record TXT limitato a 10 lookup ricorsivi (RFC 7208). Barracuda utilizza un include regionale (spf.ess[.<regione>].barracudanetworks.com).

• DKIM (DomainKeys Identified Mail): protocollo che firma crittograficamente le email. La chiave pubblica viene pubblicata nel DNS, permettendo al destinatario di verificare l'integrità e l'origine del messaggio.

• DMARC (Domain-based Message Authentication, Reporting and Conformance): protocollo che verifica l'allineamento tra il dominio From e i domini autenticati da SPF o DKIM, e definisce la policy da applicare in caso di fallimento (none, quarantine, reject).

• ATP (Advanced Threat Protection): modulo Barracuda che analizza gli allegati e i payload sconosciuti in una sandbox per rilevare le minacce zero-day tramite osservazione comportamentale.

• Impersonation Protection: motore Barracuda di rilevamento degli attacchi tramite usurpazione (BEC), basato sull'apprendimento degli schemi di comunicazione normali dell'organizzazione per individuare le anomalie.

• Incident Response: modulo Barracuda che permette di rimuovere automaticamente le email dannose già consegnate nelle caselle di posta, con remediation in massa, particolarmente utile per gli MSP.

• BEC (Business Email Compromise): frode tramite email in cui l'aggressore si spaccia per un dirigente o un partner di fiducia per ottenere un bonifico o dati sensibili. Spesso senza link né allegato, quindi invisibile ai filtri per signature.

• MSP (Managed Service Provider): fornitore che gestisce l'infrastruttura IT di più clienti. L'architettura multi-tenant di Barracuda è pensata per questo modello.

• CVE-2023-2868: vulnerabilità critica (CVSS 9.8) di iniezione di comando tramite il parsing di file .tar nell'appliance ESG, sfruttata da UNC4841. Non colpisce il servizio cloud EGD.

• UNC4841: attore di minaccia sospettato di essere legato alla Cina (China-nexus), a cui Mandiant attribuisce lo sfruttamento della CVE-2023-2868 sulle appliance ESG fin da ottobre 2022.

Fonti

• Barracuda Campus: Email Gateway Defense, verifica del dominio e MX
• Barracuda Campus: Sender Policy Framework per la posta in uscita (include regionali)
• Barracuda Campus: Understanding Link Protection
• Barracuda Campus: integrazione Microsoft 365 (connettori)
• Barracuda: 2025 Email Threats Report
• Barracuda Trust Center: ESG Appliance Vulnerability (CVE-2023-2868)
• Gartner Peer Insights: Email Security Platforms, recensioni Barracuda
• Mandiant / Google Cloud: sfruttamento mondiale dell'ESG da parte di UNC4841
• Gartner Magic Quadrant for Email Security 2025