Prošetření škodlivých e-mailů doručených v Microsoftu 365

Tip

Věděli jste, že si můžete zdarma vyzkoušet funkce v Microsoft Defender XDR pro Office 365 Plan 2? Použijte 90denní zkušební verzi Defender pro Office 365 v centru zkušebních verzí portálu Microsoft Defender Portal. Zde zjistíte více o tom, kdo se může zaregistrovat a o podmínkách zkušební verze.

Organizace Microsoft 365, které mají Microsoft Defender pro Office 365 zahrnuté ve svém předplatném nebo zakoupené jako doplněk, mají Průzkumníka (označovaného také jako Průzkumník hrozeb) nebo detekci v reálném čase. Tyto funkce představují výkonné nástroje téměř v reálném čase, které pomáhají týmům se zabezpečením (SecOps) prošetřovat hrozby a reagovat na ně. Další informace najdete v tématech o Průzkumníku hrozeb a detekcích v reálném čase v Microsoft Defender pro Office 365.

Průzkumník hrozeb a detekce v reálném čase umožňují prozkoumat aktivity, které ohrožují lidi ve vaší organizaci, a podniknout kroky k ochraně vaší organizace. Příklady:

  • Vyhledejte a odstraňte zprávy.
  • Identifikujte IP adresu odesílatele e-mailu se zlými úmysly.
  • Zahajte incident pro další šetření.

Tento článek vysvětluje, jak pomocí Průzkumníka hrozeb a detekce v reálném čase najít škodlivé e-maily v poštovních schránkách příjemců.

Tip

Pokud chcete přejít přímo k postupům nápravy, přečtěte si téma Náprava škodlivých e-mailů doručených v Office 365.

Další e-mailové scénáře s využitím Průzkumníka hrozeb a detekce v reálném čase najdete v následujících článcích:

Co potřebujete vědět, než začnete?

Vyhledání doručované podezřelé e-maily

  1. Pomocí jednoho z následujících kroků otevřete Průzkumníka hrozeb nebo detekce v reálném čase:

  2. Na stránce Průzkumník nebo Detekce v reálném čase vyberte odpovídající zobrazení:

  3. Vyberte rozsah data a času. Výchozí hodnota je včera a dnes.

    Snímek obrazovky s filtrem data použitým v Průzkumníku hrozeb a detekcemi v reálném čase na portálu Defender

  4. Create jednu nebo více podmínek filtru pomocí některých nebo všech následujících cílových vlastností a hodnot. Úplné pokyny najdete v tématech Filtry vlastností v Průzkumníku hrozeb a Detekce v reálném čase. Příklady:

    • Akce doručení: Akce proběhla u e-mailu kvůli existujícím zásadám nebo detekci. Užitečné hodnoty jsou:

      • Doručeno: Email doručeno do složky Doručená pošta uživatele nebo do jiné složky, kde má uživatel přístup ke zprávě.
      • Nevyžádaná pošta: Email doručena do složky Nevyžádaná Email uživatele nebo Odstraněná pošta, kde má uživatel přístup ke zprávě.
      • Blokováno: Email zprávy, které byly v karanténě, které se nepodařilo doručit nebo byly vyřazeny.

    • Původní místo doručení: Kam se e-maily dostaly před automatickými nebo ručními akcemi po doručení ze strany systému nebo správců (například ZAP nebo přesunuté do karantény). Užitečné hodnoty jsou:

      • Složka Odstraněná pošta
      • Zahozeno: Zpráva se ztratila někde v toku pošty.
      • Selhání: Zpráva se nepodařilo dostat do poštovní schránky.
      • Doručená pošta nebo složka
      • Nevyžádaná pošta
      • Místní/externí: Poštovní schránka v organizaci Microsoft 365 neexistuje.
      • Karanténa
      • Neznámé: Například pravidlo doručené pošty po doručení přesunulo zprávu do výchozí složky (například Koncept nebo Archiv) místo do složky Doručená pošta nebo Nevyžádaná Email pošta.

    • Místo posledního doručení: Kde e-mail skončil po automatických nebo ručních akcích po doručení ze strany systému nebo správců. Stejné hodnoty jsou k dispozici v umístění původního doručení.

    • Směrovost: Platné hodnoty:

      • Příchozí
      • Uvnitř organizace
      • Odchozí

      Tyto informace vám můžou pomoct identifikovat falšování identity a zosobnění. Zprávy od interních odesílatelů domény by například měly být v rámci organizace, nikoli příchozí.

    • Další akce: Platné hodnoty:

    • Primární přepsání: Pokud nastavení organizace nebo uživatele povoluje nebo blokuje zprávy, které by jinak byly blokované nebo povolené. Hodnoty jsou:

      • Povolené zásadami organizace
      • Povolené zásadami uživatele
      • Blokováno zásadami organizace
      • Blokováno zásadami uživatele
      • Žádné

      Tyto kategorie jsou dále upřesňující primární vlastností přepsání zdrojového kódu.

    • Primární zdroj přepsání Typ zásad organizace nebo nastavení uživatele, které povoluje nebo blokuje zprávy, které by jinak byly blokované nebo povolené. Hodnoty jsou:

    • Přepsat zdroj: Stejné dostupné hodnoty jako primární zdroj přepsání.

      Tip

      Na kartě Email (zobrazení) v oblasti podrobností zobrazení Veškerý e-mail, Malware a Phish mají odpovídající sloupce přepsání názvy Přepsání systému a Zdroj přepsání systému.

    • Hrozba adresy URL: Platné hodnoty jsou:

      • Malware
      • Phish
      • Spam

  5. Až dokončíte konfiguraci filtrů data a času a vlastností, vyberte Aktualizovat.

Karta Email (zobrazení) v oblasti podrobností zobrazení Veškerý e-mail, Malware nebo Phish obsahuje podrobnosti, které potřebujete k prozkoumání podezřelých e-mailů.

Například pomocí sloupců Akce doručení, Původní místo doručení a Poslední místo doručení na kartě Email (zobrazení) získáte úplnou představu o tom, kam se ovlivněné zprávy dostaly. Hodnoty byly vysvětleny v kroku 4.

Export slouží k selektivnímu exportu až 200 000 filtrovaných nebo nefiltrovaných výsledků do souboru CSV.

Náprava doručených škodlivých e-mailů

Jakmile identifikujete doručované škodlivé e-mailové zprávy, můžete je odebrat z poštovních schránek příjemců. Pokyny najdete v tématu Náprava škodlivých e-mailů doručených v Microsoftu 365.

Náprava škodlivých e-mailů doručených v Office 365

Microsoft Defender pro Office 365

Zobrazení sestav pro Defender pro Office 365