Die Seite „E-Mail-Entität"

Artikel
03/29/2023

Tipp

Wussten Sie, dass Sie die Features in Microsoft 365 Defender für Office 365 Plan 2 kostenlos testen können? Verwenden Sie die 90-tägige Defender for Office 365 Testversion auf dem Microsoft 365 Defender-Portal-Testversionshub. Hier erfahren Sie, wer sich registrieren und testen kann.

Gilt für:

Microsoft Defender für Office 365 Plan 1 und Plan 2

Inhalt dieses Artikels:

Erreichen der E-Mail-Entitätsseite
Lesen der E-Mail-Entitätsseite
Verwenden von E-Mail-Entitätsseitenregisterkarten
Neu bei der E-Mail-Entitätsseite

Administratoren von Microsoft Defender for Office 365 E5 und Defender für Office P1 und P2 verfügen über eine 360-Grad-Ansicht der E-Mails über die Entitätsseite Email. Diese E-Mail-Seite wurde erstellt, um informationen zu verbessern, die in Microsoft Defender for Office 365 und Microsoft 365 Defender bereitgestellt werden.

Sehen Sie sich die E-Mail-Details in den folgenden Umgebungen an, einschließlich Vorschau und Herunterladen der E-Mail, der E-Mail-Header mit der Option zum Kopieren, Erkennungsdetails, erkannten Bedrohungen, neueste und ursprüngliche Zustellungsorte, Übermittlungsaktionen und IDs wie Warnungs-ID, Netzwerknachrichten-ID und mehr.

Abrufen der E-Mail-Entitätsseite

Überall dort, wo Sie E-Mail-Details im Microsoft Defender for Office 365 finden, sind die Details der E-Mail-Entität verfügbar. Dies umfasst Folgendes:

Sicherheitsrisiken-Explorer
Erweiterte Suche
Warnungen
Quarantäne
Übermittlungen
Reporting
Info-Center

Eine Möglichkeit, auf die Seite der E-Mail-Entität zu gelangen, ist threat Explorer, aber die Schritte bleiben von überall aus gleich, wo Sie E-Mail-Details finden. Navigieren Sie zum Microsoft 365 Defender-Portal unter https://security.microsoft.com, Email & Zusammenarbeit>Explorer. Oder verwenden Sie , um direkt zur seite Explorer zu wechselnhttps://security.microsoft.com/threatexplorer.

Wählen Sie in Explorer den Betreff einer E-Mail aus, die Sie untersuchen.
Das E-Mail-Flyout für diese E-Mail wird geöffnet.
Die E-Mail-Entität öffnen wird angezeigt.
Wählen Sie es für Ihre ausführlichen E-Mail-Informationen aus.

Hinweis

Die zum Anzeigen und Verwenden dieser Seite erforderlichen Berechtigungen sind die gleichen wie zum Anzeigen Explorer. Der Administrator muss Mitglied des globalen Administrators oder des globalen Lesers, des Sicherheitsadministrators oder des Sicherheitslesers sein. Weitere Informationen finden Sie unter Berechtigungen im Microsoft 365 Defender-Portal.

Lesen der E-Mail-Entitätsseite

Die Struktur ist so konzipiert, dass sie auf einen Blick leicht zu lesen und zu navigieren ist. Auf verschiedenen Registerkarten am oberen Rand der Seite können Sie dies genauer untersuchen. So funktioniert das Layout:

Die am häufigsten erforderlichen Felder befinden sich auf der linken Seite des Flyouts. Diese Details sind "sticky", d. h., sie sind links verankert, unabhängig von der Registerkarte, zu der Sie im rest des Flyouts navigieren.
In der oberen rechten Ecke befinden sich die Aktionen, die für eine E-Mail ausgeführt werden können. Alle Aktionen, die über Explorer ausgeführt werden können, sind auch über die E-Mail-Entitätsseite verfügbar.
Eine tiefergehende Analyse kann durch Sortieren durch den Rest der Seite erfolgen. Überprüfen Sie die Details zur E-Mail-Erkennung, die E-Mail-Authentifizierung status und die Kopfzeile. Dieser Bereich sollte von Fall zu Fall betrachtet werden, aber die Informationen auf diesen Registerkarten sind für jede E-Mail verfügbar.

Verwenden der Registerkarten der E-Mail-Entitätsseite

Mit den Registerkarten oben auf der Entitätsseite können Sie E-Mails effizient untersuchen.

Zeitachse: Die Zeitleiste-Ansicht für eine E-Mail (pro Explorer Zeitleiste) zeigt die ursprüngliche Zustellung an Postzustellungsereignisse an, die in einer E-Mail auftreten. Bei E-Mails ohne Postübermittlungsaktionen zeigt die Ansicht die ursprüngliche Übermittlungszeile in Zeitleiste Ansicht an. Ereignisse wie: Zero-Hour Auto Purge (ZAP), Wartungen, Benutzer- und Admin-Übermittlungen, Quarantäneinformationen, URL-Klicks und mehr, aus Quellen wie System, Administrator und Benutzer, werden hier in der Reihenfolge angezeigt, in der sie aufgetreten sind.
Analyse: Die Analyse zeigt Felder, mit denen Administratoren eine E-Mail ausführlich analysieren können. In Fällen, in denen Administratoren mehr über Erkennung, Absender/Empfänger und E-Mail-Authentifizierungsdetails erfahren müssen, sollten sie die Registerkarte Analyse verwenden. Links für Anlagen und URLs finden Sie auch auf dieser Seite unter "Verwandte Entitäten". Sowohl Anlagen als auch identifizierte Bedrohungen werden hier nummeriert, und durch Klicken gelangen Sie direkt zu den Seiten Anlagen und URL. Diese Registerkarte verfügt auch über die Option Kopfzeile anzeigen, um den E-Mail-Header anzuzeigen. Administratoren können alle Details aus E-Mail-Kopfzeilen nebeneinander mit Informationen im Standard-Bereich vergleichen, um die Übersichtlichkeit zu erhöhen.
Anlagen: Dadurch werden in der E-Mail gefundene Anlagen mit anderen Details zu Anlagen untersucht. Die Anzahl der angezeigten Anlagen ist derzeit auf 10 beschränkt. Beachten Sie, dass hier auch Detonationsdetails für Anlagen angezeigt werden, die als schädlich eingestuft wurden.
URLs: Auf dieser Registerkarte werden urLs in der E-Mail mit anderen Details zu den URLs aufgelistet. Die Anzahl der URLs ist derzeit auf 10 beschränkt, aber diese 10 werden priorisiert, um zuerst schädliche URLs anzuzeigen. Die Priorisierung spart Ihnen Zeit und Erraten. Die URLs, die als bösartig und detoniert eingestuft wurden, werden hier ebenfalls angezeigt.
Ähnliche E-Mails: Auf dieser Registerkarte werden alle E-Mails aufgelistet, die der Für diese E-Mail spezifischen Kombination aus Netzwerknachrichten-ID und Empfänger ähneln. Ähnlichkeit basiert nur auf dem Text der Nachricht. Die Festlegungen, die für E-Mails getroffen werden, um sie als "ähnlich" zu kategorisieren, beinhalten keine Berücksichtigung von Anlagen.

Verfügbar auf der E-Mail-Entitätsseite

Hier sind einige hilfreiche Besonderheiten für den Einstieg.

Email Vorschau und Download für Cloudpostfächer

Administratoren können E-Mails in Cloudpostfächern in der Vorschau anzeigen und herunterladen, wenn microsoft weiterhin auf die E-Mails in einem Exchange Online Postfach zugreifen kann. Im Falle eines vorläufigen Löschens (durch einen Administrator oder Benutzer) oder ZAP (zur Quarantäne) sind die E-Mails nicht mehr im Exchange Online Postfach vorhanden. In diesem Fall können Administratoren diese spezifischen E-Mails nicht in der Vorschau anzeigen oder herunterladen. E-Mails, die verworfen wurden oder bei denen die Zustellung fehlgeschlagen ist, haben es nie in das Postfach geschafft, sodass Administratoren diese E-Mails auch nicht in der Vorschau anzeigen oder herunterladen können.

Warnung

Für die Vorschau und das Herunterladen von E-Mails ist eine spezielle Rolle namens Vorschau erforderlich. Sie können diese Rolle im Microsoft 365 Defender-Portal hinzufügen, wie unter Email & Zusammenarbeitsrollen im Microsoft 365 Defender-Portal beschrieben. Möglicherweise müssen Sie dort eine neue Email & Rollengruppe für die Zusammenarbeit erstellen und der neuen Rollengruppe die Rolle Vorschau hinzufügen oder die Vorschaurolle zu einer Rollengruppe hinzufügen, die Administratoren in Ihrem organization ermöglicht, in Explorer zu arbeiten.

Detonationsdetails

Diese Details gelten spezifisch für E-Mail-Anlagen und URLs. Benutzer können diese Details anzeigen, indem sie zu Explorer wechseln und den Filter für die Erkennungstechnologie auf dateidetonation oder URL-Detonation anwenden. E-Mails, die nach Datei-Detonation gefiltert wurden, enthalten eine schädliche Datei mit Detonationsdetails, und die nach URLs gefilterten enthalten eine schädliche URL und deren Detonationsdetails.

Benutzern werden erweiterte Detonationsdetails für bekannte schädliche Anlagen oder URLs in ihren E-Mails angezeigt, die für ihren spezifischen Mandanten detoniert wurden. Sie enthält die Detonation-Kette, die Zusammenfassung der Detonation, den Screenshot und die Details zum beobachteten Verhalten, damit Kunden verstehen können, warum die Anlage oder URL als bösartig und detoniert eingestuft wurde.

Detonationskette. Eine einzelne Datei- oder URL-Detonation kann mehrere Detonationen auslösen. Die Detonation-Kette verfolgt den Pfad der Detonationen nach, einschließlich der ursprünglichen schädlichen Datei oder URL, die das Urteil verursacht hat, und allen anderen Dateien oder URLs, die von der Detonation betroffen sind. Diese URLs oder angefügten Dateien sind möglicherweise nicht direkt in der E-Mail vorhanden, aber die Einbeziehung dieser Analyse ist wichtig, um festzustellen, warum die Datei oder URL als bösartig eingestuft wurde.

Hinweis

Dies kann nur das Element der obersten Ebene anzeigen, wenn keine der damit verknüpften Entitäten als problematisch eingestuft wurde oder detoniert wurde.
Die Detonationszusammenfassung enthält eine grundlegende Zusammenfassung für die Detonation, z. B. Analysezeit, Zeitpunkt der Detonation, Betriebssystem und Anwendung, Betriebssystem und Anwendung, in denen die Detonation aufgetreten ist, Dateigröße und Bewertungsgrund.
Screenshots zeigen die Screenshots, die während der Detonation aufgezeichnet wurden. Während der Detonation können mehrere Screenshots vorhanden sein. Für werden keine Screenshots erfasst.
- Containertypdateien wie .zip oder .rar.
- Wenn eine URL in einem Link geöffnet wird, der eine Datei direkt herunterlädt. Die heruntergeladene Datei wird jedoch in der Detonationskette angezeigt.
Verhaltensdetails sind ein Export, der Verhaltensdetails wie genaue Ereignisse zeigt, die während der Detonation aufgetreten sind, und Observables, die URLs, IP-Adressen, Domänen und Dateien enthalten, die während der Detonation gefunden wurden (und entweder problematisch oder harmlos sein können). Beachten Sie, dass es möglicherweise keine Verhaltensdetails für Folgendes gibt:
- Containerdateien wie .zip oder .rar, die andere Dateien enthalten.

Andere Features, die die Email-Entitätsseite hilfreich machen

Tags: Dies sind Tags, die auf Benutzer angewendet werden. Wenn der Benutzer ein Empfänger ist, sehen Administratoren ein Empfängertag . Ebenso gilt, wenn der Benutzer ein Absender ist, ein Absendertag . Dies wird auf der linken Seite der E-Mail-Entitäten angezeigt (in dem Teil, der als klebrig und somit an der Seite verankert ist).

Letzter Zustellungsort: Der neueste Zustellungsort ist der Ort, an dem eine E-Mail nach Systemaktionen wie ZAP oder Administratoraktionen wie "In gelöschte Elemente verschieben" gelandet ist. Der aktuelle Zustellungsort ist nicht dazu gedacht, Administratoren über den aktuellen Speicherort der Nachricht zu informieren. Wenn ein Benutzer beispielsweise eine Nachricht löscht oder ins Archiv verschiebt, wird der Übermittlungsspeicherort nicht aktualisiert. Wenn jedoch eine Systemaktion stattgefunden hat und den Speicherort aktualisiert hat (z. B. ein ZAP, das zu einer E-Mail führt, die in Quarantäne verschoben wird), würde dies den Letzten Zustellungsort in Quarantäne aktualisieren.

Email Details: Details, die für ein tieferes Verständnis von E-Mails erforderlich sind, die auf der Registerkarte Analyse verfügbar sind.

Exchange-Nachrichtenflussregeln (auch als Transportregeln bezeichnet): Diese Regeln werden auf eine Nachricht auf der Transportebene angewendet und haben Vorrang vor Phishing- und Spambewertungen. Nachrichtenflussregeln werden im Exchange Admin Center unter https://admin.exchange.microsoft.com/#/transportruleserstellt und geändert, aber wenn eine Nachrichtenflussregel für eine Nachricht gilt, werden hier der Regelname und die GUID angezeigt. Wertvolle Informationen für Tracking-Zwecke.
Primäre Außerkraftsetzung: Quelle: Primäre Außerkraftsetzung und Quelle beziehen sich auf die Mandanten- oder Benutzereinstellung, die sich auf die Zustellung der E-Mail auswirkt und den vom System angegebenen Zustellungsort überschrieben hat (gemäß der Bedrohungs- und Erkennungstechnologie). Dies kann beispielsweise eine E-Mail sein, die aufgrund einer mandantenkonfigurierten E-Mail-Flussregel blockiert wurde, oder eine E-Mail, die aufgrund einer Endbenutzereinstellung für sichere Absender zulässig ist.
Alle Außerkraftsetzungen: Alle Außerkraftsetzungen beziehen sich auf die Liste der Außerkraftsetzungen (Mandanten- oder Benutzereinstellungen), die auf die E-Mail angewendet wurde, was sich auf die Zustellung einer E-Mail auswirken kann oder nicht. Wenn beispielsweise ein mandant konfigurierter Nachrichtenflussregel sowie eine mandantenkonfigurierte Richtlinieneinstellung (z. B. aus der Zulassungs-/Sperrliste des Mandanten) auf eine E-Mail angewendet wird, werden beide in diesem Feld aufgeführt. Sie können das feld für die primäre Außerkraftsetzung überprüfen, um die Einstellung zu ermitteln, die sich auf die Zustellung der E-Mail auswirkte.
Massenbeschwerdeebene (Bulk Complaint Level, BCL): Die Massenbeschwerdeebene (Bulk Complaint Level, BCL) der Nachricht. Eine höhere BCL weist darauf hin, dass eine Massen-E-Mail-Nachricht eher Beschwerden generiert (das natürliche Ergebnis, wenn die E-Mail wahrscheinlich Spam ist).
Spam Confidence Level (SCL): Die Spam-Konfidenzstufe (SCL) der Nachricht. Ein höherer Wert gibt an, dass die Nachricht mit größerer Wahrscheinlichkeit Spam ist.
Clienttyp: Gibt den Clienttyp an, von dem die E-Mail wie REST gesendet wurde.
Weiterleitung: In Szenarien mit automatischer Weiterleitung wird sowohl der Weiterleitungsbenutzer als auch der Weiterleitungstyp wie ETR oder SMTP-Weiterleitung angegeben.
Verteilerliste: Zeigt die Verteilerliste an, wenn der Empfänger die E-Mail als Mitglied der Liste erhalten hat. Es wird die Verteilerliste der obersten Ebene angezeigt, wenn geschachtelte Verteilerlisten beteiligt sind.
An, Cc: Gibt die Adressen an, die in den Feldern An, Cc einer E-Mail aufgeführt sind. Die Informationen in diesen Feldern sind auf 5.000 Zeichen beschränkt.
Domänenname: Der Domänenname des Absenders.
Domänenbesitzer: Gibt den Besitzer der sendenden Domäne an.
Domänenspeicherort: Gibt den Speicherort der sendenden Domäne an.
Erstellungsdatum der Domäne: Gibt das Erstellungsdatum der sendenden Domäne an. Eine neu erstellte Domäne ist etwas, vor dem Sie vorsichtig sein könnten, wenn andere Signale auf verdächtiges Verhalten hinweisen.

Email-Authentifizierung: Email von Microsoft 365 verwendeten Authentifizierungsmethoden umfassen SPF, DKIM und DMARC.

Sender Policy Framework (SPF): Beschreibt die Ergebnisse für die SPF-Überprüfung für die Nachricht. Mögliche Werte sind:
- Pass (IP-Adresse): Die SPF-Überprüfung auf die bestandene Nachricht und enthält die IP-Adresse des Absenders. Der Client kann E-Mails im Auftrag der Absenderdomäne senden oder weiterleiten.
- Fehler (IP-Adresse): Die SPF-Überprüfung auf die Nachricht ist fehlgeschlagen und enthält die IP-Adresse des Absenders. Dies wird häufig als „Schwerer Fehler“ bezeichnet.
- Softfail (Ursache): Der SPF-Eintrag hat angegeben, dass der Host nicht gesendet werden darf, sich aber im Übergang befindet.
- Neutral: Der SPF-Eintrag gibt explizit an, dass er nicht bestätigt, ob die IP-Adresse zum Senden autorisiert ist.
- Keine: Die Domäne verfügt nicht über einen SPF-Eintrag, oder der SPF-Eintrag wird nicht zu einem Ergebnis ausgewertet.
- Temporärer Fehler: Ein temporärer Fehler ist aufgetreten. Dabei kann es sich beispielsweise um einen DNS-Fehler handeln. Dieselbe Überprüfung ist zu einem späteren Zeitpunkt möglicherweise erfolgreich.
- Permerror: Ein dauerhafter Fehler ist aufgetreten. Dabei kann es sich zum Beispiel um einen Fehler handeln, bei dem die Domäne einen falsch formatierten SPF-Eintrag aufweist.
DomainKeys Identified Mail (DKIM):
- Pass: Gibt die DKIM-Überprüfung für die bestandene Nachricht an.
- Fehler (Grund): Gibt an, warum die DKIM-Überprüfung auf die Nachricht fehlgeschlagen ist. Beispielsweise, wenn die Nachricht nicht signiert oder die Signatur nicht überprüft wurde.
- Keine: Gibt an, dass die Nachricht nicht signiert wurde. Dies kann oder nicht darauf hindeuten, dass die Domäne über einen DKIM-Eintrag verfügt oder dass der DKIM-Datensatz nicht zu einem Ergebnis ausgewertet wird, nur dass diese Nachricht nicht signiert wurde.
Domänenbasierte Nachrichtenauthentifizierung, Berichterstellung und Konformität (DMARC):
- Pass: Gibt die DMARC-Überprüfung für die bestandene Nachricht an.
- Fehler: Gibt an, dass die DMARC-Überprüfung auf die Nachricht fehlgeschlagen ist.
- Bestguesspass: Gibt an, dass kein DMARC TXT-Eintrag für die Domäne vorhanden ist, aber wenn einer vorhanden wäre, wäre die DMARC-Überprüfung für die Nachricht bestanden worden.
- Keine: Gibt an, dass für die sendenden Domäne in DNS kein DMARC TXT-Eintrag vorhanden ist.

Zusammengesetzte Authentifizierung: Dies ist ein Wert, der von Microsoft 365 verwendet wird, um die E-Mail-Authentifizierung wie SPF, DKIM und DMARC zu kombinieren, um zu bestimmen, ob die Nachricht authentisch ist. Es verwendet die Domäne From: der E-Mail als Grundlage für die Auswertung.

Aktionen, die Sie auf der Email-Entitätsseite ausführen können

Sicherheitsteams können jetzt E-Mail-Aktionen wie vorläufiges Löschen und endgültiges Löschen, in Junk-E-Mail verschieben, in den Posteingang verschieben, eine Untersuchung auslösen, an Microsoft zur Überprüfung inline senden und usw. Blockaktionen auf Mandantenebene wie Datei und URL oder Absender können auch über die Email-Entitätsseite ausgelöst werden.

Sie können in der oberen rechten Ecke der Entitätsseite Aktionen ausführen auswählen. Dadurch wird der Aktions-Assistent geöffnet, damit Sie die gewünschte Aktion auswählen können. Aktion auf der Entitätsseite ausführen.

Im Aktions-Assistenten können Sie E-Mail-Aktionen, E-Mail-Übermittlungen, Absender- und Absenderdomäne blockieren, Ermittlungsaktionen und zweistufige Genehmigung (zur Korrektur hinzufügen) im selben Seitenbereich ausführen. Dies folgt einem konsistenten Ablauf, um die Benutzerfreundlichkeit zu erleichtern. Der Aktions-Assistent verwendet dasselbe System, das z. B. von Explorer Aktionen (für Löschen, Übermittlungen und Untersuchungsaktionen) verwendet wird. Sie können diese Aktionen im einheitlichen Info-Center (für gelöschte E-Mails), im Übermittlungsportal (für Übermittlungen) und auf der Seite Mandantenliste zulassen/blockieren für (Mandanten-Zulassungs-/Sperrlistenblöcke) anzeigen und nachverfolgen.

Außerdem werden block-URL und Anlage auf Mandantenebene auf die entsprechenden Registerkarten Email Entitäts-URL und Anlagen hinzugefügt. Nach der Genehmigung können die Einträge für block-URL und Blockanlage auf den Registerkarten URLs und Dateien auf der Seite Zulassungs-/Sperrliste des Mandanten nachverfolgt werden. Ausführen einer Aktion zur Block-URL über die Entitätsseite.

Weitere Informationen finden Sie unter Berechtigungen , die zum Ausführen dieser Aktionen erforderlich sind.

Der Email Zusammenfassungsbereich

Der E-Mail-Zusammenfassungsbereich ist eine zusammengefasste Ansicht der vollständigen E-Mail-Entitätsseite. Sie enthält standardisierte Details zur E-Mail (z. B. Erkennungen) sowie kontextspezifische Informationen (z. B. für Quarantäne- oder Übermittlungsmetadaten). Der E-Mail-Zusammenfassungsbereich ersetzt die herkömmlichen E-Mail-Flyouts in Microsoft Defender for Office 365.

Öffnen Sie den E-Mail-Entitätslink.