Udostępnij za pośrednictwem

Badanie złośliwej wiadomości e-mail dostarczonej na platformie Microsoft 365

Porada

Czy wiesz, że możesz bezpłatnie wypróbować funkcje w planie Ochrona usługi Office 365 w usłudze Microsoft Defender 2? Użyj 90-dniowej wersji próbnej Ochrona usługi Office 365 w usłudze Defender w centrum wersji próbnej portalu Microsoft Defender. Dowiedz się, kto może zarejestrować się i zapoznać się z warunkami wersji próbnej w witrynie Try Ochrona usługi Office 365 w usłudze Microsoft Defender.

Organizacje platformy Microsoft 365, które Ochrona usługi Office 365 w usłudze Microsoft Defender uwzględnione w subskrypcji lub zakupione jako dodatek, mają Eksplorator (znany również jako Eksplorator zagrożeń) lub Wykrywanie w czasie rzeczywistym. Te funkcje są zaawansowanymi narzędziami niemal w czasie rzeczywistym, które ułatwiają zespołom ds. operacji zabezpieczeń (SecOps) badanie zagrożeń i reagowanie na nie. Aby uzyskać więcej informacji, zobacz About Threat Explorer and Real-time detections in Ochrona usługi Office 365 w usłudze Microsoft Defender (Informacje o Eksploratorze zagrożeń i wykrywaniu w czasie rzeczywistym w Ochrona usługi Office 365 w usłudze Microsoft Defender).

Eksplorator zagrożeń i wykrywanie w czasie rzeczywistym umożliwiają badanie działań, które narażają osoby w organizacji na niebezpieczeństwo, oraz podjęcie działań w celu ochrony organizacji. Przykład:

  • Znajdowanie i usuwanie komunikatów.
  • Zidentyfikuj adres IP złośliwego nadawcy wiadomości e-mail.
  • Rozpocznij zdarzenie w celu dalszego zbadania.

W tym artykule wyjaśniono, jak używać Eksploratora zagrożeń i wykrywania w czasie rzeczywistym do znajdowania złośliwych wiadomości e-mail w skrzynkach pocztowych adresatów.

Porada

Aby przejść bezpośrednio do procedur korygowania, zobacz Korygowanie złośliwych wiadomości e-mail dostarczonych w Office 365.

W przypadku innych scenariuszy poczty e-mail korzystających z Eksploratora zagrożeń i wykrywania w czasie rzeczywistym zobacz następujące artykuły:

Co należy wiedzieć przed rozpoczęciem?

Znajdowanie podejrzanej wiadomości e-mail, która została dostarczona

  1. Aby otworzyć Eksploratora zagrożeń lub wykrywanie w czasie rzeczywistym, wykonaj jedną z następujących czynności:

  2. Na stronie Wykrywanie Eksploratora lub W czasie rzeczywistym wybierz odpowiedni widok:

  3. Wybierz zakres daty/godziny. Wartość domyślna to wczoraj i dzisiaj.

    Zrzut ekranu przedstawiający filtr daty używany w Eksploratorze zagrożeń i wykrywaniu w czasie rzeczywistym w portalu usługi Defender.

  4. Utwórz co najmniej jeden warunk filtru przy użyciu niektórych lub wszystkich następujących właściwości i wartości docelowych. Aby uzyskać pełne instrukcje, zobacz Filtry właściwości w Eksploratorze zagrożeń i Wykrywanie w czasie rzeczywistym. Przykład:

    • Akcja dostarczania: akcja podjęta w wiadomości e-mail z powodu istniejących zasad lub wykryć. Przydatne wartości to:

      • Dostarczone: Email dostarczane do skrzynki odbiorczej użytkownika lub innego folderu, w którym użytkownik może uzyskać dostęp do wiadomości.
      • Junked: Email dostarczane do folderu Email wiadomości-śmieci użytkownika lub folderu Elementy usunięte, w którym użytkownik może uzyskać dostęp do wiadomości.
      • Zablokowane: Email komunikatów, które zostały poddane kwarantannie, które nie zostały dostarczone lub zostały porzucone.

    • Oryginalna lokalizacja dostarczania: gdzie poczta e-mail została wysłana przed automatycznymi lub ręcznymi akcjami po dostarczeniu przez system lub administratorów (na przykład zap lub przeniesione do kwarantanny). Przydatne wartości to:

      • Folder Elementy usunięte
      • Porzucone: Wiadomość została utracona gdzieś w przepływie poczty.
      • Niepowodzenie: wiadomość nie mogła dotrzeć do skrzynki pocztowej.
      • Skrzynka odbiorcza/folder
      • Folder śmieci
      • Lokalnie/zewnętrznie: skrzynka pocztowa nie istnieje w organizacji platformy Microsoft 365.
      • Kwarantanna
      • Nieznany: na przykład po dostarczeniu reguła skrzynki odbiorczej przeniosła komunikat do folderu domyślnego (na przykład wersja robocza lub Archiwum) zamiast do folderu Skrzynka odbiorcza lub Email-śmieci.

    • Ostatnia lokalizacja dostarczania: w przypadku gdy wiadomość e-mail zakończyła się po automatycznych lub ręcznych akcjach po dostarczeniu przez system lub administratorów. Te same wartości są dostępne w oryginalnej lokalizacji dostarczania.

    • Kierunkowość: Prawidłowe wartości to:

      • Przychodzących
      • Wewnątrz organizacji
      • Wychodzące

      Te informacje mogą pomóc w identyfikacji fałszowania i personifikacji. Na przykład komunikaty od nadawców domeny wewnętrznej powinny być wewnątrz organizacji, a nie przychodzące.

    • Dodatkowa akcja: Prawidłowe wartości to:

    • Przesłonięcia podstawowe: jeśli ustawienia organizacji lub użytkownika zezwalają na komunikaty, które w przeciwnym razie zostałyby zablokowane lub dozwolone. Wartości to:

      • Dozwolone przez zasady organizacji
      • Dozwolone przez zasady użytkownika
      • Zablokowane przez zasady organizacji
      • Zablokowane przez zasady użytkownika
      • Brak

      Te kategorie są dodatkowo uściślane przez podstawową właściwość źródłową zastąpienia .

    • Źródło przesłonięcia podstawowego Typ zasad organizacji lub ustawienia użytkownika, które zezwala na lub blokuje komunikaty, które w przeciwnym razie zostałyby zablokowane lub dozwolone. Wartości to:

    • Zastąp źródło: te same dostępne wartości co źródło zastąpienia podstawowego.

      Porada

      Na karcie Email (widok) w obszarze szczegółów widoków Wszystkie wiadomości e-mail, Złośliwe oprogramowanie i Phish odpowiednie kolumny przesłonięcia mają nazwę Przesłonięcia systemu i Źródło zastąpienia systemu.

    • Zagrożenie adresem URL: Prawidłowe wartości to:

      • Złośliwe oprogramowanie
      • Język phish
      • Spam

  5. Po zakończeniu konfigurowania filtrów daty/godziny i właściwości wybierz pozycję Odśwież.

Karta Email (widok) w obszarze szczegółów widoków Wszystkie wiadomości e-mail, Złośliwe oprogramowanie lub Phish zawiera szczegóły potrzebne do zbadania podejrzanej wiadomości e-mail.

Na przykład użyj kolumn Akcja dostarczania, Oryginalna lokalizacja dostarczania i Ostatnia lokalizacja dostarczania na karcie Email (widok), aby uzyskać pełny obraz miejsca, w którym wystąpiły komunikaty, których dotyczy problem. Wartości zostały wyjaśnione w kroku 4.

Użyj opcji Eksportuj, aby selektywnie eksportować do 200 000 filtrowanych lub niefiltrowanych wyników do pliku CSV.

Korygowanie dostarczonej złośliwej wiadomości e-mail

Po zidentyfikowaniu dostarczonych złośliwych wiadomości e-mail można je usunąć ze skrzynek pocztowych adresatów. Aby uzyskać instrukcje, zobacz Korygowanie złośliwych wiadomości e-mail dostarczonych w usłudze Microsoft 365.

Korygowanie złośliwych wiadomości e-mail dostarczanych w usłudze Office 365

Ochrona usługi Office 365 w usłudze Microsoft Defender

Wyświetlanie raportów dla Ochrona usługi Office 365 w usłudze Defender