Этот браузер больше не поддерживается.
Выполните обновление до Microsoft Edge, чтобы воспользоваться новейшими функциями, обновлениями для системы безопасности и технической поддержкой.
Совет
Знаете ли вы, что вы можете попробовать функции в Microsoft Defender для Office 365 план 2 бесплатно? Используйте 90-дневную пробную версию Defender для Office 365 в центре пробных версий портала Microsoft Defender. Узнайте, кто может зарегистрироваться и использовать условия пробной версии на пробной Microsoft Defender для Office 365.
У организаций Microsoft 365, Microsoft Defender для Office 365 включенных в подписку или приобретенных в качестве надстройки, есть страница сущностей Email. Страница сущности Email на портале Microsoft Defender содержит подробные сведения о сообщении электронной почты и любых связанных сущностях.
В этой статье описываются сведения и действия на странице сущности Email.
Чтобы использовать страницу сущности Email, необходимо назначить разрешения. Разрешения и лицензирование совпадают с Обозреватель угроз (Обозреватель) и обнаружением в режиме реального времени. Дополнительные сведения см. в разделе Разрешения и лицензирование для Обозреватель угроз и обнаружения в режиме реального времени.
Нет прямых ссылок на страницу сущности Email на верхних уровнях портала Defender. Вместо этого 
действие Открыть сущность электронной почты доступно в верхней части всплывающего окна сведений об электронной почте во многих функциях Defender для Office 365. Это всплывающее окно сведений об электронной почте называется панелью сводки Email и содержит сводное подмножество сведений на странице сущности Email. Панель сводки по электронной почте идентична по Defender для Office 365 функциям. Дополнительные сведения см. в разделе Сводная панель Email далее в этой статье.
Панель сводки Email с действием Открыть сущность электронной почты доступна в следующих расположениях:
На странице Расширенный поиск по адресу https://security.microsoft.com/v2/advanced-hunting: На вкладке Результаты запроса, связанного с электронной почтой, щелкните значение NetworkMessageId записи в таблице.
*На странице Оповещения по адресу https://security.microsoft.com/alerts: Для оповещений с исходным значением обнаружения MDO или значением Названия продуктовMicrosoft Defender для Office 365 выберите запись, щелкнув значение Имя оповещения. На открывающейся странице сведений об оповещении выберите сообщение в разделе Список сообщений .
Из отчета о состоянии защиты от угроз по адресу https://security.microsoft.com/reports/TPSEmailPhishReportATP:
На странице Обозреватель по адресу https://security.microsoft.com/threatexplorerv3 (Обозреватель угроз) или со страницы обнаружения в режиме реального времени по адресу https://security.microsoft.com/realtimereportsv3. Используйте один из следующих способов:
На странице Инциденты по адресу https://security.microsoft.com/incidents: Для инцидентов со значением Названия продуктовMicrosoft Defender для Office 365 выберите инцидент, щелкнув значение Имя инцидента. На открывающейся странице сведений об инциденте выберите вкладку Доказательства и ответы (представление). На вкладке Все доказательства и значение типа сущностиEmail или на вкладке Электронная почта выберите запись, щелкнув в любом месте строки, кроме поля проверка.
На странице Карантин по адресуhttps://security.microsoft.com/quarantine: убедитесь, что выбрана > вкладка Email выберите запись, щелкнув в любом месте строки, кроме проверка.
На странице Отправки по адресу https://security.microsoft.com/reportsubmission:
Область сведений в левой части страницы содержит сворачиваемые разделы с подробными сведениями о сообщении. Эти разделы остаются постоянными, пока вы находитесь на странице. Доступные разделы:
Раздел "Теги ". Отображает все теги пользователей (включая учетную запись с приоритетом), назначенные отправителям или получателям. Дополнительные сведения о тегах пользователей см. в разделе Теги пользователей в Microsoft Defender для Office 365.
Раздел сведений об обнаружении:
Исходные угрозы
Исходное расположение доставки:
Последние угрозы
Расположение последней доставки: расположение сообщения после системных действий в сообщении (например, ZAP) или действий администратора в сообщении (например, Перемещение к удаленным элементам). Действия пользователя с сообщением (например, удаление или архивация сообщения) не отображаются, поэтому это значение не гарантирует текущее расположение сообщения.
Совет
Существуют сценарии, в которых исходное расположение/ доставкиПоследнее расположение доставки и (или) действие доставки имеют значение Неизвестно. Например:
Технология обнаружения:
Действие доставки:
Основное переопределение: источник
Email раздел сведений:
<08f1e0f6806a47b4ac103961109ae6ef@server.domain> (обратите внимание на угловые скобки).
*Для 
копирования значения доступно действие Копировать в буфер обмена.
Вкладки (представления) в верхней части страницы позволяют эффективно исследовать электронную почту. Эти представления описаны в следующих подразделах.
В представлении Временная шкала отображаются события доставки и после доставки, произошедшие с сообщением.
В представлении доступны следующие сведения о событии сообщения. Выберите заголовок столбца для сортировки по столбцу. Чтобы добавить или удалить столбцы, выберите 
Настроить столбцы. По умолчанию выбираются все доступные столбцы.
Если с сообщением после доставки ничего не произошло, скорее всего, в представлении временной шкалы будет только одна строка со значением Типы событийИсходная доставка. Например:
Последующие действия пользователей, администраторов или Microsoft 365 добавляют в представление дополнительные строки. Например:
Используйте поле Поиск, чтобы найти сведения на странице. Введите текст в поле и нажмите клавишу ВВОД.
Экспорт используется 
для экспорта данных в представлении в CSV-файл. Имя файла по умолчанию — Microsoft Defender.csv , а расположением по умолчанию является папка Загрузки . Если файл с таким именем уже существует, к имени файла добавляется число (например, — Microsoft Defender(1).csv).
Представление Анализ содержит сведения, которые помогают глубоко проанализировать сообщение. В этом представлении доступны следующие сведения:
Раздел сведений об обнаружении угроз. Сведения об угрозах, обнаруженных в сообщении:
угрозой.Email сведения об обнаружении. Сведения о функциях защиты или переопределениях, которые повлияли на сообщение:
Все переопределения: все параметры организации или пользователя, которые имели возможность изменить предполагаемое расположение доставки сообщения. Например, если сообщение совпадает с правилом потока обработки почты и записью блока в списке разрешенных и заблокированных клиентов, здесь перечислены оба параметра. Значение свойства Primary Override : Source определяет параметр, который фактически повлиял на доставку сообщения.
Основное переопределение: источник. Отображает параметр организации или пользователя, изменив предполагаемое расположение доставки сообщения (разрешено, а не заблокировано, или заблокировано вместо разрешенного). Например:
Правила транспорта Exchange (правила потока обработки почты). Если на сообщение повлияли правила потока обработки почты, отображаются имена правил и guid vales. Действия, выполняемые с сообщениями правилами потока обработки почты, происходят до спама и фишинга.
Для копирования GUID правила доступно действие Копировать в буфер обмена. Дополнительные сведения о правилах для потока обработки почты см. в статье Mail flow rules (transport rules) in Exchange Online.
Ссылка Перейти в Центр администрирования Exchange открывает страницу Правила в новом Центре администрирования Exchange по адресу https://admin.exchange.microsoft.com/#/transportrules.
Соединитель. Если сообщение было доставлено через входящий соединитель, отображается имя соединителя. Дополнительные сведения о соединителях см. в разделе Настройка потока обработки почты с помощью соединителей в Exchange Online.
Уровень массовой жалобы (BCL): более высокое значение BCL указывает, что сообщение с большей вероятностью будет спамом. Дополнительные сведения см. в разделе Уровень массовой жалобы (BCL) в EOP.
Политика. Если здесь указан тип политики (например, Спам), выберите Настроить , чтобы открыть страницу связанной политики (например, на странице Политики защиты от нежелательной почты по адресу https://security.microsoft.com/antispam).
Действие политики
Идентификатор оповещения. Выберите значение Идентификатор оповещения, чтобы открыть страницу сведений об оповещении (как если бы вы нашли и выбрали оповещение на странице Оповещения по адресу https://security.microsoft.com/alerts). Действие Копировать в буфер обмена также доступно для копирования значения идентификатора оповещения.
Тип политики
Тип клиента: отображает тип клиента, отправляющего сообщение (например, REST).
размер Email
Правила защиты от потери данных
Раздел Сведения об отправителе и получателе. Сведения об отправителе сообщения и некоторые сведения о получателе:
*Для копирования значения доступно действие Копировать в буфер обмена.
Раздел проверки подлинности. Сведения о результатах проверки подлинности по электронной почте:
Pass: проверка DMARC для переданного сообщения.Fail: сбой проверка DMARC для сообщения.BestGuessPass: запись DMARC TXT для домена отсутствует, но если бы она существовала, проверка DMARC для сообщения была бы передана.Pass: проверка DKIM для переданного сообщения.Fail (reason): сбой проверка DKIM для сообщения. Например, сообщение не было подписано DKIM или подпись DKIM не была проверена.None: сообщение не было подписано DKIM. Этот результат может указывать на то, что домен имеет запись DKIM или что запись DKIM не вычисляет результат. Этот результат указывает только на то, что это сообщение не было подписано.Pass (IP address): проверка SPF обнаружил, что источник сообщения является допустимым для домена.Fail (IP address): проверка SPF обнаружил, что источник сообщения недопустим для домена, а правило принудительного применения в записи SPF — -all (жесткий сбой).SoftFail (reason): проверка SPF обнаружил, что источник сообщения недопустим для домена, а правило принудительного применения в записи SPF — (обратимый ~all сбой).Neutral: проверка SPF обнаружил, что источник сообщения недопустим для домена, а правило принудительного применения в записи SPF — ?all (нейтральный).None: у домена нет записи SPF или запись SPF не вычисляет результат.TempError: В проверка SPF возникла временная ошибка (например, ошибка DNS). В дальнейшем проверка может быть пройдена.PermError: в проверка SPF возникла постоянная ошибка. Например, домен имеет неправильно отформатированную запись SPF.Раздел Связанных сущностей. Сведения о вложениях и URL-адресах в сообщении:
Область сведений о сообщении:
Копировать заголовок сообщения , чтобы скопировать заголовок сообщения. Выберите Анализатор заголовков сообщений Майкрософт , чтобы открыть анализатор заголовков сообщений по адресу https://mha.azurewebsites.net/pages/mha.html. Вставьте скопированный заголовок сообщения на страницу, а затем выберите Анализ заголовков для получения сведений о заголовках и значениях сообщений.
В представлении Вложения отображаются сведения обо всех вложенных файлах в сообщении и результаты сканирования этих вложений.
В этом представлении доступны следующие сведения о вложении. Выберите заголовок столбца для сортировки по столбцу. Чтобы добавить или удалить столбцы, выберите Настроить столбцы. По умолчанию выбираются все доступные столбцы.
Для копирования значения SHA256 доступно действие Копировать в буфер обмена.
Используйте поле Поиск, чтобы найти сведения на странице. Введите текст в поле и нажмите клавишу ВВОД.
Экспорт используется для экспорта данных в представлении в CSV-файл. Имя файла по умолчанию — Microsoft Defender.csv , а расположением по умолчанию является папка Загрузки . Если файл с таким именем уже существует, к имени файла добавляется число (например, — Microsoft Defender(1).csv).
Если выбрать запись в представлении Вложения , щелкнув значение имя файла вложения , откроется всплывающее окно сведений, содержащее следующие сведения:
Вкладка "Глубокий анализ". Сведения доступны на этой вкладке, если безопасные вложения сканировали (взорвали) вложение. Эти сообщения можно определить в Обозреватель угрозы с помощью технологии обнаружения фильтра запросов с детонацией файла.
Раздел цепочки детонации. Детонация безопасных вложений одного файла может привести к нескольким детонациям. Цепочка детонации отслеживает путь к детонациям, включая исходный вредоносный файл, который вызвал вердикт, и все другие файлы, затронутые детонацией. Эти вложенные файлы могут не присутствовать непосредственно в сообщении электронной почты. Но, в том числе анализ, важно определить, почему файл был признан вредоносным.
Если нет сведений о цепочке детонации, отображается значение Без детонации дерева . В противном случае можно выбрать Экспорт , чтобы скачать сведения о цепочке детонации в CSV-файл. Имя файла по умолчанию — Detonation chain.csv , а расположение по умолчанию — папка Загрузки . Если файл с таким именем уже существует, к имени файла добавляется число (например, цепочка детонации(1).csv). CSV-файл содержит следующие сведения:
В цепочке детонации и CSV-файле может отображаться только элемент верхнего уровня, если ни одна из связанных с ней сущностей не оказалась проблемной или не была взорвачена.
Раздел сводки . Если сводные сведения о детонации не доступны, отображается значение No detonation summary (Сводка по детонации не отображается). В противном случае доступны следующие сводные сведения о детонации:
Раздел "Снимки экрана": отображение всех снимков экрана, которые были сняты во время детонации. Снимки экрана для файлов контейнеров, таких как ZIP или RAR, которые содержат другие файлы, не создаются.
Если снимки экрана детонации недоступны, отображается значение Нет отображаемых снимков экрана . В противном случае щелкните ссылку, чтобы просмотреть снимок экрана.
Раздел сведений о поведении. Показывает точные события, произошедшие во время детонации, а также проблемные или неопасные наблюдения, содержащие URL-адреса, IP-адреса, домены и файлы, обнаруженные во время детонации. Может не быть никаких сведений о поведении для файлов контейнеров, таких как ZIP или RAR, которые содержат другие файлы.
Если сведения о поведении отсутствуют, отображается значение Без детонации . В противном случае можно выбрать Экспорт , чтобы скачать сведения о поведении в CSV-файл. Имя файла по умолчанию — Behavior details.csv , а расположением по умолчанию является папка Загрузки . Если файл с таким именем уже существует, к имени файла добавляется число (например, сведения о поведении(1).csv). CSV-файл содержит следующие сведения:
Вкладка Сведения о файле: раздел Сведения о файле содержит следующие сведения:
Завершив работу во всплывающем меню сведений о файле, нажмите кнопку
Закрыть.
Если выбрать запись в представлении Вложения, выбрав поле проверка рядом с именем файла, 
будет доступно действие Блокировать. Это действие добавляет файл в качестве записи блока в список разрешенных и заблокированных клиентов. При выборе параметра Блокировать запускается мастер выполнения действий :
На странице Выбор действий настройте один из следующих параметров в разделе Файл блокировки :
по умолчанию.
.", а затем выберите дату в поле Удалить .Завершив работу на странице Выбор действий , нажмите кнопку Далее.
На странице Выбор целевых сущностей убедитесь, что выбран файл, который нужно заблокировать, и нажмите кнопку Далее.
На странице Проверка и отправка настройте следующие параметры:
Завершив работу на странице Проверка и отправка , нажмите кнопку Отправить.
В представлении URL-адреса отображаются сведения обо всех URL-адресах сообщения и результатах проверки этих URL-адресов.
В этом представлении доступны следующие сведения о вложении. Выберите заголовок столбца для сортировки по столбцу. Чтобы добавить или удалить столбцы, выберите Настроить столбцы. По умолчанию выбираются все доступные столбцы.
Используйте поле Поиск, чтобы найти сведения на странице. Введите текст в поле и нажмите клавишу ВВОД.
Экспорт используется для экспорта данных в представлении в CSV-файл. Имя файла по умолчанию — Microsoft Defender.csv , а расположением по умолчанию является папка Загрузки . Если файл с таким именем уже существует, к имени файла добавляется число (например, — Microsoft Defender(1).csv).
Если выбрать запись в представлении URL-адреса , щелкнув значение URL-адреса , откроется всплывающее окно сведений, содержащее следующие сведения:
Вкладка "Глубокий анализ". Сведения доступны на этой вкладке, если безопасные ссылки сканировали (взорвали) URL-адрес. Эти сообщения можно определить в Обозреватель угрозы с помощью технологии обнаружения фильтра запросов с детонацией ЗНАЧЕНИЯ URL-адреса.
Раздел цепочки детонации. Детонация безопасных ссылок одного URL-адреса может привести к нескольким детонациям. Цепочка детонации отслеживает путь детонации, включая исходный вредоносный URL-адрес, вызвавшего вердикт, и все другие URL-адреса, затронутые детонацией. Эти URL-адреса могут не присутствовать непосредственно в сообщении электронной почты. Но, в том числе анализ, важно определить, почему URL-адрес был признан вредоносным.
Если нет сведений о цепочке детонации, отображается значение Без детонации дерева . В противном случае можно выбрать Экспорт , чтобы скачать сведения о цепочке детонации в CSV-файл. Имя файла по умолчанию — Detonation chain.csv , а расположение по умолчанию — папка Загрузки . Если файл с таким именем уже существует, к имени файла добавляется число (например, цепочка детонации(1).csv). CSV-файл содержит следующие сведения:
В цепочке детонации и CSV-файле может отображаться только элемент верхнего уровня, если ни одна из связанных с ней сущностей не оказалась проблемной или не была взорвачена.
Раздел сводки . Если сводные сведения о детонации не доступны, отображается значение No detonation summary (Сводка по детонации не отображается). В противном случае доступны следующие сводные сведения о детонации:
Раздел "Снимки экрана": отображение всех снимков экрана, которые были сняты во время детонации. Снимки экрана не записываются, если URL-адрес открывается по ссылке, которая напрямую загружает файл. Однако скачанный файл отображается в цепочке детонации.
Если снимки экрана детонации недоступны, отображается значение Нет отображаемых снимков экрана . В противном случае щелкните ссылку, чтобы просмотреть снимок экрана.
Раздел сведений о поведении. Показывает точные события, произошедшие во время детонации, а также проблемные или неопасные наблюдения, содержащие URL-адреса, IP-адреса, домены и файлы, обнаруженные во время детонации.
Если сведения о поведении отсутствуют, отображается значение Без детонации . В противном случае можно выбрать Экспорт , чтобы скачать сведения о поведении в CSV-файл. Имя файла по умолчанию — Behavior details.csv , а расположением по умолчанию является папка Загрузки . Если файл с таким именем уже существует, к имени файла добавляется число (например, сведения о поведении(1).csv). CSV-файл содержит следующие сведения:
Вкладка СВЕДЕНИЯ о URL-адресе. Раздел сведения о URL-адресе содержит следующие сведения:
Завершив работу во всплывающем меню сведений о файле, нажмите кнопку Закрыть.
Если выбрать запись в представлении URL-адреса, выбрав поле проверка рядом с именем файла, будет доступно действие Блокировать. Это действие добавляет URL-адрес в качестве блок-записи в список разрешенных и заблокированных клиентов. При выборе параметра Блокировать запускается мастер выполнения действий :
На странице Выбор действий настройте один из следующих параметров в разделе URL-адрес блокировки :
по умолчанию. .", а затем выберите дату в поле Удалить .Завершив работу на странице Выбор действий , нажмите кнопку Далее.
На странице Выбор целевых сущностей убедитесь, что выбран URL-адрес, который нужно заблокировать, и нажмите кнопку Далее.
На странице Проверка и отправка настройте следующие параметры:
Завершив работу на странице Проверка и отправка , нажмите кнопку Отправить.
В представлении Аналогичные сообщения электронной почты отображаются другие сообщения электронной почты с тем же отпечатком текста сообщения, что и это сообщение. Критерии соответствия в других сообщениях не применяются к этому представлению (например, отпечатки файловых вложений).
В этом представлении доступны следующие сведения о вложении. Выберите заголовок столбца для сортировки по столбцу. Чтобы добавить или удалить столбцы, выберите Настроить столбцы. По умолчанию выбираются все доступные столбцы.
Используйте 
фильтр для фильтрации записей по дате начала и дате окончания.
Используйте поле Поиск, чтобы найти сведения на странице. Введите текст в поле и нажмите клавишу ВВОД.
Экспорт используется для экспорта данных в представлении в CSV-файл. Имя файла по умолчанию — Microsoft Defender.csv , а расположением по умолчанию является папка Загрузки . Если файл с таким именем уже существует, к имени файла добавляется число (например, — Microsoft Defender(1).csv).
В верхней части страницы сущности Email доступны следующие действия:
Принять меры. Дополнительные сведения см. в разделе Охота на угрозы: мастер принятия действий.
Email preview¹ 2
Дополнительные варианты:
Перейдите к электронной почте в карантине: доступно, только если сообщение было помещено в карантин. При выборе этого действия откроется вкладка Email на странице Карантин по адресу https://security.microsoft.com/quarantine, отфильтрованная по уникальному значению идентификатора сообщения. Дополнительные сведения см. в разделе Просмотр электронной почты в карантине.
Скачать электронную почту¹ ²
Совет
Скачать сообщение электронной почты недоступно для сообщений, которые были помещены в карантин. Вместо этого скачайте копию сообщения, защищенную паролем, из карантина.
¹ Для действий предварительного просмотра Email и скачивания электронной почты требуется роль предварительного просмотра. Эту роль можно назначить в следующих расположениях:
. Затрагивает только портал Defender, а не PowerShell: операции безопасности/Необработанные данные (электронная почта & совместной работы)/Email & содержимое совместной работы (чтение).2 Вы можете просматривать или скачивать сообщения электронной почты, доступные в почтовых ящиках Microsoft 365. Примеры, когда сообщения больше не доступны в почтовых ящиках:
Панель сводки Email — это всплывающий элемент сведений об электронной почте, доступный во многих функциях в Exchange Online Protection (EOP) и Defender для Office 365. Панель сводки Email содержит стандартные сводные сведения о сообщении электронной почты, полученные из полных сведений, доступных на странице сущности Email в Defender для Office 365.
Где найти панель сводки Email описано в разделе Где найти сущность Email ранее в этой статье. В оставшейся части этого раздела описываются сведения, доступные на панели Email сводки по всем функциям.
Совет
Панель сводки Email доступна на странице Центра уведомлений на https://security.microsoft.com/action-center/ вкладках Ожидание или Журнал. Выберите действие со значением Типа сущностиEmail, щелкнув в любом месте строки, кроме поля проверка или значения Идентификатор исследования. Откроется всплывающее окно сведений Email панели сводки, но сущность Open email недоступна в верхней части всплывающего меню.
В верхней части панели сводки Email доступны следующие сведения о сообщении:
Совет
Чтобы просмотреть сведения о других сообщениях, не выходя из области Email сводки текущего сообщения, используйте 
предыдущий элемент и следующий элемент в верхней части всплывающего окна.
На панели сводки Email доступны следующие разделы для всех функций (не имеет значения, где вы открыли панель сводки Email).
Раздел сведений о доставке:
Email раздел сведений:
Раздел URL-адресов. Сведения о любых URL-адресах в сообщении:
Если в сообщении более трех URL-адресов, выберите Просмотреть все URL-адреса , чтобы просмотреть их все.
Раздел вложений. Сведения о любых вложениях файлов в сообщении:
Если сообщение содержит более трех вложений, выберите Просмотреть все вложения , чтобы просмотреть все вложения.
Обучение
Модуль
Enhance your email protection using Microsoft Defender for Office 365 - Training
This module examines how Microsoft Defender for Office 365 extends EOP protection through various tools, including Safe Attachments, Safe Links, spoofed intelligence, spam filtering policies, and the Tenant Allow/Block List.
Сертификация
Изучение, поиск и устранение угроз с помощью Microsoft Sentinel, Microsoft Defender для облака и Microsoft 365 Defender.
Документация
Сведения о доступных представлениях, фильтрах и действиях в Обозреватель угроз (Обозреватель) или обнаружениях в режиме реального времени для исследования угроз и реагирования на них.
Администраторы могут узнать, как управлять разрешениями Microsoft Defender для Office 365 (Email & совместной работы) на портале Microsoft Defender.
Узнайте об обнаружении угроз и их устранении в Microsoft Defender для Office 365 с помощью Обозреватель угроз или обнаружения в режиме реального времени на портале Microsoft Defender.