Устранение распространенных проблем с политикой защиты от нежелательной почты

Используйте следующие сведения для диагностики и устранения распространенных проблем с политикой защиты от нежелательной почты:

• Конфликты приоритета политик.
• Неожиданные нарушения фильтрации спама.
• Ложные срабатывания из-за настроек расширенного фильтра нежелательной почты (ASF).

Проблемы с приоритетом политики

Политики защиты от нежелательной почты оцениваются в определенном порядке. К получателю применяется только первая политика сопоставления (наивысший приоритет). Политики защиты от нежелательной почты обрабатываются в следующем порядке:

Полную модель приоритета для всех функций защиты см. в разделе Порядок и приоритет защиты электронной почты.

Проблема: пользовательские параметры политики не применяются

Симптом: Вы настроили пользовательскую антиспам политику с конкретными настройками (например, более высокий порог массовых жалоб (BCL) или другое действие по спаму), но для некоторых пользователей эти настройки не действуют.

Вероятная причина: затронутые пользователи также включены в предустановленную политику безопасности (Standard или строгую), которая имеет приоритет над пользовательскими политиками.

Как диагностировать:

1. На странице Предустановленные политики безопасности на портале Microsoft Defender по адресу https://security.microsoft.com/presetSecurityPolicies проверьте, включены ли стандартные или строгие предустановленные политики безопасности и какие пользователи, группы или домены в них включены.
2. Сравните область получателя предустановленной политики с пользовательской политикой.

Решение:

• Если вам нужны настраиваемые параметры для определенных пользователей, выполните одно из следующих действий:
  • Добавьте этих пользователей в качестве исключений в предустановленных политиках безопасности.
  • Используйте назначения определенных пользователей или групп как для предустановленных политик безопасности, так и для настраиваемых политик , чтобы обеспечить назначение целевых пользователей только настраиваемой политике.

В Exchange Online PowerShell выполните следующую команду, чтобы проверить, какая политика защиты от нежелательной почты применяется к конкретному пользователю:

Get-HostedContentFilterRule | Where-Object {$_.State -eq 'Enabled'} | Format-Table Name, Priority, SentTo, SentToMemberOf, RecipientDomainIs

Проблема: две настраиваемые политики перекрываются и применяется неправильная

Симптом. Пользователь соответствует условиям получателя двух настраиваемых политик защиты от нежелательной почты, но применяются неправильные параметры политики.

Вероятная причина: политика, которую вы хотите применить, имеет более низкий приоритет (более высокий номер приоритета), чем другая политика.

Как диагностировать:

1. На странице Политики защиты от нежелательной почты на портале https://security.microsoft.com/antispamDefender просмотрите столбец Приоритет для политик защиты от нежелательной почты для входящего трафика .
2. Проверьте условия получателя (пользователи, группы, домены) обеих политик.

Решение:

Переупорядочение политик, чтобы более конкретная политика была более приоритетной (номер с более низким приоритетом). Инструкции см. в статьях Установка приоритета настраиваемых политик защиты от нежелательной почты на портале Microsoft Defender или Использование PowerShell для задания приоритета правил фильтрации нежелательной почты.

Проблема. Политика по умолчанию имеет непредвиденные параметры

Симптом. Пользователи, не охваченные какой-либо другой политикой, получают непредвиденное поведение фильтрации нежелательной почты.

Вероятная причина: политика защиты от нежелательной почты по умолчанию была изменена с помощью исходных параметров, или вы ожидаете, что политика по умолчанию будет вести себя как настраиваемая политика.

Решение:

• Проверьте и перенастройте параметры политики защиты от нежелательной почты по умолчанию.
• Политика защиты от нежелательной почты по умолчанию не может быть ограничена определенными пользователями. Он всегда применяется последним ко всем получателям, не охваченным другими политиками.
• Попробуйте создать настраиваемую политику для затронутых пользователей, а не полагаться на значение по умолчанию.

Поведение при отмене вердикта по спаму

Некоторые механизмы могут отменить вердикт по спаму в сообщении, например, правила почтового потока или фильтрация соединений. Эти изменения могут влиять на попадание сообщений во входящие, папку спама или карантин. В облачных организациях фильтрация спама классифицирует сообщения и принимает меры с помощью категоризации сообщений и других сигналов.

Следующие механизмы могут отменить вердикт, вынесенный спам-фильтрацией. Их поведение и ограничения влияют на устранение неполадок:

• SCL -1 — это инструкция для обхода спам-фильтрации, а не обязательно значение SCL, отмеченное в сообщении. Сообщение, не проходящее спам-фильтрацию, всё равно можно отсканировать и поставить SCL 0 или 1, чтобы показать, что оно было оценено и не оказалось спамом.
• Даже если сообщение обходит фильтрацию спама, следующие меры защиты никогда не обходятся:
  • Сканирование вредоносных программ. Сообщения, содержащие вредоносные программы, всегда помещаются в карантин.
  • Фишинг с высокой степенью доверия (HPHSH): сообщения, идентифицированные как фишинг, всегда находятся в карантине (если только запись MX не указывает на Microsoft 365 и не действует правило SCL -1).

Проблема: правило потока обработки почты SCL -1 доставляет спам в папку "Входящие"

Симптом: Пользователи получают спам или фишинговые сообщения во «Входящих» вместо папки «Нежелательная почта» или карантина.

Вероятная причина: правило обработки почты устанавливает значение SCL -1 для слишком широкой области. Например, все сообщения из определенного домена или диапазона IP-адресов или все сообщения, направляемые через соединитель.

Как диагностировать:

1. На странице Правила в центре администрирования Exchange по адресу https://admin.exchange.microsoft.com/#/transportrules найдите правила с действием Задать уровень достоверности спама (SCL), имеющие значение Обход фильтрации спама или -1.
2. Ознакомьтесь с условиями. Они слишком широки?

Решение:

• Сужение условий: добавьте в правило дополнительные условия (например, адрес отправителя + определенное значение заголовка).
• Используйте расширенную фильтрацию для соединителей. Если правило существует из-за маршрутизации почты через службу сторонних поставщиков, настройте расширенную фильтрацию для соединителей и удалите правило SCL -1.
• Используйте расширенную политику доставки. Для почтовых ящиков SecOps или имитаций фишинга используйте расширенную политику доставки вместо правил потока обработки почты.

Проблема: записи списка разрешений не работают

Симптом. Вы добавили отправителя в список разрешенных отправителей в политике защиты от нежелательной почты, но сообщения от этого отправителя по-прежнему фильтруются.

Вероятная причина. Предустановленная политика безопасности охватывает пользователя и переопределяет параметры настраиваемой политики защиты от нежелательной почты. Или сообщение перехватывается фильтрацией вредоносных программ или фишинга с высокой достоверностью, и списки разрешений не могут отменить эти вердикты.

Как диагностировать:

1. Проверьте заголовки сообщений на наличие заголовка X-Forefront-Antispam-Report и найдите значение SFV (вердикт фильтрации спама):
   • SFV:SKA = Сообщение разрешено (фильтрация пропущена из-за записи в списке разрешений).
   • SFV:SPM = Сообщение было помечено как спам (список разрешений не был применен).
2. Проверьте, не было ли сообщение отфильтровано фильтрацией вредоносных программ или фишинга вместо фильтрации спама.

Решение:

• Если пользователь находится в предустановленной политике безопасности, списки разрешенных отправителей и доменов в пользовательских политиках игнорируются. Вместо этого используйте список разрешенных и заблокированных клиентов .
• Если сообщение помечено как вредоносное ПО или фишинг с высокой степенью достоверности, сообщите о нем как о ложноположительном результате через раздел «Отправки» в портале Microsoft Defender по адресу https://security.microsoft.com/reportsubmission.

Определите, какой компонент отфильтровал сообщение

При устранении неожиданной фильтрации спама определите, какой компонент отфильтровал сообщение или отменил фильтрацию. Множество компонентов фильтрации Exchange Online могут повлиять на результат: фильтрация спама, правила почтового потока, фильтрация соединений, списки разрешённых/заблокированных отправителей и настройки расширенного фильтра спама (ASF).

Следующие шаги показывают, как использовать заголовки сообщений X-для отслеживания решения фильтрации.

Шаг 1. Получение заголовков сообщений

Чтобы проанализировать, как было отфильтровано сообщение, нужны полные заголовки интернет-сообщений затронутого сообщения:

• Outlook (классический): откройте сообщение>, выберите Свойства файла>. Заголовки отображаются в поле Заголовки Интернета .
• Outlook в Интернете: откройте сообщение >, выберите ... (Дополнительные действия) >Просмотр>сведений о сообщении.
• Администратор (трассировка сообщений). На странице Трассировка сообщений в Центре администрирования Exchange найдите https://admin.exchange.microsoft.com/#/messagetraceсообщение и просмотрите сведения о заголовке.

Шаг 2. Поиск ключевых X-заголовков

Следующие X-заголовки содержат информацию, необходимую для отслеживания решения о фильтрации:

Полные сведения обо всех полях заголовков см. в статье Заголовки сообщений защиты от нежелательной почты в облачных организациях.

Шаг 3. Чтение вердикта по фильтрации спама

Поле SFV (Вердикт фильтрации спама) в X-Forefront-Antispam-Report заголовке является основным индикатором того, какой компонент определил судьбу сообщения:

Шаг 4. Проверьте поле IPV на предмет решений на уровне подключения

Поле IPV (IP-вердикт) указывает, принял ли фильтр подключения решение об исходном IP-адресе:

Шаг 5: Проверьте наличие переопределений ASF

Если сообщение было помечено настройкой ASF, добавляется отдельный заголовок X-CustomSpam, указывающий, какое правило ASF сработало. Например, вы можете:

X-CustomSpam: Web bug

Полный список настроек, X-CustomSpam значений АЧС и их эффектов фильтрации спама см. в разделе «Расширенные настройки фильтра спама (ASF) в антиспам-политиках.

Шаг 6. Проверьте, связано ли это с правилом обработки почтового потока

Если SFV:SKN в заголовке или SFV:SKS отображается, правило почтового потока повлияло на сообщение до обработки спам-фильтрации: SFV:SKN для правила, обходящего фильтрацию спама (SCL -1), или SFV:SKS для правила, помечающего сообщение как спам (SCL 5-9). В гибридном развертыванииSFV:SKS это также может происходить благодаря локальному решению по спаму на Exchange. Эти действия — это входные данные для фильтрации, а не окончательные решения, и Secure по умолчанию может их не соблюдать.

Чтобы определить, какое правило потока обработки почты отвечает, выполните следующие действия:

1. На странице Правила в Центре администрирования Exchange найдите https://admin.exchange.microsoft.com/#/transportrulesправила с действием Задать уровень достоверности нежелательной почты (SCL).
2. Сопоставьте условия правила с затронутым сообщением.

В качестве альтернативы используйте трассировку сообщений в Центр администрирования Exchange (EAC). Результат подробной трассировки сообщения показывает событие AGENTINFO, которое позволяет определить, какое правило сработало.

Найдите все правила для навигации SCL, устанавливающие почтовые потоки

Чтобы перечислить все правила почтового потока, устанавливающие SCL, подключитесь к Exchange Online PowerShell и выполните следующую команду:

Get-TransportRule | Where-Object {$_.SetSCL -ne $null} | Format-Table Name, State, Priority, @{N='SetSCL';E={$_.SetSCL};Alignment='Right'}, @{N='Conditions';E={($_.Conditions -join ', ') -replace 'Microsoft\.Exchange\.MessagingPolicies\.Rules\.Tasks\.','' -replace 'Predicate',''}} -AutoSize -Wrap

Дерево решений: Проследить решение о фильтрации

Используйте следующий рабочий процесс для систематического определения, какой компонент отфильтровал сообщение. Начните с чтения заголовка X-Forefront-Antispam-Report :

1. Проверьте значение SFV:

   • SFV:BLK: список заблокированных отправителей пользователя.
   • SFV:NSPM: Спам-фильтр (фильтр контента), помеченный как «Не спам».
   • SFV:SFE: список надежных отправителей пользователя.
   • SFV:SKA: список разрешённых отправителей и доменов в политике защиты от нежелательной почты.
   • SFV:SKB: политика защиты от нежелательной почты блокирует список отправителей или доменов.
   • SFV:SKI: фильтр подключений (список разрешенных IP-адресов) обошел фильтрацию. Убедитесь, что IPV:CAL также присутствует.
   • SFV:SKN: Правило почтового потока обходило фильтрацию.
   • SFV:SKS: Правило почтового потока или локальный Exchange (в гибридном режиме) отмечало сообщение как спам до фильтрации (по умолчанию учитывалось Secure).
   • SFV:SPM: Спам-фильтр (фильтр контента), помеченный как Спам. Проверьте значение CAT для типа угрозы и заголовок X-CustomSpam для триггеров ASF.

2. Проверьте заголовок X-CustomSpam (если он есть): активирован параметр ASF. Определите, какой параметр, и отключите его, если сообщение является ложноположительным.

3. Проверка Authentication-Results (compauth):

   • compauth=fail reason=000: Явный провал DMARC (может привести к спам-вердикту).
   • compauth=fail reason=001: неявный сбой проверки подлинности (спуфинга).

Примеры реальных заголовков

Следующие примеры показывают, как интерпретировать заголовки сообщений, чтобы определить, какой компонент отфильтровал сообщение.

• Сообщение, отфильтровано по спам-фильтрации:

  X-Forefront-Antispam-Report: CIP:198.51.100.50;CTRY:US;LANG:en;
    SFV:SPM;IPV:NLI;SRV:;H:mail.adatum.com;PTR:mail.adatum.com;
    CAT:SPM;SFTY:;DIR:INB;
  

  Фильтрация спама отметила сообщение как Спам (SFV:SPM, CAT:SPM). Переопределения не произошло (IPV:NLI).

• Фильтрация, обойдённая правилом почтового потока:

  X-Forefront-Antispam-Report: CIP:203.0.113.10;CTRY:GB;LANG:en;
    SFV:SKN;IPV:NLI;SRV:;H:partner-mail.contoso.com;
    CAT:NONE;DIR:INB;
  

  SFV:SKN Указывает на правило почтового потока, пропускающее фильтрацию спама для сообщения. Проверьте правила почтового потока для соответствия условий.

• Фильтрация обходится списком разрешений IP:

  X-Forefront-Antispam-Report: CIP:192.0.2.25;CTRY:DE;LANG:de;
    SFV:SKI;IPV:CAL;SRV:;H:smtp.fabrikam.de;
    CAT:NONE;DIR:INB;
  

  Исходный IP-адрес (192.0.2.25) находится в списке разрешенных IP-адресов (SFV:SKI, IPV:CAL). Фильтрация соединений обходила спам-фильтрацию.

• Сообщение помечено как спам в настройках ASF:

  X-Forefront-Antispam-Report: CIP:198.51.100.99;CTRY:US;LANG:en;
    SFV:SPM;IPV:NLI;SRV:;H:bulk.adatum.com;
    CAT:HSPM;DIR:INB;
  X-CustomSpam: Web bug
  

  Сообщение совпадало с веб-ошибками в настройках HTML ASF (X-CustomSpam: Web bug), что обозначало его как спам с высокой уверенностью (CAT:HSPM). В сообщении, вероятно, есть трекинг-пиксель 1x1. Если сообщение является настоящей новостной рассылкой, отключите параметр MarkAsSpamWebBugsInHtml ASF.

• Сообщение, помеченное как спам из-за сбои DMARC:

  X-Forefront-Antispam-Report: CIP:198.51.100.77;CTRY:US;LANG:en;
    SFV:SPM;IPV:NLI;SRV:;CAT:SPOOF;DIR:INB;
  Authentication-Results: spf=fail (sender IP is 198.51.100.77)
    smtp.mailfrom=fabrikam.com; dkim=none;
    dmarc=fail action=quarantine header.from=fabrikam.com;
    compauth=fail reason=000
  

  Сообщение не прошло DMARC (compauth=fail reason=000), а политика DMARC отправителя указывала карантин. Анти-спуфинговое применение (DMARC) маркировало сообщение как спам (CAT:SPOOF), а не спам-фильтр (фильтр контента).

• Фильтрация, обходящая пользователями Safe Senders:

  X-Forefront-Antispam-Report: CIP:203.0.113.55;CTRY:IN;LANG:en;
    SFV:SFE;IPV:NLI;SRV:;CAT:NONE;DIR:INB;
  

  Отправитель находится в списке надежных отправителей получателя (SFV:SFE). Фильтрация нежелательной почты не выполнена. Для проверки подключитесь к Exchange Online PowerShell и проверьте конфигурацию нежелательной почты пользователя:

  Get-MailboxJunkEmailConfiguration -Identity "user@contoso.com" | Select-Object TrustedSendersAndDomains
  

Быстрый справочник по фильтрации принятия решений

Параметры ASF, вызывающие ложноположительные срабатывания

Параметры расширенного фильтра нежелательной почты (ASF) помечают сообщения как спам на основе определенных свойств сообщений. Хотя эти параметры нацелены на признаки, часто встречающиеся в спаме, они могут вызывать ложные срабатывания, если легитимные сообщения содержат те же признаки.

В следующих таблицах перечислены параметры ASF, которые обычно вызывают ложноположительные срабатывания, и приведены рекомендации о том, когда их следует отключать.

Увеличение параметров оценки нежелательной почты

Эти настройки увеличивают спам-рейтинг соответствующих сообщений, что увеличивает вероятность получения вердикта по фильтру по спаму и соответствующих действий в антиспам-политиках. Не каждое сообщение, соответствующее этим условиям, помечается как спам.

Пометить как параметры нежелательной почты

Следующие параметры «Отметить как спам» отмечают обнаруженные сообщения с вердиктом по спам-фильтру высокой уверенности и соответствующим действием в антиспам-политиках:

Следующее «Отметка как настройка спама» отмечает обнаруженные сообщения с вердиктом фильтра спама и соответствующим действием в антиспам-политиках:

Выявление ложноположительных срабатываний, вызванных ASF

Когда настройка ASF помечает сообщение, к сообщению добавляется X-CustomSpam X-заголовок. Значение заголовка определяет, какой параметр ASF активировался. Полный список значений X-CustomSpam header и соответствующих параметров ASF см. в разделе Параметры Advanced Spam Filter (ASF) в политиках защиты от спама.

Как отключить параметры ASF

Вы можете отключить параметры ASF на портале Microsoft Defender или в Exchange Online PowerShell. Подробные инструкции см. в разделе Включение, отключение или проверка параметров ASF.

Устранение неполадок рабочего процесса

Используйте следующий рабочий процесс для диагностики проблем с политикой защиты от нежелательной почты:

1. Определите, какой компонент отфильтровал сообщение: Используйте заголовки сообщений, чтобы определить, фильтровала ли сообщение спам-фильтрация, правило почтового потока, фильтрация соединений или другой компонент. Для подробных шагов см. Определить, какой компонент отфильтровал сообщение.

2. Проверьте наличие проблем с приоритетом политики:

   • Пользователь включён в стандартные или строгие политики безопасности безопасности? Строгий применяется до стандарта, который применяется до любых пользовательских политик.
   • Совпадают ли несколько настраиваемых политик? Побеждает политика с наивысшим приоритетом (номер с наименьшим приоритетом).
   • Нет подходящей настраиваемой политики? Применяется политика по умолчанию.

3. Проверьте наличие ложноположительных результатов ASF:

   • Найдите заголовок X-CustomSpam в заголовках сообщений. Значение заголовка определяет, какой параметр ASF активировался.
   • Отключите проблемный параметр ASF или используйте тестовый режим.

Диагностические команды PowerShell

Подключитесь к Exchange Online PowerShell и используйте следующие команды для быстрой диагностики проблем с конфигурацией политики защиты от нежелательной почты.

# List all anti-spam policies with their priority and state
Get-HostedContentFilterRule | Sort-Object Priority | Format-Table Name, Priority, State, SentTo, SentToMemberOf, RecipientDomainIs

# Check for SCL-setting mail flow rules
Get-TransportRule | Where-Object {$_.SetSCL -ne $null} | Format-Table Name, State, SetSCL, Priority

# Check connection filter (IP Allow/Block lists)
Get-HostedConnectionFilterPolicy | Format-List IPAllowList, IPBlockList

# View the full settings of a specific policy
Get-HostedContentFilterPolicy -Identity "Default" | Format-List

# Check if any ASF settings are enabled
Get-HostedContentFilterPolicy | Format-Table Identity, MarkAsSpam*, IncreaseScoreWith* -AutoSize

# Check allowed/blocked senders in anti-spam policies
Get-HostedContentFilterPolicy | Format-Table Identity, AllowedSenders, AllowedSenderDomains, BlockedSenders, BlockedSenderDomains

Связанные материалы

• Порядок и приоритет защиты электронной почты
• Параметры расширенного фильтра нежелательной почты (ASF) в политиках защиты от нежелательной почты
• Уровень достоверности спама (SCL)
• Использование правил потока обработки почты для задания SCL
• Заголовки сообщений о защите от нежелательной почты
• Средство анализатора заголовков сообщений
• Трассировка сообщений в EAC
• Что делать с легитимными электронными письмами, которые ошибочно блокируются (ложные срабатывания)
• Передача информации о сообщениях и файлах в корпорацию Майкрософт