Часто задаваемые вопросы — сообщения, помещенные в карантин

По умолчанию только администраторы могут управлять сообщениями, помещенными в карантин для вредоносных программ. Дополнительные сведения см. в статье Управление сообщениями и файлами в карантине с правами администратора.

Но администраторы могут создавать и применять политики карантина к политикам защиты от вредоносных программ, которые определяют дополнительные возможности для пользователей. Дополнительные сведения см. в статье Создание политик карантина.

Получатели не могут выпускать сообщения, помещенные в карантин как вредоносные программы, независимо от того, как настроена политика карантина. Если политика карантина позволяет получателям выпускать сообщения, они могут запрашивать только выпуск сообщений, помещенных в карантин как вредоносные программы.

По умолчанию сообщения, классифицированные как спам или массовые, доставляются и перемещаются в папку "Нежелательная Email" с помощью следующих политик защиты от нежелательной почты:

• Политика защиты от нежелательной почты по умолчанию.
• Пользовательские политики защиты от нежелательной почты.
• Стандартная предустановка политики безопасности.

Администраторы могут настроить политику защиты от нежелательной почты по умолчанию или настраиваемые политики защиты от нежелательной почты для карантина спама или массовых сообщений электронной почты. Дополнительные сведения см. в статье Настройка политик защиты от нежелательной почты.

Предустановленная политика безопасности строго помещает в карантин сообщения, которые классифицируются как нежелательные или массовые.

Дополнительные сведения см. в следующих статьях:

• Параметры политики защиты от нежелательной почты
• Профили в предустановленных политиках безопасности

Пользователь должен иметь действительную учетную запись для доступа к собственным сообщениям в карантине.

Политики карантина определяют, могут ли пользователи получать доступ к сообщениям, помещенным в карантин, и что им разрешено делать с ними. Дополнительные сведения см. в разделе Анатомия политики карантина.

Если политика карантина требует, чтобы пользователи запрашивали освобождение сообщений или чтобы администраторы освобождали сообщения, администратор должен утвердить запрос на освобождение или освободить сообщение, прежде чем сообщение станет доступно пользователям.

Вы не можете настроить политики карантина в предустановленных политиках безопасности.

Политики карантина определяют, могут ли пользователи получать доступ к сообщениям, помещенным в карантин, в зависимости от того, почему сообщение было помещено в карантин.

Доступ к сообщениям, помещенным в карантин по умолчанию, см. в таблице в разделе Поиск и выпуск сообщений в карантине от имени пользователя.

Получатели не могут освобождать сообщения, помещенные в карантин, в следующих сценариях независимо от того, как настроена политика карантина:

• Сообщения, помещенные в карантин как вредоносные программы политиками защиты от вредоносных программ.
• Сообщения, помещенные в карантин политиками безопасных вложений из-за наличия вредоносного ПО или фишинга.
• Сообщения, помещённые в карантин политиками защиты от спама как фишинг с высокой степенью достоверности.

Если политика карантина позволяет получателям выпускать сообщения, они могут запрашивать только освобождение этих сообщений, помещенных в карантин.

Политика карантина по умолчанию с именем AdminOnlyAccessPolicy предотвращает любое взаимодействие пользователя с сообщениями, помещенными в карантин. По умолчанию эта политика карантина используется для сообщений, которые были помещены в карантин как вредоносные программы или фишинг с высокой степенью достоверности. В пользовательских политиках угроз или политике угроз по умолчанию для функций защиты, поддерживающих карантинные сообщения, администраторы могут указать AdminOnlyAccessPolicy в качестве политики карантина для использования.

Вы не можете запретить конечным пользователям просматривать страницу карантина или получать доступ к ней по адресу https://security.microsoft.com/quarantine.

Столбец Причина карантина, доступный на вкладке Email на странице Карантин на портале Defender по адресу https://security.microsoft.com/quarantine?viewid=Email. Распространённые причины включают транспортные правила, массовое распространение, спам, вредоносное ПО, фишинг, фишинг, защищённый паролем товар или блокировка типа файлов администратора. Дополнительные сведения см. в разделе Просмотр письма, помещенного в карантин.

Прежде чем открывать обращение в службу поддержки по этому поводу, см. Узнайте, кто удалил сообщение, помещенное в карантин.

Сообщения, помещенные в карантин, также истекают и в конечном итоге удаляются из карантина в зависимости от того, почему сообщение было помещено в карантин. Дополнительные сведения см. в разделе Хранение в карантине.

Фильтр распространённых вложений в политиках защиты от вредоносных программ определяет вложения сообщений с указанными расширениями файлов (используя сопоставление по фактическому типу файла, где это возможно). Действие по умолчанию для этих обнаружений в политике защиты от вредоносных программ по умолчанию и в Standard и строгих предустановленных политиках безопасности заключается в отклонении сообщения в отчете о недоставке (также известном как сообщение о недоставке или отказе). Если выпущенное сообщение содержит один из указанных типов вложения файлов, возможно, сообщение было возвращено отправителю в отчете о недоставке.

Когда срок хранения сообщения в карантине истечёт, вы не сможете его восстановить.

По умолчанию сообщения от заблокированных отправителей скрыты из просмотра в карантине (карантин фильтруется по параметру Не показывать заблокированных отправителей). Чтобы просмотреть сообщения от всех отправителей, выберите Фильтр , а затем — Показать всех отправителей.

Если предыдущее предложение не относится к вам, обратитесь в службу поддержки в течение 7 дней после затронутых сообщений, чтобы повысить вероятность устранения проблемы.

• Антивирусные решения сторонних разработчиков, службы безопасности или исходящие соединители могут вызвать следующие проблемы для сообщений, освобожденных из карантина:

  • Сообщение помещается в карантин после освобождения.
  • Содержимое удаляется из выпущенного сообщения до того, как оно достигнет папки "Входящие" получателя.
  • Выпущенное сообщение никогда не поступает в папку "Входящие" получателя.

  Убедитесь, что вы не используете фильтрацию сторонних корпораций, прежде чем отправить запрос в службу поддержки по этим проблемам.

  Если фильтр, отличный от Майкрософт, не мешает сообщению попасть в папку "Входящие" пользователя и первая попытка выпуска не сработала, администраторы могут попробовать использовать командлет Release-QuarantineMessage в Exchange Online PowerShell с параметром Force, чтобы освободить сообщение.

  Если Release-QuarantineMessage с параметром Force не работает, администраторы должны попытаться отпустить сообщение в альтернативный почтовый ящик после отключения фильтрации службой сторонних поставщиков. Принудительное освобождение может привести к тому, что сообщения будут выпущены несколько раз.

  Ошибка возникает, если вы пытаетесь массово выпустить несколько сообщений для всех получателей и для какого-либо из этих сообщений было выполнено удаление на уровне получателя. Администратор должен отправить это сообщение только получателю, если удаление из карантина не произошло.

• Правила папки "Входящие" (созданные пользователями в Outlook или администраторами с помощью командлетов *-InboxRule в Exchange Online PowerShell) могут перемещать или удалять сообщения из папки "Входящие".

• Некоторые правила обработки почты, из-за которых сообщение было помещено в карантин, могут привести к тому, что после выпуска из карантина это сообщение будет помещено в карантин повторно.

• Сообщите администраторам, что маршрутизация сообщений, выпущенных из карантина, локальным получателям может привести к потере заголовков защиты от спама, из-за чего после освобождения эти сообщения снова попадают в карантин.

Администраторы могут использовать трассировку сообщений , чтобы определить, было ли отправлено выпущенное сообщение в папку "Входящие" получателя.

Антивирусные решения или службы безопасности сторонних разработчиков могут случайным образом выбирать кнопки действий в уведомлениях о карантине.

Убедитесь, что вы не используете фильтрацию сторонних корпораций, прежде чем отправить запрос в службу поддержки по этой проблеме.

Сообщения, помещенные в карантин и выпущенные из него, имеют значение СостояниеВыпущено, а на странице Карантин доступно свойство Кем выпущено.

Администраторы также могут использовать журнал аудита, чтобы узнать, кто выпустил сообщение из карантина. Используйте значение Сообщение, выпущенное из карантина в Действия — понятные имена. Связанные инструкции см. в разделе Определение того, кто удалил сообщение, помещенное в карантин.

На портале Microsoft Defender можно одновременно выбирать и выпускать до 100 сообщений.

Администраторы могут использовать командлеты Get-QuarantineMessage и Release-QuarantineMessage в Exchange Online PowerShell для массового поиска и освобождения сообщений в карантине, а также для массового сообщения о ложноположительных результатах.

Сведения о массовых действиях, доступных на странице Карантин , см. в статье Выполнение действий с несколькими сообщениями электронной почты, помещенными в карантин.

В плане 2 Microsoft Defender для Office 365 можно использовать Обозреватель (Threat Explorer) для выполнения более масштабных операций массового выпуска сообщений (максимум 200 000 сообщений).

Подстановочные знаки поддерживаются как на портале Microsoft Defender, так и на Exchange Online PowerShell. Например, можно использовать *@contoso.com в качестве фильтра адресов отправителя или адреса получателя для поиска сообщений, помещенных в карантин.

Для массового поиска и выпуска скопируйте следующий код PowerShell в Блокнот и сохраните файл как .ps1 в расположении, которое легко найти (например, C:\Data\QuarantineRelease.ps1).

Затем, после подключения к Exchange Online PowerShell, выполните следующую команду, чтобы запустить скрипт:

& C:\Data\QuarantineRelease.ps1

Скрипт выполняет следующие действия:

• Найдите сообщения от всех отправителей домена fabrikam, не выпущенные из карантина и помещенные в карантин как спам. Максимальное число результатов — 50 000 (50 страниц из 1000 результатов).
• Сохраните результаты в CSV-файл.
• Освободите соответствующие сообщения из карантина всем исходным получателям.

$Page = 1
$List = $null

Do
{
Write-Host "Getting Page " $Page

$List = (Get-QuarantineMessage -Type Spam -PageSize 1000 -Page $Page | where {$_.Released -like "False" -and $_.SenderAddress -like "*fabrikam.com"})
Write-Host "                     " $List.count " rows in this page match"
Write-Host "                                                             Exporting list to appended CSV for logging"
$List | Export-Csv -Path "C:\Data\Quarantined Message Matches.csv" -Append -NoTypeInformation

Write-Host "Releasing page " $Page
$List | foreach {Release-QuarantineMessage -Identity $_.Identity -ReleaseToAll}

$Page = $Page + 1

} Until ($Page -eq 50)

После освобождения сообщения вы не сможете его снова отпустить.

Если уведомления о карантине включены в соответствующей политике карантина, можно настроить отправку уведомлений о карантине каждые четыре часа, ежедневно или еженедельно. Дополнительные сведения см. в разделе Настройка всех уведомлений о карантине.

Вы также можете настроить уведомления о карантине для внутренних сообщений (внутри организации) только в политиках карантина.

Сначала используйте трассировку сообщений , чтобы убедиться, что получатель не получил уведомление о карантине:

• Отправитель: Quarantine@messaging.microsoft.com или пользовательский адрес отправителя.
• Получатель: адрес электронной почты получателя.

Убедившись, что уведомления о карантине не отправлены, следуйте приведенным ниже рекомендациям.

Если политика карантина, определенная для поддерживаемого действия карантина , не включает уведомления, уведомления о карантине не отправляются.

Дополнительные сведения см. в последней таблице статьи Структура политики карантина и таблицах отдельных компонентов в разделе Рекомендуемые параметры политики угроз электронной почты и совместной работы для облачных организаций, чтобы узнать, какие политики карантина по умолчанию содержат уведомления о карантине.

Кроме того, отдельные политики угроз в предустановленных политиках безопасности всегда применяются перед пользовательскими политиками угроз. Пользователь, определенный в Standard или строгой предустановленной политике безопасности, никогда не получает настраиваемую политику угроз, в которой политика карантина настроена для включения уведомлений о карантине. Дополнительные сведения см. в разделе Параметры политики в предустановленных политиках безопасности.

Уведомления о карантине не включены для сообщений, помещенных в карантин правилами потока обработки почты Exchange (правилами транспорта) или защитой от потери данных (DLP). К этим сообщениям применяется политика карантина «Только для администраторов». Уведомления о карантине также не создаются для сообщений с политикой карантина DefaultFullAccess.

См . раздел Настройка всех уведомлений о карантине.

Сведения о разрешениях см. здесь.

Настраиваемое уведомление о карантине для другого языка отображается пользователям только в том случае, если язык учетной записи или почтового ящика соответствует языку в пользовательском уведомлении о карантине.

Если пользователь удаляет сообщение в клиенте Teams, это сообщение исчезает, поэтому предварительный просмотр для такого удаленного сообщения в карантине недоступен.

Блокировка отправителя отключена по умолчанию для сообщений, помещенных в карантин.

Для конечных пользователей администраторы могут создать и назначить настраиваемую политику карантина, которая включает действие Блокировать отправителя . Дополнительные сведения см. в статье Политики карантина.

Администраторы видят Блокировать отправителя только в том случае, если они фильтруют результаты карантина по Получателю>Только я вместо значения по умолчанию Все пользователи.

Утвердить выпуск больше не используется и теперь входит в Выпуск.

Действие Блокировать отправителя невозможно для общедоступных папок.

В общедоступных папках Exchange нет параметров конфигурации нежелательной почты, таких как отдельные почтовые ящики. Командлет Set-MailboxJunkEmailConfiguration настраивает параметры нежелательной почты для почтовых ящиков, а не для общедоступных папок.

Поле Поиск используется для отображаемых результатов в карантине. По умолчанию отображаются только первые 100 записей, пока вы не прокрутите вниз до нижней части списка, который загрузит дополнительные результаты.

Чтобы отфильтровать сообщения в карантине по идентификатору сообщений Интернета, значение должно включать угловые скобки (<>) даже в PowerShell.

Освобожденные сообщения остаются видимыми в карантине со значением СостояниеОсвобождено до тех пор, пока:

• Срок хранения карантина истекает, и сообщение автоматически удаляется.

  или

• Сообщение удаляется из карантина вручную.

Ведение журнала аудита должно быть включено (оно включено по умолчанию). Дополнительные сведения см. в разделе Включение и отключение аудита.

Одному и тому же пользователю отправляется несколько или повторяющихся уведомлений о карантине, если для параметра SendFromAliasEnabledкомандлета Set-OrganizationConfigв Exchange Online PowerShell задано значение $true.

Администраторы могут использовать предварительный просмотр сообщения или просмотр заголовка сообщения , чтобы просмотреть полный список получателей.