Устранение вредоносных писем, доставленных в Office 365

Исправление означает принятие предписанных действий против угрозы. Вредоносные сообщения электронной почты, отправленные в вашу организацию, могут быть удалены системой с помощью автоматического удаления при обнаружении угрозы (ZAP) или специалистами по безопасности с помощью мер по устранению, таких как перемещение в папку «Входящие», перемещение в папку нежелательной почты, перемещение в папку «Удаленные», мягкое удаление или жесткое удаление. Microsoft Defender для Office 365, План 2 (входит в Microsoft 365 A5/E5/E5), позволяет командам безопасности нейтрализовать угрозы в электронной почте и средствах совместной работы с помощью ручного и автоматизированного расследования.

Что нужно знать перед началом работы

• Существуют ограничения регулирования для крупномасштабных исправлений, которые помогают обеспечить стабильность и производительность службы:

  • Ограничения организации: Максимальное количество активных одновременных операций исправления сообщений электронной почты — 50. После достижения ограничения новые исправления не активируются до завершения некоторых действий.
  • ограничения Email сообщений. Если активное исправление включает более одного миллиона сообщений электронной почты, новые исправления электронной почты не допускаются.
  • Требования к получателю в мерах по устранению проблем:
    • Общий процент выбранных получателей должен составлять не менее 40 % от общего числа сообщений электронной почты в исправлении. Если исправление требует удаления 5000 сообщений электронной почты, исправление должно быть предназначено по крайней мере для 2000 получателей. Обозреватель (Обозреватель угрозы) считает каждого получателя уникальным сообщением электронной почты. Например, Обозреватель угрозы считает сообщение, отправленное на 5 адресов, как 5 сообщений.
    • Если число получателей меньше 40 % от общего числа сообщений электронной почты, исправление не может использоваться для удаления более 1000 сообщений, отправленных одному получателю.

• Прежде чем выполнять процедуры, описанные в этой статье, вам должны быть назначены разрешения. Администраторы могут выполнять необходимые действия с сообщениями электронной почты, но для утверждения этих действий требуется роль поиска и очистки . Чтобы назначить роль "Поиск и очистка ", можно выбрать следующие варианты:

  • Microsoft Defender XDR Единая система управления доступом на основе ролей (RBAC) (если для разрешения Электронная почта и совместная работа>Defender для Office 365 задано значение Активно. Влияет только на портал Defender, а не на PowerShell): Операции безопасности/Данные безопасности/Расширенные действия для электронной почты и совместной работы (управление).
  • Разрешения для электронной почты и совместной работы на портале Microsoft Defender: членство в группах ролей «Управление организацией» или «Исследователь данных». Кроме того, можно создать новую группу ролей с назначенной ролью "Поиск и очистка " и добавить пользователей в настраиваемую группу ролей.

• Убедитесь, что автоматизированное расследование включено в https://security.microsoft.com/securitysettings/endpoints/integration.

Ручное и автоматическое исправление

Поиск вручную происходит, когда группы безопасности вручную определяют угрозы с помощью возможностей поиска и фильтрации в Обозреватель (Обозреватель угроз). Исправление электронной почты вручную можно активировать с помощью любого представления электронной почты (вредоносные программы, фишинг или все сообщения электронной почты) после того, как вы определите набор сообщений электронной почты, которые необходимо исправить.

Группы безопасности могут использовать Обозреватель для выбора сообщений электронной почты несколькими способами:

• Выбирайте электронные письма вручную: используйте фильтры в разных представлениях. Выберите до 100 сообщений электронной почты для исправления.

• Выбор запроса. Выберите весь запрос с помощью верхней кнопки выбрать все . Тот же запрос отображается также в сведениях об отправке почты в центре уведомлений. Клиенты могут отправить не более 200 000 электронных писем в Проводнике.

• Выбор запроса с исключением. Иногда группам по операциям безопасности может потребоваться исправить сообщения электронной почты, выбрав весь запрос и исключив определенные сообщения из запроса вручную. Для этого администратор может установить флажок Выбрать все и прокрутить вниз, чтобы вручную исключить адреса электронной почты. Запрос может содержать не более 200 000 сообщений электронной почты.

После выбора сообщений электронной почты в Explorer можно начать устранение, выполнив действие напрямую или поставив сообщения электронной почты в очередь для выполнения действия:

• Прямое утверждение: если сотрудники службы безопасности, имеющие соответствующие разрешения, выбирают такие действия, как переместить в папку «Входящие», переместить в папку «Нежелательная почта», переместить в папку «Удаленные», обратимое удаление или окончательное удаление, и выполняются последующие действия по исправлению, процесс исправления начинает выполнять выбранное действие.

  Примечание.

  По мере запуска исправления он создает оповещение и параллельное исследование. Оповещение отображается в очереди оповещений с именем "Административное действие, отправленное администратором", что указывает на то, что сотрудники службы безопасности предприняли действия по исправлению сущности. В нем представлены такие сведения, как имя человека, выполнившего действие, ссылка на вспомогательное исследование, время и т. д. Это работает очень хорошо, чтобы знать каждый раз, когда жесткие действия, такие как исправление, выполняются на сущностях. Все эти действия можно отслеживать в разделе Actions & Submissions>центра действий> на вкладке «История».

• Двухэтапное утверждение: действие "добавить в список исправления" может быть выполнено администраторами, у которых нет необходимых разрешений или которым нужно дождаться возможности выполнить это действие. В этом случае целевые сообщения электронной почты добавляются в контейнер исправления. До выполнения исправления требуется утверждение.

Действия по автоматизированному расследованию и реагированию инициируются оповещениями или командами центра операций безопасности из Explorer. Эти результаты могут включать рекомендуемые действия по исправлению, которые должны быть утверждены группой по операциям безопасности. Эти действия включаются на вкладку Действие в автоматизированном исследовании.

Все действия по устранению (прямые утверждения), созданные в Explorer, Advanced hunting или с помощью автоматизированного расследования, отображаются в Центре действий на портале Microsoft Defender по пути Действия и отправки>Центр действий>Журнал (https://security.microsoft.com/action-center/history).

Действия, выполняемые вручную и ожидающие утверждения с использованием двухэтапного процесса утверждения (добавленные в меры по исправлению одним участником команды безопасности, а затем проверенные и утвержденные другим участником команды безопасности), отображаются на вкладке Действия и отправки>Центр действий>Ожидающие (https://security.microsoft.com/action-center/pending). После утверждения они отображаются на вкладке «Действия & отправки»>Центр действий>История (https://security.microsoft.com/action-center/history).

В едином центре уведомлений отображаются действия по исправлению за последние 30 дней. Действия, выполненные через Explorer, отображаются с именем, которое команда по операциям безопасности указала при создании действия по устранению, а также с идентификатором согласования и идентификатором расследования. Действия, выполняемые в рамках автоматизированных расследований, имеют названия, которые начинаются со связанного оповещения, запустившего расследование, например Кластер электронной почты Zap.

Откройте любой элемент исправления, чтобы просмотреть подробные сведения о нем, включая название исправления, идентификатор утверждения, идентификатор расследования, дату создания, описание, состояние, источник действия, тип действия, кем принято решение, состояние. Кроме того, откроется боковая панель со сведениями о действиях, сведениями о кластере электронной почты, оповещением и сведениями об инциденте.

• Открыть страницу "Исследование". Открывается исследование администратора, содержащее меньше сведений и вкладок. Здесь отображаются такие сведения, как связанное оповещение, объект, выбранный для исправления, выполненное действие, статус исправления, количество объектов, журналы и лицо, утвердившее действие. Отслеживает расследование, которое администратор выполняет вручную, и содержит сведения о выбранных администратором параметрах. Нет необходимости предпринимать какие-либо действия в отношении расследования и оповещения (они уже находятся в состоянии «Утверждено»).

• Количество сообщений электронной почты: Отображает количество сообщений электронной почты, отправленных через Explorer. Эти сообщения могут требовать действий или не требовать их.

• Журналы действий: отображаются сведения о состоянии исправления, например успешно, неудачно и уже в назначении.

  

  • Доступно для обработки: сообщения электронной почты в следующих расположениях облачных почтовых ящиков можно обрабатывать и перемещать:

    • Входящие
    • Ненужное^*
    • папка "Удаленные"^*
    • Элементы с возможностью восстановления\Папка удаления (обратимо удаленные элементы)^*
    • Quarantine

    ^* Недоступно для элементов, помещенных в карантин.

  • Недоступно для обработки: Электронные письма в следующих местах нельзя обработать или переместить в рамках действий по исправлению:

    • Жестко удаленная папка
    • Локальная/внешняя среда
    • Сбой или удаление
    • Unknown

  • Поддерживаемые типы действий перемещения и удаления:

    • Переместить в папку нежелательной почты. Перемещает сообщения в папку нежелательной Email пользователя.

    • Переместить в папку "Входящие". Перемещает сообщения в папку "Входящие" для пользователей.

    • Перемещение к удаленным элементам. Перемещает сообщения в папку "Удаленные" пользователя.

    • Обратимое удаление: Удаление сообщения из папки "Удаленные элементы" (перемещение в папку "Элементы с возможностью восстановления\Удаления"). Сообщение может быть восстановлено пользователем и администраторами.

      Удаление копии отправителя: Кроме того, попробуйте выполнить обратимое удаление сообщения из папки «Отправленные», если отправитель — организация.

    • Жесткое удаление: очистка удаленного сообщения и соответствующей записи календаря для сообщений приглашения на собрание. Администраторы могут восстанавливать окончательно удаленные элементы с помощью функции восстановления отдельных элементов. Дополнительные сведения о жестко удаленных и обратимо удаленных элементах см. в разделе Обратимо удаленные и жестко удаленные элементы. Если вы используете унифицированное управление доступом на основе ролей Microsoft Defender (RBAC), вам также потребуется разрешение Содержимое электронной почты и совместной работы (чтение) для безвозвратного удаления сообщений.

  Примечание.

  В государственных организациях США (Microsoft 365 GCC, GCC High и DoD) администраторы могут выполнять действия Мягкое удаление, Переместить в папку нежелательной почты, Переместить в папку "Удаленные", Безвозвратное удаление и Переместить в папку "Входящие". Действия Удалить копию отправителя и Переместить в папку "Входящие" из папки карантина недоступны. Кроме того, журналы действий доступны только по адресу https://security.microsoft.com/threatincidents, а не в центре уведомлений по адресу https://security.microsoft.com/action-center.

  Подозрительные сообщения делятся на подлежащие устранению и не подлежащие устранению. В большинстве случаев общее количество исправленных и невосприимываемых сообщений равно общему числу отправленных сообщений. Но итоговые значения могут не совпадать из-за системных задержек, времени ожидания или сообщений с истекшим сроком действия. Срок хранения сообщений истекает в соответствии с периодом хранения в Explorer для вашей организации.

  Если вы не устраняете старые сообщения по истечении срока хранения в Explorer в вашей организации, рекомендуется повторно устранить элементы, если вы видите несоответствия в количестве. В случае системных задержек обновления для устранения проблемы обычно появляются в течение нескольких часов.

  Если в вашей организации срок хранения электронной почты в Explorer составляет 30 дней и вы устраняете проблемы, связанные с письмами давностью 29–30 дней, число отправленных сообщений не всегда может сходиться. Возможно, сообщения электронной почты уже начали переходить за пределы срока хранения.

  Если исправления некоторое время зависают в состоянии "Выполняется", это, скорее всего, связано с задержками системы. На исправление может потребоваться до нескольких часов. Вы можете увидеть изменения в количестве отправленных сообщений, так как некоторые сообщения электронной почты не были включены в запрос в начале исправления из-за задержек в системе. В таких случаях рекомендуется повторить исправление.

  Совет

  Для достижения наилучших результатов исправление должно выполняться пакетами из 50 000 или менее.

  Во время исправления обрабатываются только сообщения электронной почты, подлежащие исправлению. Сообщения электронной почты, которые невозможно нейтрализовать, не могут быть нейтрализованы с помощью Microsoft 365, так как они не хранятся в облачных почтовых ящиках.

  При необходимости администраторы могут предпринимать действия в отношении писем в карантине, но если эти письма не удалить вручную, они будут автоматически удалены из карантина по истечении срока хранения. По умолчанию сообщения электронной почты, помещенные в карантин из-за вредоносного содержимого, недоступны пользователям, поэтому сотрудникам службы безопасности не нужно предпринимать никаких действий, чтобы избавиться от угроз в карантине. Если электронные письма размещены локально или являются внешними, можно связаться с пользователем, чтобы разобраться с подозрительным письмом. Кроме того, администраторы могут использовать отдельный сервер электронной почты или средства безопасности для удаления. Эти сообщения электронной почты можно выявить в Обозревателе, применив внешний фильтр расположение доставки = локальная среда. Если электронное письмо не было доставлено, было отклонено или недоступно пользователям, устранять нечего, поскольку такие сообщения не доходят до почтового ящика.

• Журнал действий: Показывает сообщения: исправленные, успешно обработанные, с ошибками, уже находящиеся в папке назначения.

  Состояние может быть следующим:

  • Запущено: активируется исправление.
    • В очереди. Исправление ставится в очередь для устранения неполадок электронной почты.
    • В процессе: выполняются меры по смягчению последствий.
    • Завершено: устранение проблем для всех сообщений электронной почты, поддающихся исправлению, выполнено успешно либо с отдельными сбоями.
    • Сбой: исправление не выполнено.

  Так как исправление можно выполнять только для сообщений электронной почты, для которых оно возможно, исправление каждого сообщения отображается как успешное или неуспешное. Из общего числа писем, подлежащих устранению, отображаются сведения об успешных и неудачных мерах по устранению.

  • Успешно. Выполнено требуемое действие по исправлению сообщений электронной почты. Например: администратор хочет удалить сообщения из почтовых ящиков, поэтому администратор выполняет действие обратимого удаления сообщений. Если после выполнения действия сообщение электронной почты с возможностью исправления не найдено в исходной папке, состояние будет отображаться как успешное.

  • Сбой: не удалось выполнить требуемое действие для сообщений электронной почты, которые можно исправить. Например: администратор хочет удалить сообщения из почтовых ящиков, поэтому администратор выполняет действие обратимого удаления сообщений. Если после выполнения действия сообщение, подлежащее устранению, по-прежнему находится в почтовом ящике, статус будет отображаться как «Сбой».

  • Уже в целевом расположении: требуемое действие уже было выполнено для письма, ИЛИ письмо уже находилось в целевом расположении. Например: в первый день администратор выполнил обратимое удаление электронного письма через Explorer. Затем на второй день появляются похожие письма, которые администратор снова помечает как мягко удалённые. При выборе этих писем администратор в итоге захватывает и несколько писем за первый день, которые уже были помечены как мягко удалённые. Теперь эти сообщения не выполняются. Вместо этого они отображаются как «Уже в целевом расположении», поскольку с ними не выполнялось никаких действий, так как они уже существовали в целевом расположении.

  • Новое: в журнал действий добавлен столбец Уже в папке назначения. Эта функция использует последнее местоположение доставки в Explorer, чтобы указать, что сообщение уже обработано. Уже доставлено помогает командам безопасности понять общее число сообщений, которые всё ещё требуют обработки.

Действия можно выполнять только с сообщениями в папках «Входящие», «Нежелательная почта», «Удаленные» и «Временно удаленные» в Explorer. Ниже приведен пример работы нового столбца. Для сообщения, находящегося в папке «Входящие», выполняется обратимое удаление, после чего сообщение обрабатывается в соответствии с политиками. При следующем выполнении мягкого удаления это сообщение будет отображаться в столбце «Уже в месте назначения», что будет означать, что его не нужно обрабатывать повторно.

Выберите любой элемент в журнале действий, чтобы отобразить сведения об исправлении. Если в сведениях указано Успешно или Не найдено в почтовом ящике, этот элемент уже был удален из почтового ящика. Иногда во время исправления возникает системная ошибка. В таких случаях рекомендуется повторить действие по исправлению.

Если вам нужно исправить большие пакеты сообщений электронной почты, экспортируйте сообщения, отправленные для исправления с помощью отправки почты, и экспортируйте сообщения, исправленные с помощью журналов действий. Ограничение на экспорт увеличено до 100 000 записей.

Администраторы могут выполнять действия по исправлению, например перемещать сообщения электронной почты в папку "Нежелательная почта", папку "Входящие" или "Удаленные", а также удалять такие действия, как обратимое или жесткое удаление со страниц "Расширенная охота".

Устранение угроз снижает риски, помогает обрабатывать подозрительные электронные письма и способствует обеспечению безопасности организации.