Dela via

Undersöka skadlig e-post som levererades i Microsoft 365

Tips

Visste du att du kan prova funktionerna i Microsoft Defender för Office 365 Plan 2 kostnadsfritt? Använd den 90 dagar långa Defender för Office 365 utvärderingsversionen på Microsoft Defender portalens utvärderingshubb. Lär dig mer om vem som kan registrera dig och utvärderingsvillkor på Try Microsoft Defender för Office 365.

Microsoft 365-organisationer som har Microsoft Defender för Office 365 ingår i prenumerationen eller som köpts som ett tillägg har Explorer (även kallat Hotutforskaren) eller realtidsidentifieringar. Dessa funktioner är kraftfulla verktyg i nära realtid som hjälper SecOps-team (Security Operations) att undersöka och reagera på hot. Mer information finns i Om hotutforskaren och realtidsidentifieringar i Microsoft Defender för Office 365.

Med hotutforskaren och realtidsidentifieringar kan du undersöka aktiviteter som utsätter personer i din organisation för risker och vidta åtgärder för att skydda din organisation. Till exempel:

  • Hitta och ta bort meddelanden.
  • Identifiera IP-adressen för en avsändare med skadlig e-post.
  • Starta en incident för vidare undersökning.

Den här artikeln beskriver hur du använder Hotutforskaren och realtidsidentifieringar för att hitta skadlig e-post i mottagarpostlådor.

Tips

Information om hur du går direkt till reparationsprocedurerna finns i Åtgärda skadlig e-post som levereras i Office 365.

Andra e-postscenarier med hotutforskaren och realtidsidentifieringar finns i följande artiklar:

Vad behöver jag veta innan jag börjar?

Hitta misstänkt e-post som levererades

  1. Använd något av följande steg för att öppna Hotutforskaren eller Realtidsidentifieringar:

  2. På sidan Explorer eller Realtidsidentifieringar väljer du en lämplig vy:

  3. Välj datum-/tidsintervall. Standardvärdet är igår och i dag.

    Skärmbild av datumfiltret som används i Hotutforskaren och Realtidsidentifieringar i Defender-portalen.

  4. Skapa ett eller flera filtervillkor med några eller alla av följande målegenskaper och värden. Fullständiga instruktioner finns i Egenskapsfilter i Hotutforskaren och Realtidsidentifieringar. Till exempel:

    • Leveransåtgärd: Den åtgärd som vidtas på ett e-postmeddelande på grund av befintliga principer eller identifieringar. Användbara värden är:

      • Levereras: Email levereras till användarens inkorg eller annan mapp där användaren kan komma åt meddelandet.
      • Skräppost: Email levereras till användarens mapp för skräppost Email eller borttagna objekt där användaren kan komma åt meddelandet.
      • Blockerad: Email meddelanden som satts i karantän, som misslyckades med leveransen eller som togs bort.

    • Ursprunglig leveransplats: Var e-post gick före automatiska eller manuella åtgärder efter leverans av systemet eller administratörerna (till exempel ZAP eller flyttades till karantän). Användbara värden är:

      • Mapp för borttagna objekt
      • Släppt: Meddelandet förlorades någonstans i e-postflödet.
      • Misslyckades: Meddelandet kunde inte nå postlådan.
      • Inkorg/mapp
      • Skräppostmapp
      • Lokal/extern: Postlådan finns inte i Microsoft 365-organisationen.
      • Karantän
      • Okänd: Efter leverans flyttade till exempel en inkorgsregel meddelandet till en standardmapp (till exempel Utkast eller Arkiv) i stället för till mappen Inkorgen eller Skräppost Email.

    • Plats för senaste leverans: Där e-post hamnade efter automatiska eller manuella åtgärder efter leverans av systemet eller administratörerna. Samma värden är tillgängliga från den ursprungliga leveransplatsen.

    • Riktning: Giltiga värden är:

      • Inkommande
      • Intra-org
      • Utgående

      Den här informationen kan hjälpa dig att identifiera förfalskning och personifiering. Meddelanden från interna domänavsändare bör till exempel vara Intra-org, inte Inkommande.

    • Ytterligare åtgärd: Giltiga värden är:

    • Primär åsidosättning: Om organisations- eller användarinställningar tillåter eller blockerar meddelanden som annars skulle ha blockerats eller tillåtits. Värden är:

      • Tillåts av organisationsprincip
      • Tillåts av användarprincip
      • Blockerad av organisationsprincip
      • Blockerad av användarprincip
      • Ingen

      Dessa kategorier förfinas ytterligare av egenskapen Primär åsidosättningskälla .

    • Primär åsidosättningskälla Typ av organisationsprincip eller användarinställning som tillät eller blockerade meddelanden som annars skulle ha blockerats eller tillåtits. Värden är:

    • Åsidosätt källa: Samma tillgängliga värden som primär åsidosättningskälla.

      Tips

      På fliken Email (vy) i informationsområdet för vyerna Alla e-postmeddelanden, Skadlig kod och Nätfiske kallas motsvarande åsidosättningskolumner system åsidosättningar och system åsidosättningar källa.

    • URL-hot: Giltiga värden är:

      • Skadlig kod
      • Nätfiske
      • Skräppost

  5. När du är klar med konfigurationen av datum-/tids- och egenskapsfilter väljer du Uppdatera.

Fliken Email (vy) i informationsområdet för vyerna Alla e-postmeddelanden, Skadlig kod eller Nätfiske innehåller den information som du behöver för att undersöka misstänkt e-post.

Använd till exempel kolumnerna Leveransåtgärd, Ursprunglig leveransplats och Senaste leveransplats på fliken Email (vy) för att få en fullständig bild av var de berörda meddelandena hamnade. Värdena förklarades i steg 4.

Använd Exportera för att selektivt exportera upp till 200 000 filtrerade eller ofiltrerade resultat till en CSV-fil.

Åtgärda skadlig e-post som har levererats

När du har identifierat de skadliga e-postmeddelanden som levererades kan du ta bort dem från mottagarpostlådor. Anvisningar finns i Åtgärda skadlig e-post som levereras i Microsoft 365.

Åtgärda skadlig e-post som levereras i Office 365

Microsoft Defender för Office 365

Visa rapporter för Defender för Office 365