Gestire i messaggi e i file messi in quarantena come amministratore in EOP

Articolo
06/02/2022
8 minuti per la lettura

Suggerimento

Sapevi che puoi provare gratuitamente le funzionalità in Microsoft 365 Defender per Office 365 Piano 2? Usare la versione di valutazione Defender per Office 365 di 90 giorni nell'hub delle versioni di valutazione del portale di Microsoft 365 Defender. Informazioni su chi può iscriversi e sulle condizioni di valutazione qui.

Si applica a

Nelle organizzazioni di Microsoft 365 con cassette postali in Exchange Online o nelle organizzazioni di Exchange Online Protection (EOP) autonomo senza cassette postali di Exchange Online, la quarantena contiene messaggi potenzialmente pericolosi o indesiderati. Per altre informazioni, vedere Messaggi di posta elettronica in quarantena in EOP.

Gli amministratori possono visualizzare, rilasciare ed eliminare tutti i tipi di messaggi in quarantena per tutti gli utenti. Gli amministratori possono anche segnalare falsi positivi a Microsoft.

Per impostazione predefinita, solo gli amministratori possono gestire i messaggi messi in quarantena come malware, phishing con attendibilità elevata o come risultato di regole del flusso di posta (note anche come regole di trasporto). Tuttavia, gli amministratori possono usare i criteri di quarantena per definire le operazioni consentite agli utenti per i messaggi in quarantena in base al motivo per cui il messaggio è stato messo in quarantena (per le funzionalità supportate). Per ulteriori informazioni, vedere criteri di quarantena.

Gli amministratori delle organizzazioni con Microsoft Defender per Office 365 possono anche gestire i file messi in quarantena da allegati Cassaforte per SharePoint, OneDrive e Microsoft Teams.

I messaggi in quarantena vengono visualizzati e gestiti nel portale di Microsoft 365 Defender o in PowerShell (Exchange Online PowerShell per le organizzazioni Microsoft 365 con cassette postali in Exchange Online; PowerShell EOP autonomo per le organizzazioni senza Exchange Online cassette postali).

Guardare questo breve video per informazioni su come gestire i messaggi in quarantena come amministratore.

Informazioni necessarie prima di iniziare

Per aprire il portale di Microsoft 365 Defender, andare a https://security.microsoft.com. Per passare direttamente alla pagina Quarantena, usare https://security.microsoft.com/quarantine.
Per informazioni su come connettersi a PowerShell per Exchange Online, vedere Connettersi a PowerShell per Exchange Online. Per connettersi a PowerShell di EOP autonomo, vedere Connettersi a PowerShell per Exchange Online Protection.
Prima di eseguire le procedure descritte in questo articolo, occorre disporre delle autorizzazioni in Exchange Online:
- Per intervenire sui messaggi in quarantena per tutti gli utenti, è necessario essere un membro dei gruppi di ruoli Gestione organizzazione, Amministratore della sicurezza o Amministratore^* della quarantena. Per inviare messaggi a Microsoft, è necessario essere membri del gruppo di ruoli Amministratore della sicurezza .
- Per l'accesso in sola lettura ai messaggi in quarantena per tutti gli utenti, è necessario essere un membro dei gruppi di ruoli Lettore globale o Lettore di sicurezza .
Per altre informazioni, vedere Autorizzazioni in Exchange Online.

Note:
- L'aggiunta di utenti al ruolo di Azure Active Directory corrispondente nell'interfaccia di amministrazione di Microsoft 365 fornisce agli utenti le autorizzazioni necessarie e le autorizzazioni per altre funzionalità di Microsoft 365. Per altre informazioni, vedere Informazioni sui ruoli di amministratore.
- Anche il gruppo di ruoli di Gestione organizzazione sola visualizzazione in Exchange Online offre inoltre l'accesso di sola lettura a tale funzionalità.
- ^*I membri del gruppo di ruoli Amministratore quarantena in Posta elettronica & ruoli di collaborazione nel portale di Microsoft 365 Defender devono anche essere membri del gruppo di ruoli Gestione igiene in Exchange Online per eseguire le procedure di quarantena in Exchange Online PowerShell.
I messaggi in quarantena vengono conservati per un periodo di tempo predefinito in base al motivo per cui sono stati messi in quarantena. Dopo la scadenza del periodo di conservazione, i messaggi vengono eliminati automaticamente e non sono recuperabili. Per altre informazioni, vedere Messaggi di posta elettronica in quarantena in EOP e Defender per Office 365.

Usare il portale di Microsoft 365 Defender per gestire i messaggi di posta elettronica in quarantena

Visualizzare la posta elettronica in quarantena

Nel portale di Microsoft 365 Defender su https://security.microsoft.com, passare a Posta elettronica e collaborazione > Esamina > Quarantena. Per passare direttamente alla pagina Quarantena, usare https://security.microsoft.com/quarantine.
Nella pagina Quarantena verificare che la scheda Posta elettronica sia selezionata.
È possibile ordinare i risultati facendo clic su un'intestazione di colonna disponibile. Fare clic su Personalizza colonne per modificare le colonne visualizzate. I valori predefiniti sono contrassegnati da un asterisco (^*):
- Ora ricezione^*
- Oggetto^*
- Mittente^*
- Motivo della quarantena^*
- Stato della versione^*
- Tipo di criterio^*
- Scadenza^*
- Destinatario
- ID messaggio
- Nome criterio
- Dimensione messaggio
- Direzione della posta
- Tag destinatario
Al termine, fare clic su Applica.
Per filtrare i risultati, selezionare Filtro. Nel riquadro a comparsa filtri visualizzato sono disponibili i filtri seguenti:
- ID messaggio: identificatore univoco globale del messaggio.
  
  Ad esempio, è stata usata la traccia messaggi per cercare un messaggio inviato a un utente dell'organizzazione e si determina che il messaggio è stato messo in quarantena anziché recapitato. Assicurarsi di includere il valore dell'ID messaggio completo, che potrebbe includere parentesi angolari (<>). Ad esempio: <79239079-d95a-483a-aacf-e954f592a0f6@XYZPR00BM0200.contoso.com>.
- Indirizzo del mittente
- Indirizzo del destinatario:
- Oggetto
- Ora di ricezione: immettere un’ora di inizio e un’ora di fine(data).
- Ora di scadenza: filtrare i messaggi in base alla scadenza dalla quarantena:
  - Oggi
  - Prossimi 2 giorni
  - Prossimi 7 giorni
  - Personalizzato: immettere un’ora di inizio e un’ora di fine (data).
- Tag destinatario
- Motivo della quarantena:
  - Regola del flusso di posta (regola di trasporto)
  - Invio in blocco
  - Posta indesiderata
  - Malware: criteri antimalware nei criteri EOP o allegati Cassaforte in Defender per Office 365. Il valore Tipo di criteri indica quale funzionalità è stata usata.
  - Phishing: il verdetto del filtro della posta indesiderata è stato phishing o protezione anti-phishing ha messo in quarantena il messaggio (impostazioni di spoofing o [protezione della rappresentazione](set-up-anti-phishing-policies.
  - Messaggio di phishing altamente riservato
- Destinatario: tutti gli utenti o Solo me. Gli utenti finali possono gestire solo i messaggi in quarantena inviati loro.
- Stato di rilascio: uno dei valori seguenti:
  - Da rivedere
  - Approvati
  - Negato
  - Richiesta di rilascio effettuata
  - Rilascio
- Tipo di criteri: filtrare i messaggi in base al tipo di criteri:
  - Criteri antimalware
  - Criteri per gli allegati sicuri
  - Criteri anti-phishing
  - Criteri contro la posta indesiderata
  - Regola del flusso di posta (regola di trasporto)
Al termine, fare clic su Applica. Per cancellare i filtri, fare clic sull’ Cancella filtri.
Usare la casella di ricerca e un valore corrispondente per trovare messaggi specifici. I caratteri jolly non sono supportati. È possibile cercare in base ai seguenti valori:
- Indirizzo di posta elettronica del mittente
- Oggetto. Utilizzare l'intero oggetto del messaggio. Per la ricerca non viene fatta distinzione tra maiuscole e minuscole.
Dopo avere immesso i criteri di ricerca, premere INVIO per filtrare i risultati.

Dopo aver trovato un messaggio in quarantena specifico, selezionarlo per visualizzarne i dettagli ed eseguire delle operazioni (ad esempio, visualizzare, rilasciare, scaricare o eliminare il messaggio).

Visualizzare i dettagli dei messaggi in quarantena

Quando si seleziona un messaggio in quarantena dall'elenco, nel riquadro a comparsa dei dettagli visualizzato sono disponibili le informazioni seguenti.

ID messaggio: identificatore univoco globale per il messaggio. Disponibile nel campo Intestazione Message-ID nell'intestazione del messaggio.
Indirizzo del mittente
Ricezione: data/ora di ricezione del messaggio.
Oggetto
Motivo quarantena: indica se un messaggio è stato identificato come Posta indesiderata, Bulk, Phish, corrisponde a una regola del flusso di posta (regola di trasporto) o è stato identificato come contenente malware.
Tipo di criterio
Nome criterio
Numero dei destinatari
Destinatari: se il messaggio contiene più destinatari, è necessario fare clic su Anteprima messaggio o Visualizza intestazione messaggio per visualizzare l'elenco completo dei destinatari.
Tag destinatario: per altre informazioni, vedere Tag utente in Microsoft Defender per Office 365.
Scadenza: data/ora in cui il messaggio verrà eliminato automaticamente e definitivamente dalla quarantena.
Rilasciato a: tutti gli eventuali indirizzi di posta elettronica a cui il messaggio è stato rilasciato.
Non ancora rilasciato in: tutti gli eventuali messaggi di posta elettronica in cui il messaggio non è stato ancora rilasciato.

Per intervenire sul messaggio, vedere la sezione successiva.

Nota

Per rimanere nel riquadro a comparsa dei dettagli, ma modificare il messaggio in quarantena visualizzato, usare le frecce SU e GIÙ nella parte superiore del riquadro a comparsa.

Eseguire azioni sulla posta elettronica in quarantena

Dopo aver selezionato un messaggio in quarantena dall'elenco, nel riquadro a comparsa dei dettagli sono disponibili le azioni seguenti:

Rilasciare un messaggio di posta elettronica^*: nel riquadro a comparsa visualizzato configurare le opzioni seguenti:
- Aggiungere il mittente all'elenco di indirizzi consentiti dell'organizzazione: selezionare questa opzione per impedire la quarantena dei messaggi del mittente.
- Scegli una delle opzioni seguenti:
  - Rilasciare a tutti i destinatari
  - Rilasciare a destinatari specifici: selezionare i destinatari nella casella Destinatari visualizzata
- Inviare una copia del messaggio ad altri destinatari: selezionare questa opzione e immettere gli indirizzi di posta elettronica del destinatario nella casella Destinatari visualizzata.
  
  Nota
  
  Per inviare una copia del messaggio ad altri destinatari, è anche necessario rilasciare il messaggio almeno uno dei destinatari originali (selezionare Rilascia a tutti i destinatari o Rilascia a destinatari specifici).
- Inviare il messaggio a Microsoft per migliorare il rilevamento (falso positivo): questa opzione è selezionata per impostazione predefinita e segnala il messaggio erroneamente in quarantena a Microsoft come falso positivo. Se il messaggio è stato messo in quarantena come posta indesiderata, bulk, phishing o malware contenitore, il messaggio viene segnalato anche al team di analisi della posta indesiderata Microsoft. A seconda dei risultati dell'analisi, è possibile modificare le regole di filtro della posta indesiderata a livello di servizio per consentire l'invio del messaggio.
- Consenti messaggi come questo: questa opzione è disattivata per impostazione predefinita (). Attivarlo () per impedire temporaneamente la quarantena dei messaggi con URL, allegati e altre proprietà simili. Quando si attiva questa opzione, sono disponibili le opzioni seguenti:
  - Rimuovi dopo: selezionare per quanto tempo si desidera consentire messaggi come questo. Selezionare da 1 giorno a 30 giorni. Il valore predefinito è 30.
  - Nota facoltativa: immettere una descrizione utile per l'autorizzazione.
Al termine, fare clic su Rilascia messaggio.

Note sul rilascio dei messaggi:
- Non è possibile rilasciare un messaggio allo stesso destinatario più di una volta.
- Solo i destinatari che non hanno ricevuto il messaggio verranno visualizzati nell'elenco dei potenziali destinatari.
- Solo i membri del gruppo di ruoli Amministratori della sicurezza possono visualizzare e usare l'opzione Invia il messaggio a Microsoft per migliorare il rilevamento (falso positivo) e Consenti messaggi come queste opzioni.
Condividi messaggio di posta elettronica: nel riquadro a comparsa visualizzato aggiungere uno o più destinatari per ricevere una copia del messaggio. Al termine, fare clic su Condividi.

Le azioni seguenti sono disponibili dopo aver fatto clic sull'icona Altre azioni:

Icona Visualizza intestazioni messaggi: scegliere questo collegamento per visualizzare il testo dell'intestazione del messaggio. Il riquadro a comparsa della Intestazione del messaggio viene visualizzato con i collegamenti seguenti:
- Copia intestazione messaggio: fare clic su questo collegamento per copiare l'intestazione del messaggio (tutti i campi di intestazione) negli Appunti.
- Analizzatore intestazioni messaggi Microsoft: per analizzare in modo approfondito i campi e i valori dell'intestazione, fare clic su questo collegamento per passare all'Analizzatore intestazioni messaggi. Incollare l'intestazione del messaggio nella sezione Inserire l'intestazione del messaggio da analizzare sezione (CTRL+V o fare clic con il pulsante destro del mouse e scegliere Incolla), quindi fare clic su Analizza intestazioni.
Anteprima messaggio: nel riquadro a comparsa visualizzato, scegliere una delle schede seguenti:
- Origine: mostra la versione HTML del corpo del messaggio con tutti i collegamenti disabilitati.
- Testo normale: Mostra il corpo del messaggio in testo normale.
Elimina dalla quarantena: dopo aver fatto clic su Sì nell'avviso visualizzato, il messaggio viene immediatamente eliminato senza essere inviato ai destinatari originali.
Scarica e-mail: nel riquadro a comparsa visualizzato, selezionare Sono consapevole dei rischi associati al download di questo messaggio, quindi fare clic su Scarica per salvare una copia locale del messaggio in formato eml.
l Blocca mittente: aggiungere il mittente all'elenco Mittenti bloccati della propria cassetta postale. Per ulteriori informazioni, vedere Blocca mittente di posta.
Invia solo: segnala il messaggio a Microsoft per l'analisi. Nel riquadro a comparsa visualizzato scegliere le opzioni seguenti:
- Selezionare il tipo di invio: Posta elettronica (impostazione predefinita), URL o File.
- Aggiungere l'ID messaggio di rete o caricare il file di posta elettronica: selezionare una delle opzioni seguenti:
  - Aggiungere l'ID messaggio di rete di posta elettronica (impostazione predefinita, con il valore corrispondente nella casella)
  - Upload il file di posta elettronica (con estensione msg o eml): fare clic su Sfoglia file per trovare e selezionare il file di messaggio con estensione msg o eml da inviare.
- Scegliere un destinatario che ha riscontrato un problema: selezionare uno (preferito) o più destinatari originali del messaggio per analizzare i criteri applicati.
- Selezionare un motivo per l'invio a Microsoft: scegliere una delle opzioni seguenti:
  - Non dovrebbe essere stato bloccato (falso positivo) (impostazione predefinita): sono disponibili le opzioni seguenti:
    - Consenti messaggi come questo: questa opzione è disattivata per impostazione predefinita (). Attivarlo () per impedire temporaneamente la quarantena dei messaggi con URL, allegati e altre proprietà simili. Quando si attiva questa opzione, sono disponibili le opzioni seguenti:
      - Rimuovi dopo: selezionare per quanto tempo si desidera consentire messaggi come questo. Selezionare da 1 giorno a 30 giorni. Il valore predefinito è 30.
      - Nota facoltativa: immettere una descrizione utile per l'autorizzazione.
  - Dovrebbe essere stato bloccato (false negativo).Should have been blocked (false negative).
Al termine, fare clic su Salva.

^* Questa opzione non è disponibile per i messaggi che sono già stati rilasciati (il valore dello stato rilasciato è Rilasciato).

Se il messaggio non viene rilasciato o rimosso, verrà eliminato dopo la scadenza del periodo di conservazione in quarantena predefinito. (come illustrato nella colonna Scade ).

Nota

In un dispositivo mobile, il testo della descrizione non è disponibile nelle icone delle azioni.

Le icone nell'ordine e le relative descrizioni sono riepilogate nella tabella seguente:

Icona	Descrizione
	Rilascia e-mail
	Condividere un messaggio di posta elettronica
	Visualizza intestazioni messaggi
	Anteprima messaggio
	Elimina dalla quarantena
	Scaricare un messaggio di posta elettronica
	Blocca mittente
	Invia solo

Eseguire azioni su più messaggi di posta elettronica in quarantena

Quando si selezionano più messaggi in quarantena nell'elenco (fino a 100) facendo clic nell'area vuota a sinistra della prima colonna, viene visualizzato l’elenco a discesa Azioni in blocco in cui è possibile eseguire le azioni seguenti:

Messaggi di rilascio: rilascia i messaggi a tutti i destinatari. Nel riquadro a comparsa visualizzato è possibile scegliere le opzioni seguenti, che corrispondono a quando si rilascia un singolo messaggio:
- Aggiungere il mittente all'elenco di indirizzi consentiti dell'organizzazione
- Inviare una copia del messaggio ad altri destinatari
- Inviare il messaggio a Microsoft per migliorare il rilevamento (falso positivo)
- Consenti messaggi come il seguente:
  - Rimuovi dopo: da 1 giorno a 30 giorni
  - Nota facoltativa
Al termine, fare clic su Rilascia messaggio.

Nota

Si consideri lo scenario seguente: john@gmail.com invia un messaggio a faith@contoso.com e john@subsidiary.contoso.com. Gmail biforcates this message into two copies that are both routingd to quarantine as phishing in Microsoft. Un amministratore rilascia entrambi questi messaggi per admin@contoso.com. Viene recapitato il primo messaggio rilasciato che raggiunge la cassetta postale di amministrazione. Il secondo messaggio rilasciato viene identificato come recapito duplicato e viene ignorato. I messaggi vengono identificati come duplicati se hanno lo stesso ID messaggio e l'ora di ricezione.
Elimina messaggi: dopo aver fatto clic su Sì nell'avviso visualizzato, i messaggi vengono immediatamente rimossi dalla quarantena senza essere inviati ai destinatari originali.
Scaricare i messaggi
Invia solo

Usare il portale di Microsoft 365 Defender per gestire i file in quarantena in Defender per Office 365

Nota

Le procedure per i file in quarantena in questa sezione sono disponibili solo per Microsoft Defender per Office 365 sottoscrittori del piano 1 o del piano 2.

Nelle organizzazioni con Defender per Office 365, gli amministratori possono gestire i file messi in quarantena da allegati Cassaforte per SharePoint, OneDrive e Microsoft Teams. Per abilitare la protezione per questi file, vedere Attivare Cassaforte allegati per SharePoint, OneDrive e Microsoft Teams.

Visualizzare i file in quarantena

Nel portale di Microsoft 365 Defender su https://security.microsoft.com, passare a Posta elettronica e collaborazione > Esamina > Quarantena. Per passare direttamente alla pagina Quarantena, usare https://security.microsoft.com/quarantine.
Nella pagina Quarantena selezionare la scheda File (Posta elettronica è la scheda predefinita).
È possibile ordinare i risultati facendo clic su un'intestazione di colonna disponibile. Fare clic su Personalizza colonne per modificare le colonne visualizzate. Le colonne predefinite sono contrassegnate con un asterisco (^*):
- Utente:^*
- Posizione^*
- Nome file allegato^*
- File URL^*
- File Size
- Stato della versione^*
- Scadenza^*
- Rilevato da
- Modificato in base all'ora
Al termine, fare clic su Applica o Annulla.
Per filtrare i risultati, selezionare Filtro. Nel riquadro a comparsa filtri visualizzato sono disponibili i filtri seguenti:
- Ora ricevuta: ora di inizio e ora di fine (data).
- Scadenza: ora di inizio e ora di fine (data).
- Motivo della quarantena: l'unico valore disponibile è Malware.
- Tipo di criterio
Al termine, fare clic su Applica o Annulla.

Dopo aver trovato un file in quarantena specifico, selezionare il file per visualizzarne i dettagli e intervenire su di esso(ad esempio, visualizzare, rilasciare, scaricare o eliminare il file).

Visualizzare i dettagli del file in quarantena

Quando si seleziona un file in quarantena dall'elenco, le informazioni seguenti sono disponibili nel riquadro a comparsa dettagli visualizzato:

FileName
URL file: URL che definisce il percorso del file, ad esempio in SharePoint Online.
Rilevato contenuto dannoso in Data/ora in cui il file è stato messo in quarantena.
Scade: data in cui il file verrà eliminato dalla quarantena.
Rilevato da
Rilasciato?
Nome malware
ID documento: identificatore univoco per il documento.
Dimensioni file: in kilobyte (KB).
Organizzazione ID univoco dell'organizzazione.
Data ultima modifica
Modificato da: l'utente che ha modificato il file per l'ultima volta.
Secure Hash Algorithm a 256 bit (SHA-256): è possibile usare questo valore hash per identificare il file in altri archivi di reputazione o in altre posizioni nell'ambiente.

Per eseguire un'azione sul file, vedere la sezione successiva.

Nota

Per rimanere nel riquadro a comparsa dei dettagli, ma modificare il file in quarantena che si sta esaminando, usare le frecce su e giù nella parte superiore del riquadro a comparsa.

Intervenire sui file in quarantena

Dopo aver selezionato un file in quarantena dall'elenco, nel riquadro a comparsa dettagli sono disponibili le azioni seguenti:

^*File di rilascio: nel riquadro a comparsa visualizzato attivare o disattivare Segnala i file a Microsoft per l'analisi e quindi fare clic su Rilascia.
Scarica file: nel riquadro a comparsa visualizzato selezionare I understand the risks from download this file (Capisco i rischi derivanti dal download di questo file) e quindi fare clic su Scarica per salvare una copia locale del file.
Elimina dalla quarantena: dopo aver fatto clic su Sì nell'avviso visualizzato, il file viene immediatamente eliminato.
l Blocca mittente: aggiungere il mittente all'elenco Mittenti bloccati della propria cassetta postale. Per ulteriori informazioni, vedere Blocca mittente di posta.

^* Questa opzione non è disponibile per i file che sono già stati rilasciati (il valore di stato Rilasciato è Rilasciato).

Se il file non viene rilasciato o rimosso, verrà eliminato dopo la scadenza del periodo di conservazione della quarantena predefinito (come illustrato nella colonna Scadenza ).

Eseguire azioni su più file in quarantena

Quando si selezionano più file in quarantena nell'elenco (fino a 100) facendo clic nell'area vuota a sinistra della colonna Oggetto , viene visualizzato l'elenco a discesa Azioni bulk in cui è possibile eseguire le azioni seguenti:

File di rilascio: nel riquadro a comparsa visualizzato attivare o disattivare Segnala i file a Microsoft per l'analisi e quindi fare clic su Rilascia.
Elimina dalla quarantena: dopo aver fatto clic su Sì nell'avviso visualizzato, il file viene immediatamente eliminato.
Scarica file: nel riquadro a comparsa visualizzato selezionare I understand the risks from download this file (Capisco i rischi derivanti dal download di questo file) e quindi fare clic su Scarica per salvare una copia locale del file.

Usare Exchange Online PowerShell o PowerShell EOP autonomo per visualizzare e gestire i messaggi e i file in quarantena

I cmdlet usati per visualizzare e gestire messaggi e file in quarantena sono descritti nell'elenco seguente:

Delete-QuarantineMessage
Export-QuarantineMessage
Get-QuarantineMessage
Preview-QuarantineMessage: si noti che questo cmdlet è solo per i messaggi, non per i file in quarantena da allegati Cassaforte per SharePoint, OneDrive e Microsoft Teams.
Release-QuarantineMessage

Ulteriori informazioni

Domande frequenti su messaggi in quarantena