Undersöka skadlig e-post som levererades i Microsoft 365

Tips

Visste du att du kan prova funktionerna i Microsoft Defender XDR för Office 365 plan 2 kostnadsfritt? Använd den 90 dagar långa Defender för Office 365 utvärderingsversionen på Microsoft Defender portalens utvärderingshubb. Lär dig mer om vem som kan registrera dig och utvärderingsvillkoren här.

Microsoft 365-organisationer som har Microsoft Defender för Office 365 ingår i prenumerationen eller som köpts som ett tillägg har Explorer (även kallat Hotutforskaren) eller realtidsidentifieringar. Dessa funktioner är kraftfulla verktyg i nära realtid som hjälper SecOps-team (Security Operations) att undersöka och reagera på hot. Mer information finns i Om hotutforskaren och realtidsidentifieringar i Microsoft Defender för Office 365.

Med hotutforskaren och realtidsidentifieringar kan du undersöka aktiviteter som utsätter personer i din organisation för risker och vidta åtgärder för att skydda din organisation. Till exempel:

  • Hitta och ta bort meddelanden.
  • Identifiera IP-adressen för en avsändare med skadlig e-post.
  • Starta en incident för vidare undersökning.

Den här artikeln beskriver hur du använder Hotutforskaren och realtidsidentifieringar för att hitta skadlig e-post i mottagarpostlådor.

Tips

Information om hur du går direkt till reparationsprocedurerna finns i Åtgärda skadlig e-post som levereras i Office 365.

Andra e-postscenarier med hotutforskaren och realtidsidentifieringar finns i följande artiklar:

Vad behöver jag veta innan jag börjar?

Hitta misstänkt e-post som levererades

  1. Använd något av följande steg för att öppna Hotutforskaren eller Realtidsidentifieringar:

  2. På sidan Explorer eller Realtidsidentifieringar väljer du en lämplig vy:

  3. Välj datum-/tidsintervall. Standardvärdet är igår och i dag.

    Skärmbild av datumfiltret som används i Hotutforskaren och Realtidsidentifieringar i Defender-portalen.

  4. Skapa ett eller flera filtervillkor med några eller alla av följande målegenskaper och värden. Fullständiga instruktioner finns i Egenskapsfilter i Hotutforskaren och Realtidsidentifieringar. Till exempel:

    • Leveransåtgärd: Den åtgärd som vidtas på ett e-postmeddelande på grund av befintliga principer eller identifieringar. Användbara värden är:

      • Levereras: Email levereras till användarens inkorg eller annan mapp där användaren kan komma åt meddelandet.
      • Skräppost: Email levereras till användarens mapp för skräppost Email eller borttagna objekt där användaren kan komma åt meddelandet.
      • Blockerad: Email meddelanden som satts i karantän, som misslyckades med leveransen eller som togs bort.

    • Ursprunglig leveransplats: Var e-post gick före automatiska eller manuella åtgärder efter leverans av systemet eller administratörerna (till exempel ZAP eller flyttades till karantän). Användbara värden är:

      • Mapp för borttagna objekt
      • Släppt: Meddelandet förlorades någonstans i e-postflödet.
      • Misslyckades: Meddelandet kunde inte nå postlådan.
      • Inkorg/mapp
      • Skräppostmapp
      • Lokal/extern: Postlådan finns inte i Microsoft 365-organisationen.
      • Karantän
      • Okänd: Efter leverans flyttade till exempel en inkorgsregel meddelandet till en standardmapp (till exempel Utkast eller Arkiv) i stället för till mappen Inkorgen eller Skräppost Email.

    • Plats för senaste leverans: Där e-post hamnade efter automatiska eller manuella åtgärder efter leverans av systemet eller administratörerna. Samma värden är tillgängliga från den ursprungliga leveransplatsen.

    • Riktning: Giltiga värden är:

      • Inkommande
      • Intra-org
      • Utgående

      Den här informationen kan hjälpa dig att identifiera förfalskning och personifiering. Meddelanden från interna domänavsändare bör till exempel vara Intra-org, inte Inkommande.

    • Ytterligare åtgärd: Giltiga värden är:

    • Primär åsidosättning: Om organisations- eller användarinställningar tillåter eller blockerar meddelanden som annars skulle ha blockerats eller tillåtits. Värden är:

      • Tillåts av organisationsprincip
      • Tillåts av användarprincip
      • Blockerad av organisationsprincip
      • Blockerad av användarprincip
      • Ingen

      Dessa kategorier förfinas ytterligare av egenskapen Primär åsidosättningskälla .

    • Primär åsidosättningskälla Typ av organisationsprincip eller användarinställning som tillät eller blockerade meddelanden som annars skulle ha blockerats eller tillåtits. Värden är:

    • Åsidosätt källa: Samma tillgängliga värden som primär åsidosättningskälla.

      Tips

      På fliken Email (vy) i informationsområdet för vyerna Alla e-postmeddelanden, Skadlig kod och Nätfiske kallas motsvarande åsidosättningskolumner system åsidosättningar och system åsidosättningar källa.

    • URL-hot: Giltiga värden är:

      • Malware
      • Nätfiske
      • Skräppost

  5. När du är klar med konfigurationen av datum-/tids- och egenskapsfilter väljer du Uppdatera.

Fliken Email (vy) i informationsområdet för vyerna Alla e-postmeddelanden, Skadlig kod eller Nätfiske innehåller den information som du behöver för att undersöka misstänkt e-post.

Använd till exempel kolumnerna Leveransåtgärd, Ursprunglig leveransplats och Senaste leveransplats på fliken Email (vy) för att få en fullständig bild av var de berörda meddelandena hamnade. Värdena förklarades i steg 4.

Använd Exportera för att selektivt exportera upp till 200 000 filtrerade eller ofiltrerade resultat till en CSV-fil.

Åtgärda skadlig e-post som har levererats

När du har identifierat de skadliga e-postmeddelanden som levererades kan du ta bort dem från mottagarpostlådor. Anvisningar finns i Åtgärda skadlig e-post som levereras i Microsoft 365.

Åtgärda skadlig e-post som levereras i Office 365

Microsoft Defender för Office 365

Visa rapporter för Defender för Office 365