隔离策略
提示
你知道可以免费试用Office 365计划 2 Microsoft Defender XDR 中的功能吗？ 在 Microsoft Defender 门户试用中心使用 90 天Defender for Office 365试用版。 在此处了解谁可以注册和试用条款。
在 Exchange Online Protection (EOP) 和 Microsoft Defender for Office 365 中，隔离策略允许管理员定义隔离邮件的用户体验：
- 允许用户对其自己的隔离邮件执行哪些操作， (邮件中属于收件人的邮件) ，具体取决于邮件被隔离的原因。
- 用户是否每四小时、每天或每周收到一次定期 (，) 通过隔离通知收到有关其隔离邮件 的通知。
传统上，根据隔离邮件的原因，允许或拒绝用户使用隔离邮件的交互级别。 例如，用户可以查看和释放被隔离为垃圾邮件或批量的邮件，但他们无法查看或释放被隔离为高置信度钓鱼或恶意软件的邮件。
默认隔离策略会强制实施这些历史用户功能，并在 隔离邮件的受支持保护功能 中自动分配。
有关隔离策略、默认隔离策略和单个权限的元素的详细信息，请参阅本文末尾的 附录 部分。
如果不喜欢特定功能的隔离邮件的默认用户功能 (包括缺少隔离通知) ，可以创建和使用本文中所述的自定义隔离策略。
在Microsoft Defender门户或 PowerShell (Exchange Online PowerShell 中创建隔离策略，适用于具有Exchange Online邮箱的 Microsoft 365 组织;在 EOP 组织中创建和分配隔离策略，无需Exchange Online邮箱) 。
开始前，有必要了解什么？
在 由世纪互联运营的 Microsoft 365 中，Microsoft Defender门户中当前不提供隔离。 隔离仅在经典 Exchange 管理中心 (经典 EAC) 可用。
在 中打开Microsoft Defender门户https://security.microsoft.com。 若要直接转到 “隔离策略 ”页，请使用 https://security.microsoft.com/quarantinePolicies。
若要连接到 Exchange Online PowerShell，请参阅连接到 Exchange Online PowerShell。 若要连接到独立 EOP PowerShell，请参阅连接到 Exchange Online Protection PowerShell。
如果更改分配给受支持的保护功能的隔离策略，则更改会影响更改 后的 隔离邮件。 在进行更改之前隔离的邮件不受新隔离策略分配的设置的影响。
由反垃圾邮件和防钓鱼防护隔离的邮件在过期前保留多长时间，由在反垃圾邮件策略 中将垃圾邮件隔离期保留这么多天 (QuarantineRetentionPeriod) 。 有关详细信息，请参阅 隔离保留中的表。
需要先分配权限，然后才能执行本文中的过程。 可以选择下列选项：
- Microsoft Defender XDR基于角色的统一访问控制 (RBAC) (仅影响 Defender 门户，而不会影响 PowerShell) ：授权和设置/安全设置/核心安全设置 (管理) ，或安全操作/安全数据/Email &协作隔离 (管理) 。
- Email & Microsoft Defender门户中的协作权限：隔离管理员、安全管理员或组织管理角色组中的成员身份。
- Microsoft Entra权限：全局管理员或安全管理员角色的成员身份为用户提供 Microsoft 365 中其他功能所需的权限和权限。
审核管理员或用户对隔离邮件执行的所有操作。 有关审核的隔离事件的详细信息，请参阅 Office 365 管理 API 中的隔离架构。
步骤 1：在Microsoft Defender门户中Create隔离策略
在 Microsoft Defender 门户中https://security.microsoft.com，转到“规则”部分中Email &协作>策略 & 规则>威胁策略>隔离策略。 或者，若要直接转到 “隔离策略 ”页，请使用 https://security.microsoft.com/quarantinePolicies。
在 “隔离策略 ”页上，选择“
添加自定义策略 ”以启动新的隔离策略向导。在 “策略名称 ”页上，在“策略名称”框中输入简短但唯一 的名称 。 策略名称可在后续步骤的下拉列表中选择。
在 “策略名称 ”页上完成操作后，选择“ 下一步”。
在 “收件人邮件访问 ”页上，选择以下值之一：
受限访问： 附录 部分介绍了此权限组中包含的单个权限。 基本上，用户可以对其隔离邮件执行任何操作，除非未经管理员批准就将其从隔离区中释放。
设置特定访问 (高级) ：使用此值指定自定义权限。 配置显示的以下设置：
- 选择发布操作首选项：从下拉列表中选择以下值之一：
- 空白：用户无法从隔离区中释放或请求释放其邮件。 此值为默认值。
- 允许收件人请求从隔离区中释放邮件
- 允许收件人从隔离区释放邮件
- 选择收件人可以对隔离邮件执行的其他操作：选择以下值中的部分、全部或全部值：
- 删除
- 预览
- 阻止发件人
- 选择发布操作首选项：从下拉列表中选择以下值之一：
本文后面的隔离 策略权限详细信息 部分介绍了这些权限及其对隔离邮件和隔离通知的影响。
完成“ 收件人邮件访问 ”页后，选择“ 下一步”。
在 “隔离通知 ”页上，选择“ 启用” 以打开隔离通知。
注意
如果在“收件人邮件访问”页上打开“无访问权限 (隔离通知”，则选择了“设置特定访问权限 (高级) >选择释放操作首选项>空白) ，用户可以在隔离区中查看其邮件，但邮件的唯一可用操作是
”查看邮件头”。在“ 隔离通知 ”页上完成操作后，选择“ 下一步”。
在 “审阅策略 ”页上，可以查看所选内容。 选择“每个部分中的 编辑 ”以修改该部分中的设置。 或者，可以在向导中选择“ 后退 ”或特定页面。
在“ 查看策略 ”页上完成操作后，选择“ 提交”，然后在确认页中选择“ 完成 ”。
在显示的确认页上，可以使用链接查看隔离的邮件，或转到 Defender 门户中的 “反垃圾邮件策略 ”页。
完成页面上操作后，选择“ 完成”。
返回到“ 隔离策略 ”页，此时会列出你创建的策略。 你已准备好将隔离策略分配给受支持的安全功能，如 步骤 2 部分中所述。
在 PowerShell 中Create隔离策略
提示
不使用 PowerShell 隔离策略中的 PermissionToAllowSender 权限。
如果希望使用 PowerShell 创建隔离策略，请连接到 Exchange Online PowerShell 或独立Exchange Online Protection PowerShell，并使用以下语法：
New-QuarantinePolicy -Name "<UniqueName>" -EndUserQuarantinePermissionsValue <0 to 236> [-EsnEnabled $true]
注意：
具有 值的
$trueESNEnabled 参数将打开隔离通知。 默认情况下，隔离通知处于关闭状态， (默认值为$false) 。EndUserQuarantinePermissionsValue 参数使用从二进制值转换的十进制值。 二进制值对应于按特定顺序提供的最终用户隔离权限。 对于每个权限，值 1 等于 True，值 0 等于 False。
下表描述了每个单独权限的必需顺序和值：
权限 十进制值 二进制值 PermissionToViewHeader¹ 128 10000000 PermissionToDownload² 64 01000000 PermissionToAllowSender² 32 00100000 PermissionToBlockSender 16 00010000 PermissionToRequestRelease 8 00001000 PermissionToRelease 4 00000100 PermissionToPreview 2 00000010 PermissionToDelete 1 00000001 ¹ 此权限的值 0 不会隐藏
隔离区中的“查看邮件头”操作。 如果邮件对隔离区中的用户可见，则该操作始终可用于该邮件。² (值 0 或 1 不执行任何) ，则不使用此权限。
2 请勿将这两个权限值都设置为 1。 将一个值设置为 1，将另一个值设置为 0，或将这两个值都设置为 0。
对于“受限访问权限”，所需的值为：
权限 受限访问 PermissionToViewHeader 0 PermissionToDownload 0 PermissionToAllowSender 0 PermissionToBlockSender 1 PermissionToRequestRelease 1 PermissionToRelease 0 PermissionToPreview 1 PermissionToDelete 1 二进制值 00011011 要使用的十进制值 27 如果在 EndUserQuarantinePermissionsValue 参数的值为 0 (关闭所有权限) 的无访问权限时将 ESNEnabled 参数设置为 值
$true，则用户可以在隔离区中查看其邮件，但邮件的唯一可用操作是查看邮件头。
本示例创建名为 LimitedAccess 的新隔离策略，并启用隔离通知，以分配上表中所述的受限访问权限。
New-QuarantinePolicy -Name LimitedAccess -EndUserQuarantinePermissionsValue 27 -EsnEnabled $true
对于自定义权限，请使用上表获取与所需权限对应的二进制值。 将二进制值转换为十进制值，并将十进制值用于 EndUserQuarantinePermissionsValue 参数。 不要使用二进制值。
有关详细语法和参数信息，请参阅 New-QuarantinePolicy。
步骤 2：将隔离策略分配给支持的功能
在隔离电子邮件的支持保护功能中，分配的隔离策略定义了用户可以对隔离邮件执行的操作以及是否启用隔离通知。 下表介绍了隔离邮件的保护功能以及它们是否支持隔离策略：
| 功能 | 是否支持隔离策略？ |
|---|---|
| 反垃圾邮件策略中的判决 | |
| Spam (SpamAction) | 是 (SpamQuarantineTag) |
| 高置信度垃圾邮件 (HighConfidenceSpamAction) | 是 (HighConfidenceSpamQuarantineTag) |
| 钓鱼 (PhishSpamAction) | 是 (PhishQuarantineTag) |
| 高置信度钓鱼 (HighConfidencePhishAction) | 是 (HighConfidencePhishQuarantineTag) |
| Bulk (BulkSpamAction) | 是 (BulkQuarantineTag) |
| 反钓鱼策略中的判决 | |
| 欺骗 (AuthenticationFailAction) | 是 (SpoofQuarantineTag) |
| 用户模拟 (TargetedUserProtectionAction) | 是 (TargetedUserQuarantineTag) |
| 域模拟 (TargetedDomainProtectionAction) | 是 (TargetedDomainQuarantineTag) |
| 邮箱智能模拟 (MailboxIntelligenceProtectionAction) | 是 (MailboxIntelligenceQuarantineTag) |
| 反恶意软件策略 | 是 (QuarantineTag) |
| 安全附件保护 | |
| Email包含安全附件策略隔离为恶意软件的邮件 (启用和操作) | 是 (QuarantineTag) |
| SharePoint、OneDrive 和 Microsoft Teams 的安全附件隔离为恶意软件的文件 | 否 |
| Exchange 邮件流规则 (也称为传输规则) 操作：“将邮件传递到托管隔离区” (隔离) | 否 |
EOP 和Microsoft Defender for Office 365安全性的建议设置中的相关表中介绍了每个保护功能使用的默认隔离策略。
本文末尾的 附录 部分介绍了默认隔离策略、预设权限组和权限。
此步骤的其余部分说明如何为支持的筛选器判决分配隔离策略。
在Microsoft Defender门户中，在受支持的策略中分配隔离策略
注意
无论如何配置 隔离 策略，用户都无法发布自己的邮件，这些邮件被反恶意软件或安全附件策略隔离为恶意软件，也不能释放反垃圾邮件策略作为 高置信度钓鱼 的邮件。 如果策略允许用户释放自己的隔离邮件，则允许用户 请求 释放其隔离的恶意软件或高置信度钓鱼邮件。
反垃圾邮件策略
在 Microsoft Defender 门户中https://security.microsoft.com，转到“策略”部分中Email &协作>策略 & 规则>“威胁策略>”“反垃圾邮件”。 或者，若要直接转到 “反垃圾邮件策略 ”页，请使用 https://security.microsoft.com/antispam。
在 “反垃圾邮件策略 ”页上，使用以下方法之一：
- 单击名称旁边的检查框以外的任何位置，选择现有的入站反垃圾邮件策略。 在打开的策略详细信息浮出控件中，转到 “操作” 部分，然后选择“ 编辑操作”。
- 选择“Create策略”，从下拉列表中选择“入站”以启动新的反垃圾邮件策略向导，然后转到“操作”页。
在 “操作” 页或浮出控件上，选择“ 隔离邮件 ”操作的每个判决也都有 “选择隔离策略 ”框，供你选择隔离策略。
在创建反垃圾邮件策略期间，如果将垃圾邮件筛选判决的操作更改为“隔离邮件”，则“选择隔离策略”框默认为空白。 空值表示使用了该判决的默认隔离策略。 以后查看或编辑反垃圾邮件策略设置时，将显示隔离策略名称。 支持的功能表中列出了默认隔离策略。
在 EOP 中配置反垃圾邮件策略中介绍了有关创建和修改反垃圾邮件策略的完整说明。
PowerShell 中的反垃圾邮件策略
如果希望使用 PowerShell 在反垃圾邮件策略中分配隔离策略，请连接到 Exchange Online PowerShell 或Exchange Online Protection PowerShell 并使用以下语法：
<New-HostedContentFilterPolicy -Name "<Unique name>" | Set-HostedContentFilterPolicy -Identity "<Policy name>"> [-SpamAction Quarantine] [-SpamQuarantineTag <QuarantineTagName>] [-HighConfidenceSpamAction Quarantine] [-HighConfidenceSpamQuarantineTag <QuarantineTagName>] [-PhishSpamAction Quarantine] [-PhishQuarantineTag <QuarantineTagName>] [-HighConfidencePhishQuarantineTag <QuarantineTagName>] [-BulkSpamAction Quarantine] [-BulkQuarantineTag <QuarantineTagName>] ...
注意：
隔离策略仅当邮件被隔离时才重要。 HighConfidencePhishAction 参数的默认值为“隔离”，因此在 PowerShell 中创建新的垃圾邮件筛选策略时，无需使用该 *Action 参数。 默认情况下，新垃圾邮件筛选策略中的所有其他 操作 参数未设置为值“隔离”。
若要查看现有反垃圾邮件策略中的重要参数值，请运行以下命令：
Get-HostedContentFilterPolicy | Format-List Name,SpamAction,SpamQuarantineTag,HighConfidenceSpamAction,HighConfidenceSpamQuarantineTag,PhishSpamAction,PhishQuarantineTag,HighConfidencePhishAction,HighConfidencePhishQuarantineTag,BulkSpamAction,BulkQuarantineTag如果在创建反垃圾邮件策略时未为垃圾邮件筛选判决指定隔离策略，则会使用该判决的默认隔离策略。 有关标准与严格的默认操作值和建议操作值的信息，请参阅 EOP 反垃圾邮件策略设置。
指定不同的隔离策略，以针对该特定垃圾邮件筛选判决启用隔离通知或更改隔离邮件的默认最终用户功能。
无论如何配置隔离策略，用户都无法释放自己被隔离为高置信度钓鱼的邮件。 如果策略允许用户释放自己的隔离邮件，则允许用户 请求 释放其隔离的高置信度钓鱼邮件。
在 PowerShell 中，PowerShell 中新的反垃圾邮件策略需要使用 New-HostedContentFilterPolicy cmdlet (设置) 的垃圾邮件筛选策略，以及使用 New-HostedContentFilterRule cmdlet (收件人筛选器) 的独占垃圾邮件筛选规则。 有关说明，请参阅 使用 PowerShell 创建反垃圾邮件策略。
此示例使用以下设置创建名为“研究部”的新垃圾邮件筛选策略：
- 所有垃圾邮件筛选判决的操作都设置为“隔离”。
- 分配 “无访问权限 ”的默认隔离策略，名为 AdminOnlyAccessPolicy 的默认隔离策略将替换默认隔离 (高置信度钓鱼邮件使用的默认隔离策略，默认情况下使用 AdminOnlyAccessPolicy 隔离策略) 。
New-HostedContentFilterPolicy -Name "Research Department" -SpamAction Quarantine -SpamQuarantineTag AdminOnlyAccessPolicy -HighConfidenceSpamAction Quarantine -HighConfidenceSpamQuarantineTag AdminOnlyAccessPolicy -PhishSpamAction Quarantine -PhishQuarantineTag AdminOnlyAccessPolicy -BulkSpamAction Quarantine -BulkQuarantineTag AdminOnlyAccessPolicy
若要详细了解语法和参数，请参阅 New-HostedContentFilterPolicy。
此示例修改名为 Human Resources 的现有垃圾邮件筛选策略。 垃圾邮件隔离判决的操作设置为“隔离”，并分配了名为 ContosoNoAccess 的自定义隔离策略。
Set-HostedContentFilterPolicy -Identity "Human Resources" -SpamAction Quarantine -SpamQuarantineTag ContosoNoAccess
若要详细了解语法和参数，请参阅 Set-HostedContentFilterPolicy。
防钓鱼策略
EOP 和 Defender for Office 365 中提供了欺骗智能。 用户模拟保护、域模拟保护和邮箱智能保护仅在 Defender for Office 365 中可用。 有关详细信息，请参阅 Microsoft 365 中的防钓鱼策略。
在 Microsoft Defender 门户中https://security.microsoft.com，转到“策略”部分中的“Email &协作>策略 & 规则>”威胁策略>“”防钓鱼”。 或者，若要直接转到 “防钓鱼 ”页，请使用 https://security.microsoft.com/antiphishing。
在 “防钓鱼 ”页上，使用以下方法之一：
- 单击行中除名称旁边的“检查”框以外的任意位置，选择现有的防钓鱼策略。 在打开的策略详细信息浮出控件中，选择相关部分中的 “编辑” 链接，如后续步骤中所述。
- 选择“Create”以启动新的防钓鱼策略向导。 后续步骤中将介绍相关页面。
在 “钓鱼阈值 & 保护 ”页或浮出控件上，验证以下设置是否已打开并配置为必需：
- 已启用要保护的用户：指定用户。
- 已启用要保护的域：选择“ 包括我拥有的域 ”和/或 “包括自定义域 ”，并指定域。
- 启用邮箱智能
- 为模拟保护启用智能
- 启用欺骗智能
在 “操作” 页或浮出控件上，每个具有 “隔离邮件 ”操作的判决也都有 “应用隔离策略 ”框，供你选择隔离策略。
在创建防钓鱼策略期间，如果未选择隔离策略，将使用默认隔离策略。 以后查看或编辑防钓鱼策略设置时，将显示隔离策略名称。 支持的功能表中列出了默认隔离策略。
以下文章提供了有关创建和修改反钓鱼策略的完整说明：
PowerShell 中的防钓鱼策略
如果希望使用 PowerShell 在防钓鱼策略中分配隔离策略，请连接到 Exchange Online PowerShell 或Exchange Online Protection PowerShell，并使用以下语法：
<New-AntiPhishPolicy -Name "<Unique name>" | Set-AntiPhishPolicy -Identity "<Policy name>"> [-EnableSpoofIntelligence $true] [-AuthenticationFailAction Quarantine] [-SpoofQuarantineTag <QuarantineTagName>] [-EnableMailboxIntelligence $true] [-EnableMailboxIntelligenceProtection $true] [-MailboxIntelligenceProtectionAction Quarantine] [-MailboxIntelligenceQuarantineTag <QuarantineTagName>] [-EnableOrganizationDomainsProtection $true] [-EnableTargetedDomainsProtection $true] [-TargetedDomainProtectionAction Quarantine] [-TargetedDomainQuarantineTag <QuarantineTagName>] [-EnableTargetedUserProtection $true] [-TargetedUserProtectionAction Quarantine] [-TargetedUserQuarantineTag <QuarantineTagName>] ...
注意：
隔离策略仅当邮件被隔离时才重要。 在反钓鱼策略中，当该功能的 Enable* 参数值$true 且 相应的 *\Action 参数值为“隔离”时，将隔离邮件。 EnableMailboxIntelligence 和 EnableSpoofIntelligence 参数的默认值$true，因此在 PowerShell 中创建新的反网络钓鱼策略时，无需使用它们。 默认情况下，没有 *\Action 参数具有值“隔离”。
若要查看现有防钓鱼策略中的重要参数值，请运行以下命令：
Get-AntiPhishPolicy | Format-List EnableSpoofIntelligence,AuthenticationFailAction,SpoofQuarantineTag,EnableTargetedUserProtection,TargetedUserProtectionAction,TargetedUserQuarantineTag,EnableTargetedDomainsProtection,EnableOrganizationDomainsProtection,TargetedDomainProtectionAction,TargetedDomainQuarantineTag,EnableMailboxIntelligence,EnableMailboxIntelligenceProtection,MailboxIntelligenceProtectionAction,MailboxIntelligenceQuarantineTag有关标准和严格配置的默认和建议操作值的信息，请参阅 Microsoft Defender for Office 365 中的 EOP 反钓鱼策略设置和反钓鱼策略中的模拟设置。
如果在未为防钓鱼操作指定隔离策略的情况下创建新的反钓鱼策略，则会使用该操作的默认隔离策略。 EOP 反钓鱼策略设置和 Microsoft Defender for Office 365 中的反钓鱼策略设置中显示了每个反钓鱼操作的默认隔离策略。
仅当想要更改针对该特定反钓鱼操作的隔离邮件的默认最终用户功能时，才指定其他隔离策略。
PowerShell 中新的反钓鱼策略需要使用 New-AntiPhishPolicy cmdlet (设置) 的反钓鱼策略，以及使用 New-AntiPhishRule cmdlet (接收者筛选器) 的排他性反钓鱼规则。 有关说明，请参阅以下文章：
此示例使用以下设置创建名为“研究部”的新反网络钓鱼策略：
- 所有垃圾邮件筛选判决的操作都设置为“隔离”。
- 分配 “无访问权限 ”的默认隔离策略“AdminOnlyAccessPolicy 将替换使用的默认隔离策略。
New-AntiPhishPolicy -Name "Research Department" -AuthenticationFailAction Quarantine -SpoofQuarantineTag NoAccess -EnableMailboxIntelligenceProtection $true -MailboxIntelligenceProtectionAction Quarantine -MailboxIntelligenceQuarantineTag NoAccess -EnableOrganizationDomainsProtection $true -EnableTargetedDomainsProtection $true -TargetedDomainProtectionAction Quarantine -TargetedDomainQuarantineTag NoAccess -EnableTargetedUserProtection $true -TargetedUserProtectionAction Quarantine -TargetedUserQuarantineTag NoAccess
有关详细语法和参数信息，请参阅 New-AntiPhishPolicy。
此示例修改名为 Human Resources 的现有反钓鱼策略。 用户模拟和域模拟检测到的邮件的操作设置为“隔离”，并分配了名为 ContosoNoAccess 的自定义隔离策略。
Set-AntiPhishPolicy -Identity "Human Resources" -EnableTargetedDomainsProtection $true -TargetedDomainProtectionAction Quarantine -TargetedDomainQuarantineTag ContosoNoAccess -EnableTargetedUserProtection $true -TargetedUserProtectionAction Quarantine -TargetedUserQuarantineTag ContosoNoAccess
有关详细语法和参数信息，请参阅 Set-AntiPhishPolicy。
反恶意软件策略
在 Microsoft Defender 门户中https://security.microsoft.com，转到“策略”部分中Email &协作>策略 & 规则>“威胁策略>”“反恶意软件”。 或者，若要直接转到 “反恶意软件 ”页，请使用 https://security.microsoft.com/antimalwarev2。
在 “反恶意软件 ”页上，使用以下方法之一：
- 单击行中除名称旁边的“检查”框以外的任意位置，选择现有的反恶意软件策略。 在打开的策略详细信息浮出控件中，转到 “保护设置” 部分，然后选择 “编辑保护设置”。
- 选择“Create”以启动新的反恶意软件策略向导，并访问“保护设置”页。
在 “保护设置” 页或浮出控件上，在“隔离策略”框中查看或选择 隔离策略 。
隔离通知在名为 AdminOnlyAccessPolicy 的策略中被禁用。 若要通知已将邮件隔离为恶意软件的收件人，请创建或使用已启用隔离通知的现有隔离策略。 有关说明，请参阅Microsoft Defender门户中Create隔离策略。
无论如何配置隔离策略，用户都无法释放自己的邮件，这些邮件被反恶意软件策略隔离为恶意软件。 如果策略允许用户发布自己的隔离邮件，则用户可以 请求 释放其隔离的恶意软件邮件。
配置反恶意软件策略中提供了有关创建和修改 反恶意软件策略的完整说明。
PowerShell 中的反恶意软件策略
如果希望使用 PowerShell 在反恶意软件策略中分配隔离策略，请连接到 Exchange Online PowerShell 或Exchange Online Protection PowerShell 并使用以下语法：
<New-AntiMalwarePolicy -Name "<Unique name>" | Set-AntiMalwarePolicy -Identity "<Policy name>"> [-QuarantineTag <QuarantineTagName>]
注意：
在不使用 QuarantineTag 参数的情况下创建新的反恶意软件策略时，将使用名为 AdminOnlyAccessPolicy 的默认隔离策略。
无论如何配置隔离策略，用户都无法释放自己被隔离为恶意软件的邮件。 如果策略允许用户发布自己的隔离邮件，则用户可以 请求 释放其隔离的恶意软件邮件。
若要查看现有防钓鱼策略中的重要参数值，请运行以下命令：
Get-MalwareFilterPolicy | Format-Table Name,QuarantineTagPowerShell 中新的反恶意软件策略需要使用 New-MalwareFilterPolicy cmdlet (设置) 恶意软件筛选策略，以及使用 New-MalwareFilterRule cmdlet (收件人筛选器) 的独占恶意软件筛选规则。 有关说明，请参阅使用 Exchange Online PowerShell 或独立 EOP PowerShell 配置反恶意软件策略。
此示例创建名为“研究部”的恶意软件筛选器策略，该策略使用名为 ContosoNoAccess 的自定义隔离策略，该策略为隔离的邮件分配 了“无访问权限 ”。
New-MalwareFilterPolicy -Name "Research Department" -QuarantineTag ContosoNoAccess
有关详细语法和参数信息，请参阅 New-MalwareFilterPolicy。
此示例修改名为“人力资源”的现有恶意软件筛选器策略，以使用名为 ContosoNoAccess 的自定义隔离策略，该策略为隔离的邮件分配 了“无访问权限 ”。
New-MalwareFilterPolicy -Identity "Human Resources" -QuarantineTag ContosoNoAccess
有关详细语法和参数信息，请参阅 Set-MalwareFilterPolicy。
Defender for Office 365中的安全附件策略
在 Microsoft Defender 门户中https://security.microsoft.com，转到“策略”部分中Email &协作>策略& 规则>“威胁策略>”“安全附件”。 或者，若要直接转到“ 安全附件 ”页，请使用 https://security.microsoft.com/safeattachmentv2。
在“ 安全附件 ”页上，使用以下方法之一：
- 单击名称旁边的“检查”框以外的任何位置，选择现有安全附件策略。 在打开的策略详细信息浮出控件中，选择“设置”部分中的“编辑设置”链接。
- 选择“Create”以启动新的“安全附件”策略向导，并访问“设置”页。
在 “设置” 页或浮出控件上，在“隔离策略”框中查看或选择 隔离策略 。
无论如何配置隔离策略，用户都无法释放自己被安全附件策略隔离为恶意软件的邮件。 如果策略允许用户发布自己的隔离邮件，则用户可以 请求 释放其隔离的恶意软件邮件。
在 Microsoft Defender for Office 365 中设置安全附件策略中介绍了有关创建和修改安全附件策略的完整说明。
PowerShell 中的安全附件策略
如果希望使用 PowerShell 在安全附件策略中分配隔离策略，请连接到 Exchange Online PowerShell 或Exchange Online Protection PowerShell 并使用以下语法：
<New-SafeAttachmentPolicy -Name "<Unique name>" | Set-SafeAttachmentPolicy -Identity "<Policy name>"> -Enable $true -Action <Block | DynamicDelivery> [-QuarantineTag <QuarantineTagName>]
注意：
Action 参数值 Block 或 DynamicDelivery 可能会导致隔离的邮件， (值 Allow 不隔离邮件) 。 仅当 Enable 参数的值为 时，Action 参数
$true的值才有意义。在不使用 QuarantineTag 参数的情况下创建新的安全附件策略时，名为 AdminOnlyAccessPolicy 的默认隔离策略用于安全附件的恶意软件检测。
无论如何配置隔离策略，用户都无法释放自己被隔离为恶意软件的邮件。 如果策略允许用户发布自己的隔离邮件，则用户可以 请求 释放其隔离的恶意软件邮件。
若要查看重要的参数值，请运行以下命令：
Get-SafeAttachmentPolicy | Format-List Name,Enable,Action,QuarantineTagPowerShell 中新的安全附件策略需要使用 New-SafeAttachmentPolicy cmdlet (设置) 的安全附件策略，以及使用 New-SafeAttachmentRule cmdlet (收件人筛选器) 的独占安全附件规则。 有关说明，请参阅使用 Exchange Online PowerShell 配置安全附件策略。
此示例创建一个名为“研究部”的安全附件策略，该策略阻止检测到的邮件，并使用名为 ContosoNoAccess 的自定义隔离策略，该策略为隔离的邮件分配 “无访问权限 ”。
New-SafeAttachmentPolicy -Name "Research Department" -Enable $true -Action Block -QuarantineTag NoAccess
有关详细语法和参数信息，请参阅 New-MalwareFilterPolicy。
此示例修改名为 Human Resources 的现有安全附件策略，以使用分配 “无访问权限 ”的名为 ContosoNoAccess 的自定义隔离策略。
Set-SafeAttachmentPolicy -Identity "Human Resources" -QuarantineTag ContosoNoAccess
有关详细语法和参数信息，请参阅 Set-MalwareFilterPolicy。
在Microsoft Defender门户中配置全局隔离通知设置
隔离策略的全局设置允许你自定义在隔离策略中打开隔离通知时发送给隔离邮件收件人的隔离通知。 有关隔离通知的详细信息，请参阅 隔离通知。
自定义不同语言的隔离通知
已根据收件人基于云的邮箱的语言设置本地化隔离通知的邮件正文。
可以使用本部分中的过程根据收件人基于云的邮箱的语言设置自定义隔离通知中使用的 发件人显示名称、 主题和 免责声明 值：
发件人显示名称，如以下屏幕截图所示：
隔离通知邮件的 “主题 ”字段。
添加到隔离通知底部的 免责声明 文本。 始终首先包含本地化文本“ 来自组织的免责声明： ”，后跟指定的文本，如以下屏幕截图所示：
提示
不会针对本地邮箱本地化隔离通知。
仅当用户的邮箱语言与自定义隔离通知中的语言匹配时，才会向用户显示特定语言的自定义隔离通知。
值English_USA仅适用于美国英语客户端。 英国English_Great的价值适用于英国、加拿大、澳大利亚等 ) (所有其他英语客户。
提供 挪威语 和 挪威语 (Nynorsk) 。 挪威语 (Bokmål) 不可用。
若要创建最多三种语言的自定义隔离通知，请执行以下步骤：
在 Microsoft Defender 门户中https://security.microsoft.com，转到“规则”部分中Email &协作>策略 &>规则“威胁策略>”“隔离策略”。 或者，若要直接转到 “隔离策略 ”页，请使用 https://security.microsoft.com/quarantinePolicies。
在 “隔离策略 ”页上，选择“
全局设置”。在打开的 “隔离通知设置” 浮出控件中，执行以下步骤：
从“选择语言”框中 选择语言 。 默认值为 English_USA。
虽然此框不是第一个设置，但需要先对其进行配置。 如果在选择语言之前在 “发件人显示名称”、“ 主题”或“ 免责声明 ”框中输入值，则这些值将消失。
选择语言后，输入 发件人显示名称、 主题和 免责声明的值。 对于每种语言，值必须是唯一的。 如果尝试重复使用其他语言的值，则选择“ 保存”时将收到错误。
选择“选择语言”框附近的“添加”按钮。
选择“ 添加”后，该语言的配置设置将显示在 “单击语言以显示以前配置的设置 ”框中。 若要重新加载设置，请单击语言名称。 若要删除语言，请选择
。
重复上述步骤，根据收件人的语言创建最多三个自定义隔离通知。
完成 “隔离通知 ”浮出控件后，选择“ 保存”。
有关指定发件人地址的信息
自定义所有隔离通知
即使不为不同的语言自定义隔离通知，“ 隔离通知”浮出控件 中也提供了用于自定义所有隔离通知的设置。 或者，可以在为不同语言自定义隔离通知之前、期间或之后配置设置， (这些设置适用于所有语言) ：
指定发件人地址：为隔离通知的发件人电子邮件地址选择现有用户。 默认发送方为
quarantine@messaging.microsoft.com。使用我的公司徽标：选择此选项可替换隔离通知顶部使用的默认 Microsoft 徽标。 在执行此步骤之前，需要按照 为组织自定义 Microsoft 365 主题 中的说明上传自定义徽标。
以下屏幕截图显示了隔离通知中的自定义徽标：
每 (天发送一次最终用户垃圾邮件通知) ：选择隔离通知的频率。 可以选择“ 4 小时内”、“ 每日”或“ 每周”。
提示
如果选择每四小时一次，并且邮件在最后一次通知生成 后立即 被隔离，则收件人将在四小时 后收到 隔离通知。
完成 “隔离通知”浮出控件后，选择“ 保存”。
使用 PowerShell 配置全局隔离通知设置
如果希望使用 PowerShell 配置全局隔离通知设置，请连接到 Exchange Online PowerShell 或 Exchange Online Protection PowerShell 并使用以下语法：
Get-QuarantinePolicy -QuarantinePolicyType GlobalQuarantinePolicy | Set-QuarantinePolicy -MultiLanguageSetting ('Language1','Language2','Language3') -MultiLanguageCustomDisclaimer ('Language1 Disclaimer','Language2 Disclaimer','Language3 Disclaimer') -ESNCustomSubject ('Language1 Subject','Language2 Subject','Language3 Subject') -MultiLanguageSenderName ('Language1 Sender Display Name','Language2 Sender Display Name','Language3 Sender Display Name') [-EndUserSpamNotificationCustomFromAddress <InternalUserEmailAddress>] [-OrganizationBrandingEnabled <$true | $false>] [-EndUserSpamNotificationFrequency <04:00:00 | 1.00:00:00 | 7.00:00:00>]
注意：
- 最多可以指定 3 种可用语言。 默认值为 en-US。 值 English 是其他所有 (en-GB、en-CA、en-AU 等 ) 。
- 对于每种语言，需要指定唯一 的 MultiLanguageCustomDisclaimer、 ESNCustomSubject 和 MultiLanguageSenderName 值。
- 如果任何文本值包含引号，则需要使用其他引号对引号进行转义。 例如，将
d'assistance更改为d''assistance。
此示例配置以下设置：
- 美国英语和西班牙语的自定义隔离通知。
- 隔离通知发件人的电子邮件地址设置为
michelle@contoso.onmicrosoft.com。
Get-QuarantinePolicy -QuarantinePolicyType GlobalQuarantinePolicy | Set-QuarantinePolicy -MultiLanguageSetting ('Default','Spanish') -MultiLanguageCustomDisclaimer ('For more information, contact the Help Desk.','Para obtener más información, comuníquese con la mesa de ayuda.') -ESNCustomSubject ('You have quarantined messages','Tienes mensajes en cuarentena') -MultiLanguageSenderName ('Contoso administrator','Administradora de contoso') -EndUserSpamNotificationCustomFromAddress michelle@contoso.onmicrosoft.com
有关详细语法和参数信息，请参阅 Set-QuarantinePolicy。
在 Microsoft Defender 门户中查看隔离策略
在 Microsoft Defender 门户中https://security.microsoft.com，转到“规则”部分中Email &协作>策略 &>规则“威胁策略>”“隔离策略”。 或者，若要直接转到 “隔离策略 ”页，请使用 https://security.microsoft.com/quarantinePolicies。
“隔离策略”页按策略名称和上次更新日期/时间显示策略列表。
若要查看默认或自定义隔离策略的设置，请通过单击名称旁边的检查框以外的行中的任意位置来选择策略。 打开的浮出控件中提供了详细信息。
若要查看全局设置，请选择“全局设置”
在 PowerShell 中查看隔离策略
如果希望使用 PowerShell 查看隔离策略，请执行以下步骤：
若要查看所有默认或自定义策略的摘要列表，请运行以下命令：
Get-QuarantinePolicy | Format-Table Name若要查看默认或自定义隔离策略的设置，请将 QuarantinePolicyName> 替换为<隔离策略的名称，并运行以下命令：
Get-QuarantinePolicy -Identity "<QuarantinePolicyName>"若要查看隔离通知的全局设置，请运行以下命令：
Get-QuarantinePolicy -QuarantinePolicyType GlobalQuarantinePolicy
若要详细了解语法和参数，请参阅 Get-HostedContentFilterPolicy。
在Microsoft Defender门户中修改隔离策略
不能修改名为 AdminOnlyAccessPolicy、DefaultFullAccessPolicy 或 DefaultFullAccessWithNotificationPolicy 的默认隔离策略。
在 Microsoft Defender 门户中https://security.microsoft.com，转到“规则”部分中Email &协作>策略 &>规则“威胁策略>”“隔离策略”。 或者，若要直接转到 “隔离策略 ”页，请使用 https://security.microsoft.com/quarantinePolicies。
在“隔离策略”页上，单击名称旁边的“检查”框，选择策略。
选择
出现的“编辑策略”操作。
策略向导随即打开，其中包含所选隔离策略的设置和值。 这些步骤几乎与Microsoft Defender门户Create隔离策略部分中所述相同。 main区别在于：无法重命名现有策略。
在 PowerShell 中修改隔离策略
如果希望使用 PowerShell 修改自定义隔离策略，请将 QuarantinePolicyName> 替换为<隔离策略的名称，并使用以下语法：
Set-QuarantinePolicy -Identity "<QuarantinePolicyName>" [Settings]
可用设置与本文前面所述的创建隔离策略相同。
有关详细语法和参数信息，请参阅 Set-QuarantinePolicy。
在Microsoft Defender门户中删除隔离策略
注意
在验证未使用隔离策略之前，请勿删除隔离策略。 例如，在 PowerShell 中运行以下命令：
Write-Output -InputObject "Anti-spam policies",("-"*25);Get-HostedContentFilterPolicy | Format-List Name,*QuarantineTag; Write-Output -InputObject "Anti-phishing policies",("-"*25);Get-AntiPhishPolicy | Format-List Name,*QuarantineTag; Write-Output -InputObject "Anti-malware policies",("-"*25);Get-MalwareFilterPolicy | Format-List Name,QuarantineTag; Write-Output -InputObject "Safe Attachments policies",("-"*25);Get-SafeAttachmentPolicy | Format-List Name,QuarantineTag如果使用隔离策略，请在删除之前 替换分配的隔离策略 ，以避免隔离通知的潜在中断。
无法删除名为 AdminOnlyAccessPolicy、DefaultFullAccessPolicy 或 DefaultFullAccessWithNotificationPolicy 的默认隔离策略。
在 Microsoft Defender 门户中https://security.microsoft.com，转到“规则”部分中Email &协作>策略 &>规则“威胁策略>”“隔离策略”。 或者，若要直接转到 “隔离策略 ”页，请使用 https://security.microsoft.com/quarantinePolicies。
在“隔离策略”页上，单击名称旁边的“检查”框，选择策略。
选择
显示的“删除策略”操作。在确认对话框中选择 “删除策略 ”。
在 PowerShell 中删除隔离策略
如果希望使用 PowerShell 删除自定义隔离策略，请将 QuarantinePolicyName> 替换为<隔离策略的名称，并运行以下命令：
Remove-QuarantinePolicy -Identity "<QuarantinePolicyName>"
有关详细语法和参数信息，请参阅 Remove-QuarantinePolicy。
隔离发布请求的系统警报
默认情况下，名为 “请求释放隔离邮件的用户 ”的默认警报策略会自动生成信息警报，并在用户请求释放隔离邮件时向组织管理 (全局) 管理员发送通知：
管理员可以自定义电子邮件通知收件人或创建自定义警报策略以获取更多选项。
有关警报策略的详细信息，请参阅 Microsoft Defender 门户中的警报策略。
附录
隔离策略剖析
隔离 策略包含合并 到 预设权限组中的权限。 预设权限组包括：
- 无访问权限
- 受限访问
- 完全访问权限
如前所述， 默认隔离策略 对隔离邮件强制实施历史用户功能，并自动分配给 隔离邮件的支持保护功能 中的操作。
默认隔离策略为：
- AdminOnlyAccessPolicy
- DefaultFullAccessPolicy
- DefaultFullAccessWithNotificationPolicy
- 某些组织中的 NotificationEnabledPolicy ()
隔离策略还控制用户是否收到有关已隔离的邮件的 隔离通知 ，而不是发送给他们。 隔离通知执行两项操作：
- 通知用户邮件处于隔离状态。
- 允许用户查看隔离通知中的隔离邮件并执行操作。 权限控制用户在隔离通知中可以执行的操作，如 隔离策略权限详细信息 部分所述。
下表描述了权限、权限组和默认隔离策略之间的关系：
| 权限 | 无访问权限 | 受限访问 | 完全访问权限 |
|---|---|---|---|
| (PermissionToViewHeader) ¹ | ✔ | ✔ | ✔ |
| 阻止发送方 (PermissionToBlockSender) | ✔ | ✔ | |
| 删除 (PermissionToDelete) | ✔ | ✔ | |
| 预览 (PermissionToPreview) ² | ✔ | ✔ | |
| 允许收件人从隔离区释放邮件 (PermissionToRelease) ー | ✔ | ||
| 允许收件人请求从隔离区释放邮件 (PermissionToRequestRelease) | ✔ |
| 默认隔离策略 | 使用的权限组 | 已启用隔离通知？ |
|---|---|---|
| AdminOnlyAccessPolicy | 无访问权限 | 否 |
| DefaultFullAccessPolicy | 完全访问权限 | 否 |
| DefaultFullAccessWithNotificationPolicy⁴ | 完全访问权限 | 是 |
| NotificationEnabledPolicy⁵ | 完全访问权限 | 是 |
¹ 此权限在 Defender 门户中不可用。 在 PowerShell 中关闭权限不会影响对隔离邮件执行“查看邮件头”操作的可用性。 如果邮件对隔离区中的用户可见，则该操作始终可用于该邮件。
² 预览 权限与隔离通知中可用的 “审阅邮件 ”操作无关。
2 对于被反恶意软件策略或安全附件策略隔离为恶意软件的邮件，或者反垃圾邮件策略作为高可信度钓鱼的邮件，不允许收件人从隔离区释放邮件。
⁴ 此策略在 预设安全策略 中用于启用隔离通知，而不是关闭通知的名为 DefaultFullAccessPolicy 的策略。
⁵ 你的组织可能没有名为 NotificationEnabledPolicy 的策略，如下一部分所述。
完全访问权限和隔离通知
名为 DefaultFullAccessPolicy 的默认隔离策略会复制危害较小的隔离邮件的历史 权限 ，但隔离策略中未启用 隔离通知 。 EOP 和Microsoft Defender for Office 365安全性的建议设置中的功能表中介绍了默认使用 DefaultFullAccessPolicy 的位置。
为了向组织授予启用隔离通知的 DefaultFullAccessPolicy 权限，我们根据以下条件选择性地包含名为 NotificationEnabledPolicy 的默认策略：
该组织在 2021 年 7 月至 8 月) (引入隔离策略之前就已存在。
和
在一个或多个反垃圾邮件策略中，已启用“启用最终用户垃圾邮件通知”设置。 在引入隔离策略之前，此设置确定用户是否收到有关其隔离邮件的通知。
从未启用最终用户垃圾邮件通知的新组织或较旧的组织没有名为 NotificationEnabledPolicy 的策略。
若要为用户提供完全访问权限和隔离通知，没有 NotificationEnabledPolicy 策略的组织具有以下选项：
- 使用名为 DefaultFullAccessWithNotificationPolicy 的默认策略。
- Create并使用已启用“完全访问权限”和“隔离通知”的自定义隔离策略。
隔离策略权限详细信息
以下部分介绍预设权限组以及隔离邮件和隔离通知中用户个人权限的影响。
注意
如前所述，仅在名为 DefaultFullAccessWithNotificationPolicy 的默认策略中启用隔离通知， 如果组织已足够) NotificationEnabledPolicy，则会 (隔离通知。
预设权限组
隔离 策略剖析 部分介绍了预设权限组中包含的单个权限。
无访问权限
无访问权限 (仅管理员访问权限) 对用户功能的影响取决于隔离策略中隔离通知的状态：
隔离通知已关闭：
- 在“隔离”页上：已隔离的邮件对用户不可见。
- 在隔离通知中：用户不会收到邮件的隔离通知。
已打开隔离通知：
- 在“隔离”页上：已隔离的邮件对用户可见，但唯一可用的操作是 查看邮件头。
- 在隔离通知中：用户会收到隔离通知，但唯一可用的操作是 “查看邮件”。
- 在“隔离”页上：已隔离的邮件对用户可见，但唯一可用的操作是
受限访问
如果隔离策略分配 受限访问权限 ，则用户将获得以下功能：
在“隔离”页和“隔离区”的邮件详细信息中：可以使用以下操作：
在隔离通知中：可以使用以下操作：
- 查看邮件
- 请求发布 (与 完全访问权限) 的区别
- 阻止发件人
完全访问权限
如果隔离策略) 分配 (所有可用权限的 完全访问权限 ，则用户将获得以下功能：
在“隔离”页和“隔离区”的邮件详细信息中：可以使用以下操作：
在隔离通知中：可以使用以下操作：
- 查看邮件
- 发布 (与受限访问权限) 的区别
- 阻止发件人
个人权限
阻止发件人权限
“ 阻止发件人 ”权限 (PermissionToBlockSender) 允许用户将邮件发件人添加到其邮箱中的“阻止发件人”列表。
如果启用了 “阻止发件人 ”权限：
“隔离”页和隔离区的邮件详细信息中提供了阻止发件人。隔离通知中提供了阻止的发件人。
若要使此权限在隔离通知中正常工作，需要为用户启用远程 PowerShell。 有关说明，请参阅启用或禁用对 Exchange Online PowerShell 的访问。
如果禁用了 “阻止发件人 ”权限，则用户无法在隔离区或隔离通知中阻止发件人， (该操作) 不可用。
有关“阻止的发件人”列表的详细信息，请参阅阻止来自某人的邮件和使用 Exchange Online PowerShell 在邮箱上配置安全列表集合。
提示
组织仍可以接收来自被阻止发件人的邮件。 来自发件人的邮件将传递到用户垃圾邮件Email文件夹或隔离。 若要在到达时从发件人中删除邮件，请使用 邮件流规则 (也称为传输规则) 阻止邮件。
删除权限
“ 删除 ”权限 (PermissionToDelete) 允许用户从作为收件人) 的隔离 (邮件中删除自己的邮件。
如果启用了 “删除” 权限：
- “隔离”页和隔离区的邮件详细信息中提供了删除。
- 隔离通知无效。 无法从隔离通知中删除隔离邮件。
如果禁用“ 删除” 权限，则用户无法从隔离区中删除自己的邮件， (该操作) 不可用。
提示
管理员可以通过搜索管理员审核日志来找出谁删除了隔离邮件。 有关说明，请参阅 查找删除隔离邮件的人员。 如果原始收件人找不到，管理员可以使用 邮件跟踪 来了解已发布邮件发生了什么情况。
预览权限
“ 预览” 权限 (PermissionToPreview) 允许用户在隔离区中预览其邮件。
如果启用了 预览 权限：
预览邮件 位于 “隔离” 页和隔离区的邮件详细信息中。- 隔离通知无效。 无法预览隔离通知中的隔离邮件。 隔离通知中的 “查看邮件 ”操作会将用户带到隔离区中邮件的详细信息浮出控件，他们可以在其中预览邮件。
如果禁用 “预览” 权限，则用户无法在隔离区中预览自己的邮件， (该操作) 不可用。
允许收件人从隔离权限中释放邮件
注意
如前所述，对于被反恶意软件或安全附件策略隔离为 恶意软件 的邮件，或反垃圾邮件策略作为 高置信度钓鱼 的邮件，不授予此权限。 如果隔离策略向用户授予此权限，则允许用户 请求 释放其隔离的恶意软件或高置信度钓鱼邮件。
“允许收件人释放来自隔离的邮件权限 (PermissionToRelease) 允许用户在未经管理员批准的情况下释放自己的隔离邮件。
如果启用了 “允许收件人从隔离区释放邮件 ”权限：
“隔离”页和隔离区的邮件详细信息中提供了发布。- 隔离 通知中提供了版本。
如果禁用了 “允许收件人从隔离区释放邮件 ”权限，则用户无法从隔离区或隔离通知中释放自己的邮件， (该操作) 不可用。
允许收件人请求从隔离权限中释放邮件
“允许收件人请求解除隔离邮件权限 (PermissionToRequestRelease) 允许用户请求释放其隔离的邮件。 只有在管理员批准请求后，才会释放消息。
如果启用了 “允许收件人请求从隔离区中释放邮件 ”权限：
- 请求发布 可在 “隔离 ”页和隔离中的邮件详细信息中找到。
- 请求发布 在隔离通知中可用。
如果禁用了 “允许收件人请求从隔离区中释放邮件 ”权限，则用户无法请求从隔离区或隔离通知中释放自己的邮件， (该操作) 不可用。
反馈
即将发布：在整个 2024 年，我们将逐步淘汰作为内容反馈机制的“GitHub 问题”，并将其取代为新的反馈系统。 有关详细信息，请参阅：https://aka.ms/ContentUserFeedback。
提交和查看相关反馈