分析 Exchange 欺骗电子邮件规则的结果 |第 9#12 部分
在本文中，我们将回顾可用于分析我们创建的 Exchange Online 欺骗电子邮件规则结果的选项。
术语“分析”与我们回答基本问题的能力相关，例如：
- 我们创建的 Exchange Online 规则被“触发”了多少次？
- 我们创建的 Exchange Online 规则在什么情况下被“触发”？
这些信息与我们的许多不同目的相关，但对我来说，主要有三个目标：
- 能够识别误报场景——意思是合法邮件被错误地识别为欺骗电子邮件并被删除或阻止而不是到达组织用户邮箱的场景。
- 验证 Exchange Online 欺骗电子邮件规则是否满足其目的，这意味着 - 设法识别欺骗电子邮件事件并设法执行配置的所需“操作”。
- 识别欺骗电子邮件攻击的特定“趋势”，例如从特定收件人发送或针对特定组织收件人的欺骗电子邮件攻击等。
最大的问题是 - Exchange Online 是否包含可以为我们提供此类信息的内置报告工具？
答案是“是”和“否”。
“是”，Exchange Online 包含一个内置报告工具，使我们能够显示特定 Exchange Online 规则的“使用情况报告”，例如 - Exchange 本地 Exchange Online 规则已“触发”。 ”
“否”，目前，Exchange Online 报告提供的信息不包括有关“触发 Exchange Online 规则”的每个特定事件的信息。 ”
例如，通过使用 Exchange Online 构建的报告，我们可以了解特定的 Exchange Online 规则在上个月被“触发”20 次，但该报告并没有告诉我们是针对哪个“源收件人”或“目标收件人”规则被触发。
好消息是，针对 Exchange Online 的这些缺陷，有一个解决方案可以提供有关触发 Exchange Online 规则的每个单独事件的详细报告。
在线消息追踪工具和历史搜索
我们将在当前文章中介绍的解决方案是通过使用 Exchange Online 消息跟踪工具来实现的。
Exchange Online 邮件跟踪工具，可以为我们提供有关每封传入邮件以及每个邮件的非常详细的信息发送给 Office 365 收件人以及从 Office 365 收件人发送的传出邮件。
Exchange Online 会将此信息保留 90 天。
此外，Exchange Online 还包括一个非常有用的功能，但同时也是一个未知且不熟悉的功能，即历史搜索。
Exchange Online 邮件跟踪功能 - 历史搜索，使我们能够将所有信息导出到 CSV文件（CSV 代表逗号分隔值）。
当我们有 CSV 文件中的信息时，我们可以使用 Microsoft Excel 等工具来帮助我们分析 CSV 文件中存储的数据。
使用 CSV 的 Exchange Online 导出的信息可以视为非常详细的信息，好消息是每次触发特定的 Exchange Online 规则时，该信息都会保存并显示在 CSV 文件中。
不太好的消息是，有关触发的 Exchange Online 规则的信息与 Exchange Online 规则的“名称”无关，而是与 Exchange Online 规则的 GUID（全局唯一标识符）相关。
GUID 以数值形式实现。
换句话说，当我们需要分析存储在 CSV 文件中的数据时，我们需要查找特定 Exchange Online 规则的 GUID 号。
现在的问题是 - 我们如何知道特定 Exchange Online 规则的 GUID 号是什么？
答案是——通过使用 PowerShell 命令来“揭示”这些信息
总而言之 - 存在分析有关特定 Exchange Online 规则的信息的选项，但我们需要付出一点努力才能收获成功的果实
使用 Exchange Online 邮件跟踪工具和历史搜索选项
- 登录 Exchange 管理门户
- 在左侧菜单栏上，选择 - 邮件流
- 在顶部菜单栏上，选择 - 消息跟踪
默认日期范围为 48 小时。
为了能够“激活”Exchange Online 邮件跟踪选项历史搜索<我们需要使用自定义时间范围（超过 7 天）。
在*日期范围框中，选择自定义
如前所述，为了能够激活历史搜索选项，我们需要定义日期等于或大于 7 天的范围。
在以下步骤中，我们需要定义“搜索过滤器”，例如发件人、收件人等。
要求是至少指定一个过滤器，例如sender；收件人是强制性要求。
请注意，在我们的特定场景中，这个“强制要求”是一个问题，因为我们希望获取特定日期范围内发生的所有邮件交易的信息，这样我们就能够找到我们的 Exchange 发生的特定事件。已触发在线欺骗电子邮件规则。
在我们的场景中，我们不知道欺骗性电子邮件攻击是否由特定“源收件人”（发件人）执行，也不知道欺骗性电子邮件是否发送到特定目标收件人（我们的组织）接受者）。
为了克服这个障碍，我们将使用一个小技巧，定义一个与特定域名而不是特定目标收件人名称相关的“搜索词”。
在我们的场景中，组织域名是 - o365pilot.com
为了能够查找发送给我们组织收件人（其电子邮件地址包含域名 o365pilot.com 的收件人）的所有电子邮件，我们将使用搜索词查找“通配符收件人” - *@<域名>
在我们的示例中，搜索词是 *@o365pilot.com
在下面的屏幕截图中，我们可以看到可用的其他选项。
最突出和最重要的选项描述为 - 在报告中包含消息事件和详细信息（数字2）。
选中此选项时，我们要求 Exchange Online 向我们提供一份详细报告，其中包括默认情况下未包含在标准邮件跟踪结果中的所有“附加信息”。
其他选项有：
报告标题（数字3）。 Exchange Online 将生成一个默认报告名称，其中包含当前日期和时间；我们可以将此默认名称更改为适合我们需要的其他名称。
通知电子邮件地址（数字4） - 生成报告并将信息保存到 CSV 文件的过程可能需要 2 -6~ 小时。
为了能够知道何时结束处理，并获得通知我们报告（CSV 文件）已准备就绪，我们可以添加指定收件人的电子邮件地址，例如电子邮件地址Exchange Online 管理员的。
在我们“点击”搜索按钮后，Exchange Online 邮件跟踪 - 历史搜索选项为“触发”。
将出现一条通知消息，通知我们生成所需报告的请求已成功提交，并且我们需要检查该过程何时完成。
在下面的屏幕截图中，我们可以看到结果 - CSV 文件，其中包含有关所有所需邮件事务的详细报告。
注意：请注意，生成此报告的任务可能需要长达 2-6~ 小时
在我们的具体示例中，我们可以看到报告包含 126 行“信息”，我们可以通过选择名为 - 下载此报告的链接来下载报告报告
获取 Exchange Online 规则的 GUID
在接下来的部分中，我们将回顾如何使用通过执行 Exchange Online 邮件跟踪历史搜索获得的 CSV 文件来分析有关特定 Exchange Online 规则的实际邮件流的数据。
此操作的先决条件是有关特定 Exchange Online 规则的 GUID 值的信息。
如前所述，有关 Exchange Online 规则的信息不使用 Exchange Online 规则的“名称”显示，而是使用 Exchange Online GUID 值显示。
要获取所需的 Exchange Online 规则 GUID，我们需要使用 PowerShell 命令
我们用于显示现有 Exchange Online 规则的 GUID 值的 PowerShell 命令是
Get-TransportRule |FL name, guid
在我们的特定场景中，我们希望获取有关名为 - 检测欺骗电子邮件 + 发送事件报告 的特定 Exchange Online 规则的信息
此规则的 GUID 为 - 41b16365-5e3d-4476-b25b-468772545c01
有关如何使用远程 PowerShell 连接到 Exchange Online 的更多信息，您可以阅读文章 - 使用 PowerShell 连接到 Exchange Online
使用 Microsoft Excel 分析 CSV 文件中的数据
在我们开始具体说明如何“提取”与特定 Exchange Online 规则相关的邮件流所需信息之前，有两个“提示
使我们能够在使用时管理“大量数据” excel查看文件内容。
在下面的屏幕截图中，我们可以看到由 Exchange Online 邮件跟踪历史搜索创建的 CSV 内容
可见，“数据量”很容易让人头疼。
默认情况下，当我们向下滚动时，数据表标题将“消失”。
我们的任务是“固定”表格标题，因此当我们向下滚动时，会清楚特定单元格“属于”哪一行。
要“固定”表格标题，请选择菜单查看，然后单击图标 - 冻结窗格
我们应该考虑使用的另一个选项是将包含报告的 Excel 工作表的内容复制到另一个 Excel 工作表，以便我们可以执行不同的 Excel 选项，例如过滤等，而不会“损坏”或“破坏”原始数据数据。
为了能够复制特定 Excel 工作表的内容，请右键单击选项卡名称并选择菜单移动或复制...<
在选项框中，选择选项 - 创建副本
在下面的屏幕截图中，我们可以看到“原始 Excel 工作表”的副本。我们可以将副本重命名为任何合适的名称。
使用 Excel 查找选项
在上一节中，我们了解了如何获取我们正在查找的特定 Exchange Online 规则所需的 GUID。
我们可以用来查找有关由特定 Exchange Online 规则定价的“邮件交易”信息的最简单过程是使用“简单查找”选项。
使用关键字组合键CTRL + F
在下面的屏幕截图中，我们可以看到结果显示为“ruleid=“
换句话说，Exchange Online 提供有关特定规则的信息作为规则 ID（标识），并使用 GUID 与该规则相关联。
使用“查找全部”搜索选项
更适合我们需求的选项是选择“查找全部”，因为有关特定信息的信息包含我们查找的值的行将出现多次。
使用“查找”选项时，单击按钮 - 查找全部
在下面的屏幕截图中，我们可以看到“查找框”包含找到特定关键字的所有“实例”。
使用 Excel 筛选选项
我们可以使用的另一个选项是 Excel 过滤器选项。
为了能够“过滤掉”包含我们查找的值的特定行，请使用以下步骤：
- 将鼠标光标放置在数据表中的某处。
- 选择数据菜单，然后单击 过滤器图标
在下面的屏幕截图中，我们可以看到每个列标题的右侧都会出现一个“小箭头”。
有关 Exchange Online 规则的信息显示在名为 - custom_data 的列中
- 选择列标题 custom_data 并单击黑色小箭头
- 选择菜单文本过滤器
- 在子菜单中选择菜单包含...
在文本框中，添加您要查找的特定 Exchange Online 规则的 GUID 值。
在下面的屏幕截图中，我们可以看到结果。
出现的信息是“过滤信息”，仅包含相关行的含义，信息行包含我们要查找的 GUID 号。
使用 Office 365 报告获取有关 Exchange Online 规则的信息
在下一节中，我们将回顾另一个工具 - Office 365 报告，它可以帮助我们获取有关与特定 Exchange Online 规则相关的邮件流的更多信息。
Office 365 报告的主要特点是使用 Graff 提供的信息，该报告的主要目的是提供特定 Office 365 基础设施的“高级”视图。
在我们的特定场景中，我们将使用特定的 Office 365 报告，该报告将帮助我们获取有关我们创建的 Exchange Online 欺骗电子邮件规则的信息。
目前，Office 365 报告无法用于提供有关每个特定邮件交易的详细信息，而是为我们提供有关特定 Exchange Online 规则的“趋势”以及 Exchange Online 规则发生的时间的一般查询。规则被“触发”。
我们用于获取有关特定 Exchange Online 规则的信息的 Exchange Online 报告的名称是 - 所有邮件的规则匹配
为了能够查看显示有关与现有 Exchange Online 传输规则“匹配”的信息的报告，请使用以下步骤：
- 登录 Office 365 管理门户
- 在左侧菜单栏上选择 - 报告
- 单击名为 - 邮件规则匹配的报告
在出现的窗口中，我们可以看到一个 Graff，它描述了与所有现有 Exchange Online 规则相关的邮件流。
在我们的场景中，我们对特定的 Exchange Online 规则感兴趣。
为了能够查看有关特定 Exchange Online 规则的信息，请单击 规则部分框
在我们的具体场景中，我们将选择有关我们创建的名为 -
检测欺骗电子邮件 - 删除电子邮件 + 发送事件报告的 Exchange Online 欺骗规则的显示信息
在下面的屏幕截图中，我们可以看到结果。
我们选择默认的时间范围“最近 7 天”。
我们可以看到交易所规则在 06/12 到 08/12 之间被“激活”或“触发”
如果我们需要更详细的信息，例如特定 Exchange Online 规则被激活的时间，我们可以使用选项 - 查看表
在下面的屏幕截图中，我们可以看到“表格视图”。
我们可以看到 Exchange Online 规则于 07/12 日期触发
使用 Exchange Online 邮件跟踪验证是否使用了 Exchange Online 规则
我们可以用来获取有关特定“邮件事务”信息的另一个工具是使用 Exchange Online 邮件跟踪选项。
假设我们已经配置了一个 Exchange Online 欺骗电子邮件规则，该规则应该识别并删除邮件项目；似乎是欺骗性的电子邮件。
“问题”是，当 Exchange Online 识别出欺骗性电子邮件时，该邮件将被删除，但我们无法了解此事件，并且我们不完全确定 Exchange Online 规则正在“强制”所需的策略。
为了验证“欺骗电子邮件微薄”发生了什么，我们将模拟欺骗电子邮件攻击，然后使用 Exchange Online 邮件进行跟踪，以检查欺骗电子邮件是否被 Exchange Online Spoof E“捕获” - 邮件规则。
在我们的特定场景中，我们再次从未经身份验证的收件人发送了一封欺骗电子邮件，该收件人将使用我们尝试发送电子邮件的 Suzan@o365pilot.com 身份发送给使用电子邮件地址的名为 bob 的收件人 - Bob@o365pilot.com
在我们的场景中，我们想要测试以下 Exchange Online 规则：
该规则应识别主机试图向合法组织接收者冒充自己的场景
在这种情况下，规则应该
- 删除电子邮件信息
- 生成+发送事件报告给指定收件人
在下面的屏幕截图中，我们可以看到我们特定的 Exchange Online
欺骗电子邮件规则的内容：
我们将模拟 Suzan@o365pilot.com 发送的欺骗电子邮件场景，并在下一步中使用 Exchange Online 邮件跟踪来获取有关该邮件的更多信息。发送给目标收件人的特定欺骗电子邮件的流程 - Bob@o365pilot.com
如果您想了解有关如何模拟电子邮件欺骗攻击的更多信息，请阅读文章 -如何模拟电子邮件欺骗攻击 |第 11#12 部分
为了能够“跟踪”我们发送给目标收件人的欺骗性电子邮件的邮件流 - Bob@o365pilot.com，我们将使用 Exchange Online 邮件痕迹
- 登录 Exchange 管理门户
- 在左侧菜单栏上，选择 -邮件流
- 在顶部菜单栏上，选择 - 消息跟踪
在我们的特定场景中，我们正在查找发送给收件人 Bob@o365pilot.com 的电子邮件
在下面的屏幕截图中，我们可以看到结果。结果详细列出了发送至 Bob@o365pilot.com 的所有电子邮件
我们对 Suzan@o365pilot.com 发送的电子邮件感兴趣
电子邮件的状态为“失败”
乍一看，这似乎是一个问题，但术语“失败”的翻译是
电子邮件未到达目的地收件人邮箱。
在我们的方案中，这是期望的结果，因为我们期望 Exchange Online 欺骗电子邮件规则将识别、阻止和删除欺骗电子邮件。
如果我们想获得有关邮件流的更多详细信息，我们需要双击日志行。
现在我们可以看到电子邮件中发生的“事件链”。
我们可以看到 Exchange Online 接受了欺骗性电子邮件（显示为 RECEIVE）
由于 Exchange Online 发现与创建的特定规则“匹配”，因此 Exchange Online 将遵循规则中显示的说明：
- 欺骗性电子邮件将被删除（编号1）。
- Exchange Online 将创建事件报告并将其发送给指定收件人（号码2）。
当前文章系列的下一篇文章
在下一篇文章 - 模拟电子邮件欺骗攻击 |第 10#12 部分中，我们将回顾如何模拟电子邮件欺骗攻击。