Untersuchen schädlicher E-Mails, die in Microsoft 365 übermittelt wurden

Tipp

Wussten Sie, dass Sie die Features in Microsoft Defender XDR für Office 365 Plan 2 kostenlos testen können? Verwenden Sie die 90-tägige Testversion von Defender für Office 365 im Microsoft Defender-Portal–Testversionshub. Unter Microsoft Defender für Office 365 ausprobieren erfahren Sie, wer sich registrieren und testen kann.

Microsoft 365-Organisationen, die Microsoft Defender für Office 365 in ihrem Abonnement enthalten oder als Add-On erworben haben, verfügen über Explorer -Erkennungen (auch als Bedrohungs-Explorer bezeichnet) oder Echtzeiterkennungen. Diese Features sind leistungsstarke Tools nahezu in Echtzeit, die Security Operations-Teams (SecOps) dabei unterstützen, Bedrohungen zu untersuchen und darauf zu reagieren. Weitere Informationen finden Sie unter Informationen zu Bedrohungs-Explorer und Echtzeiterkennungen in Microsoft Defender für Office 365.

Bedrohungs-Explorer und Echtzeiterkennungen ermöglichen es Ihnen, Aktivitäten zu untersuchen, die Personen in Ihrer Organisation gefährden, und Maßnahmen zum Schutz Ihrer Organisation zu ergreifen. Zum Beispiel:

  • Suchen und Löschen von Nachrichten.
  • Identifizieren Sie die IP-Adresse eines böswilligen E-Mail-Absenders.
  • Starten Sie einen Incident zur weiteren Untersuchung.

In diesem Artikel wird erläutert, wie Sie den Bedrohungs-Explorer und Echtzeiterkennungen verwenden, um schädliche E-Mails in Empfängerpostfächern zu finden.

Tipp

Informationen zu den Korrekturverfahren finden Sie unter Beheben schädlicher E-Mails, die in Office 365 übermittelt werden.

Informationen zu anderen E-Mail-Szenarien mit Bedrohungs-Explorer und Echtzeiterkennungen finden Sie in den folgenden Artikeln:

Was sollten Sie wissen, bevor Sie beginnen?

Verdächtige E-Mails finden, die übermittelt wurden

  1. Führen Sie einen der folgenden Schritte aus, um Bedrohungs-Explorer oder Echtzeiterkennungen zu öffnen:

  2. Wählen Sie auf der Seite Explorer - oder Echtzeiterkennungen eine entsprechende Ansicht aus:

  3. Wählen Sie den Datums-/Uhrzeitbereich aus. Der Standardwert ist gestern und heute.

    Screenshot des Datumsfilters, der im Bedrohungs-Explorer und bei Echtzeiterkennungen im Defender-Portal verwendet wird.

  4. Erstellen Sie eine oder mehrere Filterbedingungen, indem Sie einige oder alle der folgenden Zieleigenschaften und -werte verwenden. Vollständige Anweisungen finden Sie unter Eigenschaftenfilter im Bedrohungs-Explorer und Echtzeiterkennungen. Zum Beispiel:

    • Übermittlungsaktion: Die Aktion, die aufgrund vorhandener Richtlinien oder Erkennungen für eine E-Mail ausgeführt wurde. Hilfreiche Werte sind:

      • Zugestellt: E-Mail, die an den Posteingang des Benutzers oder einen anderen Ordner übermittelt wird, in dem der Benutzer auf die Nachricht zugreifen kann.
      • Junked( Junked): E-Mails, die an den Junk-E-Mail-Ordner oder den Ordner "Gelöschte Elemente" des Benutzers übermittelt werden, in dem der Benutzer auf die Nachricht zugreifen kann.
      • Blockiert: E-Mail-Nachrichten, die unter Quarantäne standen, die nicht übermittelt wurden oder verworfen wurden.

    • Ursprünglicher Zustellungsort: Dort, wo E-Mails vor automatischen oder manuellen Postzustellungsaktionen des Systems oder der Administratoren (z. B. ZAP oder verschoben in Quarantäne) gesendet wurden. Hilfreiche Werte sind:

      • Ordner "Gelöschte Elemente"
      • Verworfen: Die Nachricht ist im E-Mail-Fluss verloren gegangen.
      • Fehler: Die Nachricht konnte das Postfach nicht erreichen.
      • Posteingang/Ordner
      • Junk-E-Mail-Ordner
      • Lokal/extern: Das Postfach ist in der Microsoft 365-Organisation nicht vorhanden.
      • Quarantäne
      • Unbekannt: Beispielsweise hat eine Posteingangsregel die Nachricht nach der Zustellung in einen Standardordner (z. B. Entwurf oder Archiv) anstatt in den Ordner Posteingang oder Junk-E-Mail verschoben.

    • Letzter Zustellungsort: Ort, an dem E-Mails nach automatischen oder manuellen Postzustellungsaktionen des Systems oder der Administratoren geendet wurden. Die gleichen Werte sind am ursprünglichen Lieferort verfügbar.

    • Directionality: Gültige Werte sind:

      • Eingehend
      • Organisationsintern
      • Ausgehend

      Anhand dieser Informationen können Spoofing und Identitätswechsel identifiziert werden. Beispielsweise sollten Nachrichten von internen Domänensendern organisationsintern und nicht eingehend sein.

    • Zusätzliche Aktion: Gültige Werte sind:

    • Primäre Außerkraftsetzung: Wenn die Organisations- oder Benutzereinstellungen Nachrichten zugelassen oder blockiert haben, die andernfalls blockiert oder zugelassen worden wären. Werte sind folgende:

      • Durch Organisationsrichtlinie zugelassen
      • Durch Benutzerrichtlinie zugelassen
      • Durch Organisationsrichtlinie blockiert
      • Durch Benutzerrichtlinie blockiert
      • Keine

      Diese Kategorien werden durch die Eigenschaft Primäre Außerkraftsetzungsquelle weiter optimiert.

    • Primäre Außerkraftsetzungsquelle Der Typ der Organisationsrichtlinie oder Benutzereinstellung, die Nachrichten zugelassen oder blockiert hat, die andernfalls blockiert oder zugelassen worden wären. Werte sind folgende:

    • Außerkraftsetzungsquelle: Dieselben verfügbaren Werte wie primäre Außerkraftsetzungsquelle.

      Tipp

      Auf der Registerkarte Email (Ansicht) im Detailbereich der Ansichten Alle E-Mails, Schadsoftware und Phish heißen die entsprechenden Außerkraftsetzungsspalten Systemüberschreibungen und Quelle für Systemüberschreibungen.

    • URL-Bedrohung: Gültige Werte sind:

      • Schadsoftware
      • Phishing
      • Spam

  5. Wenn Sie die Konfiguration von Datums-/Uhrzeit- und Eigenschaftsfiltern abgeschlossen haben, wählen Sie Aktualisieren aus.

Die Registerkarte Email (Ansicht) im Detailbereich der Ansicht Alle E-Mails, Schadsoftware oder Phish enthält die Details, die Sie benötigen, um verdächtige E-Mails zu untersuchen.

Verwenden Sie beispielsweise die Spalten Übermittlungsaktion, Ursprünglicher Zustellungsort und Letzter Übermittlungsort auf der Registerkarte (Ansicht) Email, um ein vollständiges Bild davon zu erhalten, wo die betroffenen Nachrichten gesendet wurden. Die Werte wurden in Schritt 4 erläutert.

Verwenden Sie Export , um bis zu 200.000 gefilterte oder ungefilterte Ergebnisse selektiv in eine CSV-Datei zu exportieren.

Korrigieren von zugestellten schädlichen E-Mails

Nachdem Sie die schädlichen E-Mail-Nachrichten identifiziert haben, die übermittelt wurden, können Sie sie aus Empfängerpostfächern entfernen. Anweisungen finden Sie unter Beheben schädlicher E-Mails, die in Microsoft 365 übermittelt werden.

Korrigieren bösartiger E-Mails, die in Office 365 zugestellt wurden

Microsoft Defender für Office 365

Anzeigen von Berichten für Defender for Office 365