Sophos EMS-telemetrie beoordelen en e-mails intrekken met clawback

Het Sophos Email Monitoring System (EMS) beoordeelt journalingkopieën. Statuswaarden in Message History, ook van berichten die in quarantaine lijken te staan, zijn daarom telemetrie: ze tonen wat Sophos Email met het bericht zou hebben gedaan, niet wat er met het al bezorgde origineel is gebeurd. Het origineel wordt pas uit een ondersteunde Microsoft 365-mailbox verwijderd nadat een handmatige On-demand clawback is geslaagd.

Snelle manier: Verbind als Super Admin het getroffen Microsoft-365-domein onder Global Settings > Products and Services > Email > Gateway Domains of M365 Mailflow Domains > Post-Delivery > Connect, geef Microsoft toestemming en activeer alleen On-demand clawback. Zoek vervolgens het afgeleverde bericht op onder Reports > Email Security Logs > Message History, controleer de ontvanger en het onderwerp en start Initiate clawback. De controle is alleen voltooid als Clawback Successful en de vermelding onder My Products > Email Security > Quarantined Messages > Post-delivery quarantine aanwezig zijn en hetzelfde bericht ontbreekt in de geselecteerde ontvangersmailbox. De ontvanger, afzender en onderwerp moeten overeenkomen met Additional details en Post-delivery quarantine.

Belangrijk: EMS ondersteunt alleen handmatige on-demand clawback. Auto search and remediate maakt geen deel uit van de EMS-werkwijze en wordt voor dit proces niet geactiveerd. Een EMS-status Quarantined of Delivery Successful bewijst niet dat het oorspronkelijke bericht daadwerkelijk in quarantaine is geplaatst of bezorgd.

Vereisten en operationele limieten

De rol Super Admin is vereist voor het instellen en beheren van de domeinverbinding na levering. De nabezorgfuncties zijn standaard uitgeschakeld. Voor het hier beschreven Microsoft-365-proces moet bovendien aan de volgende voorwaarden worden voldaan:

De Microsoft-365-gateway of het mailflow-domein bestaat al in Sophos Fusion.
De browser staat de Microsoft-pop-ups toe voor autorisatie.
U kunt zich aanmelden bij de juiste Microsoft 365-tenant en de gevraagde Microsoft-toestemming verlenen.
Het domein is individueel gekoppeld voor bescherming na levering; voor elke verbinding is toestemming van Microsoft vereist.
Het in te trekken bericht is succesvol afgeleverd in een mailbox in een aangesloten domein.

On-demand clawback kan berichten uit een of meer mailboxen van ontvangers naar quarantaine na bezorging verplaatsen. In Microsoft 365 kunnen ook intern doorgestuurde kopieën of antwoorden worden meegenomen. Mailboxen in de lijst excluded mailboxes zijn uitgesloten van acties na bezorging: automatische en handmatige clawback verwijderen daar geen berichten. Sophos staat maximaal vijf mailboxen in deze uitsluitingslijst toe.

Voor de Threat Analysis Center > Detections- en Threat Analysis Center > Cases-gebieden is ook Sophos EDR, XDR of MDR vereist. Deze licentie is niet vereist om een EMS-rapportvermelding te lezen; de licentie is alleen nodig voor de daaropvolgende detectie- en caseworkflows.

Sluit Microsoft 365 aan voor handmatige terugvordering

Open als superbeheerder Global Settings > Products and Services > Email.
Selecteer Gateway Domains of M365 Mailflow Domains. Plaats in de betreffende rij de aanwijzer op Post-Delivery status onder Post-Delivery en klik op Connect.
Selecteer Microsoft M365 in het dialoogvenster als Sophos Fusion de e-mailservice niet automatisch herkent. Bij een onjuiste selectie wordt de procedure niet voortgezet.
Lees en accepteer de gebruiksvoorwaarden. Deze stap is vereist voor elk nieuw verbonden domein.
Controleer in de Microsoft-pop-ups de aangemelde tenant en verleen Sophos de gevraagde machtigingen. Normaal verschijnen twee toestemmingsverzoeken: één voor de hoofdtoepassing van Sophos en één voor API-toegang. Als een machtiging al is verleend, kan slechts één verzoek verschijnen.
Klik na succesvolle goedkeuring op Continue. Het tot stand brengen van de verbinding kan enkele minuten duren. Selecteer na voltooiing Close en controleer de verbindingsstatus van het domein.
Klik op Configure Post Delivery, schakel On demand clawback in en sla op met Save. Auto search and remediate blijft uitgeschakeld voor EMS.

Via Global Settings > Products and Services > Email > Post Delivery Protection beheert u de functies centraal. Include internally forwarded emails breidt de handmatige clawback uit naar het oorspronkelijke bericht en intern doorgestuurde of beantwoorde kopieën, ook in het Postvak IN en Verzonden items. Gebruik deze optie alleen als dit ruimere bereik gewenst is; de optie wordt uitsluitend ondersteund voor Microsoft 365-mailboxen.

Als een bijzonder beveiligde mailbox niet aan acties na bezorging mag worden onderworpen, schakelt u Exclude mailboxes in en voegt u de mailbox toe aan excluded mailboxes. Houd er vóór het opslaan rekening mee dat een latere handmatige clawback geen berichten uit deze mailbox verwijdert.

Lees de EMS-telemetrie correct

De hoofdweergave staat onder Reports > Email Security Logs > Message History; afhankelijk van de navigatie kunt u deze ook openen via My Products > Email Security > Reports > Message History. Het Processed-rapport toont één rij per verwerkt bericht, zelfs als het bericht meerdere ontvangers heeft. De kolommen betekenen:

Direction: inkomend of uitgaand;
Sender en Recipients: afzender en alle ontvangers;
Type: Gateway of Mailflow;
Subject: opent de berichtdetails;
Last Status: recente activiteit in het rapport;
Date: datum van deze meest recente activiteit;
Category: classificatie van het bericht.

In het rapport wordt onderscheid gemaakt tussen Processed voor succesvol verwerkte berichten en Rejected voor berichten die zijn afgewezen omdat er geen mailbox is gevonden. Voor gateway- en mailflow-domeinen beperkt Type de gewenste bron. Standaard ziet u de huidige dag; selecteer na het wijzigen van de periode of filters Refresh om de weergave bij te werken.

In de EMS-modus beschrijven Last Status, Category en bezorgingswaarden de beoordeling van de gescande journalingkopie. Quarantined, Deleted en Delivery Successful bewijzen dus niet dat er iets met het oorspronkelijke bericht is gedaan. Dezelfde beperking is zichtbaar in My Products > Email Security > Quarantined Messages: een EMS-vermelding met de gesimuleerde status Quarantined bevat het origineel niet. Werkelijk ingetrokken berichten staan in Post-delivery quarantine.

Bericht op een gecontroleerde manier intrekken

Beperk de resultaten vóór de actie met Direction, Sender, Recipients, Subject, Date en Category. Alleen succesvol afgeleverde inkomende berichten komen in aanmerking voor clawback. Omdat één rij meerdere ontvangers kan bevatten, moet u de lijst met ontvangers bijzonder zorgvuldig controleren voordat u bevestigt.

Clawback voor volledige berichten uit de berichtgeschiedenis

Onder Reports > Email Security Logs > Message History filtert u op inkomende, succesvol afgeleverde berichten. Advanced Search kan de selectie verder verfijnen.
Selecteer de gewenste berichten. Select all geldt alleen voor de huidige pagina; controleer daarom de filters en zichtbare resultaten opnieuw voordat u doorgaat.
Klik op Initiate clawback.
Selecteer desgewenst Spam emails, Malware emails, Phishing emails of Unwanted emails als reden. Berichten met spam, malware of phishing kunt u bovendien naar SophosLabs sturen via Report the emails to SophosLabs.
Met Confirm start u de terugvordering.

Beperk de terugvordering tot specifieke ontvangers

Open Reports > Email Security Logs > Message History > Processed en klik op de Subject van het bericht.
Selecteer in de berichtdetails alleen de betreffende Recipients.
Indien ook interne doorzendingen of antwoorden verwijderd moeten worden, selecteert u de betreffende ontvangers in tabel Internal forwards. Zonder deze selectie blijft de reikwijdte beperkt tot de geselecteerde oorspronkelijke ontvangers.
Klik op Initiate clawback, selecteer de reden en eventueel Report the emails to SophosLabs.
Bevestig de actie met Clawback. De gedetailleerde status verschijnt in Additional details.

Een terugvordering kan maximaal tien minuten duren. Externe mailboxen kunnen in de resultaten verschijnen, maar acties na bezorging werken alleen voor mailboxen in domeinen die zijn verbonden met Sophos Fusion. Een bericht en de intern doorgestuurde of beantwoorde kopieën ervan kunnen slechts één keer worden ingetrokken. Als het later uit de quarantaine na levering wordt vrijgegeven, kunt u het niet opnieuw verwijderen met behulp van een terugvorderingsprocedure.

Valideer resultaat

Een geslaagde validatie controleert beide kanten van de actie:

In Message History of Additional details verandert het proces van Clawback Initiated in Clawback Successful. Clawback Failed is geen gedeeltelijk succes; Clawback Released betekent dat het verzoek is geannuleerd of dat het bericht is vrijgegeven.
Onder My Products > Email Security > Quarantined Messages verschijnt het bericht in Post-delivery quarantine. Vergelijk daar quarantine source, status, sender, recipient en subject met het oorspronkelijke incident.
Beperk een gecontroleerde test tot één geselecteerde mailbox van een Microsoft 365-ontvanger en bevestig dat het betreffende bericht daar niet meer aanwezig is. Recipient, sender en subject moeten overeenkomen met Additional details en de vermelding in Post-delivery quarantine. Als het bericht nog in de geselecteerde mailbox staat of niet eenduidig kan worden gekoppeld, is de validatie mislukt. Controleer vervolgens de geselecteerde ontvanger, het verbonden domein, excluded mailboxes en Additional details.
Bij het selecteren van een ontvanger komt de werkelijk verwerkte ontvangersgroep overeen met de selectie. Bij distributielijsten kan de status ook na een succesvolle poging op Clawback Initiated blijven staan.

De quarantaine na bezorging bevat dus het werkelijk teruggetrokken bericht. Andere EMS-vermeldingen met Quarantined blijven gesimuleerde beoordelingen en worden vervolgens geen echte quarantaineobjecten.

Bevindingen overdragen aan detecties en cases

Als u een reden voor clawback kiest, wordt een detectie naar MDR verzonden; de reden verschijnt als achtervoegsel in de kolom Detection Rule. Deze overdracht staat los van de statuswaarden in het EMS-rapport. Een gesimuleerde EMS-quarantaine is niet automatisch een detectie of een case.

Met EDR, XDR of MDR opent u Threat Analysis Center > Detections en filtert u op Severity, detection type, time range en device/entity. Detecties ontstaan alleen als geschikte telemetrie naar Sophos Data Lake is geüpload en met een detectieregel overeenkomt. Een ontbrekende vermelding bewijst dus niet dat de EMS-rapportvermelding onjuist is.

Controleer onder Threat Analysis Center > Cases de velden Severity, Status, Managed by, assignee en de gekoppelde detections. Het MDR-team onderzoekt MDR-cases die door Sophos worden beheerd. Sophos onderzoekt geen XDR-cases met Managed by: Self; wijs deze toe aan een beheerder voor intern onderzoek. Bij de eerste keer openen kan een lege lijst normaal zijn.

Problemen oplossen op basis van symptomen

Microsoft-toestemmingsvenster verschijnt niet: Schakel de pop-upblokkering voor Microsoft 365-domeinen uit of stel een uitzondering in en start Connect opnieuw. Zonder verleende machtigingen werkt Bescherming na bezorging niet.

Verkeerde Microsoft-tenant wordt geopend: Bevestig de opgeslagen inloggegevens niet. Sluit het verbindingsdialoogvenster en start opnieuw op in een privébrowservenster met de juiste tenant.

Sophos herkent de service niet: Selecteer Microsoft M365 in het keuzedialoogvenster. Verschijnt er geen dialoogvenster of komt het domein niet overeen met de Microsoft-tenant, ga dan niet verder door een andere tenant of een niet-gerelateerd account te autoriseren.

Verbinding mislukt: Controleer of de melding een time-out, ontbrekende toestemming voor API- of gegevenstoegang of niet-overeenkomende domeinen vermeldt. Verhelp de oorzaak voordat u opnieuw verbinding maakt. Als de melding geen reden geeft, escaleert u de fout naar Sophos of de Microsoft 365-beheerders; wijzig machtigingen of domeinen niet zonder vastgestelde oorzaak.

Bericht toont Quarantined, maar staat nog in de mailbox: In de EMS-modus is dit te verwachten zolang geen handmatige clawback is geslaagd. Controleer eerst of de vermelding alleen de gesimuleerde beoordeling van een journalingkopie toont.

Clawback ontbreekt of mislukt: Controleer of On demand clawback actief is, het inkomende bericht met succes is bezorgd, de doelmailbox tot een verbonden domein behoort en niet onder excluded mailboxes staat. Controleer vervolgens Additional details en de Post-Delivery status van het domein. Start de actie niet meerdere keren binnen de gedocumenteerde tien minuten.

Geen detecties of cases: Controleer eerst de aanvullende EDR-, XDR- of MDR-licentie. Voor detecties moet geschikte telemetrie naar Data Lake zijn geüpload en met een detectieregel overeenkomen. Een aanvankelijk lege lijst met cases kan normaal zijn; ook XDR-cases blijven zelfbeheerd.

Veilige retourroute en lopende operaties

Als de handmatige terugvordering niet meer wordt aangeboden, opent u Global Settings > Products and Services > Email > Post Delivery Protection, schakelt u On demand clawback uit en slaat u op met Save. Controleer vervolgens of de functie is uitgeschakeld. Berichten die al zijn ingetrokken, worden niet automatisch vrijgegeven.

Als u de verbinding volledig buiten gebruik wilt stellen, controleert u eerst het betrokken domain, de Post-Delivery status en lopende clawback-processen. Gebruik daarna de actie Disconnect voor het domein in Gateway Domains of M365 Mailflow Domains. Sophos documenteert geen verdere automatische opschoning in de Microsoft-tenant. Als het domein daarna nog niet als niet-verbonden wordt weergegeven, of als de Microsoft-machtigingen afzonderlijk moeten worden verwijderd, stopt u en stemt u de volgende stap af met Sophos of de Microsoft 365-beheerders. Verwijder machtigingen niet op goed geluk.

Voer bij normaal gebruik een korte, herhaalbare controle uit: bekijk nieuwe EMS-beoordelingen in Message History, houd gesimuleerde en echte quarantaine strikt gescheiden, volg openstaande processen met de status Clawback Initiated of Clawback Failed en wijs zelfbeheerde XDR-cases toe aan een assignee. Controleer vóór wijzigingen ook of de benodigde licenties in de tenant aanwezig zijn en of het geplande proces nog overeenkomt met de actuele Sophos-productdocumentatie.

Gerelateerde gids

EMS controleert berichten, maar vervangt niet het beveiligen van uw eigen afzenderdomeinen. Voor de afzonderlijke taken rond het leveren van rapporten, het afstemmen van SPF/DKIM en het geleidelijk aanscherpen van het beleid volgt u de instructies Sophos Email DMARC Manager instellen.