Sophos Email-quarantaine beheren

De pagina Quarantined Messages bundelt berichten uit alle beveiligde postvakken. Bepaal vóór een actie in welke lijst het item staat: de gewone Email Security-quarantaine houdt een bericht vóór bezorging tegen; post-deliveryquarantaine haalt een al bezorgd bericht terug. Dit verschil bepaalt het effect, de validatie en het risico van vrijgave.

Deze procedure is voor beheerders van Sophos Fusion (voorheen Sophos Central). Vrijgave door gebruikers in Self Service Portal en quarantaineoverzichten vormen een apart selfserviceproces. Automatisering via Email Quarantine API valt eveneens buiten deze GUI-procedure.

Toegang, autorisatie en brongegevens voorbereiden

Gebruik een persoonlijk beheerdersaccount in de juiste tenant en pas minimale bevoegdheden toe. De vooraf gedefinieerde rol Admin kan e-mail op Quarantined Messages vrijgeven; alleen leesrechten zijn onvoldoende. Administratieve rollen in Sophos Fusion beschrijft de toewijzing. Controleer of het account de goedgekeurde acties werkelijk aanbiedt.

Leg ticket of wijziging, periode, verwachte afzender en ontvanger, onderwerp, bericht-ID, vermoedelijke reden en toegestane actie vast. Noteer vóór een bulkactie de toegepaste filters, het aantal resultaten en de bericht-ID’s afzonderlijk in het ticket of wijzigingsrecord. Open bijlagen en URL’s alleen in een goedgekeurde analyseomgeving, nooit op de normale beheerwerkplek.

Quarantainetype en bewaring onderscheiden

Open Quarantined Messages en kies bewust het juiste tabblad:

Email security quarantine bevat vóór bezorging tegengehouden berichten die standaardbeleid als spam, malware of anderszins verdacht heeft aangemerkt.
Post-delivery quarantine verschijnt alleen met actieve post-deliverybeveiliging. De berichten waren bezorgd, zijn later als kwaadaardig of riskant herkend en teruggehaald. Voor inkomende berichten zijn onderwerp en details beschikbaar; voor intern doorgestuurde of beantwoorde Microsoft 365-berichten ontbreken volledige details.
M365 quarantine vereist ingeschakelde M365 Quarantine en een geconfigureerde post-deliveryverbinding. De lijst toont door Microsoft 365 in quarantaine geplaatste berichten. Configuratie, rechten, synchronisatie en verwijdering van de verbinding horen bij de aparte M365-procedure.

Standaard wordt vandaag getoond. Het maximale bereik is 30 dagen, of 90 met Sophos Email Plus. Email Security-berichten worden na 30 dagen verwijderd, of na 90 met Email Plus. Niet-vrijgegeven post-deliveryberichten worden na 30 dagen verwijderd. Quarantaine is geen permanente bewijsopslag.

Resultaten zoeken en beperken

Open Advanced Search in de juiste lijst. Criteria zijn From, To, Subject, Message size en Attachment. Deelreeksen zijn niet hoofdlettergevoelig; Message size gebruikt de MIME-grootte, die groter kan zijn dan het ruwe bestand. Speciale en opmaaktekens worden genegeerd.

Meerdere criteria worden met AND gecombineerd. Begin met periode en ontvanger en voeg afzender, onderwerp of bijlagetype toe. Filter ook op Direction, Status of Reason. Kies na een wijziging Refresh. Met het grijze kruis verwijdert u direct een criterium.

In Email Security-lijsten zijn afzender en ontvanger SMTP-envelopeadressen. In M365 quarantine gebruiken From en To headeradressen. De pijlen filteren inkomend of uitgaand. Post-delivery quarantine en M365 quarantine tonen geen richting omdat alle berichten inkomend zijn.

Vergelijk vóór een bulkactie lijst, tijd, ontvanger, Reason, bericht-ID en aantal. Een gelijk onderwerp bewijst niet dat het hetzelfde bericht is.

Het bericht veilig inspecteren

Selecteer het onderwerp om Message Details te openen. De tabbladen hangen af van de lijst:

Details toont algemene gegevens en identificeert een post-delivery-clawback.
Raw Header toont headers. AI Analysis kan SPF, DKIM, DMARC en de beveiligingsanalyse samenvatten, maar vervangt ruwe headers en oordeel niet.
Message toont de inhoud. Voor M365 moet de verbinding met Microsoft-services worden bevestigd; ophalen kan langer duren.
Attachments toont namen en grootten. In Email security quarantine kunnen bevoegde beheerders bijlagen downloaden, verwijderen en opnieuw koppelen, ook na verwijdering door Data Control. Post-delivery quarantine staat downloaden toe. M365 quarantine toont alleen namen en grootten.
URLs toont gevonden URL’s: dit zijn onderzoeksgegevens, geen links om te openen. Kies hier Export en vervolgens CSV of PDF om de URL-lijst van dit ene bericht op te slaan. Dit is niet het quarantainerapport voor een datumbereik.

Controleer vóór de URL-export of de opdracht en uw accountrechten het bekijken en opslaan van deze gegevens toestaan. Ontbreekt de actie, controleer dan uw rol en de beschikbare berichtdetails in plaats van de rechten ruim uit te breiden. Controleer het opgeslagen bestand en vergelijk de URL’s met het onderzochte bericht; de export bewijst niet wat de volledige oorspronkelijke berichtinhoud was. Verwijder vóór het delen onnodige persoonsgegevens en eventuele tokens uit een kopie en bewaar een eventueel benodigd origineel met beperkte toegang.

Downloaden, verwijderen of opnieuw koppelen verandert het risico. Doe dit alleen voor de goedgekeurde casus, sla onbekende bestanden niet op normale werkplekken op en registreer naam, grootte, oordeel en actie.

Bijlagen met Intelix scannen

De GUI-herscan geldt alleen voor berichten met bijlagen in Email security quarantine. Kies in Message Details de optie Scan with Intelix. De analyse draait op de achtergrond en verschijnt in Intelix Threat Summary. Bij clean of likely clean blijft de detailpagina open en kunt u View Intelix Report kiezen; malicious of suspicious leidt naar het rapport.

Scannen kan ook vóór Release of Release and Allow. Clean of likely clean geeft het bericht vrij; malicious of suspicious houdt het in quarantaine. Bij Release and Allow wordt de afzender pas na een schoon oordeel toegestaan. Voor al door Intelix tegengehouden berichten opent View Report het bestaande rapport.

Intelix verkleint onzekerheid maar keurt geen bedrijfsbesluit goed. Houd het bericht in quarantaine als identiteit, authenticatie of context niet klopt, ook bij een schone bijlage.

Vrijgeven, toestaan, verwijderen of blokkeren

Controleer vlak vóór de actie opnieuw tenant, tabblad, ontvanger, ID, reden en geselecteerd aantal.

Release bezorgt een geschikt bericht na een nieuwe Sophos Email-scan. Vrijgave van een teruggehaald post-deliverybericht geeft ook gekoppelde interne doorgestuurde of beantwoorde berichten vrij.
Release and Allow bezorgt en voegt het adres toe aan Inbound Allow/Block. Schakel Enforce Message Authentication in om ten minste DMARC, SPF of DKIM te eisen. Gebruik dit alleen voor een duurzaam bevestigde identiteit, nooit om een oordeel te omzeilen.
Delete verwijdert geselecteerde objecten; het is geen tijdelijke verberging. Bewaar bewijs en controleer selectie en aantal.
Delete and Block verwijdert en voegt de afzender toe aan Inbound Allow/Block. Gebruik dit alleen als zowel het huidige bericht als toekomstig verkeer geblokkeerd moet worden.

Open voor gericht blokkeren Message Details. Kies onder SMTP From achtereenvolgens Block en Block sender of Block sender domain; onder het IP-adres staat Block IP Address. Leg een reden vast. Blokkeer geen gedeeld provider-IP zonder impactanalyse: één Microsoft 365-IP kan vele afzenders raken.

In M365 quarantine sturen Release en Delete alleen een verzoek naar Microsoft 365. Laad daarna de Microsoft-gegevens opnieuw met Refresh; de knop bewijst geen verwerking en wijzigingen kunnen vertraagd verschijnen. De Sophos-blokkeeracties hierboven gelden niet voor deze lijst.

Rapporten en auditbewijs bewaren

Gebruik Export om een quarantainerapport als CSV of PDF te downloaden voor de gekozen periode of de laatste 90 dagen. Rapporten voor geselecteerde beheerders kunnen afzonderlijk worden gepland. Houd de wijzigings- of incidentregistratie gescheiden van deze rapporten.

Leg tenant, beheerder, datum, type, afzender, ontvanger, ID, Reason, header- en Intelix-oordelen, actie, aantal en ticket vast. Bewaar bijlagen of volledige inhoud alleen als privacy- en bewaarbeleid dit toestaat.

Het resultaat valideren

Kies Refresh en herhaal dezelfde zoekopdracht. Bevestig:

Sophos Fusion heeft de actie zonder fout geaccepteerd. Leg die reactie voor Delete vast; een rij die daarna ontbreekt bewijst op zichzelf geen verwijdering.
Bij Release bevestigt de juiste ontvanger de bezorging. Controleer in Message History of de verwerking doorging of het bericht opnieuw in quarantaine kwam.
Bij post-delivery is duidelijk of gekoppelde doorgestuurde berichten of antwoorden ook zijn vrijgegeven.
Inbound Allow/Block bevat exact het bedoelde adres, domein of IP en een duidelijke reden.
Bericht-ID en tijd in Message History passen bij de casus; leg de uitgevoerde beheerdersactie afzonderlijk in het ticket vast.
Voor M365 toont de vanuit Microsoft herladen lijst de nieuwe toestand. Blijft die ongewijzigd, wacht dan op synchronisatie in plaats van succesvolle verwerking aan te nemen.

Een ontbrekende rij bewijst niets: filters, periode of vervallen bewaring kunnen hetzelfde veroorzaken.

Problemen oplossen en escaleren

Geen resultaat: controleer tabblad, periode en tenant; verwijder criteria één voor één en kies Refresh. Vergelijk envelope- en headeradres; geen richting bij post-delivery is normaal.
Details ontbreken: controleer het type. Interne post-deliverydoorgiften hebben geen volledige details; bij M365 kan bevestiging ontbreken of vertraging optreden.
Vrijgave ontbreekt: controleer rol, reden, beleid en type. Verhoog geen rechten en maak geen allow-item om de actie te omzeilen.
Vrijgegeven bericht komt niet aan: controleer herscan, Message History, ontvanger en herquarantaine; bij M365 de verzoekstatus.
Opnieuw in quarantaine: vergelijk Reason, richting, toewijzing en effectief beleid. Verhelp de oorzaak in plaats van herhaald vrij te geven of breed toe te staan.
Intelix blijft riskant of onduidelijk: niet vrijgeven. Bewaar rapport, ID en bijlage voor Security Operations.

Verzamel voor escalatie tenant-ID, tijd met tijdzone, lijst, bericht-ID, afzender, ontvanger, Reason, Status, ruwe headers, beleidsnaam, actie, Intelix-rapport en schermafbeeldingen zonder onnodige persoonsgegevens. Voeg bij post-delivery clawbacktijd en doorgiften toe; bij M365 verbindings- en verzoekstatus. Houd beveiliging actief en het bericht in quarantaine tot oplossing.