← Cloudflare One / cloudflare-one / email-security / investigation

Поиск писем

С помощью Email security вы можете использовать различные критерии отбора для поиска по вашей почте, переклассифицировать и перемещать определённый объём сообщений, находить похожие письма и экспортировать сообщения.

Email security позволяет искать сообщения во входящих с помощью популярных, стандартных и расширенных критериев проверки. Расширенная проверка обеспечивает наиболее глубокий анализ вашей папки входящих.

Чтобы проверить весь свой почтовый трафик:

1. Войдите в Cloudflare One ↗.
2. Выберите Email security.
3. Выберите Расследование, затем Запустить новый снимок экрана.
4. Выберите между Popular, Обычный, а также Продвинутый уровень методы экрана. Описание того, что делает каждый метод, приведено ниже.

Результаты отображаются в таблице. Таблица позволяет просматривать сообщения, соответствующие выбранным критериям проверки, и принимать по ним меры.

Популярный фильтр позволяет просматривать сообщения на основе распространённых предустановленных критериев.

Чтобы использовать популярный критерий проверки:

1. В разделе Метод, выберите Экраны Popular.
2. Выберите один из следующих критериев:
   • Перемещенные письма: просмотр писем, перемещённых автоматически или вручную за последние семь дней.
   • Переклассифицированные письма: Письма, решение по которым было изменено за последние семь дней.
   • Malicious emails: Письма, которым за последние семь дней было присвоено решение Malicious.
   • Поддельные письма: Письма, которым за последние семь дней было присвоено решение Spoof.
   • Подозрительные письма: Письма, которым за последние семь дней было присвоено решение Suspicious.
   • Спам-письма: Письма, которым за последние семь дней было присвоено решение Spam.
3. Выберите Запустить снимок экрана.

Чтобы изменить свои критерии проверки, в разделе Критерии активной проверки, выберите Изменить.

Обычный фильтр позволяет исследовать входящие сообщения, вводя термин для поиска по всем критериям.

Чтобы использовать обычный критерий проверки:

1. В разделе Метод, выберите Обычный экран.
2. Выберите Диапазон дат.
3. Введите ключевое слово.
4. Выберите Запустить снимок экрана.

Чтобы учитывать все письма при поиске, включите Включить всю почту.

Чтобы изменить свои критерии проверки, в разделе Критерии активной проверки, выберите Изменить.

Чтобы сбросить критерии проверки, выберите Сбросить.

Критерии расширенной проверки позволяют сузить результаты поиска сообщений по определенным условиям. Расширенная проверка предлагает несколько параметров (например, ключевые слова, ключевые слова темы, домен отправителя и другие) для сканирования вашего почтового ящика.

Чтобы использовать расширенный критерий проверки:

1. В разделе Метод, выберите Advanced screen.
2. (Обязательно) Выберите диапазон дат.
3. (Необязательно) Заполните остальные поля. Все поля, кроме Subject, должны содержать только одно значение.
4. Выберите Запустить снимок экрана.

Чтобы учитывать все письма при поиске, включите Включить всю почту.

Чтобы изменить свои критерии проверки, в разделе Критерии активной проверки, выберите Изменить.

Чтобы сбросить критерии проверки, выберите Сбросить.

Перемещение сообщений позволяет переместить их в определенную папку. За один раз можно переместить до 1000 сообщений.

Чтобы переместить сообщения:

1. В Cloudflare One ↗, перейдите в Email security, и выберите Расследование.
2. На странице Расследование выберите все сообщения, которые нужно переместить.
3. Выберите Действие раскрывающемся списке, затем выберите Переместить.
4. Выберите одну из следующих папок:
   • Входящие: Перемещает сообщения в основную папку почты.
   • Нежелательная почта: Перемещает сообщения в папку нежелательной почты или спама.
   • Корзина: Перемещает сообщения в корзину или папку удалённых писем.
   • Мягкое удаление (можно восстановить пользователем): Перемещает сообщения в папку «Удалённые» пользователя. Этот параметр доступен только для Microsoft 365.
   • Hard delete (admin recoverable): Удаляет сообщения из папки «Входящие» пользователя.
5. Выберите Save.

Чтобы переместить сообщения массово, выберите Выберите все сообщения > Действие > Переместить.

У каждого обнаружения есть хеш Email Detection Fingerprint (EDF), который Email security отправляет в Search API для поиска похожих обнаружений.

Чтобы найти похожие результаты обнаружения:

1. В Cloudflare One ↗, перейдите в Email security, и выберите Расследование.
2. На странице Расследование в разделе Ваши совпадающие сообщения, найдите Похожие адреса электронной почты столбец.
3. Выберите количество похожих писем. При выборе этого количества откроется список похожих писем.

С помощью Email security вы можете экспортировать сообщения в файл CSV.

Чтобы экспортировать сообщения:

1. В Cloudflare One ↗, перейдите в Email security, и выберите Расследование.
2. На странице Расследование в разделе Ваши совпадающие сообщения, выберите Экспорт в CSV.
3. Выберите Экспорт сообщений во всплывающем сообщении. Вы можете экспортировать до 500 сообщений из панели управления. Чтобы экспортировать до 1,000 соответствующих сообщений, используйте API.

Чтобы экспортировать сообщения массово, выберите Выберите все сообщения > Экспорт в CSV.

Email security позволяет просматривать статус и действия по каждому письму.

Чтобы просмотреть статус и действия для каждого письма:

1. В Cloudflare One ↗, перейдите в Email security, и выберите Расследование.
2. На странице Расследование выберите три точки.
3. При выборе трёх точек отобразятся следующие варианты:

• Если письмо помещено в карантин:

  • Просмотр сведений: См. Сведения о письме чтобы узнать больше.
  • Просмотр похожих писем: Найдите похожие письма на основе value_edf_hash (хеш Electronic Detection Fingerprint).
  • Выпуск: Email security больше не будет помещать выбранные вами сообщения в карантин.
  • Отправить на проверку: Выберите решения для ваших сообщений, если они являются неверными. См. Переклассифицировать сообщения чтобы узнать больше.

• Если письмо не помещено в карантин:

  • Просмотр сведений.
  • Просмотр похожих писем.
  • Просмотр сведений об обращении.
  • Переместить (доступно только если вы разрешили перемещения).
  • Отправить на проверку.

Email security показывает следующие подробные сведения о письме:

• Подробности
• Журнал действий
• Необработанное сообщение
• Трассировка почты

Email security отображает следующие сведения:

1. Тип угрозы: Тип угрозы письма, например, сборщик учётных данных, а также Спам на основе IP-адресов.
2. Проверка: Методы проверки электронной почты SPF ↗, DKIM ↗, DMARC ↗. Панель управления отобразит Pass, если проверки SPF, DKIM и DMARC пройдены.
3. Данные отправителя: Информация включает:
   • IP-адрес
   • Зарегистрированный домен
   • Autonomous sys number: Этот номер идентифицирует ваш автономная система (AS) ↗.
   • Autonomous sys name: Это имя идентифицирует вашу автономную систему (AS).
   • Страна
4. Обнаруженные ссылки: Список вредоносных ссылок, обнаруженных Email security. См. Открыть ссылки и открывайте ссылки в Security Center, Browser Isolation или во внешнем инструменте по вашему выбору.
5. Вложения: Если у письма есть вложение, панель управления Cloudflare отображает имя файла и присвоенное решение. Вы можете открывать вложения в Browser Isolation. В настоящее время поддерживаются только файлы PDF.
6. Причины итогового статуса: Описание причины, по которой письмо было классифицировано как вредоносное, подозрительное или спам. Панель управления также отображает Сводки Cloudy.

Панель управления Cloudflare использует Cloudy чтобы объяснить, почему письмо было классифицировано как нежелательное.

Cloudy анализирует базовый код обнаружения и формирует описание конкретной логики, которая привела к итоговому решению по письму. Каждая сводка содержит опцию оценки, позволяющую отправить отзыв команде Email security. Сводки Cloudy доступны только для писем с итоговым статус обработки.

Просмотр всех сигнатур позволяет просматривать все обнаружения, сработавшие на письме, включая те, что не повлияли на итоговое решение.

Ссылки можно открыть в Security Center или Browser Isolation, или скопируйте ссылку, чтобы исследовать содержимое во внешних инструментах.

Переходя по ссылке в подозрительном письме, вы подвергаете свое устройство и сеть компании риску заражения вредоносным ПО и программами-вымогателями, а также кражи учетных данных.

Browser Isolation устраняет любой риск компрометации устройства: весь веб-контент из непроверенных или подозрительных источников открывается в безопасном одноразовом удалённом сеансе браузера, размещённом Cloudflare.

Чтобы открывать ссылки в Security Center:

1. В Cloudflare One ↗, перейдите в Email security > Расследование.
2. Найдите сообщение, для которого хотите открыть ссылки, выберите три точки, затем выберите Просмотр сведений.
3. В разделе Подробности, перейдите в Обнаруженные ссылки.
4. Найдите ссылку, которую хотите открыть, и выберите Открыть в Security Center.
5. Вы будете перенаправлены в Investigate в панели управления Cloudflare.
6. Выберите Сканировать сейчас.
7. Панель управления сформирует отчёт по вашей ссылке.

Чтобы открывать ссылки в Browser Isolation:

1. В Cloudflare One ↗, перейдите в Email security > Расследование.
2. Найдите сообщение, для которого хотите открыть ссылки, выберите три точки, затем выберите Просмотр сведений.
3. В разделе Подробности, перейдите в Обнаруженные ссылки.
4. Найдите ссылку, которую хотите открыть, и выберите Открыть в Browser Isolation.
5. Ссылка откроется в отдельном окне, где вы сможете безопасно просматривать содержимое.

Как вариант, можно напрямую открывать ссылки в Browser Isolation.

Когда вы переходите по ссылке из письма, Cloudflare показывает синюю полосу. Она означает, что страница изолирована и вы защищены от потенциально вредоносного содержимого на ней.

Чтобы открыть и расследовать ссылку во внешнем инструменте:

1. В Cloudflare One ↗, перейдите в Email security > Расследование.
2. Найдите сообщение, для которого хотите открыть ссылки, выберите три точки, затем выберите Просмотр сведений.
3. В разделе Подробности, перейдите в Обнаруженные ссылки.
4. Найдите ссылку, которую хотите открыть, и выберите Копировать URL.
5. Вставьте ссылку в используемый вами внешний инструмент.

Если вы столкнулись с этой ошибкой:

1. В Cloudflare One ↗, перейдите в Настройки > Материалы.
2. Выберите Создать сертификат.
3. Выберите Истечение срока действия (рекомендуется 5 лет), затем выберите Создать сертификат. Теперь ваш сертификат сгенерирован, и панель управления будет отображать его Deployment Status как INACTIVE.
4. Выберите три точки, а затем выберите Активировать чтобы активировать сертификат.
5. Выберите три точки, а затем выберите Отметить как используемое.
6. Статус развертывания сертификата должен отображаться как AVAILABLE IN-USE.

Журнал действий позволяет просматривать действия, выполненные с выбранным сообщением после его доставки. В журнале действий отображаются:

• Дата: Дата выполнения действия post-delivery.
• Активность: Действие, выполненное над письмом. Например, перемещение письма в папку с удалёнными объектами, восстановление письма из карантина и другие действия.

Необработанное сообщение позволяет просмотреть исходные данные сообщения. Вы также можете скачать письмо. Чтобы скачать сообщение, выберите Скачать .EML.

Трассировка почты позволяет отследить путь, который выбранное сообщение прошло от отправителя до получателя. Трассировка почты отображает:

• Дата: Дата и время отслеживания письма.
• Type: Электронное письмо может быть входящим (отправлено вам с другого адреса) или исходящим (отправлено с вашего адреса).
• Активность: Действие, выполненное над письмом. Например, перемещение письма в папку с удалёнными объектами, восстановление письма из карантина и другие действия.