Cómo utilizar el script de PowerShell para el informe de correo no deseado | Parte 3#3
En el artículo actual, revisamos la secuencia de comandos del menú de PowerShell que creé para exportar y ver la información almacenada en el archivo de registro de correo no deseado de Exchange Online.
Serie de artículos | Usando Get-MailDetailSpamReport | Ver y exportar informes de correo no deseado
- Informe de correo no deseado de Office 365 mediante PowerShell | Introducción
- Uso del cmdlet de PowerShell Get-MailDetailSpamReport | Ver y exportar informes de correo no deseado
- Cómo utilizar el script de PowerShell para el informe de correo no deseado (este artículo)
El propósito del script de PowerShell
El script de PowerShell actual se basa en el cmdlet de PowerShell Get-MailDetailSpamReport.
El cmdlet de PowerShell Get-MailDetailSpamReport (disponible solo en un entorno Exchange Online) nos permite ver (mostrar en la consola de PowerShell) y exportar a un archivo información sobre "eventos de correo no deseado".
El objetivo principal del script de PowerShell actual es simplificar y optimizar el uso de este útil cmdlet de PowerShell.
Las opciones del menú del script de PowerShell le permiten exportar varios tipos de "informes de correo no deseado" utilizando varios formatos de tipo de archivo (TXT, CSV y HTML), que le ayudarán a obtener una comprensión más profunda de los eventos de correo no deseado en su Office 365 ( Exchange Online).
Por ejemplo:
- Spam interno: identificar y tratar eventos en los que el correo spam es "generado" por un usuario legítimo de la organización.
- Eventos falsos: identificar y tratar eventos en los que un elemento hostil intenta falsificar la identidad de un usuario legítimo de la organización (enviar correo no deseado utilizando su identidad).
- Ataques de correo no deseado: identifique y trate eventos en los que un elemento hostil se dirige a un destinatario o destinatarios específicos inundándolos con correo no deseado.
La lógica y los conceptos del script de PowerShell de informes de correo no deseado de Office 365
El siguiente script de PowerShell está configurado para exportar automáticamente muchos informes de correo no deseado diferentes, basándose en “consultas de búsqueda” y filtros predefinidos (que se explicarán más adelante).
El propósito de los diferentes tipos de informes de correo no deseado es brindar la capacidad de obtener información y sacar conclusiones sobre los "eventos de correo no deseado" que ocurren en el entorno de nuestra organización.
El concepto de “entidades de direcciones de correo electrónico”
El informe de correo no deseado se relaciona con la identidad de la "entidad" que envía o recibe correo no deseado, especificando la dirección de correo electrónico de esta entidad.
La "dirección de correo electrónico" se puede clasificar como la dirección de correo electrónico del destinatario de la organización, es decir, la dirección de correo electrónico que incluye el sufijo del nombre de dominio de nuestra organización o la dirección de correo electrónico de destinatarios que no pertenecen a la organización. es decir, cualquier dirección de correo electrónico que incluya un sufijo de nombre de dominio que no incluya el nombre de dominio de nuestra organización.
Cuando utilizamos el término "dirección de correo electrónico de la organización", el significado se puede traducir a muchos tipos de destinatarios de Exchange Online, como: grupo de distribución, contacto, carpeta pública, buzón compartido, buzón de sala, buzón de usuario, etc.
La mayoría de las veces, nuestra principal preocupación es analizar información relacionada con los destinatarios de nuestra organización (direcciones de correo electrónico cuyo sufijo incluye el nombre de dominio de nuestra organización).
Aunque queremos obtener información sobre cada evento de correo no deseado que involucró la dirección de correo electrónico de los destinatarios de nuestra organización, en muchos casos queremos utilizar una "clasificación" adicional, en la que nuestro objetivo principal es revisar e investigar eventos de correo no deseado. que están relacionados con tipos específicos de destinatario de Exchange Online: usuario de Exchange (el término técnico es Buzón de usuario).
Para permitirle obtener "vistas más cercanas" sobre los eventos de correo no deseado relacionados con: los usuarios de Exchange Online, cada tipo de informe de correo no deseado (informe de resumen de correo no deseado e informes de eventos de correo no deseado), incluya una sección dedicada que "revele" el correo no deseado. eventos de correo que se relacionan únicamente con direcciones de correo electrónico que "pertenecen" a los usuarios de Exchange Online.
El script de PowerShell “buscará” de Exchange Online una lista de usuarios de Exchange Online y sus direcciones de correo electrónico y, en el siguiente paso, “escaneará” el archivo de registro de correo no deseado de Exchange Online, en busca de cualquier tipo de eventos de correo no deseado que incluyan la “Dirección de correo electrónico” que aparece en esta lista.
Dirección de correo electrónico de la organización de destinatarios no existentes
Muchas veces, cuando observamos los resultados de los informes de correo no deseado, encontraremos información sobre la dirección de correo electrónico que incluye "el sufijo de nuestro nombre de dominio", que supuestamente "se parece" a la dirección de correo electrónico de la organización, pero en realidad no hay ninguna. tales direcciones de correo electrónico!
La mayoría de las veces, este fenómeno se produce cuando elementos hostiles intentan "adivinar" las direcciones de correo electrónico de los destinatarios de nuestra organización e intentan enviar correo a destinatarios "no existentes" (direcciones de correo electrónico no existentes).
Informe resumido de correo no deseado versus informes de eventos de correo no deseado
El script de PowerShell actual generará dos tipos de informes de correo no deseado:
“Informe resumido de correo no deseado” e “informes de eventos de correo no deseado”.
Estos términos no son términos formales, sino términos que utilizo para describir los diferentes tipos de informes de correo no deseado que genera automáticamente el script de PowerShell.
Informe resumido de correo no deseado
Los informes resumidos de correo no deseado se crean mediante la manipulación de los datos que aparecen en el archivo de registro de correo no deseado de Exchange Online "original". El informe de resumen de correo no deseado se crea utilizando una fórmula que cuenta los eventos de correo no deseado relacionados con una dirección de correo electrónico específica en un período de tiempo específico (30 días es el período de tiempo predeterminado utilizado en el informe). script de PowerShell actual).
El objetivo del "Informe resumido de correo no deseado" es proporcionar una visión rápida sobre el "volumen" de los eventos de correo no deseado que están relacionados con una dirección de correo electrónico específica.
Por ejemplo, en caso de que encontremos en el informe que hay muchos eventos de correo no deseado relacionados con correos electrónicos que se enviaron desde la dirección de correo electrónico de uno de los usuarios de nuestra organización, esto podría ser una señal de un escenario en el que el usuario La cuenta estaba vulnerada y era utilizada por elementos hostiles para distribuir correo no deseado utilizando la identidad legítima del destinatario de la organización.
Informes de eventos de correo no deseado
El informe que describí como “informes de eventos de correo no deseado” son informes que incluyen una descripción detallada de cada “evento de correo no deseado” específico.
Por ejemplo, un "evento de correo no deseado" incluirá información como: la dirección de correo electrónico del remitente, la dirección de correo electrónico del destinatario, la fecha específica, el asunto del mensaje de correo electrónico, la dirección (entrante o saliente). ) etcétera.
Genere un informe de correo no deseado automáticamente usando el menú 2
El script de PowerShell actual incluye dos tipos de menús:
- Menú totalmente automatizado (menú 2).
- Genere un informe de correo no deseado utilizándolo como consulta de búsqueda específica
El menú número 2 fue creado para implementar la automatización de las siguientes tareas:
- Obtener el contenido del registro de correo no deseado de Exchange Online
- Genere automáticamente varios tipos de informes de correo no deseado. Cada uno de estos informes le ayudará a obtener un “ángulo” diferente de la información en el registro de correo no deseado.
Cuando "presiona" la opción de menú número "2", el script de PowerShell iniciará un proceso automático que incluye la siguiente secuencia de pasos:
1. Crear jerarquía de carpetas
El script de PowerShell comienza creando una jerarquía de carpetas personalizada, que se utilizará para almacenar los distintos informes de correo no deseado.
Por ejemplo, la carpeta que almacena el informe principal de correo no deseado se creará en la unidad C:, utilizando la siguiente ruta de carpeta: C:\INFO\Spam mail Reports -
2. Recuperar información del archivo de registro de correo no deseado de Exchange Online
A continuación, el script de PowerShell conecta Exchange Online y recupera toda la información almacenada en el archivo de registro de correo no deseado de Exchange Online durante un período de 30 días.
La información que se obtuvo se guardará en el "Informe de correo no deseado principal".
Podemos definir este informe de correo no deseado como una "fila" de datos porque la información aparece tal como está, sin ninguna personalización o consulta de búsqueda que "filtre" un tipo específico de datos.
3. Cree los distintos tipos de informes de correo no deseado.
La "piedra fundamental" de los distintos informes de correo no deseado es el "informe principal de correo no deseado".
Este informe principal de correo no deseado incluye toda la información disponible sobre: cada evento de spam que aparece en el archivo de registro de correo no deseado de Exchange Online. , durante el último período de 30 días.
El script de PowerShell utiliza la información almacenada en el "Archivo principal de informe de correo no deseado" para crear informes de correo no deseado personalizados adicionales. Podemos relacionarnos con los informes de correo no deseado adicionales, como un derivado del informe de correo no deseado principal.
Estructura de informes de correo no deseado y jerarquía de carpetas
La jerarquía de carpetas de informes de correo no deseado se construye utilizando una estructura similar al concepto de muñeca Matryoshka.
Jerarquía de carpetas de primer nivel
En el siguiente diagrama, podemos ver el "primer nivel" de la jerarquía de carpetas que creará automáticamente el script de PowerShell del correo no deseado:
A. TODOS los eventos de correo no deseado: últimos 30 días
Esta carpeta almacenará el "Archivo principal de informe de correo no deseado".
B. Informe resumido de spam: recuento (suma) de correos electrónicos no deseados RECIBIDOS y ENVIADOS
Esta carpeta almacenará los informes de correo no deseado, que describo como "Informe resumido de correo no deseado".
Este término no es un término técnico formal, sino un término que se utiliza para describir un tipo personalizado de informes de correo no deseado que cuentan. (suma) los eventos de spam relacionados con una dirección de correo electrónico específica.
C. Informe de correo no deseado dedicado para cada dirección de correo electrónico.
Esta carpeta almacenará los informes de correo no deseado, que describo como "Informe de correo no deseado dedicado".
El script de PowerShell creará automáticamente una carpeta dedicada para cada dirección de correo electrónico que aparece en el informe de correo no deseado.
Jerarquía de carpetas de segundo nivel
Cada una de las "carpetas de primer nivel" incluye una subcarpeta adicional (carpeta de segundo nivel) que se utiliza para almacenar los informes de correo no deseado, que se basan en una clasificación específica (vista filtrada) de los datos de correo no deseado de la "fila".
Para demostrar la jerarquía de carpetas de segundo nivel, revisemos la jerarquía de la carpeta de “primer nivel” denominada - “B. Informe resumido de spam: recuento de correos electrónicos no deseados RECIBIDOS y ENVIADOS "
Dentro de esta carpeta encontraremos la “Jerarquía de carpetas de segundo nivel” que incluye las siguientes dos carpetas:
1. Usuarios de Exchange Online
Esta carpeta incluye un informe de correo no deseado que se relaciona únicamente con tipos específicos de direcciones de correo electrónico: las direcciones de correo electrónico de los destinatarios de Exchange Online que se describen como "usuario del buzón".
El propósito de esta clasificación es permitirnos centrarse en los "eventos de correo no deseado" que se relacionan con los usuarios de nuestra organización (técnicamente hablando, Exchange Online incluye muchos tipos de destinatarios además del "usuario destinatario").
2. Todas las direcciones de correo electrónico
Esta carpeta incluye un informe de correo no deseado que se relaciona con TODAS las direcciones de correo electrónico que aparecen en el informe de correo no deseado.
En este caso, el informe no se relacionará con un tipo específico de direcciones de correo electrónico, sino que , se relacionan con cada una de las direcciones de correo electrónico que aparecen en el registro de spam (direcciones de correo electrónico de destinatarios de la organización y direcciones de correo electrónico que no pertenecen a la organización).
Jerarquía de carpetas de tercer nivel
Esta es la "última jerarquía de carpetas". Por ejemplo, el mensaje “1. Usuarios de Exchange Online”, incluirá dos carpetas adicionales:
1.1 Contar correo spam RECIBIDO
Esta carpeta incluye un informe de correo no deseado que filtra la información del informe de correo no deseado principal utilizando los dos criterios siguientes:
- Eventos de correo no deseado relacionados con la dirección de correo electrónico de los usuarios de Exchange Online.
- Eventos de correo no deseado que se describen como: correo no deseado RECIBIDO. El significado es: correo no deseado que fue enviado (recibido por) un usuario de Exchange Online.
1.2 Contar correo spam ENVIADO
Esta carpeta incluye un informe de correo no deseado que filtra la información del informe de correo no deseado principal utilizando los dos criterios siguientes:
- Eventos de correo no deseado relacionados con la dirección de correo electrónico de los usuarios de Exchange Online.
- Eventos de correo no deseado que se describen como: correo no deseado ENVIADO. El significado es: correo no deseado que fue enviado desde (enviado por) la dirección de correo electrónico del usuario de Exchange Online.
Tipo de informes de correo no deseado
El script de PowerShell actual está configurado para exportar los distintos informes de correo no deseado a tres formatos de archivo diferentes: archivo de texto, archivo SCV (valores separados por comas) y archivo HTML.
Cada formato de archivo tiene sus fortalezas y debilidades.
Por ejemplo, el informe de correo no deseado HTML es muy “amigable” y fácil de leer. La "debilidad" del formato de archivo HTML es que no hay opción para "manipular" o editar los datos.
En cuanto al formato de archivo CSV, la mayoría de las veces utilizamos una aplicación como Microsoft Excel para ver y editar el contenido del archivo CSV.
Este es un ejemplo del informe resumido de correo no deseado CSV que se creó.
Consejo rápido: para optimizar la forma en que vemos los “datos”, podemos usar la opción - Vista de tabla.
- Seleccione una de las celdas que incluyen datos (número 1)
- Seleccione el menú Insertar y el submenú - Tabla (número 2)
En la siguiente captura de pantalla, podemos ver que Excel formatea esos datos en un "estilo de tabla".
Además, Excel agrega al encabezado de cada columna una "flecha pequeña" que nos permite manipular los datos. Por ejemplo, filtrar valores específicos, ordenar la información, etc.
El “problema” de Excel con rutas y nombres de archivos largos
En algunos escenarios, cuando intenta abrir un archivo CSV, aparece el siguiente error:
“Lo sentimos, no pudimos encontrar el archivo XYZ. ¿Es posible que se haya movido, renombrado o eliminado? “.
Este error está relacionado con un “problema” de Excel que se relaciona con un archivo almacenado en una jerarquía de carpetas profunda o que tiene un nombre de archivo muy largo.
La solución, en este caso, será acortar el nombre del archivo CSV o mover el archivo a la “carpeta superior”.
Breve reseña: los dos tipos de informes de correo no deseado
Como se mencionó, el script de PowerShell de informes de correo no deseado generará dos tipos de informes:
Resumen de informes de correo no deseado
En la siguiente captura de pantalla, podemos ver un ejemplo de informes resumidos de correo no deseado.
La tabla de información incluye solo dos columnas:
La dirección de correo electrónico que aparece en el archivo de registro de correo no deseado + la suma de los eventos de spam que están "relacionados" con la dirección de correo electrónico específica.
En el ejemplo actual, el informe incluye información únicamente sobre el destinatario del usuario de Exchange Online que recibió correo no deseado.
El uso de este "informe resumido de correo no deseado recibido" podría ayudarnos a identificar un escenario en el que un elemento hostil intenta "inundar" un usuario/usuario específico de Exchange Online, identificar quién es el usuario de la organización que más sufre ataques de correo no deseado, etc.
El “Informe de correo no deseado dedicado”
Utilizo el término "Informe de correo no deseado dedicado" para resaltar la forma especial que utiliza el script de PowerShell actual para generar informes de correo no deseado.
El script de PowerShell de informes de correo no deseado está configurado para crear una lista de direcciones de correo electrónico de usuarios de Exchange Online.
en el siguiente paso, el script de PowerShell escaneará el "informe de correo no deseado principal" en busca de información sobre cada uno de los Direcciones de correo electrónico en la lista (eventos de spam relacionados con cada una de estas direcciones de correo electrónico).
Dado que hubo eventos de correo no deseado relacionados con la dirección de correo electrónico específica, el script de PowerShell creará automáticamente una carpeta dedicada para cada usuario de Exchange Online, que se nombrará utilizando el nombre para mostrar del usuario de Exchange Online.
En la siguiente captura de pantalla, podemos ver un ejemplo de los resultados del "Informe de correo no deseado dedicado". Se creará una carpeta dedicada para cada usuario de Exchange Online que (en este escenario) recibió correos electrónicos no deseados.
La “carpeta de usuario dedicada ” contendrá los tres informes de correo no deseado utilizando los siguientes formatos de archivo: texto, CSV y HTML.
2.2 - Menús de secuencias de comandos de PowerShell | Descripción
El script de PowerShell incluye las siguientes secciones:
Conéctese a Exchange Online mediante PowerShell remoto
Información general: para poder administrar la infraestructura de Exchange Online, primero debe crear una sesión remota de PowerShell.
Menú 1: iniciar sesión en Exchange Online mediante PowerShell remoto
Para crear la sesión remota de PowerShell requerida, seleccione el menú “1”.
Aparecerá una ventana de credenciales de usuario.
Deberá proporcionar sus credenciales de administrador global de Office 365.
SECCIÓN A: Exportar varios tipos de informes de correo no deseado
Menú 2: Exportar informes de correo no deseado | Últimos 30 días
Esta es la opción del menú principal.
Para poder generar todos los informes de correo no deseado que se describieron en las secciones anteriores, todo lo que necesita hacer es presionar el número "2" y el script de PowerShell hará todo. para trabajar para ti.
Los informes de correo no deseado se almacenarán utilizando la siguiente jerarquía de carpetas:
- TODOS los eventos de correo no deseado: últimos 30 días
- Informe resumido de spam: recuento de correos electrónicos no deseados RECIBIDOS y ENVIADOS
- Usuarios de Exchange Online
1.1 Contar correo spam RECIBIDO
1.2 Contar correo spam ENVIADO
- Todas las direcciones de correo electrónico
2.1 Contar el correo no deseado RECIBIDO - TODAS las direcciones de correo electrónico
2.2 Contar el correo no deseado ENVIADO - TODAS las direcciones de correo electrónico
- Informe de correo no deseado dedicado para cada dirección de correo electrónico
- Usuarios de Exchange Online
1.1 - Informe de correo no deseado RECIBIDO
1.2 - Informe de correo no deseado ENVIADO
- Todas las direcciones de correo electrónico
2.1 - Informe de correo no deseado RECIBIDO
2.2 - Informe de correo no deseado ENVIADO
SECCIÓN B: Mostrar + Exportar sobre remitentes o receptores de correo no deseado que supera un determinado umbral
Menú 3: Mostrar + Exportar informes de correo no deseado | Direcciones de correo electrónico que superan un determinado umbral de correo no deseado
El propósito del siguiente menú es permitirle ubicar "direcciones de correo electrónico" involucradas en la actividad de correo no deseado que supera un cierto umbral.
Según el umbral especificado que usted proporcione, el script de PowerShell escaneará todos los eventos. que aparecen en el correo no deseado de Exchange Online (usando un rango de fechas de un período de 30 días) buscando las siguientes direcciones de correo electrónico:
- Dirección de correo electrónico que RECIBIÓ una cantidad de correos electrónicos no deseados, que son iguales o superiores al valor de umbral especificado.
- Dirección de correo electrónico que ENVIÓ una cantidad de correos electrónicos no deseados, que son iguales o superiores al valor de umbral especificado.
SECCIÓN C: Informe de correo no deseado | Los 10 principales receptores y remitentes de correo spam
Menú 4 - Exportar informes de correo no deseado | Informe de eventos de spam dedicado para los 10 principales receptores y remitentes de correo spam
El propósito del siguiente menú es crear automáticamente un informe de eventos de correo no deseado dedicado, para cada dirección de correo electrónico en el archivo de registro de correo no deseado, que responda a los siguientes criterios:
- Los 10 principales REMITENTES de correo no deseado.
- El Top 10 de RECEPTORES de correo spam.