Exportar informe de mensajes en cuarentena en Exchange Online mediante PowerShell

Después de dos años de cuarentena, ahora conocemos la palabra llamada cuarentena. Más bien, nos pusieron en cuarentena para evitar que el virus se propagara por el medio ambiente. Ahora quizás te preguntes qué tiene que ver la palabra cuarentena con Microsoft 365. ¡Simple! Los mensajes que se consideran comprometidos por piratas informáticos o potencialmente amenazantes se ponen en cuarentena en Microsoft 365.

¡Sí! ¡Sí! Microsoft introdujo una función llamada 'Mensaje de cuarentena' para ayudar a evitar que mensajes de correo electrónico potencialmente dañinos lleguen a las bandejas de entrada de los usuarios. Cuando un correo electrónico se marca como sospechoso o que contiene spam, malware u otro contenido malicioso, se coloca automáticamente en cuarentena, donde el equipo de TI puede examinarlo de forma segura y potencialmente eliminarlo.

Ahora, profundicemos en los mensajes de cuarentena y cómo exportar informes sobre ellos en este blog.

¿Qué es el mensaje de cuarentena en Microsoft 365?

Piense en un escenario en el que un empleado/usuario recibe un correo electrónico pidiéndole que haga clic en un enlace para verificar la información de su cuenta. Sin embargo, la política de enlaces seguros integrada y los filtros Exchange Online Protection (EOP) identifican que los correos electrónicos son potencialmente dañinos y maliciosos antes de que lleguen a la bandeja de entrada del usuario. Por lo tanto, envía los mensajes de correo electrónico a la zona de cuarentena en lugar de llegar a los buzones de correo de los usuarios. Por lo tanto, poner en cuarentena todos los correos electrónicos sospechosos ayuda a evitar que la organización pierda datos, spam, malware y diversos ataques maliciosos.

Y, finalmente, los administradores pueden revisar y tomar las medidas necesarias, como ver, publicar y eliminar, según la situación. Lo más importante es que los mensajes en cuarentena se eliminan automáticamente después del período de retención especificado y no se pueden conservar más.

¿Por qué los correos electrónicos se ponen en cuarentena en Microsoft 365?

Office 365 puede poner en cuarentena los correos electrónicos por diversos motivos, como posible spam o malware, infracciones de políticas de cumplimiento, etc. Por lo tanto, comprender los motivos de la cuarentena del correo electrónico puede ayudar en gran medida a las organizaciones a proteger mejor su entorno de correo electrónico contra amenazas de seguridad y problemas de cumplimiento. Por lo tanto, veamos algunos factores que empujan un correo electrónico a la zona de cuarentena en Microsoft 365.

• Políticas de filtrado de spam y phishing de Microsoft 365: Office 365 tiene políticas integradas de spam y phishing que analizan el contenido de los correos electrónicos para identificar posibles spam, phishing o malware. Cuando un correo electrónico contiene contenido sospechoso, como enlaces a sitios web maliciosos, el mensaje de correo electrónico se pone en cuarentena y nunca se entrega al destinatario previsto.
• Políticas antimalware : Microsoft 365 aplica políticas antimalware estrictas en los mensajes entrantes y salientes para evitar la entrega de correos electrónicos con contenido malicioso. Por lo tanto, los mensajes de malware se ponen en cuarentena porque representan una amenaza importante a la hora de explotar los recursos del sistema.
• Reglas de flujo de correo de Exchange: los administradores de Office 365 pueden crear reglas de flujo de correo o reglas de transporte para identificar tipos específicos de correos electrónicos y tomar acciones como ponerlos en cuarentena. Las plantillas integradas de reglas de flujo de correo de Office 365 le permiten poner en cuarentena mensajes cuando se reciben de remitentes desconocidos y en función de la reputación del remitente.

En general, el propósito de poner mensajes en cuarentena es proteger a los usuarios de posibles amenazas a la seguridad y mantener sus bandejas de entrada de correo electrónico seguras y libres de spam y malware.

Requisitos previos para ver mensajes de cuarentena

La licencia necesaria para ver los mensajes de cuarentena se enumera a continuación.

1. Protección de Exchange en línea
2. Microsoft 365 Defender para Office Plan 1 y Plan 2
3. Defensor de Microsoft 365

Para revisar los informes en cuarentena en el portal de Microsoft 365 Defender, a los usuarios se les deben asignar permisos específicos. Lo más importante es que los usuarios con acceso aprobado por el administrador pueden ver, publicar y eliminar mensajes en cuarentena filtrados por las políticas predeterminadas de spam y phishing de Microsoft.

¿Cómo comprobar los mensajes de correo electrónico en cuarentena en Microsoft 365?

Revisar los mensajes en cuarentena es importante porque le permite identificar y manejar mensajes potencialmente legítimos que se han puesto en cuarentena por error por otros motivos. Con esto, los administradores pueden evitar falsos positivos y detener intentos reales de spam y phishing u otro contenido malicioso. Por lo tanto, para verificar los mensajes en cuarentena, navegue hasta la ruta a continuación.

Portal de Microsoft 365 Defender ? Correo electrónico y colaboración ? Revisión ?Cuarentena

En última instancia, los administradores pueden inferir los siguientes detalles de esta página de cuarentena de correo electrónico en función de la personalización de las columnas. Además, puede ver los mensajes y archivos de Teams que están en cuarentena en esta sección cambiando de pestaña.

• Hora de recepción: indica la hora a la que el mensaje fue enviado a cuarentena.
• Asunto: aquí se muestra el asunto del mensaje de correo electrónico.
• Remitente: muestra aquí la dirección de correo electrónico del remitente.
• Motivo de la cuarentena: describe el motivo para poner en cuarentena un mensaje específico, como Phish, Malware, Spam, etc.
• Estado de publicación: proporciona información sobre si el mensaje se entregó al destinatario y se revisó o no.
• Tipo de política: se refiere al tipo de política que restringió el mensaje.
• Expira: notifica la fecha de vencimiento si fue asignada.
• Destinatario : la dirección de correo del destinatario se registra aquí como referencia.
• ID de mensaje: el identificador único del mensaje de cuarentena.
• Nombre de la política: el nombre de la política que restringió el mensaje.
• Tamaño del mensaje: se almacena el tamaño del cuerpo del mensaje.
• Dirección del correo: especifica si se trata de un mensaje entrante o saliente.
• Etiqueta de destinatario: aquí se muestran las etiquetas como cuenta prioritaria de los destinatarios.

Para un análisis en profundidad de un mensaje en cuarentena, seleccione un mensaje en particular de esta página. Aparece un menú desplegable con un informe completo de los detalles de la cuarentena, el estado de entrega y los detalles sobre el mensaje de correo electrónico en cuarentena específico.

Aquí, los administradores pueden hacer clic en "Tomar medidas" y realizar las acciones necesarias con respecto a los mensajes en cuarentena después de revisarlos. Esto les dará un control más granular sobre los mensajes en cuarentena y realizará diversas acciones como:

1. Mover o eliminar
2. Enviar a Microsoft
3. Bloque de nivel de inquilino
4. Iniciar una investigación automatizada
5. Proponer remediación

A partir de ahora, tenemos claro el proceso de verificación del informe de mensajes en cuarentena en Microsoft 365 Defender. Por lo tanto, pasemos a la siguiente parte de este blog, informes de mensajes de cuarentena mediante PowerShell.

Obtener informes sobre mensajes en cuarentena mediante PowerShell

Generar informes granulares en los centros de administración es una tarea tediosa que a menudo requiere cambiar entre varias pestañas y no siempre resulta en informes que satisfagan nuestras necesidades específicas. El principal inconveniente de ver informes de cuarentena a través del portal Defender es que requiere suscripciones adicionales para ver archivos en cuarentena. Sobre todo, buscar un mensaje en la página de cuarentena del portal de Defender requiere filtrado múltiple ya que el cuadro de búsqueda solo escanea la página principal.

Por lo tanto, los administradores pueden usar PowerShell para analizar mensajes y archivos en cuarentena en el entorno basado en la nube para facilitar el proceso. Por lo tanto, aquí hay algunos cmdlets de PowerShell para generar informes de mensajes en cuarentena. Pero antes de usar estos cmdlets en su entorno de PowerShell, asegúrese de conectarse a Exchange Online PowerShell módulo y continuar.

1. Obtenga informes sobre correos electrónicos en cuarentena por rango de fechas
2. Obtenga informes sobre correos electrónicos en cuarentena de un usuario específico
3. Analizar el informe de mensajes en cuarentena para un usuario específico
4. Encuentre los 10 principales dominios en cuarentena en Microsoft 365
5. Informe de los 10 usuarios principales con "más correos electrónicos en cuarentena"

Obtener informes sobre correos electrónicos en cuarentena por rango de fechas

Es importante tener en cuenta que el período de retención de los mensajes en cuarentena está establecido en 30 días de forma predeterminada. Una vez finalizado este periodo, los mensajes se eliminan automáticamente y no se pueden recuperar.

Por lo tanto, para recuperar fácilmente informes de sus correos electrónicos en cuarentena, puede modificar el rango de fechas en el siguiente cmdlet. Este simple ajuste le permite concentrarse en el período de tiempo específico que necesita investigar, ayudándolo a obtener de manera eficiente la información que necesita.

Get-QuarantineMessage -StartReceivedDate 03/01/2023 -EndReceivedDate 04/03/2023|Select ReceivedTime,SenderAddress,RecipientAddress,Subject,MessageID,RecipientCount,QuarantineTypes| Export-Csv -Path "D:\QuarantinedEmailsbyDateRange.csv" -NoTypeInformation -Append -Force

Obtener informes sobre correos electrónicos en cuarentena de un usuario específico

Si se pone en cuarentena una gran cantidad de correos electrónicos de un dominio específico y se identifican como intentos de phishing, el equipo de TI puede tomar medidas para bloquear al remitente y evitar futuros intentos.

En general, los informes sobre correos electrónicos en cuarentena enviados por un dominio específico pueden ser muy útiles para identificar amenazas potenciales y mensajes de spam y ayudar a las organizaciones a tomar medidas para mejorar la seguridad de su correo electrónico. Ejecute los siguientes cmdlets para obtener la lista de correos electrónicos en cuarentena de un dominio específico después de mencionar la dirección del remitente y el rango de fechas en los cmdlets.

Get-QuarantineMessage -StartReceivedDate 02/01/2023 -EndReceivedDate 03/31/2023|Where{$_.SenderAddress -eq <UserPrincipalName>}|Select ReceivedTime,SenderAddress,RecipientAddress, Subject,MessageID,RecipientCount,QuarantineTypes| Export-Csv -Path "D:\QuarantinedEmailsSentBySpecificUser.csv" -NoTypeInformation -Append -Force

Analizar informe de mensajes en cuarentena para un usuario específico

Los administradores pueden utilizar este informe de mensajes en cuarentena para analizar los correos electrónicos que se están poniendo en cuarentena para un usuario en particular y ajustar la configuración del sistema de seguridad del correo electrónico para reducir la cantidad de falsos positivos. Al revisar los correos electrónicos en cuarentena, los administradores pueden asegurarse que el sistema de seguridad no bloquee los correos electrónicos importantes y que los correos electrónicos maliciosos no se entreguen a la bandeja de entrada del usuario.

El siguiente comando enumera todos los correos electrónicos en cuarentena de un usuario específico durante un período de tiempo determinado. Asegúrese de reemplazar la dirección del destinatario y el rango de fechas en el cmdlet antes de ejecutarlos.

Get-QuarantineMessage -StartReceivedDate 02/01/2023 -EndReceivedDate 03/31/2023|Where{$_.RecipientAddress -eq <UserPrincipalName>}| Select ReceivedTime, RecipientAddress,SenderAddress,Subject,MessageID,RecipientCount,QuarantineTypes| Export-Csv -Path "D:\QuarantinedEmailsReceivedBySpecificUser.csv" -NoTypeInformation -Append -Force

Encuentre los 10 principales dominios en cuarentena en Microsoft 365

Localice los puntos débiles de su organización para un mejor uso de las políticas de cuarentena con los informes sobre los 10 usuarios principales cuyo correo de dominio está en cuarentena dentro y alrededor de su organización. Este informe le permite identificar usuarios potenciales de riesgo en su organización y tomar las medidas necesarias al respecto.

$mail=Get-QuarantineMessage -StartReceivedDate 02/28/2023 -EndReceivedDate 03/31/2023 |sort-object SenderAddress -unique   

$hash=@()  

foreach($mails in $mail)  

{  
    $mailreport=Get-QuarantineMessage -StartReceivedDate 02/28/2023 -EndReceivedDate 03/31/2023|Where{$_.SenderAddress -eq $mails.SenderAddress}  

    $hash +=[PSCustomObject]@{  

        'Sender' = $mails.SenderAddress  

        'RecipientAddress'=(@($mailreport.recipientaddress)-join ',') 

        'Count' = ($mailreport.SenderAddress).Count  

     }   
}   

$hash|select 'Sender','RecipientAddress','Count'|Sort-Object Count -Descending|Select -First 10|Export-Csv -Path "D:\QuarantinedEmailsSentByTopTenUser.csv" -NoTypeInformation 

Los 10 usuarios principales con el informe "Más correos electrónicos en cuarentena"

En lugar de tomar medidas sobre cada mensaje de cuarentena, puede realizar acciones masivas fácilmente después de analizar estos informes que identifican a los usuarios frágiles de su entorno de Office 365. De este modo, los administradores pueden establecer políticas estrictas contra amenazas y reglas de flujo de correo para reforzar la seguridad de la configuración de su organización. Ejecute los siguientes cmdlets para obtener un informe de mensajes de cuarentena sobre los correos electrónicos recibidos por los 10 usuarios principales.

$mail=Get-QuarantineMessage -StartReceivedDate 02/28/2023 -EndReceivedDate 03/31/2023 |sort-object RecipientAddress -unique  

$hash=@()  

foreach($mails in $mail)  

{  
    $mailreport=Get-QuarantineMessage -StartReceivedDate 02/28/2023 -EndReceivedDate 03/31/2023|Where{$_.RecipientAddress -eq $mails.RecipientAddress}  

    $hash +=[PSCustomObject]@{  

  
    'Recipient' = $mails.RecipientAddress  

    'SenderAddress'=(@($mailreport.senderaddress)-join ',')  

    'Count' = ($mailreport.RecipientAddress).Count  

      }   
}  

$hash|select 'Recipient','SenderAddress','Count'|Sort-Object Count -Descending|Select -First 10|Export-Csv -Path "D:\QuarantinedEmailsReceivedByTopTenUser.csv" -NoTypeInformation

¡Obtenga informes avanzados de mensajes en cuarentena con AdminDroid!

¡No ponga todo su esfuerzo en obtener estadísticas detalladas de los mensajes en cuarentena en el centro de administración de Microsoft 365 o PowerShell! El centro de administración de M365 no proporciona información completa sobre los mensajes de cuarentena, lo que lleva a los administradores a confiar en engorrosos comandos de PowerShell para obtener informes detallados. Pero para informes complejos, los administradores necesitan usar múltiples líneas de código, lo cual es un trabajo problemático y que requiere mucho tiempo.

En su lugar, comience a utilizar la herramienta de auditoría AdminDroid Microsoft 365 y obtenga información más completa y sólida sobre los mensajes en cuarentena. El informe de mensajes en cuarentena de AdminDroid está mucho más allá de las limitaciones de la experiencia nativa de Microsoft 365.

Informes de cuarentena de correo electrónico:

• Con los informes de cuarentena de correo electrónico de AdminDroid, los administradores pueden auditar todas las actividades relacionadas con la cuarentena de correos electrónicos no deseados, de phishing y de malware. La supervisión de los mensajes en cuarentena le permite conocer estas amenazas potenciales que irrumpen en su organización y sus puntos débiles.

• • Además, examinar esos mensajes le permite tomar decisiones informadas, como mover o eliminar, enviar a Microsoft si son falsos positivos, implementar bloqueos a nivel de inquilino o proponer soluciones basadas en detecciones e investigaciones. .

Informes de buzones de correo en cuarentena:

• Esto cubre informes avanzados sobre buzones de correo en cuarentena, incluidos detalles como la última falla en cuarentena, el final de la cuarentena, la versión del archivo en cuarentena y muchos más en la herramienta de informes de Exchange Online de AdminDroid.

Además, la herramienta de administración AdminDroid Exchange Online proporciona más de 170 informes de Exchange Online,, lo que alivia la carga de monitorear y administrar las actividades, el acceso y los permisos del buzón. cambios y gestión eficiente del buzón.

AdminDroid no solo proporciona una solución para la administración de Exchange Online, sino también para otros servicios como Azure AD, Microsoft Teams, SharePoint Online, OneDrive, Yammer, etc. En última instancia, AdminDroid ofrece más de más de 1800 informes completos integrados. y más de 30 paneles inteligentes para varios servicios de Office 365 con una naturaleza fácil de configurar.

¿Por qué AdminDroid?

• Con su interfaz fácil de usar, puedes disfrutar de una administración de Office 365 sin complicaciones.
• Programe informes para ejecutar y exportar resultados automáticamente con la función de programación rápida de AdminDroid.
• Reciba notificaciones solo de eventos críticos y cruciales sin falsas alarmas a través de alertas de AdminDroid.
• AdminDroid admite delegación de acceso granular y autenticación moderna.
• Al final, obtenga los informes deseados de la forma deseada con filtros enriquecidos de AdminDroid y opciones de personalización mejoradas disponibles.

Finalmente, descargue AdminDroid ahora para tener estadísticas y registros nítidos de su entorno de Office 365.

Al llegar a su fin, espero que este blog le haya brindado información valiosa sobre cómo administrar mensajes de cuarentena y generar informes utilizando PowerShell. Mantenerse a la vanguardia es vital y usar PowerShell es una excelente manera de hacerlo. Y si tiene alguna pregunta o necesita más ayuda, no dude en comunicarse con nosotros a través de la sección de comentarios.

Recuerde siempre que, en el panorama actual de amenazas en constante evolución, ¡ser proactivo es la clave para mantenerse seguro!