Rapport d’historique des messages

Le rapport Historique des messages fournit une vue générale de l’activité des emails pour vos boîtes de réception protégées.

Allez dans Rapports > Journaux Email Security > Historique des messages.

Me montrer comment faire

Le rapport fournit un historique des messages traités et des messages rejetés pour cause de boîte de réception introuvable. Le rapport comprend les onglets suivants :

• Traité : Messages traités avec succès par Sophos Email Security.

  Si vous avez des domaines connectés avec Sophos Gateway et Sophos Mailflow, cliquez sur Catégorie pour sélectionner celui à afficher ou pour tous les afficher.

• Rejeté : Messages rejetés pour cause de boîte de réception introuvable.

Vous pouvez sélectionner la période de temps pour laquelle vous voulez voir l’historique de traitement du message ou le journal des rejets. Par défaut, le rapport affiche les messages qui ont été traités ou rejetés au cours de la journée. Si vous modifiez les dates ou appliquez des filtres, cliquez sur l’icône Actualiser pour mettre à jour le rapport.

Vous pouvez afficher les rapports dans l’Historique des messages pendant 30 jours.

Mode EMS

Si vous êtes abonné à Sophos EMS, Sophos EMS contrôle les copies de journal des emails et l’email d’origine n’a pas été intercepté. Par conséquent, les états des emails affichés dans le rapport Historique des messages sont uniquement utilisés à des fins de création de rapports. Ils ne reflètent pas l’état réel des emails envoyés. Retrouvez plus de renseignements sur Sophos EMS sur Sophos EMS (Email Monitoring System).

Rapport « Traité »

Le rapport Traité affiche les messages qui ont été traités par Sophos Email. Une seule ligne s’affiche pour les messages envoyés à plusieurs destinataires.

Pour chaque message traité, le rapport affiche les détails suivants :

• Direction : Entrant ou Sortant. Cliquez sur les flèches pour trier les lignes.
• Expéditeur : L’adresse email de l’expéditeur
• Destinataires : L’adresse email des destinataires.
• Type : Le type de message soit Passerelle, soit Flux de courrier.
• Objet : Cliquez sur l’objet pour ouvrir les Détails du message pour ce message.
• Dernier état : l’activité la plus récente du message. Voir Dernier état.
• Date : La date de l’activité la plus récente du message.
• Catégorie : La catégorie du message. Voir Catégorie.
• Sous-catégorie : Catégorisation plus détaillée du message.

Si un message est suspect, vous pouvez passer votre souris sur l’entrée Catégorie pour voir la raison pour laquelle il a été mis en quarantaine ou supprimé.

Les emails de résumé de la quarantaine envoyés aux utilisateurs ne figurent pas dans ce rapport.

Vous pouvez planifier le rapport Traité en tant que rapport personnalisé. Enregistrer en tant que rapport personnalisé vous permet d’enregistrer le rapport Traité à l’aide du modèle « Historique des messages » sur la page Rapports.

Retrouvez plus de renseignements sur l’enregistrement ou la planification de rapports sur Rapports de message.

Dernier état

Les valeurs possibles pour le Dernier état peuvent être les suivantes :

• Supprimé : le message a été supprimé en raison de son contenu ou de la configuration de la liste de blocage. Lorsque vous sélectionnez Supprimé, vous pouvez sélectionner une Raison pour suppression.
• Mis en quarantaine : le message a été marqué comme spam en raison de son contenu ou de la configuration de la liste de blocage. Vous pouvez voir les emails en quarantaine sur la page Messages en quarantaine. Voir Messages en quarantaine.
• Renvoyé : Le message a été renvoyé à l’expéditeur, avec une raison de ne pas le livrer.
• Redirigé : Le message n’a pas été remis au destinataire d’origine. Il a été redirigé vers une autre adresse email.
• Traitement en cours : le message est en cours de traitement. Ceci s’applique aux messages dans l’environnement Sandbox et aux emails qui ont été mis en attente de livraison.
• Accepté : le message a bien été reçu et est en cours de traitement dans notre système
• Livraison réussie : le message a été traité avec succès et est en cours d’envoi.
• Livraison impossible : il y a eu plusieurs tentatives de livraison, mais le message n’a pas pu être livré et la demande a expiré.

• En attente de livraison : la première tentative de livraison a échoué et le message sera remis en attente de livraison.

  Nous effectuons des tentatives de livraison pendant 5 jours pour les messages entrants et un jour pour les messages sortants. Les échecs de livraison peuvent survenir lorsque le serveur de messagerie du destinataire est hors ligne ou en cas de problèmes de récupération des enregistrements DNS du destinataire. Les messages qui étaient en attente de livraison et qui sont maintenant passés en phase de traitement s’affichent comme Traitement en cours.

• Traitement du chiffrement : le message est en cours d’envpi en mode chiffrement, ou le message chiffré est en attente et sera livré une fois que le destinataire aura créé son mot de passe.

• Livraison chiffrée : Un message chiffré par le chiffrement en mode push a été envoyé.
• Livraison sur le portail : Un message chiffré par le chiffrement en mode Portail a été envoyé au portail Sophos Secure Message.
• Renvoyé à M365 : Un email Sophos Mailflow a été renvoyé avec succès à Microsoft 365.
• En attente de renvoi à M365 : Un email Sophos Mailflow a été placé dans une file d’attente pour être renvoyé à Microsoft 365.
• Impossible de renvoyer à M365 : Un email Sophos Mailflow n’a pas pu être renvoyé à Microsoft 365.
• Récupération réussie : Le message a été récupéré avec succès en quarantaine après avoir été remis aux destinataires.
• Récupération initiée : Le processus de récupération du message a été lancé.
• Récupération impossible : La tentative de récupération du message a échoué.
• Récupération libérée : La demande de récupération a été annulée ou révoquée. Le message ne sera pas récupéré.

Catégorie

Les valeurs possibles pour Catégorie et leurs sous-catégories sont les suivantes.

• Bloqué en temps réel : Le message a été bloqué en temps réel.

• Bloqué par l’entreprise : Le message a été bloqué par les stratégies de sécurité de haut niveau.

  • Bloqué par l’administrateur : Le message a été bloqué par un paramètre administrateur.
  • Utilisateur bloqué : Le message a été bloqué par un paramètre utilisateur.

• Malware : Le message contient un malware.

• Non contrôlable : Nous n’avons pas pu contrôler le message.

  • Trop d’URL : Le message contient un nombre anormalement élevé d’URL.

• Menace Intelix : Le message a été signalé comme menace potentielle suite à l’analyse Intelix.

  • Malveillant : Le message contient, ou inclut des liens vers, du contenu malveillant.
  • Non contrôlable par Intelix : Le message n’a pas pu être contrôlé par Intelix.
  • Suspect : Le message est a été signalé comme suspect mais n’a pas été confirmé comme malveillant.

• URL ou Code QR : Le message contient des URL ou des codes QR qui renvoient à des sites Web nuisibles ou dangereux.

  • URL malveillante (risque élevé) : L’URL a été identifiée comme hautement risquée basé sur la réputation de la source.

  • URL malveillante (criminelle) : L’URL est liée à une activité ou à une intention criminelle.

    Remarque

    Si un email contient un lien sur la liste des URL criminelles de la Fondation pour la surveillance d’Internet (IWF), nous sommes légalement tenus de supprimer l’email. Nous sommes également tenus légalement responsable de ne pas afficher le lien dans Sophos Central, y compris l’historique des messages. Retrouvez plus de renseignements sur IWF : Liste d’URL .

    Nous supprimons toujours ces emails. Nous n’utilisons pas les paramètres de vos stratégies de protection de la messagerie.

  • Code QR (risque élevé) : Le code QR est identifié comme présentant un risque élevé en fonction de la réputation du site Web lié.

  • Code QR (criminel) : Le code QR est lié à un site Web impliqué dans une activité criminelle ou intentionnelle.
  • Code QR sain : Le code QR est lié à un site Web qui a réussi tous les contrôles de sécurité et n'a montré aucun signe de comportement malveillant.

• Usurpation d’identité : Le message usurpe l’identité d’un expéditeur de confiance.

  • Marque : Le message a usurpé une marque ou une organisation connue.
  • VIP interne : Le message ciblait une personne de premier plan au sein de votre organisation.
  • VIP externe : Le message ciblait un contact externe de confiance, tel qu’un fournisseur, un client ou un partenaire.
  • Général : Le message est considéré comme une usurpation d’identité mais ne correspond pas à un VIP ou à une marque spécifique. Il est signalé en fonction de l'apprentissage automatique ou de l’heuristique anti-phishing.

  Conseil

  Cliquez sur l’objet d’un message marqué comme usurpation d’identité pour afficher plus de détails. Vous pouvez vérifier si le message provient d’un VIP interne ou externe, de plusieurs VIP ou s’il est marqué comme Mode agressif.

• Spam : Le message a été signalé comme email groupé non sollicité, ou spam.

  • Suspecté L<x> : Le message est signalé comme spam suspecté, et porte un indice de niveau de L1 à L5. Retrouvez plus de renseignements sur les niveaux de spam suspectés à la section Antispam.
  • Confirmé : Le message a été identifié comme spam car il contient des modèles de spam connus et vérifiés.
  • Pays non autorisé : Le message provient d’un pays non autorisé par votre stratégie.
  • Langue non autorisée : Le message contient une langue non autorisée par votre stratégie.
  • BATV : Le message a échoué au contrôle BATV (Bounce Address Tag validation) car il n’y avait pas de balise d’adresse de rebond valide, qui permet de vérifier si un message de rebond est légitime ou non. Ceci peut signifier que l’adresse de retour fournie n’est pas légitime, comme dans le cadre d’attaques de spam ou de rétrodiffusion.

• Envoi en masse : Le message a été envoyé à un vaste groupe de destinataires, comme dans le cas des newsletters, listes de diffusion ou autres formes d'emails sollicités.

• Authentification impossible : Le message n’a pas passé les vérifications d’authentification DMARC, SPF ou DKIM.

  • DKIM : Le message n’a pas passé la vérification DKIM que vous avez configuré dans la stratégie.
  • DMARC : Le message n’a pas passé la vérification DMARC que vous avez configuré dans la stratégie.
  • SPF : Le message n’a pas passé la vérification SPF que vous avez configuré dans la stratégie.
  • Anomalie d’en-tête : Le message n’a pas passé la vérification d’anomalie de l’en-tête car l’adresse de ne correspond pas à l’expéditeur réel ou est différente de l’adresse DE dans l’enveloppe. Ceci peut signifier que l’email a été usurpé.
  • Anomalie de domaine : Le message n’a pas passé la vérification d’anomalie du domaine car il a été envoyé à partir d’un domaine inexistant ou mal configuré, sans enregistrements MX ou A valides.

• Contrôle des données : Le message a été signalé car il a déclenché une règle de la stratégie de Contrôle des données.

  • Chiffré en mode push : Le message a été chiffré à l'aide du chiffrement push car il a déclenché une règle de Contrôle des données.
  • Chiffré en mode portail : Le message a été chiffré et stocké dans le portail Sophos Secure Message car il a déclenché une règle de Contrôle des données.

• Message sécurisé : Le message a été chiffré pour garantir la confidentialité et la protection des données sensibles.

  • Chiffré en mode push : Le message a été chiffré à l'aide du chiffrement push, comme configuré dans votre stratégie Secure Message.
  • Chiffré en mode portail : Le message a été chiffré et stocké dans le portail Sophos Secure Message, comme configuré dans votre stratégie Secure Message.
  • S/MIME : Le message a été signé ou chiffré à l’aide du protocole S/MIME, tel que configuré dans votre stratégie Secure Message.
  • TLS v1.2 : Le message a été livré de manière sécurisée à l'aide du chiffrement TLS 1.2, comme configuré dans votre stratégie Secure Message.
  • TLS v1.3 : Le message a été livré de manière sécurisée à l'aide du chiffrement TLS 1.3, comme configuré dans votre stratégie Secure Message.

• Légitime : Le message est identifié comme valide et fiable.

  • S/MIME : Le message a été reçu signé ou chiffré à l’aide du protocole S/MIME.
  • Campagne PhishThreat : Le message fait partie d’une campagne Phish Threat.

Comment effectuer des recherches

Découvrez comment utiliser les fonctions de recherche avancées pour filtrer les messages dans Historique des messages.

Recherche avancée

Dans Historique des messages, vous pouvez utiliser la Recherche avancée pour filtrer et rechercher des messages spécifiques.

Cliquez sur Recherche avancée pour commencer.

Vous pouvez configurer plusieurs critères de recherche. Les résultats de la recherche incluront des messages correspondant à tous les critères.

Vous pouvez filtrer les messages par Direction, État ou par Raison .

Si vous modifiez la plage de dates ou filtrez les messages, cliquez sur l’icône Actualiser pour mettre à jour les résultats de la recherche.

Résultats de la recherche

Dans les résultats de votre recherche, les paramètres que vous avez sélectionnés apparaissent dans la zone de recherche. Vous pouvez cliquer sur des paramètres individuels pour les supprimer de la recherche. Les résultats de votre recherche sont mis à jour immédiatement.

Vous pouvez cliquer sur la flèche de direction pour limiter votre recherche aux messages entrants ou sortants. La flèche vers le bas correspond aux messages entrants, la flèche vers le haut correspond aux messages sortants. Si vous cliquez sur une flèche de direction, vos résultats de recherche sont immédiatement mis à jour.

Détails du message

Pour afficher Détails du message, cliquez sur le bouton Objet d’un message.

Vous pouvez cliquer sur les onglets suivants pour plus d’informations sur le message.

• Détails affiche des informations générales sur le message et un historique des événements du message. L’historique des événements est classé par Destinataires.
• En-tête brut affiche les informations sur l’en-tête de l’email.
• Pièces jointes affiche le nom et la taille des pièces jointes.

• URL affiche toutes les URL du message.

  Nous calculons la taille des pièces jointes à l’aide de l’encodage MIME de l’email. Nous n’utilisons pas la taille des fichiers bruts. Cela signifie que les tailles de fichier des pièces jointes sont souvent signalées comme plus grandes que le fichier réel. Voir Calculer la taille des pièces jointes.

Pour les emails de « spam » entrants et sortants et selon notre analyse du message, vous verrez soit Menace signalée ou Signalé comme étant sain. Cliquez sur l’une de ces options pour envoyer le message aux SophosLabs et nous aider à améliorer notre détection du spam.

Blocage

Dans Historique des messages, vous pouvez cliquer sur l’objet d’un message que vous souhaitez bloquer, puis afficher ses détails. Cliquez ensuite sur Bloquer sous SMTP de et sélectionnez Bloquer l’expéditeur ou Bloquer le domaine de l’expéditeur pour ajouter l’adresse email de l’expéditeur ou le domaine à votre liste de blocage.

Vous pouvez également cliquer sur Bloquer l’adresse IP sous Adresse IP pour ajouter l’adresse IP à votre liste de blocage. Vous pouvez également ajouter des adresses email et des domaines à partir de la liste Autoriser/Bloquer le trafic entrant.

Vous pouvez ajouter des descriptions lors du blocage de l’adresse email, du domaine ou de l’adresse IP d’un expéditeur pour spécifier la raison de chaque entrée de blocage. Par exemple, une description peut être « bloquée en raison de spam ». Vous pouvez afficher et modifier ces descriptions ultérieurement dans la liste Autoriser/Bloquer le trafic entrant.

Retrouvez plus de renseignements sur Autoriser/Bloquer le trafic entrant.

Récupérer les messages supprimés

Les messages sortants signalés comme spam sont supprimés. En effet, les serveurs dégradent la réputation des adresses IP de livraison Sophos Email lorsqu’ils reçoivent du spam de Sophos Email. Si le super administrateur souhaite vérifier si les messages supprimés étaient des faux positifs, il peut les récupérer et les mettre en quarantaine pour une inspection plus approfondie. Ceci s’applique aux messages entrants et sortants.

Vous pouvez récupérer et envoyer les messages supprimés en quarantaine dans Historique des messages. Les seuls messages supprimés que vous pouvez récupérer et renvoyer en quarantaine sont les suivants :

• Messages Entrants signalés comme des malwares :

  • Virus
  • Menace Intelix (non contrôlable)
  • Menace Intelix (malveillante)

• Messages sortants marqués comme spam

Cliquez sur l’objet d’un message pour afficher ses détails, puis cliquez sur Supprimé pour lancer la récupération du message. Vous pouvez sélectionner Récupérer pour tous les destinataires pour récupérer le message pour tous les destinataires, puis cliquer sur Récupérer.

La récupération du message à mettre en quarantaine peut prendre quelques minutes. Lorsqu’il est récupéré pour la mise en quarantaine, évaluez soigneusement le message en utilisant des techniques telles que l’envoi du message à Intelix pour contrôle. Vous pouvez télécharger les pièces jointes pour les inspecter à la recherche de contenu malveillant. Vous pouvez lire le contenu du message pour déterminer s’il s’agit de spam. Voir Messages en quarantaine.

La libération de spam sortant nuit à la réputation des adresses IP de livraison de Sophos Email. Une réputation compromise peut entraîner des retards ou le rejet de messages pour tous les clients. Ainsi, une limite de taux horaire est appliquée à la récupération du spam sortant supprimé. En une heure, vous pouvez récupérer un maximum de cinq messages, dont chacun peut avoir été adressé à un ou plusieurs destinataires.

La vidéo suivante vous montre comment récupérer les messages supprimés en quarantaine et configurer la quarantaine de vos utilisateurs en lecture seule.

Messages de spam suspects

Chaque message est contrôlé pour détecter la présence de spam, puis classé en fonction du résultat du contrôle. Lorsque Sophos Central identifie un message suspect, il le marque comme « suspect » et ajoute son niveau de spam.

Sophos Central classe les messages par niveau de spam suspecté. Par exemple, un message correspondant à un niveau de spam L3 sera marqué comme « suspecté L3 » dans l’Historique des messages.

L’action dépend de votre réglage du curseur. Si par exemple vous définissez le curseur sur « L3 » et l'action sur « Mettre en quarantaine ». Dans ce cas, les messages de spam suspects de L1 à L3 seront mis en quarantaine et ceux de L4 à L5 seront livrés au destinataire.

Vous pouvez filtrer les messages par niveau de spam suspecté. Vous pouvez également cliquer sur l’objet d’un message pour afficher plus de détails et le niveau de spam suspecté. Le niveau de spam suspecté que vous avez configuré à l’aide du curseur de taux de capture est affiché dans Raison et le niveau de spam suspecté validé par Sophos Central est affiché dans Sous-catégorie.

Plusieurs destinataires

Si un message est envoyé à plusieurs destinataires, dans Détails , vous pouvez effectuer les opérations suivantes :

• Faire défiler les Destinataires SMTP et les Destinataires de l’en-tête.
• Vous pouvez afficher une liste des destinataires avec leur dernier état de livraison. Vous pouvez également rechercher des événements par adresse email du destinataire ou par domaine. Vous pouvez développer un message pour voir tous les événements qui lui sont associés.
• Filtrer les messages en cliquant sur les liens sous Résumé de l’état.

Récupération à la demande

Vous pouvez récupérer manuellement les messages jugés indésirables dans les boîtes de réception M365 des destinataires et les placer en quarantaine post-livraison.

Cette fonctionnalité s'applique aux destinataires individuels, aux alias d'email et aux listes de distribution. Après une tentative de récupération réussie, l'état de récupération des listes de distribution reste affichée comme « Récupération initiée ».

Avant d'effectuer une récupération, notez les points suivants :

• Vous pouvez récupérer un message uniquement s’il a été livré à une boîte de réception M365 dont le domaine est connecté pour la protection post-livraison.
• La récupération d’un message à partir d’une boîte de réception M365 peut prendre jusqu’à 10 minutes.
• Un message libéré de la quarantaine post-livraison ne peut plus être récupéré.

Vous pouvez signaler un message à SophosLabs et le récupérer en même temps. La récupération commence après l'envoi du message à SophosLabs, à condition qu'il ait été correctement remis à une boîte de réception M365 prise en charge.

Une détection est envoyée à MDR si vous sélectionnez un motif pendant la récupération. La raison apparaît sous forme de suffixe dans la colonne Règle de détection de la page Détections du Centre d’analyse des menaces.

Après une récupération réussie, les messages sont mis en quarantaine. Vous pouvez vérifier les messages dans la liste de quarantaine post-livraison et les libérer s’ils sont non malveillants ou légitimes. Voir Messages en quarantaine.

Vous pouvez également récupérer les messages de la boîte de réception d'un destinataire à l'aide de l'API de récupération. Retrouvez plus de renseignements sur API de gestion des emails

Vous pouvez effectuer une récupération à la demande à l’aide des méthodes suivantes.

Récupérer les messages dans l’historique des messages

Vous pouvez récupérer des messages directement à partir de la page Historique des messages.

Procédez comme suit :

1. Dans Sophos Central, allez dans Rapports > Journaux de sécurité des emails > Historique des messages.

2. Sélectionnez les messages que vous souhaitez récupérer. Vous pouvez sélectionner jusqu'à 100 messages à la fois.

   Conseil

   • Vous pouvez utiliser la fonction Recherche avancée pour affiner vos paramètres de sélection des messages.
   • Vous pouvez utiliser la case située à côté de l'icône flèche haut/bas pour sélectionner tous les messages de la page en cours. Assurez-vous que vous ne visualisez que les messages entrants, car seuls ceux-ci peuvent être récupérés.
   • Vous pouvez filtrer les messages livrés car seuls les messages dont la livraison a réussi peuvent être récupérés.

3. Cliquez sur Lancer la récupération.

   La boîte de dialogue Messages de récupération s'affiche.

4. (Facultatif) Sélectionnez un motif de récupération des messages sélectionnés parmi les options suivantes :

   • Emails de spam
   • Emails malveillants
   • Emails de phishing
   • Emails indésirables

5. (Facultatif) Si vous avez sélectionné Emails indésirables, Emails malveillants ou Emails de phishing, vous pouvez sélectionner Signaler les emails à SophosLabs pour signaler les messages à SophosLabs.

   Ceci nous aide à améliorer la détection des menaces.

6. Cliquez sur Confirmer pour récupérer les messages des boîtes de réception M365.

Récupérer les messages dans Détails du message

Vous pouvez récupérer des messages à partir de leur page de détails de message.

Procédez comme suit :

1. Dans Sophos Central, allez dans Rapports > Journaux de sécurité des emails > Historique des messages.
2. Cliquez sur l'objet d'un message que vous souhaitez récupérer pour afficher les détails le concernant.
3. Cliquez sur Lancer la récupération.
4. Sélectionnez les destinataires dont vous souhaitez récupérer le message livré.

5. Sélectionnez un motif pour récupérer le message sélectionné parmi les options suivantes :

   • Emails de spam
   • Emails malveillants
   • Emails de phishing
   • Emails indésirables

6. (Facultatif) Si vous avez sélectionné Emails indésirables, Emails malveillants ou Emails de phishing, vous pouvez sélectionner signaler les emails à SophosLabs pour signaler le message à SophosLabs.

   Ceci nous aide à améliorer la détection des menaces.

7. (Facultatif) Cliquez sur Afficher le rapport pour afficher le rapport récapitulatif post-livraison des messages récupérés. Voir Rapport Résumé de la post-livraison.

8. Cliquez sur Récupérer pour récupérer les messages des boîtes de réception M365 des destinataires sélectionnés.

Rapport « Rejeté »

Le rapport Rejeté, également appelé « Rapport du journal des rejets », affiche les messages rejetés pour cause de boîte de réception introuvable dans Sophos Email.

Pour chaque message rejeté, le rapport affiche les détails suivants :

• Date : La date et l’heure de l’activité la plus récente du message.
• Expéditeur : L’adresse email de l’expéditeur.
• Adresse IP de l’expéditeur : L’adresse IP de l’expéditeur.
• Destinataire : L’adresse email du destinataire.
• Type : Le type de message soit Passerelle, soit Flux de courrier.
• Raison : Raison pour laquelle le message a été rejeté, telle qu’une boîte de réception introuvable.

Vous pouvez planifier le rapport Rejeté en tant que rapport personnalisé. Enregistrer en tant que rapport personnalisé vous permet d’enregistrer le rapport Rejeté à l’aide du modèle « Rapport de rejet d’emails » de la page Rapports.

Retrouvez plus de renseignements sur l’enregistrement ou la planification de rapports sur Rapports de message.