メッセージの履歴レポート

メッセージの履歴レポートには、保護対象メールボックスのメールアクティビティの概要が表示されます。

「レポート > Email Security > メッセージの履歴」を参照します。

操作方法

このレポートには、処理済みメッセージと、メールボックスが見つからなかったために拒否されたメッセージの両方の履歴が表示されます。レポートには、次のようなタブがあります。

• 処理済み: Sophos Email Security によって正常に処理されたメッセージです。

  Sophos Gateway と Sophos Mailflow の両方に接続しているドメインがある場合は、「カテゴリ」をクリックして、1つまたは両方の種類を表示することを選択できます。

• 拒否: メールボックスが見つからなかったために拒否されたメッセージです。

メッセージの処理履歴または拒否ログレポートを表示する期間を指定できます。レポートには、当日処理または拒否されたメールがデフォルトで表示されます。日付の範囲を変更またはフィルタを適用をした場合は、更新アイコン をクリックしてレポートを更新してください。

メッセージ履歴でレポート表示できるのは 30日間です。

EMS モード

Sophos EMS に登録している場合、Sophos EMS はメールのジャーナルコピーをスキャンし、元のメールは傍受されません。このため、メッセージ履歴レポートに表示されるメールの状態は、レポート作成のためだけに使用されます。配信されたメールの実際のメールの状態は反映されません。Sophos EMS について詳しくは、Sophos EMS (Email Monitoring System)を参照してください。

"処理済み" レポート

処理済みレポートには、Sophos Email によって処理されたメッセージが表示されます。メッセージが複数の受信者に送信された場合、そのメッセージは 1行のみに表示されます。

各処理済みメッセージについて、以下の情報が表示されます。

• 方向: 受信または送信。矢印をクリックして、行を並べ替えます。
• 送信者: 送信者のメールアドレス
• 受信者: 受信者のメールアドレス。
• 種類: メッセージの種類。ゲートウェイまたはメールフローのいずれかです。
• 件名: 件名をクリックして、そのメッセージの「メッセージの詳細」に移動します。
• 前回の状態: メッセージの最新のアクティビティが表示されます。詳細は、前回の状態を参照してください。
• 日付: メッセージの最新のアクティビティの日時。
• カテゴリ: メッセージのカテゴリ。詳細は、カテゴリを参照してください。
• サブカテゴリ: メッセージのより詳細な分類。

疑わしいメッセージの場合は、「カテゴリ」エントリの上にカーソルを置いて、メッセージが隔離または削除された理由を確認できます。

ユーザーに送信された隔離サマリーメールは、このレポートには表示されません。

処理済みレポートをカスタムレポートとしてスケジュールできます。「カスタムレポートとして保存」を使用 すると、「レポート」ページの[メッセージ履歴]テンプレートを使用して、「処理済み」レポートを保存できます。

レポートの保存またはスケジュールの詳細については、 メールレポートを参照してください。

前回の状態

*前回の*状態に表示される値は次のいずれかです。

• 削除: コンテンツフィルタリングまたはブロックするドメインのリストに従って、メッセージが削除された状態。「削除」を選択すると、削除する「理由」を選択できます。
• 隔離: コンテンツフィルタリングまたはブロックするドメインのリストに従って、メッセージがスパムとして識別された状態。隔離メッセージは、「隔離されたメッセージ」ページに表示されます。詳細は、隔離されたメッセージを参照してください。
• バウンス: メッセージは送信者に返送され、配信されなかった理由が示された状態。
• リダイレクト: メッセージは元の受信者に配信されなかった状態。別のメールアドレスにリダイレクトされました。
• 処理中: メッセージがまだ処理中の状態。サンドボックス環境にあるメッセージ、および配信キューに追加済みのメッセージに対してこの状態が表示されます。
• 承認: メッセージの受信に成功し、システムで処理中の状態。
• 配信に成功: メッセージの処理に成功し、配信された状態。
• 配信失敗: メッセージの配信を数回試みたが失敗し、リクエストがタイムアウトした状態。

• 配信キューに追加済み: 1度目の配信に失敗し、メッセージが配信待ちのキューに再度追加された状態。

  受信メッセージは最大 5日間、送信メッセージは最大 1日間キューに保持され、配信が再試行されます。失敗の原因としては、受信側のメールサーバーがダウンしている場合や、受信者の DNS レコードを取得できない場合などが考えられます。配信キューに追加された後、処理段階にあるメッセージは、「処理中」として表示されます。

• 暗号化処理中: メッセージのプッシュ暗号化を処理中、または受信者がパスワードを設定した後、プッシュ暗号化されたメッセージの配信を待機している状態。

• 暗号化して配信: プッシュ暗号化で暗号化されたメッセージが配信された状態。
• ポータルに配信: ポータル暗号化によって暗号化されたメッセージが Sophos Secure Message ポータルに配信された状態。
• M365 に返却済みSophos Mailflow のメールが Microsoft 365 に正常に返却された状態。
• M365 に返却するためにキューに追加済み: Sophos Mailflow 365 に返却するために、Sophos Mailflow のメールがキューに追加された状態。
• M365 に返却できませんでした: Sophos Mailflow のメールを Microsoft 365 に返却できなかった状態。
• 回収に成功しました: メッセージは、受信者に正常に配信された後、配信後の隔離に回収されました。
• 回収を開始しました: メッセージを回収するプロセスが開始されました。
• 回収に失敗しました: メッセージを回収しようとしましたが、失敗しました。
• 回収を解除しました: 回収要求がキャンセルされたか、解除されました。メッセージは回収されません。

カテゴリ

「カテゴリ」とそのサブカテゴリに指定できる値は次のとおりです。

• リアルタイムのブロックリストでブロック: メッセージはリアルタイムでブロックされました。

• 企業のブロックリストでブロック: メッセージは、エンタープライズレベルのセキュリティポリシーによってブロックされました。

  • ブロックされた管理者: メッセージは管理者の設定によってブロックされました。
  • ブロックされたユーザー: メッセージはユーザー設定によってブロックされました。

• マルウェア: メッセージにマルウェアが含まれています。

• スキャン不可能: メッセージに脅威がないかスキャンできませんでした。

  • 過剰な URL: メッセージに含まれる URL の数が異常に多くなっています。

• Intelix 脅威: Intelix の分析結果に基づいて、メッセージが潜在的な脅威と判断されています。

  • 悪意あり: このメッセージには、悪意のあるコンテンツやそのリンクが含まれています。
  • Intelix スキャン不可: Intelix でメッセージをスキャンできませんでした。
  • 疑わしい項目: メッセージは疑わしいとしてフラグが付けられますが、悪意のあるものとしては確定されません。

• URL/QR コード: メッセージには、有害または安全でない Web サイトにリンクする URL または QR コードが含まれています。

  • 悪意のある URL (高リスク): URL は、送信元のレピュテーションに基づいてリスク - 高として識別されます。

  • 悪意のある URL (犯罪者): URL は犯罪行為や犯罪的な意図に関連しています。

    注

    メールに、インターネット監視財団の有害サイトの URL リストにあるリンクが含まれている場合、ソフォスはそのメールを削除することが法律上義務付けられています。また、メッセージの履歴を含め、Sophos Central 内のどこにもそのリンクを表示しないことが法律上義務付けられています。詳細は、次を参照してください: IWF: URL リスト。

    このようなメールは常に削除されます。メールセキュリティポリシーの設定内容は使用されません。

  • QR コード (高リスク): QR コードは、リンクされた Web サイトのレピュテーションに基づいてリスク - 高として識別されます。

  • QR コード (犯罪者): QR コードは、犯罪行為または犯罪的な意図に関与する Web サイトにリンクされています。
  • クリーン QR コード: QR コードは、すべてのセキュリティチェックに合格し、悪意のある行動の兆候を示さなかった Web サイトにリンクされています。

• 偽装: メッセージは信頼できる送信者に偽装されました。

  • ブランド名: 有名なブランドや組織をなりすましたメッセージ。
  • 内部 VIP アドレス: このメッセージは、組織内の知名度の高い個人を対象としています。
  • 外部 VIP アドレス: このメッセージは、ベンダー、顧客、パートナーなどの信頼できる外部連絡先を対象にしています。
  • 全般: メッセージは偽装と見なされますが、特定の VIP またはブランドと一致していません。機械学習またはフィッシング対策ヒューリスティックに基づいてフラグが付けられます。

  ヒント

  偽装のフラグが付いたメッセージの件名をクリックすると、詳細が表示されます。メッセージが内部または外部 VIP からのものか、複数の VIP からのものか、またはアグレッシブモードとしてフラグが付けられたものかを確認できます。

• スパム: メッセージは、迷惑バルクメール (スパムメール) としてフラグが設定されています。これは、迷惑メールとも呼ばれる種類のメールです。

  • 疑わしい L<x >: メッセージには、疑わしいスパムとしてフラグが付けられます。レベルは、L1 ～ L5 です。スパムの疑いのあるレベルの詳細については、次を参照してください。スパム対策
  • 確認: 既知および検証済みのスパムパターンが含まれているため、メッセージはスパムとして識別されました。
  • 許可されていない国: ポリシーで許可されていない国から送信されたメッセージです。
  • 許可されていない言語: メッセージには、ポリシーで許可されていない言語のコンテンツが含まれています。
  • BATV: 正規のバウンスメッセージを検証するために必要な有効なバウンス アドレス タグがないため、メッセージはBATV (Bounce Address Tag Validation) チェックに失敗しました。これは、スパムや後方拡散攻撃でよく見られる偽の返信アドレスを示している可能性があります。

• バルクメール: メッセージは、ニュースレター、メーリングリスト、またはその他の形式の要請されたメールの受信者グループに送信されました。

• 認証エラー: メッセージは DMARC、SPF、または DKIM 認証チェックに失敗しました。

  • DKIM: メッセージは、ポリシーで設定された DKIM チェックに失敗しました。
  • DMARC: メッセージは、ポリシーで設定された DMARC チェックに失敗しました。
  • SPF: メッセージは、ポリシーで設定された SPF チェックに失敗しました。
  • ヘッダーアノマリ: From アドレスが実際の送信者と一致しないか、エンベロープ内の MAIL FROM アドレスと異なるため、メッセージはヘッダーアノマリチェックに失敗しました。この場合、メールが偽装された可能性があります。
  • ドメインアノマリ: メッセージは、無効なドメインや不適切に設定されたドメインから送信されたため、ドメインアノマリチェックで失敗しました。

• データコントロール: データコントロールポリシールールがトリガされたため、メッセージにフラグが付けられます。

  • プッシュ暗号化済み: データ コントロール ルールが適用されたため、メッセージはプッシュ暗号化を使用して暗号化されました。
  • ポータル暗号化済み: Sophos Secure Message ポータルの内部に暗号化され、データコントロールのルールに基づいて保存されたメッセージです。

• セキュアメッセージ: メッセージは暗号化され、機密性を確保し、機密データを保護します。

  • プッシュ暗号化済み: メッセージは、Secure Message ポリシーで設定されているプッシュ暗号化を使用して暗号化されました。
  • ポータル暗号化済み: Sophos Secure Message ポータルの設定に基づき、暗号化されたメッセージは、セキュアメッセージ ポリシーに従って Sophos Secure Message ポータル内に保存されます。
  • S/MIME: メッセージは、S/MIME プロトコールを使用して署名または暗号化されました。これは、セキュア メッセージ ポリシーに基づいて設定されています。
  • TLS v1.2: メッセージは、セキュア メッセージ ポリシーで設定されている TLS 1.2 暗号化を使用して安全に配信されました。
  • TLS v1.3: メッセージは、セキュア メッセージ ポリシーで設定されている TLS 1.3 暗号化を使用して安全に配信されました。

• 正規: メッセージは有効で信頼できるものとして識別されます。

  • S/MIME: メッセージは、S/MIME プロトコルを使用して署名または暗号化されたものとして受信されました。
  • PT キャンペーン: このメッセージは、Sophos Anti-Virus の Phish Threat キャンペーンの一部です。

検索方法

高度な検索機能を使用して、「メッセージ履歴」でメッセージをフィルタリングする方法について説明します。

詳細検索

「メッセージ履歴」では、「高度な検索」を使用して 特定のメッセージをフィルタリングして検索できます。

「高度な検索」をクリックし て開始します。

複数の検索条件を設定できます。検索結果には、すべての条件に一致するメッセージが含まれます。

メッセージは、「方向」、「状態」、「理由」などで絞り込み表示できます。

日付の範囲を変更したり、メッセージを絞り込み表示したりする場合は、更新アイコン をクリックして検索結果を更新する必要があります。

検索結果

検索結果では、選択したパラメータが検索ボックスに表示されます。個々のパラメータをクリックして、検索から削除できます。検索結果はすぐに更新されます。

方向矢印をクリックして、検索の対象を受信または送信メッセージに制限できます。下矢印は受信メッセージ、上矢印は送信メッセージに対応します。方向矢印をクリックすると、検索結果はすぐに更新されます。

メッセージの詳細

「メッセージの詳細」表示するには、メッセージの「件名」をクリックします。

メッセージの詳細は、次のタブをクリックして表示できます。

• 詳細: メッセージに関する一般的な情報、およびメッセージのイベント履歴が表示されます。イベント履歴は、「受信者」別にグループ化されます。
• Raw ヘッダ: ヘッダの詳細が表示されます。
• 添付ファイル: 添付ファイルの名前とサイズが表示されます。

• URL: メッセージ内の URL すべてが表示されます。

  添付ファイルのサイズは、メールの MIME エンコーディングを使用して計算されます。生のファイルのサイズは使用されません。このため、報告される添付ファイルのサイズが、実際のファイルのサイズよりも大きいことがよくあります。詳細は、メール添付ファイルのサイズの計算を参照してください。

受信と送信の「スパム」メールについては、ソフォスの解析結果のメッセージに応じて、「脅威の数の報告」または「正常の数の報告」のいずれかが表示されます。これらのオプションのいずれかをクリックすると、メッセージが SophosLabs に送信され、ソフォスのスパム検出に役立てられます。

ブロック

「メッセージ履歴」で、ブロックするメッセージの件名をクリックして、メッセージの詳細を表示できます。次に、「SMTP 送信元」の下の「ブロック」をクリックし、「送信者のブロック」または「送信者ドメインのブロック」を選択して、送信者のメールアドレスまたはドメインをブロックリストに追加します。

「IP アドレス」の下の「IP アドレスのブロック」をクリックして、ブロックリストに IP アドレスを追加することもできます。または、「受信許可/ブロック」リストからメールアドレスとドメインを追加することもできます。

送信者のメールアドレス、ドメイン、または IP アドレスをブロックする際に説明を追加して、各ブロック項目の理由を指定できます。たとえば、説明は「スパムのためブロックされました」と表示されます。これらの説明は、後で「受信許可/ブロック」リストで表示および編集できます。

詳細は、受信許可/ブロックを参照してください。

削除されたメッセージの復元

スパムとしてフラグが付けられた送信メッセージは削除されます。これは、サーバーが Sophos Email からスパムを受信すると、Sophos Email 配信 IP アドレスのレピュテーションがダウングレードされてしまうためです。スーパー管理者が、削除されたメッセージが誤検知であるかどうかを確認する場合、それらを復元して隔離し、さらに検査することができます。これは、受信メッセージと送信メッセージの両方に適用されます。

「メッセージの履歴」で削除されたメッセージを復元し、 隔離に送信できます。次の削除されたメールのみが、復元して隔離に戻すことができます。

• 次のようにマルウェアとしてフラグが付けられた受信メッセージ：

  • ウイルス
  • Intelix 脅威 (スキャン不可)
  • Intelix 脅威 (悪意あり)

• スパムとしてフラグが付けられた送信メッセージ

メッセージの件名をクリックしてメッセージの詳細を表示し、「Deleted」(削除済み) をクリックしてメッセージの復元を開始します。すべての受信者のメッセージを復元するには、「すべての受信者の復元」を選択して, 「復元」をクリックします。

メッセージを隔離に復元するには数分かかることがあります。隔離された状態に復元したら、スキャンのために Intelix にメッセージを送信するなどの方法を使用して、メッセージを十分に評価する必要があります。添付ファイルをダウンロードして、悪意のあるコンテンツがないかどうかを調べることができます。メッセージの内容を読んで、スパムかどうかを判断できます。詳細は、隔離されたメッセージを参照してください。

送信スパムをリリースすると、Sophos Email の配信 IP アドレスのレピュテーションが損なわれます。レピュテーションが損なわれると、すべてのお客様のメッセージが遅延または拒否される可能性があります。そのため、削除された送信スパムの復元には、時間単位のレート制限が適用されます。1時間以内に最大 5つのメッセージを復元できます。各メッセージは 1人以上の受信者に宛てられた可能性があります。

次の動画では、削除されたメッセージを復元して隔離し、ユーザーの隔離を読み取り専用として設定する方法を説明します。

疑わしいスパムメッセージ

受信メッセージはスパムに対してスキャンされ、スキャン結果に基づいてメッセージが分類されます。Sophos Central は、疑わしいメッセージを識別すると、そのメッセージを「疑わしい」としてマークし、スパムレベルを追加します。

Sophos Central は、疑わしいスパムメッセージをレベルに基づいて分類します。たとえば、L3 スパムレベルに対応するメッセージは、メッセージ履歴で「疑わしい L3」としてマークされます。

アクションは、スライダーで行った調整内容によって異なります。たとえば、スライダーを「L3」に設定し、アクションを「隔離」に設定します。その場合、L1 から L3 への疑わしいスパムメッセージは隔離され、L4 から L5 へのスパムメッセージは受信者に配信されます。

疑わしいスパムレベルでメッセージをフィルタリングできます。メッセージの件名をクリックして、詳細と疑わしいスパムレベルを表示することもできます。捕捉率スライダーを使用して設定した疑わしいスパムレベルは「理由」に表示され、Sophos Central によって評価された疑わしいスパムレベルは「サブカテゴリ」に表示されます。

複数の受信者

メッセージが複数の受信者に送信された場合は、「詳細」で次の操作を実行できます。

• 「SMTP 受信者」と「ヘッダー受信者」をスクロールできます。
• 最新の配信状態を含む、受信者のリストを表示できます。受信者のメールアドレスやドメインでイベントを検索することもできます。メッセージを展開すると、そのメッセージに関連付けられているすべてのイベントを表示できます。
• 「状態のサマリー」の下にあるリンクをクリックして、メッセージをフィルタリング表示できます。

オンデマンドの回収

受信者の M365 メールボックスから好ましくないと判断されたメッセージを手動で回収して、配信後の隔離に移動できます。

この機能は、個々の受信者、メールエイリアス、および配信リストに適用されます。回収の試行が成功すると、配信リストの回収の状態は「回収を開始しました」のままになります。

回収を実行する前に、次の点に注意してください。

• メッセージは、配信後の保護のためにドメインが接続されている M365 メールボックスに配信されている場合にのみ、回収を実行できます。
• M365 メールボックスからメッセージを取り出すには、最大 10分かかる場合があります。
• 配信後の隔離から解放されたメッセージは、再度回収できません。

SophosLabs にメッセージを報告して、同時に回収することができます。メッセージがサポートされている M365 メールボックスに正常に配信されていれば、SophosLabs にメッセージを送信すると、回収が開始されます。

回収中に理由を選択すると、検出が MDR に送信されます。脅威解析センターの「検出」ページにある「検出ルール」列に、その理由がサフィックスとして表示されます。

回収が正常に終了すると、メッセージは隔離されます。配信後の隔離リストでメッセージを確認し、悪意のないメッセージまたは正規のメッセージである場合は解放できます。詳細は、隔離されたメッセージを参照してください。

API の回収を使用して、受信者の受信ボックスからメッセージを回収することもできます。詳細については、Email Management API を参照してください。

次の方法を使用して、オンデマンドの回収を実行できます。

メッセージの履歴でのメッセージの回収

「メッセージの履歴」ページから直接メッセージを回収できます。

これには、次の手順を実行します。

1. Sophos Central で、「レポート > Email Security > メッセージの履歴」の順に選択します。

2. 回収するメッセージを選択します。一度に最大 100件のメッセージを選択できます。

   ヒント

   • 「高度な検索」を使用して、メッセージ選択を絞り込むことができます。
   • 上/下矢印アイコンの横にあるチェックボックスを使用して、現在のページ上のすべてのメッセージを選択できます。受信メッセージのみを表示していることを確認してください。
   • 正常に配信されたメッセージのみを回収するには、配信されたメッセージをフィルタリングできます。

3. 「回収を開始する」をクリックします。

   「回収メッセージ」ダイアログが表示されます。

4. (任意) 次のオプションから、選択したメッセージを回収する理由を選択します。

   • スパム/メール
   • マルウェアメール
   • フィッシングメール
   • 迷惑メール

5. (任意)「スパム/メール」、 「マルウェアメール」、または「フィッシングメール」を選択した場合は、「メールを SophosLabs に報告する」を選択して、メッセージを SophosLabs に報告できます。

   これはソフォスの脅威検出に役立てられます。

6. 「確認」をクリックして、M365 メールボックスからのメッセージを回収します。

メッセージの詳細でのメッセージの回収

「メッセージの詳細」ページから直接メッセージを回収できます。

これには、次の手順を実行します。

1. Sophos Central で、「レポート > Email Security > メッセージの履歴」の順に選択します。
2. 回収するメッセージの件名をクリックして、メッセージの詳細を確認します。
3. 「回収を開始する」をクリックします。
4. 配信されたメッセージを回収する受信者を選択します。

5. 次のオプションから、選択したメッセージを回収する理由を選択します。

   • スパム/メール
   • マルウェアメール
   • フィッシングメール
   • 迷惑メール

6. (任意)「スパム/メール」、 「マルウェアメール」、または「フィッシングメール」を選択した場合は、「メールを SophosLabs に報告する」を選択して、メッセージを SophosLabs に報告できます。

   これはソフォスの脅威検出に役立てられます。

7. (任意)「M365」をクリックして、回収されたメッセージの配信後のサマリーレポートを表示します。詳細は、配信後のサマリーのレポートを参照してください。

8. 「回収」をクリックして、選択した受信者の M365 メールボックスからのメッセージを回収します。

"拒否" レポート

"拒否ログレポート" とも呼ばれる拒否レポートには、メールボックスが Sophos Email で見つからなかったために拒否されたメッセージが表示されます。

各拒否メッセージについて、以下の情報が表示されます。

• 日付: メッセージの最新のアクティビティの日時。
• 送信者: 送信者のメールアドレスです。
• 送信者 IP: 送信者の IP アドレスです。
• 受信者: 受信者のメールアドレスを入力します。
• 種類: メッセージの種類。ゲートウェイまたはメールフローのいずれかです。
• 理由: メールボックスが見つからないなどのメッセージが拒否された理由です。

拒否レポートをカスタムレポートとしてスケジュールできます。「カスタムレポートとして保存」を使用すると、「レポート」ページの "メール拒否レポート" テンプレートを使用して、「拒否」レポートを保存できます。

レポートの保存またはスケジュールの詳細については、 メールレポートを参照してください。