Zgłoszenie brzmi zawsze tak samo: „kontrahent twierdzi, że wysłał wiadomość, a u mnie nic nie ma”. Wiadomość istnieje, leży w kwarantannie i nikt użytkownika o tym nie poinformował. Nie jest to błąd, lecz konsekwencja tego, jak w Exchange Online działają polityki kwarantanny, i warto to zrozumieć, zanim zespół wsparcia zacznie szukać usterki, której nie ma.
Kilka dróg do kwarantanny
Wiadomość może trafić do kwarantanny z kilku niezależnych powodów, a każdy z nich obsługuje inny filtr:
- ochrona przed spamem: spam, spam o wysokiej pewności, phishing, wiadomości masowe,
- ochrona przed phishingiem: podszywanie się pod użytkowników i domeny,
- ochrona przed złośliwym oprogramowaniem: załączniki rozpoznane jako szkodliwe,
- bezpieczne załączniki: załączniki uznane za szkodliwe po analizie w środowisku izolowanym,
- reguły przepływu poczty: warunki zdefiniowane przez administratora, z akcją dostarczenia do kwarantanny.
Każdy z tych filtrów decyduje osobno, co dzieje się z zatrzymaną wiadomością. Stąd wynika reszta.
Polityka kwarantanny decyduje o wszystkim
Do każdego werdyktu filtra przypisana jest polityka kwarantanny. To ona określa, co użytkownik może zrobić z wiadomością: zobaczyć ją, zwolnić samodzielnie, poprosić o zwolnienie, zablokować nadawcę, czy nic. Ta sama polityka decyduje też, czy użytkownik otrzyma powiadomienie o wiadomości w kwarantannie.
Konsekwencje w praktyce:
- Werdykty dotyczące złośliwego oprogramowania i phishingu o wysokiej pewności domyślnie trafiają do polityki dostępnej wyłącznie dla administratorów. Użytkownik nie widzi tych wiadomości i nie otrzymuje o nich informacji. Z punktu widzenia bezpieczeństwa to zamierzone.
- Zwykły spam i wiadomości masowe mogą korzystać z polityki dającej użytkownikowi pełny dostęp, ale powiadomienia są osobnym ustawieniem, które trzeba włączyć.
- Wiadomości zatrzymane przez reguły przepływu poczty korzystają z polityki systemowej, której nie da się edytować i która nie wysyła powiadomień do użytkowników. Jeśli organizacja kieruje do kwarantanny wiadomości na podstawie własnych reguł, użytkownik nigdy się o tym nie dowie, dopóki ktoś nie sprawdzi kwarantanny ręcznie.
Do tego dochodzi ograniczony czas przechowywania: wiadomości w kwarantannie są usuwane po upływie okresu retencji, domyślnie trzydziestu dni, a dla części werdyktów krótszego.
Co zrobić po stronie administratora
- Zmapować werdykty na polityki. Dla każdego filtra spisać, jaka polityka kwarantanny jest przypisana i co z tego wynika dla użytkownika. Ta tabela jest podstawą komunikacji z zespołem wsparcia.
- Włączyć powiadomienia tam, gdzie to możliwe i sensowne. Dla spamu i wiadomości masowych powiadomienie zbiorcze raz dziennie ogranicza liczbę zgłoszeń. Dla phishingu i złośliwego oprogramowania brak powiadomienia jest właściwy.
- Ustalić rutynę przeglądu. Wiadomości niewidoczne dla użytkowników ktoś musi przeglądać: codziennie, według listy kontrolnej, z jasną procedurą zwalniania i dodawania nadawców do listy dozwolonych.
- Powiedzieć użytkownikom, czego nie zobaczą. Krótka instrukcja: jakie wiadomości pojawią się w powiadomieniu, jakich nie zobaczą nigdy i gdzie zgłosić brak oczekiwanej wiadomości.
- Mierzyć. Liczba wiadomości w kwarantannie według werdyktu, liczba zwolnień na wniosek użytkownika, liczba fałszywych trafień. Jeśli większość zwolnień dotyczy jednego nadawcy lub jednego typu wiadomości, problem jest w konfiguracji filtra, nie w użytkownikach.
Podsumowanie
Kwarantanna nie jest jednym miejscem z jednym zachowaniem. To zbiór werdyktów, z których każdy ma własną politykę widoczności. Administrator, który zna tę mapę, odpowiada na zgłoszenie „nie dostałem wiadomości” w minutę. Administrator, który jej nie zna, szuka błędu w routingu.