Śledzenie logów pocztowych w Exchange

Wiadomości wysyłane wewnątrz organizacji oraz poza nią, możesz śledzić w centrum administratora Exchange. Na podstawie zbieranych danych możesz stwierdzić czy wiadomość została odebrana, odrzucona, odłożona lub dostarczona przez usługę. Dane także przedstawiają, co działo się z wiadomością, zanim osiągnęła swój ostateczny status.

SPIS TREŚCI

• Jak korzystać z funkcji „Message trace” w Exchange?
• Zakres czasu wyszukiwania
• Detailed search options
  • Delivery status – status dostarczenia
  • Message ID – identyfikator wiadomości
  • Direction – kierunek wiadomości
  • Original client IP adress – adres IP klienta
• Wybierz rodzaj raportu
• Generowanie raportu
• Wyniki śledzenia wiadomości
  • Rekordy związane z wiadomością

Jak korzystać z funkcji „Message trace” w Exchange?

Aby rozpocząć śledzenie:

1. Wejdź do panelu administratora Exchange, który dostępny jest pod adresem: https://admin.exchange.microsoft.com/.
2. Następnie, na liście po lewej stronie ekranu, rozwiń opcję Mail flow i kliknij Message trace.
   Na nowym ekranie zobaczysz 4 zakładki:
   • Default queries – wbudowane zapytania, stworzone przez Microsoft 365,
   • Custom queries – zapytania stworzone i zapisane przez administratorów organizacji,
   • Autosaved queries – ostatnie dziesięć zapytań, które były wykonywane w organizacji,
   • Downloadable queries – w tej zakładce znajdują się zgłoszone zapytania oraz raporty do pobrania.
3. Aby rozpocząć wyszukiwanie, kliknij Start a trace. Otworzy to nowy panel, w którym zobaczysz ustawienia zapytania. Domyślne wartości w polach Senders (Nadawcy) i Recipients (Odbiorca) ustawione są na All (Wszyscy), lecz możesz je personalizować, wpisując w nich jedną lub więcej osób z Twojej organizacji.
4. Możesz wprowadzać adresy mailowe spoza organizacji, lecz nie możesz wpisać więcej niż jeden zewnętrzny adres podczas jednego wyszukiwania.
   

Zakres czasu wyszukiwania

Domyślna wartość na suwaku zakresu czasu (Time range) wynosi 2 dni, jednak możesz zwiększyć zasięg wyszukania do aż 90 dni.

Możesz także ustawić dokładniejszy zakres czasu klikając Custom time range. Zobaczysz listę stref czasowych (Time zone) oraz datę/godzinę początkową i końcową (Start/End date). Jeśli ustawiony zakres czasu nie przekracza 10 dni, wyniki zobaczysz od razu w podsumowaniu. Zakresy większe niż 10 dni będą dostępne do podglądu tylko w pliku CSV, który należy pobrać. Duże zapytania mogą być procesowane nawet przez kilka godzin.

Detailed search options

Są to szczegółowe opcje wyszukiwania, które możesz zmieniać po rozwinięciu listy.

Wśród nich znajdziesz:

Delivery status – status dostarczenia

To pole możesz pozostawić ustawione na All (Wszystkie) lub wybrać konkretną wartość, by zawęzić swoje wyszukiwanie:

1. • Delivered  – wiadomość dotarła do wyznaczonej skrzynki,
   • Expanded – grupa odbiorców została powiększona przed dotarciem do odbiorców lub grupy,
   • Failed – wiadomość nie została dostarczona,
   • Pending – wiadomość zostaje wysłana lub ponownie wysłana,
   • Quarantined – wiadomość została objęta kwarantanną, czyli oznaczona jako spam, masowy mail lub phishing,
   • Filtered as spam – wiadomość została oznaczona jako spam i odrzucona lub zablokowana (nie w kwarantannie)
   • Getting status – wiadomość została otrzymana przez serwer, lecz nie ma więcej informacji o jej statusie.

Message ID – identyfikator wiadomości

Każda wiadomość posiada własny, unikatowy identyfikator Message-ID, który występuje w różnych formatach, zależnie od tego czy wiadomość powstała w Microsoft 365 / Exchange lub w innym środowisku. Korzystając z identyfikatora, możesz śledzić konkretną wiadomość. Kiedy używasz pola Message-ID do wyszukiwania wiadomości, upewnij się, że wklejasz lub wpisujesz pełny identyfikator, nie omijając myślników, nawiasów czy innych symboli.

Direction – kierunek wiadomości

Pole Direction pozwala określić jakich wiadomości szukamy. Pozostawiając domyślną wartość All, wyszukane zostaną wszystkie wiadomości. Administrator może wybrać także dwie opcje Inbound (przychodzące) oraz Outbound (wychodzące) by wyfiltrować niechciane wiadomości.

Original client IP adress – adres IP klienta

Administratorzy Exchange mogą filtrować wyniki, wprowadzając w zapytaniu konkretny adres IP. Umożliwia to sprawdzanie zhakowanych lub zainfekowanych komputerów, które wysyłają masowe ilości spamu lub wirusów. Wiadomości mogą wyglądać, jakby były wysłane z wielu skrzynek, lecz prawdopodobnie jest to jeden komputer podszywający się pod wiele nadawców.

Wybierz rodzaj raportu

Tworząc zapytanie, możesz zdecydować jaki raport ma zostać wygenerowany. Do wyboru masz: Summary, Enhanced summary oraz Extended report.

• Summary report – jest to podsumowanie dostępne, kiedy zakres czasu nie przekracza 10 dni, a wyszukiwanie nie wymaga dodatkowych opcji filtrowania. Wyniki wyszukiwania zazwyczaj są dostępne od razu po wykonaniu wyszukiwania. Summary report generuje do 20 tysięcy wyników.
• Enhanced summary report lub Extended report: te raporty są dostępne tylko w formie pliku CSV, który należy pobrać po wykonaniu wyszukiwania. Niezależnie od zakresu czasu wymagają jedną lub więcej z następujących opcji: Senders, Recipients lub Message ID. W raportach możesz też używać zewnętrznych adresów mailowych. Raport Enhanced zwraca do 50 tysięcy wyników, natomiast raport Extended zwraca do 1 tysiąca.

Generowanie raportu

Po wprowadzeniu wszystkich danych i wybraniu rodzaju raportu kliknij Search u dołu panelu wyszukiwania. Możesz także kliknąć Save, by zapisać parametry wyszukiwania na później.

Wyniki śledzenia wiadomości

Po wykonaniu wyszukiwania wyniki będą wyświetlone na liście i posortowane, zaczynając od najnowszych do najstarszych.

Summary report (raport podsumowujący) zawiera następujące informacje:

• Date – data i godzina, w której wiadomość została odebrana, zgodnie z wybraną strefą czasową.
• Sender – adres email nadawcy
• Recipient – adres email odbiorcy lub odbiorców. Jeśli wiadomość ma wielu odbiorców, każdemu z nich zostanie przypisana jedna linijka. Wiadomości wysłane do grupy wyświetlone będą jako linijka z adresem grupy, a następnie wszystkimi odbiorcami w tej grupie.
• Subject – Pierwsze 256 znaków z pola Temat wiadomości email.
• Status – status wiadomości (rodzaje statusów opisane powyżej, w sekcji Delivery status)

Domyślnie, pierwsze 250 wyników zostaje wczytanych, a po przewinięciu strony następuje pauza i kolejne 250 wiadomości zostaje wczytanych, aż zbiór zostanie wyczerpany.

Możesz klikać na nazwy kolumn, by zmieniać sposób sortowania wyników po wartościach wybranej kolumny.

Możesz kliknąć Search, by wyszukać konkretne wyniki wyszukiwania. Jeśli chcesz wyeksportować wyniki, zaznacz jeden lub więcej wierszy i kliknij Export Results.

Po kliknięciu wybranego rekord raportu zobaczysz szczegóły wiadomości. Przewijając panel możesz też rozwinąć opcje Message events (ścieżka wiadomości) oraz More information (szczegółowe dane jak: Message ID, rozmiar wiadomości i IP nadawcy/odbiorcy)

Rekordy związane z wiadomością

Jedna wiadomość mailowa potrafi wygenerować kilka rekordów – kolejne rekordy pojawiają się m.in. kiedy powiększona zostaje grupa odbiorców, zmienione zostają zasady przepływu wiadomości, wiadomość zostaje przekierowana, itp.

Rekordy związane z wiadomością posiadają taki sam identyfikator jak wiadomość. Korzystając z Message ID możesz wyświetlić wszystkie rekordy wygenerowane przez wybraną wiadomość. W raporcie możesz też kliknąć Find related, by nie musieć przepisywać identyfikatora ręcznie.

Czytaj więcej

• Poczta biznesowa Exchange Lite (Microsoft Exchange)
• Do czego służy CodeTwo – menadżer stopek email do Exchange, Office 365 i Microsoft 365?