Rückwirkender Bedrohungsscan in MailGuard

Der Scan sieht nach, was in den Postfächern schon liegt. Nicht was ankommt, sondern was angekommen ist: Nachrichten, die ein Filter vor Tagen oder Wochen durchgelassen hat und die heute als gefährlich bekannt sind.

Zwei Anlässe gibt es dafür. Vor einer Umstellung ist es die Frage, was das bisherige Gateway übersehen hat, und die Antwort ist eine Liste mit Betreff und Absender statt einer Zahl aus einem Prospekt. Nach der Umstellung ist es dieselbe Frage rückwärts, wenn eine Signatur oder ein Reputationseintrag erst später erscheint.

Was der Scan tut

Er liest je Postfach die Nachrichtenliste eines gewählten Zeitfensters und prüft zwei Dinge:

• die Absenderdomäne gegen die Domänenliste von Spamhaus,
• die Anhänge gegen die Hashliste von Spamhaus.

Der Nachrichtenrumpf wird nicht geladen. Das ist Absicht: ein Scan, der jeden Rumpf holt, ist ein Datenabfluss in der Größe des Postfachs und dazu so langsam, dass ihn niemand laufen lässt. Anhänge werden nur für Nachrichten geholt, die welche haben, und nur bis zu einer Größengrenze.

Was er nicht tut

Er verändert nichts. Keine Nachricht wird verschoben, gekennzeichnet oder entfernt. Was mit einem Fund passiert, entscheidet ein Bereinigungslauf, und der braucht eine Freigabe. Der Scan ist eine Auskunft.

Und er erklärt nichts für harmlos. Ein Fund heißt: diese Absenderdomäne oder dieser Anhang ist gelistet. Eine Nachricht ohne Fund ist nicht geprüft und freigegeben, sie ist nur nicht aufgefallen.

Voraussetzung

Der Zugriff auf die Postfächer, also die Berechtigung Mail.ReadWrite am Microsoft-365-Mandanten. Sie wird in den MailGuard-Einstellungen erteilt, dieselbe Zustimmung wie für die nachträgliche Bereinigung. Ohne sie bleibt der Knopf gesperrt.

Ablauf und Dauer

Der Scan läuft in Scheiben. Ein Mandant mit dreihundert Postfächern und dreißig Tagen Fenster hat leicht hunderttausend Nachrichten; das geht nicht in einem Durchgang. Der Lauf merkt sich, welches Postfach dran ist und wo darin, und arbeitet alle drei Minuten ein Stück weiter. Der Fortschritt steht in der Karte, abbrechen können Sie jederzeit, und ein Abbruch kostet eine Scheibe statt des ganzen Laufs.

Ein Postfach, das Microsoft nicht hergibt, etwa weil es gelöscht wurde oder gar keines ist, hält den Lauf nicht auf. Es wird übersprungen und der Grund festgehalten.

Was gespeichert wird

Zu jedem Fund die Kopfdaten und der Grund: Postfach, Absender, Betreff, Zeitpunkt, Nachrichtenkennung und bei einem Anhangstreffer dessen Name und Hash. Nie der Nachrichteninhalt und nie der Anhang selbst.