Quarantine: ตรวจและปล่อยอีเมลที่ถูกกักใน Microsoft Defender
คำตอบสั้น ๆ: ตรวจและปล่อยอีเมลที่ถูกกักใน Quarantine ของ Microsoft Defender portal เปิดการแจ้งเตือนให้พนักงาน และใช้ Tenant Allow/Block List อนุญาตหรือบล็อกผู้ส่ง
คู่มือนี้อธิบาย Quarantine ทีละขั้นตอน พร้อมคำสั่งที่ใช้ได้จริงและปัญหาที่พบบ่อย
Quarantine คือพื้นที่กักอีเมลใน Microsoft Defender portal ที่ระบบป้องกันของ Exchange Online ส่งอีเมลน่าสงสัยไปพักไว้แทนการส่งเข้ากล่องจดหมาย เช่น อีเมลที่ถูกระบุว่าเป็นฟิชชิงความเชื่อมั่นสูงหรือมีมัลแวร์ ฟีเจอร์นี้มีในทุกองค์กรที่ใช้กล่องจดหมายบนคลาวด์ ไม่ต้องซื้อ Defender for Office 365 เพิ่ม
คู่มือนี้เหมาะกับผู้ดูแลระบบที่ได้รับแจ้งว่าอีเมลสำคัญจากคู่ค้าหายไป และต้องตัดสินใจว่าจะปล่อยหรือไม่ เมื่อทำครบ คุณจะค้นอีเมลที่ถูกกักได้ ตรวจความปลอดภัยก่อนปล่อย ตั้งให้พนักงานได้รับอีเมลแจ้งเตือนเมื่อมีอีเมลถูกกัก และใช้ Tenant Allow/Block List อนุญาตหรือบล็อกผู้ส่งอย่างถูกวิธี
สิ่งที่ต้องเตรียม
บทบาท Security Administrator, Quarantine Administrator หรือ Global Administrator สำหรับปล่อยและลบอีเมล ส่วน Global Reader หรือ Security Reader ดูได้อย่างเดียว
ข้อมูลอีเมลที่หาย: ผู้ส่ง ผู้รับ หัวเรื่อง และช่วงเวลา ถ้าเคยค้นด้วย Message Trace แล้วเห็นสถานะ Quarantined ให้คัดลอก Message ID มาด้วย
รู้ระยะเวลาเก็บ: อีเมลที่ถูกกักโดยนโยบาย Anti-spam เก็บ 15 วันเป็นค่าเริ่มต้น (ปรับได้ 1–30 วัน) ส่วนมัลแวร์และอีเมลที่ถูกกักโดย Mail flow rule เก็บ 30 วัน เมื่อครบกำหนดจะถูกลบถาวรและกู้ไม่ได้
ตั้งแต่ต้นปี 2023 สิทธิ์ของ Exchange Online เพียงอย่างเดียวจัดการอีเมลที่ถูกกักไม่ได้แล้ว ถ้าบัญชีผู้ดูแลเห็นหน้าว่างหรือปุ่มเป็นสีเทา ให้ตรวจบทบาทใน Microsoft Entra หรือในหน้า Permissions ของ Defender portal
ทุกอีเมลที่ถูกกักต้องมีคนตัดสินใจก่อนวันหมดอายุ ไม่เช่นนั้นจะถูกลบถาวร
ขั้นตอนที่ 1: เปิดหน้า Quarantine
ลงชื่อเข้าใช้ Microsoft Defender portal ที่ https://security.microsoft.com ไปที่ Email & collaboration > Review > Quarantine แล้วเลือกแท็บ Email หรือเข้าตรงที่ https://security.microsoft.com/quarantine
รายการแสดงคอลัมน์ Time received, Subject, Sender, Quarantine reason, Release status, Policy type และ Expires คอลัมน์ Expires สำคัญมาก เพราะบอกวันที่อีเมลจะถูกลบถาวร
ขั้นตอนที่ 2: ค้นหาอีเมลที่ถูกกักใน Quarantine
คลิก Filter แล้วกำหนดเงื่อนไข เช่น Recipient address, Sender address, Subject หรือ Message ID ช่อง Time received มีค่าเริ่มต้นเป็น Last 7 days เปลี่ยนเป็น Last 30 days หรือ Custom ได้ จากนั้นคลิก Apply
อย่าพึ่งช่อง Search ด้านบนอย่างเดียว เพราะค้นได้เฉพาะรายการที่โหลดมาในหน้าจอ (100 รายการแรก) ไม่ใช่ทั้งหมด ตัวกรองที่มีประโยชน์อีกตัวคือเหตุผลการกัก ซึ่งแยกได้ว่าเป็น Spam, Bulk, Phishing, High confidence phishing, Malware หรือ Transport rule
ดู Quarantine reason และวันหมดอายุก่อนตัดสินใจปล่อย (ภาพจำลอง)
ขั้นตอนที่ 3: ตรวจสอบอีเมลก่อนปล่อย
คลิกที่แถวของอีเมล (ไม่ใช่ช่องติ๊ก) เพื่อเปิดรายละเอียด ดูเหตุผลการกัก, Policy type, ส่วน Authentication ที่แสดงผล SPF, DKIM และ DMARC รวมถึง URL และไฟล์แนบ ใช้ Preview message หรือ View message headers ในเมนู More เพื่อดูเนื้อหาโดยไม่ต้องส่งเข้ากล่องจดหมาย
สัญญาณอันตรายที่ควรหยุดปล่อยทันที ได้แก่ โดเมนผู้ส่งสะกดคล้ายคู่ค้าแต่ไม่ตรง ผล DMARC ล้มเหลว ไฟล์แนบประเภท .html, .iso หรือ .zip ที่ไม่ได้คาดไว้ และเนื้อหาเร่งให้โอนเงินหรือเปลี่ยนเลขบัญชี ถ้าไม่แน่ใจให้โทรถามผู้ส่งตามเบอร์ที่มีอยู่เดิม ไม่ใช่เบอร์ในอีเมล
ขั้นตอนที่ 4: ปล่อยอีเมล (Release) อย่างปลอดภัย
เลือกอีเมลแล้วคลิก Release (หรือ Release email ในหน้ารายละเอียด)
ถ้าต้องการส่งสำเนาให้คนอื่นด้วย เลือก Send a copy of this message to other recipients
ถ้าแน่ใจว่าอีเมลถูกกักผิด ให้เลือก Submit the message to Microsoft to improve detection (false positive) แล้วเลือก Allow this message เพื่อสร้างรายการอนุญาตชั่วคราว ค่าเริ่มต้นของ Remove entry after คือ 45 days after last used date
คลิก Release message
สถานะ Release status จะเปลี่ยนเป็น Released อีเมลจะถูกส่งเข้ากล่องจดหมายใหม่ จึงแสดงเวลาที่ปล่อยแทนเวลาที่ส่งจริง (เวลาเดิมยังอยู่ใน header) ถ้าผู้ใช้กดขอปล่อยเอง สถานะจะเป็น Release requested ให้ผู้ดูแลเลือก Release หรือ Deny ขั้นตอนทั้งหมดอยู่ในเอกสาร Manage quarantined messages and files as an admin
ขั้นตอนที่ 5: เปิด Quarantine notifications ให้พนักงาน
ค่าเริ่มต้นหลายนโยบายไม่ส่งอีเมลแจ้งผู้ใช้ ทำให้พนักงานไม่รู้ว่ามีอีเมลถูกกัก วิธีเปิดคือกำหนดนโยบายการกักที่เปิดการแจ้งเตือน
ไปที่ Email & collaboration > Policies & rules > Threat policies > ส่วน Rules > Quarantine policies
คลิก Add custom policy ตั้งชื่อ เลือก Recipient message access เป็น Limited access (ผู้ใช้ขอปล่อยได้ แต่ปล่อยเองไม่ได้) แล้วที่หน้า Quarantine notification เลือก Enable
ไปที่ Threat policies > Anti-spam > Anti-spam inbound policy (Default) > Edit actions เลือก Quarantine message ให้ระดับที่ต้องการ และเลือกนโยบายที่เพิ่งสร้าง
กลับมาที่หน้าเดิม คลิก Global settings ตั้งความถี่ Send end-user spam notification every (days) เป็น Within 4 hours, Daily หรือ Weekly ใส่ชื่อผู้ส่งและโลโก้บริษัทให้ผู้ใช้เชื่อถือ
หรือเลือกใช้นโยบายสำเร็จรูป DefaultFullAccessWithNotificationPolicy ก็ได้ ส่วน AdminOnlyAccessPolicy ที่ใช้กับมัลแวร์และฟิชชิงความเชื่อมั่นสูงจะไม่ส่งแจ้งเตือน และผู้ใช้ปล่อยเองไม่ได้ ซึ่งเป็นค่าที่ควรคงไว้
ค่าเริ่มต้นส่ง Spam ส่วนใหญ่ไป Junk Email อีเมลอันตรายสูงถูกกักและปล่อยได้เฉพาะผู้ดูแล
ขั้นตอนที่ 6: จัดการ Tenant Allow/Block List
ไปที่ Threat policies > ส่วน Rules > Tenant Allow/Block Lists แท็บ Domains & addresses แล้วคลิก Add
Block : ใส่โดเมนหรืออีเมลได้ครั้งละไม่เกิน 20 รายการ เลือก Remove block entry after เป็น 30 days (ค่าเริ่มต้น) หรือ Never expire อีเมลจากผู้ส่งที่ถูกบล็อกจะถูกกักเป็นฟิชชิงความเชื่อมั่นสูง และพนักงานจะส่งอีเมลไปหาผู้ส่งนั้นไม่ได้ด้วยAllow : ใช้แก้การกรองระดับ Spam, Bulk และ Phishing ได้ แต่ใช้กับ High confidence phishing หรือมัลแวร์ไม่ได้ ต้องส่งผ่าน Submissions แทน รายการอนุญาตหมดอายุเองเป็นค่าเริ่มต้น
ผู้ดูแลที่ต้องทำงานซ้ำทุกวันใช้ Exchange Online PowerShell ได้ เช่น ปล่อยอีเมลทั้งหมดของผู้รับคนหนึ่ง หรือบล็อกโดเมนหลอกลวงถาวร
Connect-ExchangeOnline -UserPrincipalName [email protected]
Get-QuarantineMessage -RecipientAddress [email protected] -StartReceivedDate (Get-Date).AddDays(-7)
Release-QuarantineMessage -Identity "<Identity จากคำสั่งก่อนหน้า>" -ReleaseToAll
New-TenantAllowBlockListItems -ListType Sender -Block -Entries "fake-invoice.example.org" -NoExpiration
ปล่อยอีเมลด้วย PowerShell เฉพาะเมื่อตรวจเนื้อหาแล้ว และบล็อกโดเมนที่แน่ใจว่าเป็นของผู้โจมตีเท่านั้น
ปัญหาที่พบบ่อยเกี่ยวกับ Quarantine
ผู้ใช้ไม่เคยได้รับอีเมลแจ้งเตือนจาก Quarantine เลย ทำไม?
นโยบายที่ใช้อยู่อาจเป็น DefaultFullAccessPolicy หรือ AdminOnlyAccessPolicy ซึ่งปิดการแจ้งเตือน ให้ตั้งนโยบายที่เปิดการแจ้งเตือนตามขั้นตอนที่ 5 และตรวจว่าอีเมลแจ้งเตือนไม่ได้ถูกกฎของผู้ใช้ย้ายไปโฟลเดอร์อื่น
ปล่อยอีเมลจาก Quarantine แล้ว แต่ผู้รับยังหาไม่เจอ ทำอย่างไร?
อีเมลที่ปล่อยแล้วจะเข้ากล่องจดหมายด้วยเวลาที่ปล่อย ให้ผู้ใช้เรียงตามวันที่ล่าสุดหรือค้นจากหัวเรื่อง จากนั้นตรวจกฎ Inbox ที่อาจย้ายหรือลบอีเมล และใช้ Message Trace ยืนยันว่าส่งถึงแล้ว ถ้าองค์กรมีระบบกรองอีเมลของผู้ให้บริการรายอื่นอยู่ด้วย อาจถูกกักซ้ำที่ระบบนั้น
อีเมลจากคู่ค้ารายเดิมถูกกักทุกวัน แก้ให้ถาวรได้อย่างไร?
หาสาเหตุจากส่วน Authentication ของอีเมล ถ้า SPF, DKIM หรือ DMARC ของคู่ค้าล้มเหลว ให้แจ้งคู่ค้าแก้ระเบียน DNS ของเขา ระหว่างรอใช้รายการ Allow แบบมีวันหมดอายุ และห้ามอนุญาตโดเมนสาธารณะอย่าง gmail.com ทั้งโดเมน เพราะเท่ากับเปิดทางให้ผู้ส่งทุกคนในโดเมนนั้น
ทำไมผู้ใช้กดปล่อยอีเมลเองไม่ได้?
อีเมลที่ถูกกักเป็นมัลแวร์หรือ High confidence phishing ผู้ใช้ปล่อยเองไม่ได้เลยไม่ว่าจะตั้งนโยบายอย่างไร ต้องให้ผู้ดูแลตรวจและปล่อย ส่วนประเภทอื่นขึ้นกับนโยบายการกักที่ใช้ ถ้าเป็น Limited access ผู้ใช้จะเห็นปุ่ม Request release แทน
ถ้าองค์กรต้องการให้ช่วยทบทวนนโยบาย Anti-spam การกักอีเมล และการยืนยันตัวตนของโดเมน ติดต่อทีมงาน THAI DATA CLOUD ได้ทันที องค์กรที่ต้องการจัดหาไลเซนส์หรือให้ทีมงานดูแล Microsoft 365 รวมถึงความปลอดภัยของอีเมล ดูรายละเอียดได้ที่หน้าบริการของเรา
อ่านเพิ่มเติมเกี่ยวกับ Quarantine
