advact Extract - welche E-Mails werden gelöscht und wie?

Mit advact Extract können wir E-Mails direkt aus den Mailboxen Ihrer Mitarbeitenden löschen. In diesem Artikel wird beschrieben, wie wir die E-Mails löschen, welche E-Mails betroffen sind und wie Sie das nachvollziehen können.

Detection Rules

Die offensichtlichste Methode zur Löschung von E-Mails aus den Mailboxen sind die "Detection Rules". advact konfiguriert und aktualisiert diese Rules für Sie. Wir setzen nur eine geringe Anzahl an Detection Rules ein, damit wir diese unter enger Kontrolle haben. 

Detection Rules prüfen jede eingehende E-Mail. Wenn eine E-Mail mit einer Rule "matched" können verschiedene Aktivitäten ausgelöst werden. Nicht alle Detection Rules werden E-Mails automatisch löschen.

Unter Rules - Detection filtern Sie am besten oben nach "advact". Das zeigt Ihnen unsere Rules und die dazu konfigurierten Actions an:

Im obigen Screenshot sind alle Rules auf "Auto-trash" konfiguriert. Das heisst, wenn eine dieser Rules mit einer E-Mail "matched" wird die E-Mail automatisch gelöscht.

Wie sehe ich, welche E-Mails aufgrund einer Detection Rule gelöscht wurden?

Am einfachsten verwenden Sie dazu den vordefinierten Filter Flagged - Auto-Reviewed:

In der angezeigten Liste erkennen Sie die Action "Auto-trash", sowie eine oder mehrere Rules, die "gematched" haben. Diese E-Mails wurden aufgrund einer Detection Rule gelöscht:

Respond-Service

Zusätzlich zu den Detection Rules, können E-Mails direkt aus dem Respond-Service gelöscht werden. Dabei werden die E-Mails in Ihrer Sublime Instanz über einen API Call gelöscht. Sie sehen in Ihrem Audit Log viele "Message viewed" Einträge unserer API. Für jede E-Mail von jedem Kunden, die wir im Respond Service als Malicious oder Spam klassifizieren, prüfen wir auf allen Extract (Sublime) Instanzen, ob die E-Mail noch bei anderen Kunden vorhanden ist.

Finden wir die gefährliche E-Mail auf Ihrer Extract Instanz, wird automatisch ein weiterer API Call ausgelöst, welcher die E-Mail aus allen Mailboxen löscht:

Wie sehe ich, welche E-Mails aufgrund des Respond-Services gelöscht wurden?

Leider gibt es aktuell noch keine grafisch aufbereitete Übersicht über alle E-Mails, die durch den Respond-Service gelsöcht wurden. Eine Lösung ist aber in Arbeit.

Wenn Sie im Audit Log auf Sublime einen Filter auf "Message reviewed and trashed" setzen, können Sie die Anzahl dieser E-Mails nachvollziehen. Wobei der API-Call jeweils auf eine "Message Group" geht und nicht auf einzelne E-Mails. In einer Message Group befinden sich identische/ähnliche E-Mails, welche teilweise an sehr viele interne Mitarbeitende versandt wurden (siehe auch https://customerportal.advact.ch/de-ch/knowledgebase/article/KA-01070). Mit einem API-Call können wir also je nach Grösse Ihres Unternehmens mehrere Hundert E-Mails gleichzeitig löschen.

Im Log selbst sehen Sie weitere Details zum Logeintrag. Sie sehen in der Mitte auch die Message_Group_ID (7d23.......) und können diese auf Knopfdruck kopieren 

Wenn Sie in der Adresszeile des Browsers https://sublime.advact.ch/messages/ eingeben und dahinter die kopierte ID einfügen, gelangen Sie direkt zur E-Mail (z.Bsp. https://sublime.advact.ch/messages/7d23ecdea227d7e5d146bd67465b0efffa2093e94556a48457555555555555555).

Dort sehen Sie weitere Details zur E-Mail inklusive des genauen Verdikts und der "Action":