O365 – Compliance Search para Inactive Mailboxes

By: Caio Ribeiro César

Inicio este blog post agradecendo ao engenheiro de escalação Frank Brown, por me apresentar tal funcionalidade.

Utilizamos as features de Compliance Search para localizar informações dentro de mailboxes. O produto se adaptou para que empresas que dependem de Compliance possam trabalhar com este tipo de search (para que o Compliance/IT possa localizar informações) e também tomar ações como por exemplo:

- Usuário acessa um website externo e um malware é instalado no computador, pois o mesmo é administrador local do computador;

- Este malware utiliza a conta de email para enviar o mesmo malware para a empresa (e por que não para emails externos);

- Atacante cria então sua network utilizada em ataques DDoS.

Este cenário específico pode parecer um pouco extremo, porém com o Compliance Search, o administrador poderia fazer um Search para encontrar e remover o email com o malware. Lembre-se de uma das regras imutáveis de segurança da informação: “você nunca acha que algo assim irá acontecer com a sua empresa, até o dia em que acontece”.

Vamos então a um cenário diferente. Um administrador é solicitado a encontrar uma informação específica dentro do corpo de email de todas as mailboxes, até de mailboxes de funcionários que já foram embora da empresa e hoje estão em “Inactive” state.

Reproduzindo o cenário...

a)      A equipe de Compliance da nossa empresa, um banco chamado “c4iocesar”, solicita que seja feita uma pesquisa para qualquer email que contenha a informação “IPO Contoso”;

b)     O administrador então efetua o primeiro search, localizando esta informação em algumas mailboxes:

1)     Acessando via powershell (utilizando o ConnectionUri do compliance.protection):

               $Session = New-PSSession -ConfigurationName Microsoft.Exchange -ConnectionUri                https://ps.compliance.protection.outlook.com/powershell-liveid/ -Credential $UserCredential               -Authentication Basic -AllowRedirection

2)     Criando o search:

3)     Validando os resultados. Vamos então ao portal e selecionamos a opção “Admin>Compliance” e seleciono a opção “Preview Search Results*”

*na tab de permissions, tenha certeza que o seu administrador é membro de OrganizationManagement e EdiscoveryManagement

Vejo então o resultado do search, confirmando que emails foram enviados sobre o IPO conforme os exemplos abaixo:

Temos alguns acontecimentos:

·        Usuário caioc@c4iocesar.onmicrosoft.com envia a mensagem sobre esta informação para os usuários Henri, Jude e SteveBios;

·        Usuário Henri envia a mensagem para um endereço externo;

·        Usuário SteveBios envia a mensagem para um endereço externo.

c)      Vamos então simular o cenário de Inactive mailbox:

1)     As mailboxes Henri e SteveBios possuem LitigationHold. Deleto os objetos, para que a   mailbox fique em Inactive state.

2)     Valido que as mailboxes estão em inactive state:

3)     Se executarmos o mesmo search de Compliance anterior, os emails listados irão “sumir”:

d)     Procurando Inactive Mailboxes:

1)     UI

2)     CLI - vamos executar o Search no powershell de Compliance, adicionando os parâmetros da mailbox inativa.

EXO Powershell

Compliance Powershell, exemplo usuário “henri”.