none
Отслеживание сообшений по вложению RRS feed

  • Вопрос

  • Добрый день коллеги.

    Такая ситуация: из компании было отправлено письмо со вложением, содержащим секретную информацию.

    Известно имя файла, размер. Не известна тема сообщения, отправитель дата отправки. 

    Вопрос: можно ли как то отследить с какого адреса было отправлено сообщение с этим вложением. 

    5 сентября 2012 г. 10:14

Ответы

  • Попробуйте вот так

    get-messagetrackinglog -Server "server name " -EventID "SEND" -Start "12/24/2011 13:03:00" -End "12/26/2011 13:20:00" -resultsize unlimited | where {$_.recipient -like "*@somedomain.com"} 


    • Изменено ZuraT 10 сентября 2012 г. 7:53
    • Предложено в качестве ответа Igor Ya 14 сентября 2012 г. 9:12
    • Помечено в качестве ответа Yuriy Lenchenkov 18 сентября 2012 г. 11:30
    10 сентября 2012 г. 7:44

Все ответы

  • Добрый день,

    Можно найти по размеру сообщения в логах по умолчанию путь C:\Program Files\Microsoft\Exchange Server\V14\TransportRoles\Logs\ProtocolLog\SmtpSend.

    На транспортном сервере (HUB).


    MCTS: Microsoft Exchange Server 2007/2010 | MCSA


    5 сентября 2012 г. 13:46
  • известен размер вложения... но как узнать размер сообщения? 
    5 сентября 2012 г. 16:05
  • если юзер еще не удалил отправленное сообщение то можно попробовать Export-Mailbox -AttachmentFilenames "blabla"

    • Предложено в качестве ответа Andrey Podlesnykh 6 сентября 2012 г. 5:44
    • Отменено предложение в качестве ответа kondak 6 сентября 2012 г. 9:05
    5 сентября 2012 г. 17:02
  • Но ведь не известно какой пользователь отправил письмо
    6 сентября 2012 г. 9:05
  • если известно хоть название файла то придется лопатить логи MessageTracking. Мой кусок лога.

    2012-09-04 12:39:27.647Z,::1,mbox.ru,::1,HUB_CAS,,,STOREDRIVER,RECEIVE,9686713,<<a href="mailto:F33B79A30D81AA4FA3154CA867F4C811012621C0B3B8@MBOX.ru>,kcson@kozlov.ru,,3009,1,,,Прочтено">F33B79A30D81AA4FA3154CA867F4C811012621C0B3B8@MBOX.ru>,kcson@kozlov.ru,,3009,1,,,Прочтено: Отправка: ПТС.rar,mo4@ru,mo4@ru,03I:


    • Изменено Igor Ya 6 сентября 2012 г. 10:40
    6 сентября 2012 г. 10:36
  • Но ведь не известно какой пользователь отправил письмо

    ну и что, команда прошерстит всю базу
    6 сентября 2012 г. 17:02
  • Коллеги!

    Немного изменились условия поиска. Точнее стал известен домен получателя. 

    НО не могу вывести список сообщений отправленных имено этому домену. В microsoft exchange troubleshooting assistant насколько я понял можно отслеживать сообщения конкретным получателям, или я не прав? :)

    10 сентября 2012 г. 6:29
  • Попробуйте вот так

    get-messagetrackinglog -Server "server name " -EventID "SEND" -Start "12/24/2011 13:03:00" -End "12/26/2011 13:20:00" -resultsize unlimited | where {$_.recipient -like "*@somedomain.com"} 


    • Изменено ZuraT 10 сентября 2012 г. 7:53
    • Предложено в качестве ответа Igor Ya 14 сентября 2012 г. 9:12
    • Помечено в качестве ответа Yuriy Lenchenkov 18 сентября 2012 г. 11:30
    10 сентября 2012 г. 7:44