Tìm hiểu tính năng Extended Message Trace trên Exchange Online

Sắp xếp tập tin Excel

Sau khi áp dụng tùy chọn Bộ lọc, hãy sắp xếp Cột A từ A đến Z.

Chọn View Từ thanh công cụ, chọn Freeze Panes > Freeze Top Row.

Tên và chi tiết cột

Dưới đây là một số tên cột quan trọng và giải thích chức năng của chúng.

• source (Column H): Thành phần EOP chịu trách nhiệm cho sự kiện được đề cập trong event_id (Cột I).
  • AGENT: Một agent vận chuyển trong EOP đã xử lý email. Để tìm hiểu thêm chi tiết về đại lý cụ thể nào đã xử lý email, chúng ta cần xem xét thông tin chi tiết của source_context và event_id.
  • MAILBOXRULE: Một quy tắc hộp thư đến đã được áp dụng cho email.
  • RESOLVER: Người nhận đã được tìm kiếm trong Active Directory để xác định người thuê.
  • ROUTING: Dịch vụ vận chuyển (Thành phần) đã cố gắng định tuyến email đến một dịch vụ (thành phần) khác trong EOP.
  • SMTP: Email có thể được gửi đến máy chủ bên ngoài hoặc nhận bởi máy chủ SMTP.
  • STOREDRIVER: Hộp thư đã gửi email đến máy chủ cục bộ (nơi lưu trữ hộp thư).

• ngữ cảnh nguồn (Cột F): Thông tin chi tiết được cung cấp cho nguồn (Cột H).

  • Advanced Routing – Connector Based Router: Đây là khi định tuyến thông thường được thay đổi và email được gửi đến trình kết nối để được chuyển đến người nhận.
  • AgentDefer – Transport Rule Agent: Tác nhân xử lý quy tắc vận chuyển đã hoãn việc xử lý (kiểm tra) quy tắc vận chuyển trên email.
  • AgentFork: Email được gửi đến một thành phần khác thông qua tác nhân vận chuyển để xử lý.
  • Địa chỉ SMTP chuyển tiếp: Hiển thị địa chỉ email cần chuyển tiếp (Địa chỉ email có trong related_recipient_address (Cột Q)).
  • AutoForwardedRecipients: Email cần được tự động chuyển tiếp sẽ được gửi lại cho một thành phần khác trong quy trình vận chuyển.
  • Auto-Forwarded recipients: Chức năng này được sử dụng khi dịch vụ chuyển tiếp cố gắng xác định địa chỉ email chuyển tiếp (tìm hiểu xem địa chỉ email chuyển tiếp là nội bộ hay bên ngoài).
  • CatContentConversion: Tác nhân vận chuyển chuyển đổi nội dung email sang định dạng phù hợp với người nhận.
  • Mailbox Rules Agent: Một quy tắc hộp thư đến được áp dụng cho email.
  • Transport Rule Agent:: Một quy tắc vận chuyển được áp dụng trên email.
  • Mailbox: GUID của hộp thư mà từ đó email được soạn (gửi).
  • MessageClass: Loại email. IPM.Note dành cho email, IPM.Appointment dành cho sự kiện lịch, IPM.Contact dành cho danh bạ, IPM.Task dành cho nhiệm vụ.
  • CreationTime: Thời gian email được gửi đi từ hộp thư.
  • ClientType: Loại máy khách được sử dụng để gửi email. REST cho Outlook, OWA cho Outlook trên web, ActiveSync cho thiết bị di động.

• event_id (Cột I): Các sự kiện xảy ra trên email đang được xử lý bởi các thành phần khác nhau của EOP.

  • AGENTINFO: Thông tin này được tác nhân vận chuyển sử dụng để ghi nhật ký các sự kiện tùy chỉnh trong source_context (Cột F).
  • DELIVER: Email đã được gửi đến hộp thư.
  • RECEIVE: Email được máy chủ SMTP nhận để gửi ra bên ngoài hoặc được máy chủ EXO nhận để gửi đến hộp thư của người nhận trong EXO.
  • RECIPIENTINFO: Mục này được ghi lại khi dịch vụ RESOLVER cố gắng tìm đối tượng người dùng được liên kết với hộp thư người nhận trong Active Directory cho người thuê.
  • REDIRECT: Email được chuyển hướng đến người nhận khác (Ví dụ: nếu thiết lập chuyển tiếp được áp dụng cho hộp thư, email sẽ được chuyển hướng đến địa chỉ SMTP chuyển tiếp và mục này sẽ được ghi lại trong event_id (Cột I)).
  • RESUBMIT: Email được gửi lại cho một thành phần khác trong quy trình vận chuyển trong EOP.
  • SENDEXTERNAL: Email này được gửi đến máy chủ SMTP chịu trách nhiệm nhận email cho địa chỉ email bên ngoài.
  • SETROUTE: Hành động này được ghi lại khi đường dẫn email thông thường đến hộp thư người nhận bị thay đổi và email được gửi bằng một trình kết nối cụ thể. Advanced Routing – Connector Based Router được ghi lại trong source_context (Cột F) và connector_id (Cột G) sẽ hiển thị chi tiết về trình kết nối.
  • SUBMIT: Email được gửi đến dịch vụ vận chuyển. (hành động này được ghi lại khi email được tạo) source_context (Cột F) sẽ hiển thị GUID của hộp thư đã gửi email, MessageClass của email, thời gian tạo email, ClientType được sử dụng để tạo email.
  • TRANSFER: Email được chuyển tiếp đến người nhận khác có trong danh sách bcc, cc hoặc đến một thành viên trong danh sách phân phối.

• connector_id (Column G): Thông tin chi tiết về trình kết nối được sử dụng để gửi email đến người nhận.

• message_id (Column K): Mã định danh duy nhất trên toàn cầu được tạo bởi máy chủ email. message_id có thể được sử dụng để tạo tin nhắn email (EMT) cho một email đã chọn.
• network_message_id (Column L): Một mã định danh duy nhất, phổ biến trên tất cả các máy chủ hiện có trong EXO.
• recipient_address (Column M): Địa chỉ email của người nhận email. Giá trị có thể là một địa chỉ email hoặc nhiều địa chỉ email.

• recipient_status (Column N): Trạng thái của hành động đã thực hiện trên địa chỉ email người nhận.

  • UserMailbox.Forwardable.Resolver.CreateRecipientItems.40: Địa chỉ email người nhận là Internal và được RESOLVER tìm thấy trong quá trình RECIPIENTINFO trong Active Directory cho tenant.
  • NotFound.OneOff.Resolver.CreateRecipientItems.10: Địa chỉ email người nhận là địa chỉ bên ngoài và không được RESOLVER tìm thấy trong quá trình RECIPIENTINFO trong Active Directory cho tenant.
  • NotFound.OneOff.Expansion.AddAddress.10: Địa chỉ email người nhận là địa chỉ chuyển tiếp và địa chỉ này không được tìm thấy bởi RESOLVER trong quá trình RECIPIENTINFO trong Active Directory cho người thuê.
  • UserMailbox.Forwardable.Resolver.CreateRecipientItems+SmtpFwd.40;NotFound.OneOff.Expansion.AddAddress.10: Đây là cặp địa chỉ email nội bộ với địa chỉ email bên ngoài (địa chỉ được thiết lập để chuyển tiếp). Ví dụ: nếu hộp thư [email protected] có thiết lập chuyển tiếp email là [email protected] thì recipient_address (Cột M) sẽ hiển thị các địa chỉ là [email protected];[email protected]
  • Message Forked: Hành động này được ghi lại khi một bản sao khác của email được tạo, ví dụ: cần gửi email cho các thành viên của nhóm phân phối, hoặc nếu email được gửi bản sao (cc) hoặc bản sao ẩn (bcc) cho nhiều người nhận.
  • LED=550 4.3.2 QUEUE.TransportAgent; message deleted by transport agent: Quy tắc vận chuyển để xóa email đã được áp dụng cho email.
  • LED=450 4.4.312 DNS query failed: Máy chủ DNS cho EOP không thể nhận được phản hồi từ máy chủ DNS của máy chủ email người nhận.
  • LED=250 2.1.5 RESOLVER.GRP.Expanded; distribution list expanded: Điều này xảy ra khi người nhận là một nhóm phân phối, và rừng EOP sẽ truy vấn rừng Active Directory của người thuê và lấy thông tin chi tiết về tư cách thành viên của nhóm phân phối.
  • 420 4.7.3 Resubmitting quarantine message: Đây là lúc tác nhân cách ly chống thư rác gửi email đến khu vực cách ly của người thuê.
  • [Stage: DeliverPreDelivery];StoreDriver.Rules; message is deleted by mailbox rules: Điều này xảy ra khi email bị xóa bởi quy tắc hộp thư hệ thống (như quy tắc thư rác hoặc quy tắc ủy quyền) hoặc quy tắc hộp thư do người dùng tạo.
  • LED=550 5.2.5 Folder full: Lỗi này sẽ xuất hiện khi thư mục chứa email đã đầy và không thể nhận thêm email nào nữa. (Hộp thư có thể vẫn còn dung lượng trống nhưng đã đạt đến giới hạn dung lượng thư mục).
  • 250 2.1.605 Spam filter added recipients (redirect/bcc): Email được gửi dưới dạng bcc hoặc chuyển hướng đến một địa chỉ email khác theo chính sách chống thư rác của tổ chức.
  • 400 4.7.721 Advanced Threat Protection scanning in progress: Tác nhân ATP đang quét email để tìm các mối đe dọa và sẽ thực hiện hành động được đề cập trong chính sách ATP.
  • Detonation Processing Complete: Nhân viên ATP đã hoàn tất việc quét email.

• related_recipient_address (Column Q): Trường này hiển thị địa chỉ email chuyển tiếp được áp dụng cho hộp thư. source_context (Cột F) sẽ hiển thị mục Địa chỉ SMTP chuyển tiếp.

• reference (Cột R): Mục này sẽ hiển thị message_id của email mà người gửi đang phản hồi. Ví dụ: nếu [email protected] đã gửi email đến [email protected] ( message_id : <[email protected]>) và sau đó [email protected] đã phản hồi (trả lời) cùng email đó đến người nhận [email protected] ( message_id : <[email protected]>) | nếu chúng ta kiểm tra EMT cho ( message_id : <[email protected]>), chúng ta có thể thấy tham chiếu (Cột R) được đánh dấu bằng <[email protected]> vì email này được tham chiếu đến email đã gửi trước đó.

• sender_address (Column T): Địa chỉ người gửi email.

• return_path (Column U): Địa chỉ MAILFROM của email.

• message_info (Column V): Chia sẻ thêm thông tin về các thành phần nội bộ đã xử lý email. Ví dụ: CATRS-DLP Policy Agent=0.626 | CATRS-DC Content Filter Agent=0.278 | CATRS-Spam Filter Agent=0.115 | CATRT-RMS Encryption Agent=0.078.

• Directionality (Column W):
  • Incoming: Thư này đang được gửi đến tổ chức Exchange Online của bạn.
  • Originating: Email này được gửi từ hộp thư Exchange Online của tổ chức bạn.

• original_client_ip (Column Y): Địa chỉ IP của máy chủ SMTP người gửi (Đối với email nội bộ, đây sẽ là địa chỉ IP của máy chủ EXO và đối với email bên ngoài (được EOP nhận), đây sẽ là địa chỉ IP của máy chủ SMTP bên ngoài đã kết nối với EOP để gửi email).
• original_server_ip (Column Z): Địa chỉ IP của máy chủ EOP đã nhận email thay mặt cho tên miền người nhận.

Đang đọc trường custom_data cho email đến

Mở ứng dụng Notepad++ -> Dán dữ liệu vào Notepad++ -> Mở Replace Tùy chọn –> Thay thế ; (dấu chấm phẩy) với \n (dấu gạch chéo ngược n – xuống dòng) –> đảm bảo chế độ tìm kiếm được đặt thành extended search -> Chọn Relace All.

Sau bước trên, tất cả dữ liệu sau dấu chấm phẩy sẽ được chuyển xuống dòng mới.

Dữ liệu tùy chỉnh cho nguồn: SMTP | event_id: RECEIVE

Trong trường hợp này, email được máy chủ EOP nhận và các chi tiết liên quan đến định dạng email, số lượng tệp đính kèm và các máy chủ đã nhận email được liệt kê trong dữ liệu tùy chỉnh.

• S:ProxyHop1: Máy chủ EOP gốc đã nhận email thay mặt cho tên miền người nhận.
• S:TenantServiceProvider: Nhà cung cấp dịch vụ đã gửi email đến EOP. Nếu tổ chức gửi được lưu trữ trên EXO thì S:TenantServiceProvider=FOPE (Forefront Online Protection for Exchange) và nếu tổ chức gửi được lưu trữ trên Google thì S:TenantServiceProvider=Google (Tôi chưa thấy giá trị nào khác ngoài FOPE và Google, nếu email được gửi từ máy chủ tại chỗ thì giá trị này có thể để trống).
• S:MimeParts:
  • Att: Số thứ tự tệp đính kèm trong email.
  • Emb: Số thứ tự của tệp tin được nhúng trong email.
  • MPt: Các thành phần MIME
  • MTy: Các loại MIME
  • MCS: Đặc tả nội dung đa phần của email.
  • NormalRegAtt: Tệp đính kèm thông thường có trong email.
  • SummTNEF: Các tệp đính kèm được lưu trữ ở định dạng TNEF (Transport Neutral Encapsulation Format).
  • Tuân thủ: cho thấy email tuân thủ các tiêu chuẩn MIME.

• S:InboundTlsDetails: Thông tin chi tiết về phiên bản TLS, thuật toán mã hóa TLS, độ dài khóa TLS và thuật toán trao đổi khóa TLS được máy chủ gửi email sử dụng.

• S:FromEntity: Cho biết nơi gửi email.
  • S:FromEntity=Internet: Email được nhận từ Internet
  • S:FromEntity=Hosted: Mục này hiển thị nếu email được gửi từ EXO.
  • S:FromEntity=HybridOnPrem: Khi email được gửi từ tài khoản dịch vụ của Microsoft ([email protected]), chúng ta có thể thấy FromEntity là HybridOnPrem.

• S:ProxiedClientIPAddress: Địa chỉ IP của máy chủ gửi email đã kết nối với EOP để chuyển tiếp email đến EOP.

• S:ProxiedClientHostname: Tên miền đầy đủ (FQDN) của máy chủ gửi email đã kết nối với EOP để chuyển tiếp email đến EOP.

• S:AccountForest: Thông tin chi tiết về máy chủ nơi lưu trữ các tài khoản của người nhận. RESOLVER sẽ truy vấn forest này để xác nhận xem người nhận có thuộc tổ chức đó hay không.

Dữ liệu tùy chỉnh cho nguồn: RESOLVER | event_id:RECIPIENTINFO | event_id:RESOLVE

Trong trường hợp này, EOP cố gắng xác định địa chỉ email người nhận và kiểm tra xem có bất kỳ thông tin nội bộ hoặc bên ngoài nào khác xuất hiện trong email hay không.

• S:OriginalFromAddress: Địa chỉ người gửi gốc có trong email.

• S:AllowAliases: Xác nhận xem RESOLVER có tìm kiếm địa chỉ email người nhận so với các Bí danh trong rừng Tài khoản của người thuê hay không.
  • N: Trình phân giải sẽ không tìm kiếm địa chỉ email người nhận so với các bí danh trong rừng tài khoản của người thuê.
  • Y: Trình giải quyết (RESOLVER) sẽ tìm kiếm địa chỉ email người nhận so với các bí danh trong rừng tài khoản của người thuê.

• S:ExtRecipCount: Số lượng người nhận bên ngoài trong email.

Dữ liệu tùy chỉnh cho nguồn:AGENT | event_id:AGENTINFO

Sự kiện này sẽ thu thập tất cả nhật ký liên quan đến các tác nhân khác nhau xử lý email (các tác nhân như tác nhân quy tắc vận chuyển, tác nhân chống phần mềm độc hại, tác nhân chống thư rác).

• S:TRA: ( TRA viết tắt của Transport Rule Agent – Đại lý Quy tắc Vận chuyển).
  • S:TRA=ETRP: Hiệu suất quy tắc vận chuyển trao đổi (Quy tắc vận chuyển được xử lý nhưng không được áp dụng cho email).
  • S:TRA=ETR: Quy tắc vận chuyển Exchange (Nếu giá trị này có mặt thì quy tắc vận chuyển sẽ được áp dụng cho email).
    • RuleId: hướng dẫn về quy tắc vận chuyển.
    • st: Ngày sửa đổi cuối cùng của một quy tắc.
    • Conditions: Các điều kiện được định nghĩa trong quy tắc vận chuyển.
    • action: Hành động được thực hiện bởi một quy tắc vận chuyển; một quy tắc có thể có nhiều hành động.
    • ExecW: Thực thi đồng hồ thời gian.
    • ExecC: Thực thi xung nhịp CPU.

• S:DPA: (DPA viết tắt của DLP processing agent – tác nhân xử lý DLP).

  • S:DPA=SL: Nhãn độ nhạy.
    • labelId: GUID của nhãn độ nhạy.
  • S:DPA=DPR: quy tắc ngăn ngừa mất dữ liệu.
    • policyId: GUID của chính sách DLP.

• S:CFA=AS: (Tác nhân lọc nội dung) | AS: Tác nhân chống thư rác.

• sfv: Kết luận của bộ lọc thư rác về email này.

• rsk: Rủi ro liên quan đến email.

• scl: Mức độ tin cậy của email trong trường hợp email là thư rác.

• bcl: Mức độ tin cậy của email hàng loạt.

• pcl: Mức độ tin cậy của email lừa đảo.

• score: Điểm số nội bộ liên quan đến email.

• sfs: Các quy tắc chống spam nội bộ được đối chiếu với email.

• di: Chỉ định hành động đã được thực hiện trên email.
  • di=sd: Email đã bị xóa.
  • di=sq: Email đã bị cách ly.

• CIP: Địa chỉ IP kết nối của máy chủ đã kết nối với EOP để gửi email.

• IPV: Kết quả xác định địa chỉ IP của máy chủ.
  • IPV:NLI: Địa chỉ IP kết nối không có trong bất kỳ danh sách uy tín IP nào (DNSBL).
  • IPV:CAL: Địa chỉ IP kết nối được thêm vào bộ lọc kết nối (danh sách cho phép IP).
• asf: Chế độ lọc thư rác nâng cao đã được áp dụng cho email.

• hctfp: GUID của chính sách đã xử lý email.

Email thử nghiệm EMT hiển thị hctfp=dfaac24c-6b94-4603-9923-04a6131bcf3c . Để tìm ra chính sách nào đã xử lý email này, tôi phải thực hiện lệnh sau trong PowerShell sau khi kết nối PowerShell với mô-đun EXO.

PS C:\Users\ashutosh> get-hostedcontentfilterpolicy | where{$_.guid -eq “dfaac24c-6b94-4603-9923-04a6131bcf3c”} Name SpamAction HighConfidenceSpamAction IsDefault —- ———- ———————— ——— Default MoveToJmf MoveToJmf True

Dữ liệu tùy chỉnh cho nguồn: STOREDRIVER | event_id:DELIVER

Sự kiện này ghi lại chi tiết về việc gửi email đến hộp thư của người nhận.

• S:Mailboxes: Hiển thị GUID của hộp thư nơi email được gửi đến.
• S:MsgRecipCount: Số lượng người nhận email.
• S:AttachCount: Số lượng tệp đính kèm trong email.
• S:IncludeInSla: Nếu email được gửi thành công trong thời gian quy định của SLA.

Đang đọc trường custom_data cho email gửi đi

Đối với email gửi đi, khi email được gửi đến bất kỳ máy chủ bên thứ ba nào, EMT hiển thị các chi tiết như email được gửi từ HDRP hay nhóm phân phối email thông thường và các chi tiết khác.

Dữ liệu tùy chỉnh cho nguồn:AGENT | event_id:AGENTINFO

• SFV: Đánh giá của bộ lọc thư rác
  • SFV=NSPM: Email này không được đánh dấu là thư rác gửi đi.
• SFP: Xác nhận xem email có được chuyển đến nhóm gửi thông thường hay nhóm gửi có rủi ro cao hay không.
  • SFP=1102: Email được gửi qua nhóm gửi email thông thường.
  • SFP=1501: Email được gửi qua Nhóm phân phối có rủi ro cao (HRDP).
• DIR=OUT: Hướng gửi email là hướng đi ra ngoài.

Dữ liệu tùy chỉnh cho nguồn: SMTP | event_id: SENDEXTERNAL

Phần này sẽ cho chúng ta thấy điều gì đã xảy ra khi máy chủ gửi email EOP cố gắng kết nối với máy chủ nhận email bên ngoài.

• S:OutboundProxyTargetIPAddress: Địa chỉ IP của máy chủ email người nhận.
• S:OutboundProxyTargetHostName: Tên miền đầy đủ (FQDN) của máy chủ email người nhận.
• S:OutboundProxyTargetEhloDomain: Tên miền đầy đủ (FQDN) của máy chủ email người nhận mà EOP đã cố gắng kết nối.
• S:OutboundProxyFrontEndIPAddress: Địa chỉ IP của máy chủ EOP kết nối với máy chủ email của người nhận.
• S:OutboundProxyFrontEndName: Tên miền đầy đủ (FQDN) của máy chủ EOP đã kết nối với máy chủ email của người nhận.
• S:OutboundTlsDetails: Chi tiết TLS của quá trình đàm phán kết nối giữa EOP và máy chủ email của người nhận.
• S:IsSmtpResponseFromExternalServer: Xác nhận xem chúng ta đã nhận được phản hồi SMTP từ máy chủ email của người nhận hay chưa.
• S:MsgRecipCount: Số lượng người nhận trong email.
• S:SendingOrg: Tên miền gửi được lưu trữ tại EXO.
• S:ExpirationTimeV2: Thời gian mà email được coi là hết hạn (Mặc định là 2 ngày kể từ thời điểm máy chủ gửi email).
• S:IsDsn: cho biết email đó là thông báo lỗi gửi không thành công (nếu IsDsn là True) hay email thông thường (nếu IsDsn là False).
• S:OutboundIpPool: Hiển thị nhóm địa chỉ IP gửi đi của email.
• S:OutboundIpPoolName:
  • S:OutboundIpPoolName=RegularOutboundPool: email được gửi từ nhóm phân phối email thông thường.
  • S:OutboundIpPoolName=HighRiskDeliveryPool: email được gửi từ nhóm phân phối có rủi ro cao.

Sự khác biệt về thuật ngữ

So sánh AgentFork và MessageForked

message_id so với network_message_id

Kết luận