Contenido

Introducción

¿Cuando un mensaje se libera de la cuarentena, dónde se registra eso?

Información Relacionada

Introducción

Este documento describe cómo ver el correo abre una sesión la orden para determinar la disposición de un mensaje liberado de la cuarentena en el dispositivo de seguridad del email de Cisco (ESA) o la aplicación de la Administración del Cisco Security (S A).

¿Cuando un mensaje se libera de la cuarentena, dónde se registra eso?

En el ESA, cuando usted libera un mensaje de la cuarentena de la cuarentena (ISQ), de la directiva del Spam de IronPort, o de la otra cuarentena de encargo, que la acción y el evento asociado está señalada en el archivo de los registros del correo de texto de IronPort (mail_logs). La entrada de registro se afilía con la original MEDIADOS DE.

La mejor manera de acercarse a seguir esto abajo es conseguir de, a, o tema del mensaje original que quarantined. Después, búsqueda para ella en el registro para ver si fue liberado de la cuarentena, y después para ver si el mail server del final la validó o la despidió.

Ejemplo, buscando los registros del correo para el remitente “spam@test.com”:

> grep -i "spam@test.com" mail_logs

Wed Aug 13 12:59:36 2014 Info: MID 1357 ICID 10152 From: <spam@test.com>

Wed Aug 13 12:59:42 2014 Info: MID 1357 SPF: mailfrom identity spam@test.com None

Wed Aug 13 12:59:57 2014 Info: MID 1357 ready 185 bytes from <spam@test.com>

Usted querrá prestar la atención al ID del mensaje (MEDIADOS DE) y al ID de conexión de la salida (DCID).

Podemos ver que este MEDIADOS DE determinado fue enviada a la cuarentena del Spam de los mail_logs completos, o Seguimiento de mensajes:

Wed Aug 13 12:59:29 2014 Info: New SMTP ICID 10152 interface Management

(192.168.0.199) address 75.111.22.123 reverse dns host spam.test.com verified yes

Wed Aug 13 12:59:29 2014 Info: ICID 10152 RELAY SG RELAY_SG match 75.111.22.123

SBRS not enabled

Wed Aug 13 12:59:36 2014 Info: Start MID 1357 ICID 10152

Wed Aug 13 12:59:36 2014 Info: MID 1357 ICID 10152 From: <spam@test.com>

Wed Aug 13 12:59:40 2014 Info: MID 1357 ICID 10152 RID 0 To: <end_user@domain.com>

Wed Aug 13 12:59:42 2014 Info: MID 1357 SPF: helo identity postmaster None

Wed Aug 13 12:59:42 2014 Info: MID 1357 SPF: mailfrom identity spam@test.com None

Wed Aug 13 12:59:57 2014 Info: MID 1357 SPF: pra identity None headers None

Wed Aug 13 12:59:57 2014 Info: MID 1357 Message-ID '<9afe3f$1ad@my_esa.domain.com>'

Wed Aug 13 12:59:57 2014 Info: MID 1357 Subject 'This is spam?'

Wed Aug 13 12:59:57 2014 Info: MID 1357 ready 185 bytes from <spam@test.com>

Wed Aug 13 12:59:57 2014 Info: MID 1357 matched all recipients for per-recipient

policy DEFAULT in the outbound table

Wed Aug 13 12:59:58 2014 Info: MID 1357 interim verdict using engine: CASE

spam positive

Wed Aug 13 12:59:58 2014 Info: MID 1357 using engine: CASE spam positive

Wed Aug 13 12:59:58 2014 Info: ISQ: Tagging MID 1357 for quarantine

Wed Aug 13 12:59:58 2014 Info: MID 1357 interim AV verdict using Sophos CLEAN

Wed Aug 13 12:59:58 2014 Info: MID 1357 antivirus negative

Wed Aug 13 12:59:58 2014 Info: MID 1357 Outbreak Filters: verdict negative

Wed Aug 13 12:59:58 2014 Info: MID 1357 DLP no violation

Wed Aug 13 12:59:58 2014 Info: MID 1357 queued for delivery

Wed Aug 13 13:00:02 2014 Info: RPC Delivery start RCID 161 MID 1357 to local IronPort

Spam Quarantine

Wed Aug 13 13:00:08 2014 Info: ISQ: Quarantined MID 1357

Wed Aug 13 13:00:08 2014 Info: RPC Message done RCID 161 MID 1357

Wed Aug 13 13:00:08 2014 Info: Message finished MID 1357 done

Wed Aug 13 13:05:11 2014 Info: ICID 10152 close

Una vez que está liberado, abajo es un ejemplo de cuál a buscar en un mensaje que se libere del ISQ:

Wed Aug 13 13:02:14 2014 Info: Start MID 1359 ICID 0 (ISQ Released Message)

Wed Aug 13 13:02:14 2014 Info: ISQ: Reinjected MID 1357 as MID 1359

Wed Aug 13 13:02:14 2014 Info: MID 1359 ICID 0 From: <spam@test.com>

Wed Aug 13 13:02:14 2014 Info: MID 1359 ICID 0 RID 0 To: <end_user@domain.com>

Wed Aug 13 13:02:14 2014 Info: MID 1359 Subject '[SPAM] This is spam?'

Wed Aug 13 13:02:14 2014 Info: MID 1359 ready 1445 bytes from <spam@test.com>

Wed Aug 13 13:02:14 2014 Info: MID 1359 queued for delivery

Wed Aug 13 13:02:14 2014 Info: New SMTP DCID 165 interface 192.168.0.199 address

192.168.0.200 port 25

Wed Aug 13 13:02:15 2014 Info: Delivery start DCID 165 MID 1359 to RID [0]

Wed Aug 13 13:02:15 2014 Info: Message done DCID 165 MID 1359 to RID [0]

Wed Aug 13 13:02:15 2014 Info: MID 1359 RID [0] Response '2.0.0 Ok: queued as

33B7380356'

Wed Aug 13 13:02:15 2014 Info: Message finished MID 1359 done

Wed Aug 13 13:02:20 2014 Info: DCID 165 close

En este ejemplo, se libera el mensaje, y la interfaz (192.168.0.199) es el módulo de escucha en el ESA, conectando con (192.168.0.200) como el mail server final del final de la salida.

Cuando usted mira los registros de la cuarentena del Spam (euq_logs), la acción de la versión muestra el siguiente:

Wed Aug 13 13:02:14 2014 Info: ISQ: Releasing MID [1357] for all

Wed Aug 13 13:02:14 2014 Info: ISQ: Delivering released MID 1357 (skipping

work queue)

Wed Aug 13 13:02:14 2014 Info: ISQ: Corpus status: 0

Wed Aug 13 13:02:15 2014 Info: ISQ: Released MID 1357 to end_user@domain.com

Wed Aug 13 13:02:15 2014 Info: ISQ: Deleting MID [1357] for all

Wed Aug 13 13:02:15 2014 Info: ISQ: Deleted MID 1357 for all

Wed Aug 13 13:02:15 2014 Info: ISQ: Cleared 8192 bytes (MIDs 1, for all

recipients) from database. Current bytes=0.

Semejantemente, si el mensaje original quarantined a la cuarentena de la directiva, y después liberado, usted vería similar a este ejemplo:

Wed Aug 13 13:09:27 2014 Info: MID 1361 released from quarantine "Policy" (manual)

t=29

Wed Aug 13 13:09:27 2014 Info: MID 1361 released from all quarantines

Wed Aug 13 13:09:27 2014 Info: MID 1361 matched all recipients for per-recipient

policy DEFAULT in the inbound table

Wed Aug 13 13:09:27 2014 Info: MID 1361 interim AV verdict using Sophos CLEAN

Wed Aug 13 13:09:27 2014 Info: MID 1361 antivirus negative

Wed Aug 13 13:09:27 2014 Info: MID 1361 queued for delivery

Wed Aug 13 13:09:27 2014 Info: New SMTP DCID 169 interface 192.168.0.199 address

192.168.0.200 port 25

Wed Aug 13 13:09:27 2014 Info: Delivery start DCID 169 MID 1361 to RID [0]

Wed Aug 13 13:09:27 2014 Info: Message done DCID 169 MID 1361 to RID [0]

Wed Aug 13 13:09:27 2014 Info: MID 1361 RID [0] Response '2.0.0 Ok: queued

as C702980356'

Wed Aug 13 13:09:27 2014 Info: Message finished MID 1361 done

Wed Aug 13 13:09:32 2014 Info: DCID 169 close

De la cuarentena de la directiva, el mensaje se libera de la cuarentena de la directiva, y la interfaz (192.168.0.199) es el módulo de escucha en el ESA, conectando con (192.168.0.200) como el mail server final del final de la salida.

Información Relacionada

- Dispositivo de seguridad del correo electrónico de Cisco - Guías del usuario final

- ¿Cuál es un ID del mensaje (MEDIADOS DE), el ID de conexión de la inyección (ICID), o el ID de conexión de la salida (DCID)?

- Soporte Técnico y Documentación - Cisco Systems