Scénario
Dans les organisations, il peut arriver que certains e-mails soient envoyés au mauvais destinataire, et le rappel de cet e-mail via Outlook ne permet pas de le rappeler ou encore, les e-mails reçus présentent un risque de sécurité tels que :
- Message contenant des données sensibles
- Messages envoyés par erreur
- Message contenant des logiciels malveillants ou des virus
- Message d’hameçonnage
En tant qu’administrateur, vous pouvez utiliser la fonctionnalité de "la recherche de contenu" de la page d'administration "Sécurité et conformité" afin de rechercher et supprimer des messages.
Cet article vous guidera dans la suppression de message d’une boîte aux lettres utilisateur O365 avec l’aide d’eDiscovery et du PowerShell.
A noter que les actions de suppression de message seront enregistrées dans l’audit et que des alertes seront également déclenchées lors de l’exécution d’une eDiscovery.
1. Création d'une recherche de contenu
- Connectez-vous au centre de protection Office 365 https://protection.office.com
- Cliquez sur Recherche et enquête, puis sélectionnez Recherche de contenu
- À partir de la recherche de contenu, cliquez sur l’icône « Nouveau »
- Entrez un nom pour cette tâche de recherche
- Sélectionnez des boîtes aux lettres spécifiques ou « toutes les boîtes aux lettres »
- Sélectionnez « Rechercher tous les sites », les dossiers publics sont une option en fonction de vos critères de recherche
- Cliquez sur Suivant
- Entrez des mots-clés pour la recherche ou laissez vide pour rechercher tout le contenu
- Ajouter des conditions : dans mon exemple, je recherche un objet (par exemple, une activité de connexion inhabituelle à un compte Microsoft)
- Cliquez sur Rechercher
La recherche commencera et les résultats s’afficheront dans le volet de droite.
Une fois terminé, vous pouvez prévisualiser les résultats et les exporter sous forme de rapport.
2. Suppression du contenu
Maintenant que vous avez généré une recherche, vous pouvez passer à la suppression du contenu que vous aviez recherché.
Pour ce faire, connectez-vous de nouveau au Centre de sécurité et de conformité via powershell:
$UserCredential = Get-Credential
$Session = New-PSSession -ConfigurationName Microsoft.Exchange
-connectionUri https://ps.compliance.protection.outlook.com/powershell-liveid
-Credential $UserCredential -Authentication Basic -AllowRedirection
Import-PSSession $Session -AllowClobber -DisableNameChecking
$Host.UI.RawUI.WindowTitle = $UserCredential.UserName
Une fois authentifié et connecté , vous pouvez créer une nouvelle action pour supprimer les éléments trouvés dans notre recherche précédente via la commande suivante:
New-ComplianceSearchAction -SearchName "Phishing" -Purge -PurgeType SoftDelete -Confirm:$false
Exécutez la commande PowerShell ci-dessous pour voir si la purge est terminée.
Get-ComplianceSearchAction -Identity "Phishing"
La sortie PowerShell affiche l’état Terminé