Quanto tempo demora para que uma regra de transporte do Exchange pare de se candidatar depois que ela é excluída?

Question

Ontem, minha empresa foi atingida por um novo trojan que usa o velho método social "veio de alguém em quem confio" para suspender a suspeita (e a racionalidade) do usuário e foi aberto e executado.

Durante o processo de localizar, conter e eliminar isso, usei as Regras de Transporte do Exchange Online (Office365) para bloquear todos os emails de saída dos usuários infectados (e envie-me a mensagem bloqueada). Depois que eu tive certeza de que o bug estava estragado, eu desmarcou as Regras de Transporte, mas descobri que os usuários ainda não conseguiam enviar. Então eu deletei as regras de transporte e testei com um usuário, e alguns passaram, enquanto alguns foram bloqueados.

Eu usei o Powershell para fazer login e o Get-TransportRule não mostra as regras que ainda estão (ocasionalmente, aleatoriamente) bloqueando esses usuários após meia hora.

Quanto tempo é preciso demorar? Quanto tempo até iniciar um processo de ingresso? Ou eu perdi alguma coisa?

    

Answer 1

As alterações nas regras de transporte entram em vigor após cerca de 15 minutos da minha experiência.

No Azure AD, o processo chamado Redirecionar sincronização é usado para enviar atualizações para objetos em toda a infraestrutura. Eu não sei se regras de transporte são objetos que usam esse mecanismo ou se é um processo separado do Exchange.

No O365, isso realmente dependerá do tamanho e da distribuição da organização em todos os datacenters da Microsoft. Eu tenho mais de 10.000 usuários no O365 Shared, então as coisas demoram um pouco.

Especificamente, os artigos da Technet para o Exchange Online e o Exchange 2013 são diferentes. A ajuda do Exchange 2013 explica que o tempo de replicação das regras de transporte depende da replicação do Active Directory. Só posso esperar / assumir que o Exchange Online usa a solução do Azure AD, mas não há nenhuma menção a ela no Ajuda do Exchange Online .

    

Answer 2

Eu executaria um rastreamento rápido (tão rápido quanto o O365 permitiria que você executasse um rastreamento detalhado) para ter certeza de que a regra de transporte está causando o problema. Na maior parte eu acho que eles entram e saem muito rápido. Acho que o mais longo que esperei para ver um trabalho foi 10 minutos. Não sei qual é a linha oficial. Eu definitivamente abriria um bilhete - levaria algumas horas para eles voltarem para você de qualquer maneira.

Se você teve alguns problemas de saída, é possível que a Microsoft o tenha detectado e bloqueou alguns usuários para você. Se for esse o caso, você tem que abrir um ticket para desbloqueá-lo também.