目录

简介

当消息从检疫时发布，那在哪里被记录？

相关信息

简介

本文描述如何查看邮件登录顺序确定从在思科电子邮件安全工具(ESA)或Cisco安全管理设备(SMA)的检疫发布的消息的处理。

当消息从检疫时发布，那在哪里被记录？

在ESA，当您发表从IronPort垃圾邮件检疫(ISQ)，策略检疫，或者其他自定义检疫的一个消息，操作和相关的事件在IronPort文本邮件日志(mail_logs)文件报告。日志条目参加与原始MID。

接近跟踪的最佳方法此发生故障被检疫原始消息的获得从，对或者主题。其次，它的搜索在然后看到的日志看到是否从检疫发布，末端邮件服务器是否接受它或重新启动它。

示例，搜索邮件日志发送方“spam@test.com” ：

> grep -i "spam@test.com" mail_logs

Wed Aug 13 12:59:36 2014 Info: MID 1357 ICID 10152 From: <spam@test.com>

Wed Aug 13 12:59:42 2014 Info: MID 1357 SPF: mailfrom identity spam@test.com None

Wed Aug 13 12:59:57 2014 Info: MID 1357 ready 185 bytes from <spam@test.com>

您将要注意消息ID (MID)和交付连接ID (DCID)。

我们能看到此特定MID发送对从全双工mail_logs的垃圾邮件检疫或者消息跟踪：

Wed Aug 13 12:59:29 2014 Info: New SMTP ICID 10152 interface Management

(192.168.0.199) address 75.111.22.123 reverse dns host spam.test.com verified yes

Wed Aug 13 12:59:29 2014 Info: ICID 10152 RELAY SG RELAY_SG match 75.111.22.123

SBRS not enabled

Wed Aug 13 12:59:36 2014 Info: Start MID 1357 ICID 10152

Wed Aug 13 12:59:36 2014 Info: MID 1357 ICID 10152 From: <spam@test.com>

Wed Aug 13 12:59:40 2014 Info: MID 1357 ICID 10152 RID 0 To: <end_user@domain.com>

Wed Aug 13 12:59:42 2014 Info: MID 1357 SPF: helo identity postmaster None

Wed Aug 13 12:59:42 2014 Info: MID 1357 SPF: mailfrom identity spam@test.com None

Wed Aug 13 12:59:57 2014 Info: MID 1357 SPF: pra identity None headers None

Wed Aug 13 12:59:57 2014 Info: MID 1357 Message-ID '<9afe3f$1ad@my_esa.domain.com>'

Wed Aug 13 12:59:57 2014 Info: MID 1357 Subject 'This is spam?'

Wed Aug 13 12:59:57 2014 Info: MID 1357 ready 185 bytes from <spam@test.com>

Wed Aug 13 12:59:57 2014 Info: MID 1357 matched all recipients for per-recipient

policy DEFAULT in the outbound table

Wed Aug 13 12:59:58 2014 Info: MID 1357 interim verdict using engine: CASE

spam positive

Wed Aug 13 12:59:58 2014 Info: MID 1357 using engine: CASE spam positive

Wed Aug 13 12:59:58 2014 Info: ISQ: Tagging MID 1357 for quarantine

Wed Aug 13 12:59:58 2014 Info: MID 1357 interim AV verdict using Sophos CLEAN

Wed Aug 13 12:59:58 2014 Info: MID 1357 antivirus negative

Wed Aug 13 12:59:58 2014 Info: MID 1357 Outbreak Filters: verdict negative

Wed Aug 13 12:59:58 2014 Info: MID 1357 DLP no violation

Wed Aug 13 12:59:58 2014 Info: MID 1357 queued for delivery

Wed Aug 13 13:00:02 2014 Info: RPC Delivery start RCID 161 MID 1357 to local IronPort

Spam Quarantine

Wed Aug 13 13:00:08 2014 Info: ISQ: Quarantined MID 1357

Wed Aug 13 13:00:08 2014 Info: RPC Message done RCID 161 MID 1357

Wed Aug 13 13:00:08 2014 Info: Message finished MID 1357 done

Wed Aug 13 13:05:11 2014 Info: ICID 10152 close

一旦发布，下面是寻找什么的示例在从ISQ发布的消息：

Wed Aug 13 13:02:14 2014 Info: Start MID 1359 ICID 0 (ISQ Released Message)

Wed Aug 13 13:02:14 2014 Info: ISQ: Reinjected MID 1357 as MID 1359

Wed Aug 13 13:02:14 2014 Info: MID 1359 ICID 0 From: <spam@test.com>

Wed Aug 13 13:02:14 2014 Info: MID 1359 ICID 0 RID 0 To: <end_user@domain.com>

Wed Aug 13 13:02:14 2014 Info: MID 1359 Subject '[SPAM] This is spam?'

Wed Aug 13 13:02:14 2014 Info: MID 1359 ready 1445 bytes from <spam@test.com>

Wed Aug 13 13:02:14 2014 Info: MID 1359 queued for delivery

Wed Aug 13 13:02:14 2014 Info: New SMTP DCID 165 interface 192.168.0.199 address

192.168.0.200 port 25

Wed Aug 13 13:02:15 2014 Info: Delivery start DCID 165 MID 1359 to RID [0]

Wed Aug 13 13:02:15 2014 Info: Message done DCID 165 MID 1359 to RID [0]

Wed Aug 13 13:02:15 2014 Info: MID 1359 RID [0] Response '2.0.0 Ok: queued as

33B7380356'

Wed Aug 13 13:02:15 2014 Info: Message finished MID 1359 done

Wed Aug 13 13:02:20 2014 Info: DCID 165 close

在本例中，消息发布，并且接口(192.168.0.199)是ESA的监听程序，连接对(192.168.0.200)作为最终交付末端邮件服务器。

当您查看垃圾邮件检疫日志(euq_logs)，版本操作显示以下：

Wed Aug 13 13:02:14 2014 Info: ISQ: Releasing MID [1357] for all

Wed Aug 13 13:02:14 2014 Info: ISQ: Delivering released MID 1357 (skipping

work queue)

Wed Aug 13 13:02:14 2014 Info: ISQ: Corpus status: 0

Wed Aug 13 13:02:15 2014 Info: ISQ: Released MID 1357 to end_user@domain.com

Wed Aug 13 13:02:15 2014 Info: ISQ: Deleting MID [1357] for all

Wed Aug 13 13:02:15 2014 Info: ISQ: Deleted MID 1357 for all

Wed Aug 13 13:02:15 2014 Info: ISQ: Cleared 8192 bytes (MIDs 1, for all

recipients) from database. Current bytes=0.

同样地，如果原始消息检疫对策略检疫，然后发布，您会看到类似于此示例：

Wed Aug 13 13:09:27 2014 Info: MID 1361 released from quarantine "Policy" (manual)

t=29

Wed Aug 13 13:09:27 2014 Info: MID 1361 released from all quarantines

Wed Aug 13 13:09:27 2014 Info: MID 1361 matched all recipients for per-recipient

policy DEFAULT in the inbound table

Wed Aug 13 13:09:27 2014 Info: MID 1361 interim AV verdict using Sophos CLEAN

Wed Aug 13 13:09:27 2014 Info: MID 1361 antivirus negative

Wed Aug 13 13:09:27 2014 Info: MID 1361 queued for delivery

Wed Aug 13 13:09:27 2014 Info: New SMTP DCID 169 interface 192.168.0.199 address

192.168.0.200 port 25

Wed Aug 13 13:09:27 2014 Info: Delivery start DCID 169 MID 1361 to RID [0]

Wed Aug 13 13:09:27 2014 Info: Message done DCID 169 MID 1361 to RID [0]

Wed Aug 13 13:09:27 2014 Info: MID 1361 RID [0] Response '2.0.0 Ok: queued

as C702980356'

Wed Aug 13 13:09:27 2014 Info: Message finished MID 1361 done

Wed Aug 13 13:09:32 2014 Info: DCID 169 close

从策略检疫，消息从策略检疫发布，并且接口(192.168.0.199)是ESA的监听程序，连接对(192.168.0.200)作为最终交付末端邮件服务器。

相关信息

- 思科电子邮件安全工具-最终用户指南

- 什么是消息ID (MID)，射入连接ID (ICID)，或者交付连接ID (DCID) ？

- 技术支持和文档 - Cisco Systems