要查看聚合的报告数据，请部署思科安全邮件和 Web 管理器。

无法聚合集群设备的邮件安全监控报告。所有报告都限于计算机级别。这意味着无法在组或集群级别运行它们，只能在单个计算机上运行。

对于“存档的报告”(Archived Reports) 页面，也是如此 - 每台计算机实际上都有自己的存档。因此，“生成报告”功能在选定的计算机中运行。

“计划的报告”(Scheduled Reports) 页面并非限于计算机级别；因此，可以在多台计算机之间共享设置。在计算机级别运行的单个计划报告就像是交互式报告，所以，如果您在集群级别配置计划的报告，集群中的每台计算机都将发送自己的报告。

“预览此报告”(Preview This Report) 按钮始终针对登录主机运行。

许多邮件安全监控页面都包含搜索表单。您可以搜索不同类型的项目：

• IP 地址（IPv4 和 IPv6）
• domain
• 网络所有者
• 内部用户
• 目标域
• 内部发件人域
• 内部发件人 IP 地址
• 传出域传送状态

对于域、网络所有者和内部用户搜索，需要选择是完全匹配搜索文本还是仅查找以所输入文字开头的项目（例如，以“ex”开头将匹配“example.com”）。

对于 IPv4 地址搜索，始终会将输入的文本解释为最多四个 IP 八位组（采用点分十进制格式）的开头。例如，输入“17”将会在 17.0.0.0 至 17.255.255.255 的范围内搜索，因此 17.0.0.1 匹配搜索结果，而 172.0.0.1 不匹配。对于完全匹配搜索，需要输入所有四个八位组。IP 地址搜索还支持 CIDR 格式 (17.16.0.0/12)。

对于 IPv6 地址搜索，AsyncOS 支持以下格式：

• 2001:db8:2004:4202::0-2001:db8:2004:4202::ff
• 2001:db8:2004:4202::
• 2001:db8:2004:4202::23
• 2001:db8:2004:4202::/64

所有搜索都必须在页面中当前选择的时间范围内。

您可以创建自定义邮件安全报告页和，方法是组合现有报告页中的图表（图形）和表格。

“概述”(Overview) 页面会概括介绍邮件网关的邮件活动，包括隔离区和病毒爆发过滤器状态的概述（在页面的“系统概述”[System Overview] 部分）。“概述”(Overview) 页面还包含传入和传出邮件的图形以及详细邮件计数。可以使用此页面来监控进出网关的所有邮件的流量。

“概述”(Overview) 页面重点介绍了邮件网关与 IP 信誉服务相集成以处理传入邮件（例如，由信誉过滤拦截的邮件）的方式。在概述 (Overview) 页面中，可以执行以下操作：

• 查看出入网关的所有邮件的邮件趋势图。
• 查看随着时间的推移显示以下信息的图表：尝试发送的邮件数、被 IP 信誉过滤 (SBRS) 拦截的邮件数、包含无效收件人的邮件数、标记为垃圾邮件的邮件数、标记为具有病毒特征的邮件数和正常邮件数。
• 查看系统状态和本地隔离区的摘要。
• 根据威胁操作中心 (TOC) 提供的信息，查看当前的病毒和非病毒爆发信息。

“概述”(Overview) 页面分为两部分：“系统概述”(System Overview) 与“传入和传出邮件”(Incoming and Outgoing Mail) 图表及概要。

传入邮件 (Incoming Mail) 页面提供一种报告机制，即报告连接到您的邮件网关设备的所有远程主机的邮件安全监控功能收集的实时信息。这可以让您收集有关向您发送邮件的 IP 地址、域和组织（网络所有者）的详细信息。也可以基于 IP 地址、域以及向您发送邮件的组织执行发件人配置文件搜索。

“传入邮件”(Incoming Mail) 页面包含三个视图：“域”(Domain)、“IP 地址”(IP Address) 和“网络所有者”(Network Owner)，并提供在选定视图环境中连接到系统的远程主机的快照。

其中显示向邮件网关中配置的所有公共侦听程序发送邮件的顶部域（或 IP 地址或网络所有者，具体取决于视图）表格（传入邮件详细信息）。可以监控流入网关的所有邮件的流量。您可以单击任何域/IP/网络所有者，深入访问“发件人配置文件”(Sender Profile)（这是特定于您所单击的域/IP/网络所有者的“传入邮件”[Incoming Mail] 页面）页面中有关此发件人的详细信息。

不是所有可用列默认都会显示。单击表格下方的“列”(Columns) 链接，可显示不同组的信息。例如，您可以显示默认情况下隐藏的“由高级恶意软件防护检测”列。

“传入邮件”(Incoming Mail) 页面扩展以包含一组页面（“传入邮件”[Incoming Mail]、“发件人配置文件”[Sender Profiles] 和“发件人组报告”[Sender Group Report]）。从传入邮件 (Incoming Mail) 页面可以执行如下操作：

• 对已向您发送邮件的 IP 地址、域或组织（网络所有者）执行搜索。
• 查看“发件人组”(Sender Groups) 报告，以了解通过特定发件人组执行的连接数及邮件流量策略操作。有关详细信息，请参阅发件人组报告。
• 查看有关向您发送邮件的发件人的详细统计数据，包括按安全服务（发件人信誉过滤、反垃圾邮件、防病毒、灰色邮件等）细分的尝试发送的邮件数量。
• 按已向您发送大量垃圾邮件或病毒邮件（如反垃圾邮件或防病毒安全服务所确定）的发件人排序。
• 使用 IP 信誉服务可深入查看和检查特定 IP 地址、域和组织之间的关系，以获取有关发件人的详细信息。
• 深入探讨特定发件人，以便从 IP 信誉服务中获取有关发件人的详细信息，包括发件人的 IP 信誉得分，以及该域最近匹配的发件人组。将发件人添加到发件人组。
• 深入探讨曾发送大量垃圾邮件或病毒邮件（由反垃圾邮件或防病毒安全服务决定）的特定发件人的信息。
• 收集到关于域的信息后，即可单击域、IP 地址或网络所有者配置文件页面中的“添加到发件人组”(Add to Sender Group)，将该 IP 地址、域或组织添加到现有发件人组。请参阅配置网关以接收邮件。

“发件人组”(Sender Groups) 报告按发件人组和邮件流量策略操作提供连接摘要，从而便于查看 SMTP 连接和邮件流量策略趋势。“按发件人组的邮件流量 (Mail Flow by Sender Group)”列表显示每个发件人组的连接的百分比和数量。“按邮件流量策略操作的连接”(Connections by Mail Flow Policy Action) 图表显示每个邮件流量策略操作的连接百分比。此页面概述了主机访问表 (HAT) 策略的有效性。有关 HAT 的详细信息，请参阅配置网关以接收邮件。

您可以使用“发件人域信誉”报告页面：

• 以图形格式根据从 SDR 服务接收的判定查看传入邮件。

• 以表格格式根据从 SDR 服务接收的威胁类别和判定查看传入邮件摘要。

• 以图形格式根据从 SDR 服务接收的威胁类别查看传入邮件。

  注	只有那些 SDR 判为 "不受信任" 或 "有问题" 的信息才被归入 SDR 威胁类别，如 "垃圾邮件"、"恶意 "等。

• 根据从 SDR 服务中表格的形式接收的威胁类别的传入邮件摘要。

在“SDR 处理的传入邮件摘要”(Summary of Incoming Messages handled by SDR) 部分，您可以单击与特定判定对应的邮件数量，在“邮件跟踪”(Message Tracking) 中查看相关邮件。

“传出邮件目标”(Outgoing Destinations) 页面提供有关您的公司发送邮件所至的域的信息。该页面包含两个部分。页面上半部分包含一些图表，这些图表描述按传出威胁邮件排名靠前的目标，以及按页面上半部分的传出正常邮件排名靠前的目标。页面下半部分显示一个图表，包含按收件人总数（默认设置）排序的所有列。

您可以选择报告的时间范围，例如小时、周或自定义范围。与所有报告相同，通过导出 (Export) 链接可以将图表数据或详细信息列表导出为 CSV 格式。

“外发目标”(Outgoing Destinations) 页面可用于回答以下类型的问题：

• 邮件网关将邮件发送到哪些域？
• 向每个域发送多少邮件？
• 该邮件中有多少是正常的、具有垃圾邮件特征、具有病毒特征、具有恶意软件特征或由内容过滤器拦截？
• 传送了多少邮件以及被目标服务器硬性退回了多少邮件？

“传出邮件发件人”(Outgoing Senders) 页面提供有关正从网络内的 IP 地址和域发送的邮件数量和类型的信息。当查看此页面时，您可以按域或 IP 地址查看结果。如果您要查看每个域正在发送的邮件的数量，则可能要按域查看结果；如果要查看哪些 IP 地址发送的病毒邮件最多或者正在触发内容过滤器，则可能要按 IP 地址查看结果。

该页面包含两部分。页面左侧是一个描绘按威胁邮件总数排名靠前的发件人的图形。威胁邮件总数包括具有垃圾邮件特征、病毒特征的邮件，恶意软件邮件或触发了内容过滤器的邮件数量。页面右侧包含一个图表，其中显示按页面上半部分的正常邮件排名靠前的发件人。页面下半部分显示一个图表，其中显示按邮件总数（默认设置）排序的所有列。

Note	此页面未显示有关邮件发送的信息。使用“传送状态”(Delivery Status) 页面可跟踪传送信息，例如从特定域退回了多少邮件。

您可以选择报告的时间范围，例如小时、周或自定义范围。与所有报告相同，通过导出 (Export) 链接可以将图表数据或详细信息列表导出为 CSV 格式。

“传出发件人”(Outgoing Senders) 页面可用于回答以下类型的问题：

• 哪些 IP 地址正在发送最具病毒特征、垃圾邮件特征的邮件或恶意软件邮件？
• 哪些 IP 地址最频繁触发内容过滤器？
• 哪些域发送最多邮件？

可以使用“地理分布”报告页面查看：

• 以图形格式显示的基于来源国家/地区的传入邮件连接排行榜。

• 以表格格式显示的基于源国家/地区的传入邮件连接总数。

您可以单击特定地理位置的传入邮件连接数来查看邮件跟踪中的相关消息。

“邮件总数”列仅显示在 SMTP 连接级别接受的邮件。

注	报告生成期间： 如果将一个或多个传入邮件连接检测为私有 IP 地址，则这些传入邮件连接将在报告中归类为“私有 IP 地址”。 如果将一个或多个传入邮件连接检测为非有效 IP 信誉得分，则这些传入邮件连接将在报告中归类为“无国家/地区信息”。

如果您怀疑向特定收件人域进行传送有问题，或者如果要收集有关虚拟网关地址的信息，则“监控”(Monitor) >“传送状态”(Delivery Status) 页面会提供有关与特定收件人域相关的邮件操作的监控信息。

“传送状态”页面显示的信息与 CLI 中的 tophosts 命令所示的信息相同。（有关详细信息，请参阅使用 CLI 进行管理和监控中的“确定邮件队列的构成”）

此页面显示系统在过去三个小时内传送的邮件的前 20、50 或 100 个收件人域列表。可以通过单击每项统计数据列标题中的链接，按最新主机状态、有效收件人（默认）、连接超时、发送的收件人、软退回事件以及硬退回收件人进行排序。

• 要搜索特定域，请在“域名：”(Domain Name:) 字段键入域的名称，并单击搜索 (Search)。
• 要深入查看所显示的域，请单击域名链接。

结果将显示在“传送状态详细信息”(Delivery Status Details) 页面中。

Note	收件人域有任何活动，都会导致该域被“激活”，从而出现在概述页面。例如，如果邮件由于传送问题留在出站队列，则该收件人域将继续列在传出邮件概述中。

“内部用户”页面按邮件地址提供有关内部用户发送和接收的邮件的信息（一个用户可能列出了多个邮件地址 - 报告中不合并邮件地址）。

该页面包含两部分：

• 描述按正常传入和传出邮件排名靠前用户和收到灰色邮件的靠前用户的图表。
• 用户邮件流量详细信息

您可以选择报告时间范围（小时、天、周或月）。与所有报告相同，通过导出 (Export) 链接可以将图表数据或详细信息列表导出为 CSV 格式。您还可以通过单击表下方的“列”(Columns) 链接显示隐藏表列或隐藏默认列。

“用户邮件流量详细信息”(User Mail Flow Details) 列表将每个邮件邮件地址收到和发送的邮件细分为“正常”(Clean)、“检测到垃圾邮件”(Spam Detected)（仅限传入）、“检测到病毒”(Virus Detected) 和“内容过滤器匹配”(Content Filter Matches)。您可以通过单击列标题对列表排序。

使用内部用户报告，可以回答以下类型的问题：

• 谁发送的外部邮件最多？
• 谁接收的正常邮件最多？
• 谁接收的灰色邮件最多？
• 谁接收的垃圾邮件最多？
• 谁触发了哪些内容过滤器？
• 谁的邮件被内容过滤器拦截？

入站内部用户是您根据“收件人：”(Rcpt To:) 地址为其收到邮件的用户。出站内部用户基于“发件人: (Mail From:)”地址，在跟踪内部网络中的发件人所发送邮件的类型时非常有用。

请注意，某些出站邮件（如退回）包含空发件人。它们计入出站和“未知”之下。

单击某个内部用户，可查看该用户的“内部用户详细信息”(Internal User detail) 页面。

单击表下方的“列”链接可显示默认隐藏的列，例如“由高级恶意软件防护检测到的传入邮件”列或“由高级恶意软件防护检测到的传出邮件”列。

“DLP 事件”(DLP Incidents) 页面显示传出邮件中发生的防数据丢失 (DLP) 策略违规事件的相关信息。邮件网关使用在“传出邮件策略”(Outgoing Mail Policies) 表中启用的 DLP 邮件策略来检测用户发送的敏感数据。违反 DLP 策略的每个外发邮件均报告为一个事件。

使用 DLP 事件报告，可以回答以下类型的问题：

• 用户发送什么类型的敏感数据？
• 这些 DLP 事件具有什么样的严重性？
• 传送的这些邮件有多少数量？
• 丢弃的这些邮件有多少数量？
• 是谁在发送这些邮件？

“DLP 事件”(DLP Incidents) 页面包括两个主要部分：

• DLP 事件趋势图，按严重性（低、中、高、关键）和策略匹配排名靠前的 DLP 事件；
• DLP 事件详细信息列表。

您可以选择报告的时间范围，例如小时、周或自定义范围。与所有报告相同，通过导出 (Export) 链接可以将图表数据或详细信息列表导出为 CSV 格式；或通过单击可打印 (PDF) (Printable [PDF]) 链接导出为 PDF 格式。有关生成英语以外的其他语言的 PDF 的信息，请参阅有关报告的注意事项。

单击 DLP 策略的名称，可查看有关策略检测到的 DLP 事件的详细信息。使用此方法可以获取发送的邮件包含策略检测到的敏感数据的用户列表。

“内容过滤器”(Content Filters) 页面通过两种形式显示排名靠前的传入和传出邮件内容过滤器匹配项（匹配邮件数量最多的内容过滤器）：条形图和列表。使用“内容过滤器”(Content Filters) 页面，可以按内容过滤器或按用户查看企业策略，并回答以下类型的问题：

• 传入或传出邮件触发哪些内容过滤器的次数最多？
• 发送或接收的邮件触发了特定内容过滤器的排名靠前的用户有哪些？

单击列表中内容过滤器的名称，可在“内容过滤器详细信息”(Content Filter detail) 页面查看有关该过滤器的详细信息。

“DMARC 验证”(DMARC Verification) 页面显示 DMARC 验证失败的排名靠前的域，以及 AsyncOS 针对 DMARC 验证失败的邮件执行的操作详细信息。可以使用此报告优化 DMARC 设置并回答以下类型的问题：

• 哪些域发送的不符合 DMARC 要求的邮件数最多？
• 对于每个域，AsyncOS 针对 DMARC 验证失败的邮件执行了什么操作？

“DMARC 验证”(DMARC Verification) 页面包含：

• 显示按 DMARC 验证失败排名靠前的域的条形图。
• 有关每个域以下信息的表格：
  • 被拒绝、隔离或接受而不采取任何操作的邮件数。单击数字，可查看选定类别下的邮件列表。
  • 通过 DMARC 验证的邮件数。
  • DMARC 验证尝试总数。

您可以选择报告的时间范围，例如小时、周或自定义范围。与所有报告相同，通过导出 (Export) 链接可以将图表数据或详细信息列表导出为 CSV 格式；或通过单击可打印 (PDF) (Printable [PDF]) 链接导出为 PDF 格式。

可以使用“宏检测”(Macro Detection) 报告页面查看：

• 以图形和表格格式显示的按文件类型排名靠前的启用宏的传入附件。

• 以图形和表格格式显示的按文件类型排名靠前的启用宏的传出附件。

您可以单击启用宏的附件数量，以在邮件跟踪中查看相关邮件。

注	报告生成期间： 如果在存档文件中检测到一个或多个宏，则存档文件的文件类型将按一递增。不计算存档文件中启用宏的附件数量。 如果在嵌入文件中检测到一个或多个宏，则父文件类型将递增一。不计算嵌入文件中启用宏的附件数量。

您可以使用“外部威胁源”(External Threat Feeds) 报告页面查看：

• 以图形格式查看用于检测邮件威胁的排名靠前的 ETF 来源

• 以表格格式查看用于检测邮件威胁的 ETF 来源的摘要。

• 以图形格式查看与检测到的邮件威胁相匹配的排名靠前的 IOC。

• 以图形格式查看用于过滤恶意传入邮件连接的排名靠前的 ETF 来源。

• 以表格格式查看用于过滤恶意传入邮件连接的 ETF 来源的摘要。

在“外部威胁源来源摘要”(Summary of External Threat Feed Sources) 部分：

• 您可以单击特定 ETF 来源的邮件数量，在邮件跟踪中查看相关邮件。

• 您可以单击特定威胁源来源，根据 IOC 查看 ETF 来源的分布情况。

在“感染指标 (IOC) 匹配摘要”部分：

• 您可以单击特定 ETF 来源的 IOC 数量，在邮件跟踪中查看相关邮件。

• 您可以单击特定 IOC，根据 ETF 来源查看 IOC 的分布情况。

“病毒爆发过滤器”(Outbreak Filters) 页面显示邮件网关中病毒爆发过滤器的当前状态和配置，以及有关最近爆发和由于病毒爆发过滤器而被隔离的邮件的信息。您可以使用此页面可以监控对针对性的病毒、诈骗和网络钓鱼攻击的防御。

“按类型划分的威胁”(Threats By Type) 部分显示邮件网关接收的不同类型的威胁邮件。

“威胁摘要”(Threat Summary) 部分显示按恶意软件、网络钓鱼、诈骗和病毒统计的威胁邮件细分。单击数字可使用“邮件跟踪”(Message Tracking) 查看该数字中包括的所有邮件的列表。

“过去一年爆发摘要 (Past Year Outbreak Summary)”会列出过去一年的全局及局部爆发，以便将局部网络趋势与全局趋势进行比较。全局爆发列表是所有爆发情况（包括病毒和非病毒）的超集，而局部爆发仅限于影响邮件网关的病毒爆发。局部爆发数据不包括非病毒威胁。全局病毒爆发数据表示威胁操作中心检测到的所有病毒爆发，该数据超过病毒爆发隔离区的当前配置的阈值。本地病毒爆发数据表示在此设备上检测到的所有病毒爆发，该数据超过病毒爆发隔离区的当前配置的阈值。“本地防护总时间”(Total Local Protection Time) 始终基于威胁操作中心检测到各病毒爆发的时间与主要供应商发布防病毒签名的时间之间的时间差。请注意，并非每个全局爆发都会影响邮件网关。值“--”表示保护时间不存在，或防病毒供应商未提供特征码时间（某些供应商可能不报告特征码时间）。这并不表示保护时间为零，而是表示计算保护时间所需的信息不可用。

“隔离的邮件”(Quarantined Messages) 部分汇总病毒爆发过滤器隔离情况，是测量病毒爆发过滤器捕获的潜在威胁邮件数的有用计量器。隔离的邮件在放行时计数。通常，邮件在防病毒和反垃圾邮件规则可用之前会被隔离。放行时，它们会被防病毒和反垃圾邮件软件进行扫描并确定是阳性还是正常邮件。由于爆发跟踪的动态性质，当邮件处于隔离区中时，用于隔离邮件的规则（甚至关联的爆发）可能会更改。在放行时（而不是在进入隔离区中时）对邮件进行计数可避免混淆计数增加和减少的情况。

“威胁详细信息”(Threat Details) 列表显示有关特定病毒爆发的信息，包括威胁类别（病毒、诈骗或网络钓鱼）、威胁名称、该威胁的说明和识别的邮件数。对于病毒爆发，“过去一年病毒爆发 (Past Year Virus Outbreaks)”包括爆发名称和 ID、首次全局出现病毒爆发的时间和日期、病毒爆发过滤器提供的保护时间以及隔离的邮件数。通过左侧的菜单，可以选择全局或局部爆发以及显示的邮件数。您可以通过单击列标题对列表排序。单击数值可使用“邮件跟踪”(Message Tracking) 查看该数值中包含的所有邮件的列表。

首次全局出现时间由威胁操作中心根据 SenderBase（全球最大的邮件和网络流量监控网络）中的数据确定。保护时间始终基于威胁操作中心检测到各个威胁的时间与主要供应商发布防病毒特征码的时间之间的差异。

值为“--”表示防护时间不存在，或者防病毒供应商未提供签名时间（某些供应商可能不会报告签名时间）。这并不表示防护时间为零。相反，这表示计算保护时间所需的信息不可用。

“传入邮件中的命中邮件”(Hit Messages from Incoming Messages) 部分显示病毒附件、其他威胁（非病毒）和正常传入邮件的百分比和数量。

“按威胁级别的命中邮件”(Hit Messages by Threat Level) 部分基于威胁级别（级别 1-5）显示传入威胁邮件的百分比和数量。

“爆发隔离区中的邮件”(Messages resided in Outbreak Quarantine) 部分基于持续时间显示位于爆发隔离区的威胁邮件数。

“重写的排名靠前的 URL”(Top URL's Rewritten) 部分列出基于出现次数重写的前 10 个 URL。使用“显示的项目”(Items Displayed) 下拉菜单可查看更多重写的 URL。单击数字可在“邮件跟踪”(Message Tracking) 页面查看包含所选重写 URL 的所有邮件列表。

使用“病毒爆发过滤器”(Outbreak Filters) 页面可回答如下问题：

• 有多少邮件被隔离？它们是哪些类型的威胁？
• 为病毒爆发提供病毒爆发过滤器功能的交付期是多久？
• 我的本地病毒爆发如何与全局病毒爆发进行比较？

“病毒类型”(Virus Types) 页面提供发送到网络以及从网络发出的病毒的概述。“病毒类型”(Virus Types) 页面显示已由邮件网关中运行的病毒扫描引擎检测到的病毒。要针对特定病毒采取具体操作，可能需要使用此报告。例如，如果发现收到已知嵌入 PDF 文件中的大量病毒，则您可能要创建过滤器操作来隔离具有 PDF 附件的邮件。

如果运行多个病毒扫描引擎，则“病毒类型 (Virus Types)”页面包括来自所有启用的病毒扫描引擎的结果。显示在该页面上的病毒的名称由病毒扫描引擎确定。如果多个扫描引擎检测到某个病毒，则同一病毒可能具有多个对应的条目。

“病毒类型”(Virus Types) 页面提供从网络发出或发送到网络的病毒的概述。“检测到的排名靠前的传入邮件病毒”(Top Incoming Virus Detected) 部分按降序显示已发送到您的网络的病毒图表视图。“检测到的排名靠前的传出邮件病毒”(Top Outcoming Virus Detected) 部分按降序显示从您的网络发出的病毒图表视图。

Note	要查看哪些主机向您的网络发送了感染病毒的邮件，请转到“传入邮件”(Incoming Mail) 页面，指定相同的报告期间，然后按病毒阳性进行排序。同样，要查看哪些 IP 地址在您的网络中发送了具有病毒特征的邮件，请查看“传出发件人”(Outgoing Senders) 页面并按具有病毒特征的邮件排序。

“病毒类型详细信息”(VirusTypes Details) 列表显示有关特定病毒的信息，包括受感染的传入和传出邮件及受感染的邮件总数。受感染的传入邮件详细信息列表显示病毒名称和感染此病毒的传入邮件数。同样，传出邮件部分显示病毒名称和感染此病毒的传出邮件数。您可以按“传入邮件数”(Incoming Messages)、“传出邮件数”(Outgoing Messages) 和“受感染邮件总数”(Total Infected Messages) 对病毒类型详细信息进行排序。

• 仅当启用 URL 过滤时，才会填充 URL 过滤报告模块。
• 提供传入和传出邮件的“URL 过滤”(URL Filtering) 报告。
• 只有由 URL 过滤引擎扫描的邮件（作为反垃圾邮件/病毒爆发过滤器扫描的一部分或通过邮件/内容过滤器）才会包含在这些模块中。但是，并非所有结果都有必要专门可归属于 URL 过滤功能。
• 排名靠前的 URL 类别模块包括在已扫描的邮件中发现的所有类别，不管这些邮件是否匹配内容或邮件过滤器。
• 每封邮件都只能与一个 URL 信誉级别关联。对于具有多个 URL 的邮件，统计数据会反映邮件中任何 URL 的最低信誉。

• 在“安全服务”(Security Services) >“URL 过滤”(URL Filtering) 中配置的全局允许列表内的 URL 未包含在报告中。

  报告中包含个别过滤器中使用的允许列表内的 URL。

• 恶意 URL 是病毒爆发过滤器确定为信誉不佳的 URL。不确定 URL 是病毒爆发过滤器确定需要单击时间保护的 URL。因此，不确定 URL 已被重写，从而重定向到思科网络安全代理。
• 基于 URL 类别的过滤器的结果会反映在内容和邮件过滤器报告中。
• 思科网络安全代理的单击时间 URL 评估结果不会反映在报告中。

• 只有启用了网络交互跟踪功能，才能填充网络交互跟踪报告。
• 网络交互跟踪报告模块不会实时更新，而是每 30 分钟刷新一次。此外，单击重写的 URL 后，网络交互跟踪报告最长可能需要两小时，才会报告此事件。
• 网络交互跟踪报告不会实时更新。单击云重定向的重写 URL 后，网络交互跟踪报告最长可能需要两小时，才会报告此事件。
• 网络交互跟踪报告适用于传入和传出邮件。
• 这些模块中仅包含最终用户（通过策略或爆发过滤器）单击的云重定向重写 URL。
• “网络交互跟踪”(Web Interaction Tracking) 页面包括以下报告：

最终用户单击的排名靠前的重写恶意 URL。单击 URL 可查看包含以下信息的详细报告：

• 单击了重写恶意 URL 的最终用户列表。
• 单击该 URL 的日期和时间。
• URL 是否已由策略或病毒爆发过滤器重写。
• 单击重写的 URL 时采取的操作（允许、阻止或未知）。请注意，如果 URL 被病毒爆发过滤器重写，且未提供最终判定，则状态显示为“未知”(unknown)。

单击重写的恶意 URL 的排名靠前的最终用户

网络交互跟踪详细信息 (Web Interaction Tracking Details)。包括以下信息：

• 所有云重定向重写 URL（恶意和非恶意）的列表。单击某个 URL 可查看详细报告。
• 单击云重定向重写的 URL 时采取的操作（允许、阻止或未知）。

要显示数据，请执行以下操作：

• 选择传入邮件策略 (Incoming Mail Policies) > 爆发过滤器(Outbreak Filters) 配置爆发过滤器，并启用邮件修改和 URL 重写。

• 为内容过滤器配置“重定向到思科安全代理”操作。

请注意，如果最终用户单击某个 URL 时，其判定（正常或恶意）未知，则状态将显示为未知。这可能是因为，需要进一步审查该 URL，或用户单击时网络服务器停止服务或无法访问。

• 最终用户单击重写的 URL 的次数。单击数字可查看包含可单击的 URL 的所有邮件列表。
• 在使用网络交互跟踪报告时，请记住以下限制：
  • 如果已将内容或邮件过滤器配置为重写恶意 URL 后传送邮件并通知其他用户（例如管理员），则原始收件人的网络交互跟踪数据将增加，即使获得通知的用户单击的是重写的 URL 也不例外。
  • 如果使用 Web 界面将包含重写 URL 的被隔离邮件副本发送给用户（例如管理员），则原始收件人的网络交互跟踪数据将增加，即使接收邮件副本的用户单击的是重写的 URL 也不例外。
  • 在任何时候，如果您计划修改邮件网关时间，请确保系统时间与协调世界时 (UTC) 同步。

请参阅监控伪造邮件检测结果。

有关以下报告的信息，请参阅文件信誉和文件分析报告与跟踪：

• 高级恶意软件防护
• 文件分析
• AMP 判定更新

您可以使用邮箱自动补救报告页面（监控 (Monitor) > 邮箱自动补救 (Mailbox Auto Remediation)）查看邮箱补救结果的详细信息。使用此报告可以查看详细信息，如：

• 对邮件执行的修复操作
• 与 SHA-256 散列关联的文件名
• 为其邮箱执行补救操作成功或不成功的收件人定义的配置文件名称列表
• 补救失败原因
• 没有映射到域的配置文件

单击 SHA-256 散列以在邮件跟踪中查看相关邮件。

有关详细信息，请参阅 补救邮箱中的邮件

“TLS 连接”(TLS Connections) 页面显示所收发邮件的 TLS 连接的整体使用情况。该报告还显示使用 TLS 连接发送邮件的每个域的详细信息。

“TLS 连接 (TLS Connections)”页面可用于确定以下信息：

• 总体而言，传入和传出连接的哪个部分使用 TLS？

• 我与哪些合作伙伴成功建立了 TLS 连接？

• 我与哪些合作伙伴建立的 TLS 连接没有成功？

• 在 DANE 支持下，我与哪些合作伙伴成功建立了 TLS 连接？

• 在 DANE 支持下，我未能与哪些合作伙伴成功建立 TLS 连接？

• 哪些合作伙伴的 TLS 证书存在问题？

• 某个合作伙伴使用 TLS 的邮件占总邮件的百分比是多少？

• DANE 支持的传出连接成功的百分比是多少？

• DANE 支持的传出连接不成功的百分比是多少？

“TLS 连接”(TLS Connections) 页面分为传入连接部分和传出连接部分。每个部分都包括图表、摘要和详细信息表格。

图表显示您指定的时间范围内，传入或传出 TLS 加密和未加密连接的视图。该图显示邮件总数、加密和未加密邮件的数量成功和失败的 TLS 加密邮件的数量以及成功和失败的 DANE 连接的数量。需要 TLS 的连接图表和仅首选 TLS 的连接图表有所不同。

此表显示发送或接收加密邮件的域的详细信息。对于每个域，可以查看成功和失败的需要及首选的 TLS 连接数量、尝试的 TLS 连接总数（无论成功还是失败）未加密连接总数以及 DANE 连接总数（根据是成功还是失败）。您还可以查看所有尝试 TLS 连接的百分比和成功发送的加密邮件总数，不考虑 TLS 是首选还是需要。您可以通过单击此表底部的“列”(Columns) 链接来显示或隐藏列。

“入站 SMTP 身份验证”(Inbound SMTP authentication) 页面显示了使用客户端证书和“SMTP AUTH”命令对邮件网关与用户的邮件客户端之间的 SMTP 会话进行身份验证。如果邮件网关接受证书或 SMTP AUTH 命令，则会建立到邮件客户端的 TLS 连接 ，供客户端用来发送邮件。因为邮件网关无法逐个用户跟踪这些尝试，因此报告会根据域名和域 IP 地址显示有关 SMTP 身份验证的详细信息。

使用此报告可确定以下信息：

• 总体而言，多少入站连接使用 SMTP 身份验证？
• 多少连接使用经过认证的客户端？
• 多少连接使用 SMTP AUTH？
• 当尝试使用 SMTP 身份验证时，哪些域无法连接？
• 当 SMTP 身份验证失败时，多少连接成功使用回退？

“入站 SMTP 身份验证”(Inbound SMTP Authentication) 页面包含一个表示已接收的连接的图形、一个表示已尝试 SMTP 身份验证连接的邮件收件人的图形，以及一个包含有关对连接进行身份验证的尝试的详细信息的表。

“已接收的连接”(Received Connections) 图形显示在指定时间范围内来自尝试使用 SMTP 身份验证对其连接进行身份验证的邮件客户端的传入连接。该图表显示邮件网关接收的连接总数、未尝试使用 SMTP 身份验证进行验证的次数，使用客户端证书验证连接的成功和失败次数，以及使用 SMTP AUTH 命令进行验证的成功和失败次数。

“已接收的收件人”(Received Recipients) 图形显示了收件人的数量，这些收件人的邮件客户端尝试对其与邮件网关的连接进行身份验证以使用 SMTP 身份验证来发送邮件。该图形还显示其连接已进行身份验证的收件人数和其连接未进行身份验证的收件人数。

“SMTP 身份验证详细信息”(SMTP Authentication details) 表显示了域的详细信息，这些域的用户尝试对其与邮件网关的连接进行身份验证以发送邮件。对于每个域，可以查看尝试使用客户端证书进行连接的成功或失败次数、尝试使用 SMTP AUTH 命令进行连接的成功或失败次数，以及在客户端证书连接尝试失败后回退到 SMTP AUTH 的次数。可以使用页面顶部的链接按域名或域 IP 地址显示此信息。

通过按信封发件人进行速率限制，您可以根据发件人地址从单个发件人限制每个时间间隔的邮件收件人数。“速率限制”(Rate Limits) 报告显示最严重超过此限制的发件人。

使用此报告可帮助确定以下内容：

• 可能用于批量发送垃圾邮件的有漏洞用户账户。
• 组织中的失控应用程序，这些应用程序使用邮件发送通知、风险通告、自动声明等内容。
• 组织中具有大量邮件活动的来源，用于内部计费或资源管理目的。
• 可能未被视为垃圾邮件的大量入站邮件流量的来源。

请注意，包含内部发件人（例如内部用户或传出邮件发件人）的统计信息的其他报告仅测量已发送的邮件数；它们不会向大量收件人表明少数邮件的发件人的身份。

“按事件划分的排名靠前的危害”图表显示最频繁尝试向超过配置限制的收件人发送邮件的信封发件人。每次尝试都是一个事件。此图表汇总所有侦听程序的事件计数。

“按已拒绝收件人划分的排名靠前的危害”图表显示向高于配置限制的最大数量的收件人发送邮件的信封发件人。此图表汇总所有侦听程序的收件人计数。

要按信封发件人配置速率限制或修改现有速率限制，请参阅使用邮件流策略定义传入邮件规则。

“系统容量”(System Capacity) 页面提供有关系统负载的详细说明，包括工作队列中的邮件、花费在工作队列中的平均时间、传入和传出邮件（总量、大小和数量）、总体 CPU 使用率、按功能的 CPU 使用率和内存页面交换信息。

“系统容量”(System Capacity) 页面可用于确定以下信息：

• 识别邮件网关超过推荐容量，进而需要优化配置或添加邮件网关的情况。
• 确定系统行为方面指向即将发生的容量问题的历史趋势。
• 确定系统中协助故障排除耗用资源最多的部分。

务必要监控邮件网关，以确保您的容量适合邮件总量。随着时间的推移，邮件量会不可避免地增加，适当的监控可确保主动添加容量或进行配置更改。监控系统容量的最有效方式是跟踪总量、工作队列中的邮件以及资源节约模式下的事件。

• 邮件量：了解环境中的“正常”邮件量和“一般”峰值非常重要。随着时间的推移跟踪此数据以测量邮件量增长。您可以使用“传入邮件”(Incoming Mail) 和“传出邮件”(Outgoing Mail) 页面长期跟踪数量。有关详细信息，请参阅系统容量 - 传入邮件和系统容量 - 传出邮件。
• 工作队列：工作队列旨在充当“缓冲器” - 吸收和过滤垃圾邮件攻击并处理非垃圾邮件的不正常增加情况。但是，工作队列也是系统具有压力的最佳指示器，长时间并频繁地备份工作队列可能表明存在容量问题。使用“工作队列”(Workqueue) 页面可跟踪邮件在工作队列中花费的平均时间，以及工作队列中的活动。有关详细信息，请参阅系统容量 - 工作队列。
• 资源节约模式：当邮件网关变得过载时，会进入“资源节约模式”(RCM)，并发送“关键”系统警报。这旨在保护设备，使其可以处理任何邮件积压情况。邮件网关不应频繁进入 RCM，并且应仅在邮件量出现超大或异常增长期间进入。频繁的 RCM 警报可能表明系统正在超负荷。请参阅系统容量 - 系统负载。

系统状态页面详细展示了系统的所有实时邮件和 DNS 活动。显示的信息与使用 CLI 中的 status detail 和 dnsstatus 命令得到的信息一样。有关详细信息，请参阅“监控详细邮件状态”了解状态详细命令，并请参阅“查看 DNS 状态”了解使用 CLI 进行管理和监控中的 dnsstatus 命令。

“系统状态”(System Status) 页面包括四个部分：“系统状态”(System Status)、“计量器”(Gauges)、“速率”(Rates) 和“计数器”(Counters)。

Note	“大量邮件”(High Volume Mail) 页面仅显示使用“信头重复”规则的邮件过滤器的数据。

“大量邮件 (High Volume)”页面包含以下条形图形式的报告：

• 排名靠前的主题。使用此图表可以了解 AsyncOS 接收的邮件的热门主题。
• 排名靠前的信封发件人。使用此图表可以了解 AsyncOS 接收的邮件排名靠前的信封发件人。
• 按匹配数排名靠前的邮件过滤器。使用此图表可以了解排名靠前的邮件过滤器（使用“信头重复”规则）匹配项。

“大量邮件”(High Volume Mail) 页面还提供排名靠前的邮件过滤器和各个邮件过滤器的匹配项数表格。单击数值可使用“邮件跟踪”(Message Tracking) 查看该数值中包含的所有邮件的列表。

您可以选择报告的时间范围，例如小时、周或自定义范围。与所有报告相同，通过导出 (Export) 链接可以将图表数据或详细信息列表导出为 CSV 格式；或通过单击可打印 (PDF) (Printable [PDF]) 链接导出为 PDF 格式。

“邮件过滤器”(Message Filters) 页面通过两种形式显示排名靠前的邮件过滤器匹配项（匹配邮件数量最多的邮件过滤器）：条形图和表格形式。

使用条形图，可查找传入和传出邮件触发最多的邮件过滤器。表格形式显示排名靠前的邮件过滤器和各个邮件过滤器的匹配项数。单击数值可使用“邮件跟踪”(Message Tracking) 查看该数值中包含的所有邮件的列表。

您可以选择报告的时间范围，例如小时、周或自定义范围。与所有报告相同，通过导出 (Export) 链接可以将图表数据或详细信息列表导出为 CSV 格式；或通过单击可打印 (PDF) (Printable [PDF]) 链接导出为 PDF 格式。

您可以使用“安全打印”(Safe Print) 报告页面查看：

• 以图形格式显示的基于文件类型的安全打印附件的数量。

• 基于表格格式的文件类型的安全打印附件摘要。

在“安全打印文件类型的摘要”(Summary of Safe Print File Types) 部分中，单击要在邮件跟踪中查看邮件详细信息的安全打印附件总数。

可以 CSV 格式检索邮件安全监控中用来生成图表的数据。CSV 数据可通过两种方式访问：

• 通过邮件传送的 CSV 报告。可以生成通过邮件传送或存档的 CSV 报告。当您要为“报告”页面上显示的每个表分隔报告时，或者当您要将 CSV 数据发送给无权访问内部网络的用户时，这种传送方式非常有用。

  逗号分隔值 (CSV) 报告类型是 ASCII 文本文件，其中包含计划报告的表格数据。每个 CSV 文件最多可以包含 100 行。如果报告包含多种类型的表格，则会为每种表格创建一个单独的 CSV 文件。单个报告的多个 CSV 文件将压缩成单个 .zip 文件以作为存档文件存储选项，或全部附加到不同的邮件进行传送。

• 通过 HTTP 检索的 CSV 文件。可以通过 HTTP 检索邮件安全监控功能中用来生成图表的数据。如果您计划通过其他工具对数据执行进一步分析，此传送方法十分有用。您可以自动检索这些数据（例如通过可下载原始数据的自动脚本），处理数据，然后在其他某些系统中显示结果。

许多交互式邮件报告页面均在页面底部包含“搜索：”(Search For:) 下拉菜单。

从下拉菜单中，您可以搜索多种类型的条件，包括以下条件：

• IP 地址
• 域 (Domain)
• 网络所有者 (Network owner)
• 内部用户 (Internal User)
• 目标域 (Destination domain)
• 内部发件人域 (Internal sender domain)
• 内部发件人 IP 地址 (Internal sender IP address)
• 传入 TLS 域 (Incoming TLS domain)
• 传出 TLS 域 (Outgoing TLS domain)

• SHA-256

对于大多数搜索，请选择是要精确匹配搜索文本还是查找以输入的文本开头的项（例如，以“ex”开头将匹配“example.com”）。

对于 IPv4 搜索，输入的文本始终会解释为点分十进制格式的多达四组 IP 八位二进制数。例如，“17”将在范围 17.0.0.0 至 17.255.255.255 中搜索，因此它将匹配 17.0.0.1，但不匹配 172.0.0.1。对于精确匹配搜索，请输入所有四组二进制八位数。IP 地址搜索还支持无类别域间路由 (CIDR) 格式 (17.16.0.0/12)。

对于 IPv6 搜索，您可以使用以下示例中的格式输入地址：

• 2001:db8:2004:4202::0-2001:db8:2004:4202::ff
• 2001:db8:2004:4202::
• 2001:db8:2004:4202::23
• 2001:db8:2004:4202::/64

邮件安全监控功能不断记录进入网关的邮件流量的相关数据。这些数据每 60 秒更新一次，但所示的显示时间有所延迟，落后当前系统时间 120 秒。可以指定所示结果中包括的时间范围。由于数据实时监控，因此信息会在数据库中定期更新和汇总。

从下表的时间范围选项中进行选择。

您可以创建自定义报告页面，方法是在“我的报告”页面上组合所有现有电子邮件安全报告中的图表（图形）和表格。

“邮件流摘要”报告页面提供邮件网关上的邮件活动概要。“邮件流摘要”页面包括传入邮件和传出邮件的图形和摘要表。

“邮件流摘要：传入”报告页面显示由邮件网关处理和阻止的邮件总数以及传入邮件摘要的传入邮件图表。

您可以使用此页面上的邮件趋势图来根据所选的时间范围监控邮件网关处理和阻止的所有传入邮件的流。有关详细信息，请参阅时间范围报告。

要在您的数据中搜索特定信息，请参阅 搜索与交互式邮件报告页面

以下邮件趋势图提供传入邮件流的视觉表达。

• 威胁检测摘要

• 内容摘要

您可以根据相应类别的所需计数器查看传入邮件的邮件趋势。有关详细信息，请参阅使用计数器过滤趋势图上的数据。

“邮件流摘要：传出”报告页面显示由邮件网关处理和传送的邮件总数以及传出邮件摘要的传出邮件图表。

您可以使用此页面上的邮件趋势图来根据所选的时间范围监控邮件网关处理和传送的所有传出邮件的流。有关详细信息，请参阅时间范围报告。

以下邮件趋势图提供传出邮件的邮件流的视觉表达。

您可以根据所处理邮件的所需计数器查看传出邮件的邮件趋势。有关详细信息，请参阅使用计数器过滤趋势图上的数据。

以下列表解释“邮件流摘要”报告页面上的各部分：

“系统容量”(System Capacity) 页面提供有关系统负载的详细说明，包括工作队列中的邮件、花费在工作队列中的平均时间、传入和传出邮件（总量、大小和数量）、总体 CPU 使用率、按功能的 CPU 使用率和内存页面交换信息。

“系统容量”(System Capacity) 页面可用于确定以下信息：

• 识别邮件网关超过推荐容量，进而需要优化配置或添加邮件网关的情况。
• 确定系统行为方面指向即将发生的容量问题的历史趋势。
• 确定系统中协助故障排除耗用资源最多的部分。

务必要监控邮件网关，以确保您的容量适合邮件总量。随着时间的推移，邮件量会不可避免地增加，适当的监控可确保主动添加容量或进行配置更改。监控系统容量的最有效方式是跟踪总量、工作队列中的邮件以及资源节约模式下的事件。

• 邮件量：了解环境中的“正常”邮件量和“一般”峰值非常重要。随着时间的推移跟踪此数据以测量邮件量增长。您可以使用“传入邮件”(Incoming Mail) 和“传出邮件”(Outgoing Mail) 页面长期跟踪数量。有关详细信息，请参阅系统容量 - 传入邮件和系统容量 - 传出邮件。
• 工作队列：工作队列旨在充当“缓冲器” - 吸收和过滤垃圾邮件攻击并处理非垃圾邮件的不正常增加情况。但是，工作队列也是系统具有压力的最佳指示器，长时间并频繁地备份工作队列可能表明存在容量问题。使用“工作队列”(Workqueue) 页面可跟踪邮件在工作队列中花费的平均时间，以及工作队列中的活动。有关详细信息，请参阅系统容量 - 工作队列。
• 资源节约模式：当邮件网关变得过载时，会进入“资源节约模式”(RCM)，并发送“关键”系统警报。这旨在保护设备，使其可以处理任何邮件积压情况。邮件网关不应频繁进入 RCM，并且应仅在邮件量出现超大或异常增长期间进入。频繁的 RCM 警报可能表明系统正在超负荷。请参阅系统容量 - 系统负载。

使用报告数据可用性页面可以查看数据，实时洞察资源利用率和邮件流量故障点。

所有数据资源利用率和邮件流量问题位置都显示在此页面上，包括由思科安全邮件和 Web 管理器管理的整体邮件网关的数据可用性。

在此报告页面中，还可以查看特定邮件网关和时间范围的数据可用性。

高级恶意软件防护通过如下方式防范邮件附件中的零日威胁和基于文件的针对性威胁：

• 获取已知文件的信誉。

• 分析尚不为信誉服务所知的某些文件行为。

• 在获得新信息时评估新出现的威胁，并在确定为威胁的文件进入您的网络后通知您。

此功能适用于传入和传出邮件。

有关文件信誉过滤和文件分析的详细信息，请参阅《适用于思科安全邮件网关的 AsyncOS 的用户指南或联机帮助》。

要查看报告页面，请从“报告”下拉列表的“文件和恶意软件报告”部分中选择高级恶意软件保护。

“高级恶意软件保护”报告页面显示以下报告视图：

• 高级恶意软件防护 - 摘要

• 高级恶意软件保护 - AMP 信誉

• 高级恶意软件保护 - 文件分析

• 高级恶意软件防护 - 文件追溯

• 高级恶意软件保护 - 邮箱自动修复

“高级恶意软件保护”报告页面显示的指标栏提供连接到思科威胁网格设备的邮件网关实时数据。

注	您必须在 CLI 上使用 trailblazerconfig > enable 命令来填充指标栏上的数据。有关详细信息，请参阅《思科邮件安全设备命令参考指南》。 您只能在思科威胁网格设备中查看“天”、“周”和“月”的数据。

“病毒过滤”(Virus Filtering) 页面提供发送到网络以及从网络发出的病毒的概述。“病毒筛选”(Virus Filtering) 页面显示已由邮件网关中运行的病毒扫描引擎检测到的病毒。要针对特定病毒采取具体操作，可能需要使用此报告。例如，如果发现收到已知嵌入 PDF 文件中的大量病毒，则您可能要创建过滤器操作来隔离具有 PDF 附件的邮件。

如果运行多个病毒扫描引擎，则“病毒过滤”页面包括来自所有启用的病毒扫描引擎的结果。显示在该页面上的病毒的名称由病毒扫描引擎确定。如果多个扫描引擎检测到某个病毒，则同一病毒可能具有多个对应的条目。

“病毒过滤”页面提供从网络发出或发送到网络的病毒的概述。“检测到的排名靠前的传入邮件病毒”(Top Incoming Virus Detected) 部分按降序显示已发送到您的网络的病毒图表视图。“检测到的排名靠前的传出邮件病毒”(Top Outcoming Virus Detected) 部分按降序显示从您的网络发出的病毒图表视图。

Note	要查看哪些主机向您的网络发送了感染病毒的邮件，请转到“传入邮件”(Incoming Mail) 页面，指定相同的报告期间，然后按病毒阳性进行排序。同样，要查看哪些 IP 地址在您的网络中发送了具有病毒特征的邮件，请查看“传出发件人”(Outgoing Senders) 页面并按具有病毒特征的邮件排序。

“病毒类型详细信息”(VirusTypes Details) 列表显示有关特定病毒的信息，包括受感染的传入和传出邮件及受感染的邮件总数。受感染的传入邮件详细信息列表显示病毒名称和感染此病毒的传入邮件数。同样，传出邮件部分显示病毒名称和感染此病毒的传出邮件数。您可以按“传入邮件数”(Incoming Messages)、“传出邮件数”(Outgoing Messages) 和“受感染邮件总数”(Total Infected Messages) 对病毒类型详细信息进行排序。

可以使用“宏检测”(Macro Detection) 报告页面查看：

• 以图形和表格格式显示的按文件类型排名靠前的启用宏的传入附件摘要。

• 以图形和表格格式显示的按文件类型排名靠前的启用宏的传出附件摘要。

您可以单击启用宏的附件数量，以在邮件跟踪中查看相关邮件。

要在邮件网关上查看“宏检测”报告页面，请从“报告”(Reports) 下拉列表中选择宏检测 (Macro Detection)。

注	报告生成期间： 如果在存档文件中检测到一个或多个宏，则存档文件的文件类型将按一递增。不计算存档文件中启用宏的附件数量。 如果在嵌入文件中检测到一个或多个宏，则父文件类型将递增一。不计算嵌入文件中启用宏的附件数量。

“DMARC 验证”(DMARC Verification) 页面显示 DMARC 验证失败的排名靠前的域，以及 AsyncOS 针对 DMARC 验证失败的邮件执行的操作详细信息。可以使用此报告优化 DMARC 设置并回答以下类型的问题：

• 哪些域发送的不符合 DMARC 要求的邮件数最多？
• 对于每个域，AsyncOS 针对 DMARC 验证失败的邮件执行了什么操作？

“DMARC 验证”(DMARC Verification) 页面包含：

• 显示按 DMARC 验证失败排名靠前的域的图形表示形式。
• 有关每个域以下信息的表格：
  • 被拒绝、隔离或接受而不采取任何操作的邮件数。单击数字，可查看选定类别下的邮件列表。
  • 通过 DMARC 验证的邮件数。
  • DMARC 验证尝试总数。

您可以选择报告的时间范围，例如小时、周或自定义范围。与所有报告相同，通过导出 (Export) 链接可以将图表数据或详细信息列表导出为 CSV 格式。

• 仅当启用 URL 过滤时，才会填充 URL 过滤报告模块。

• 提供传入和传出邮件的“URL 过滤”(URL Filtering) 报告。

• 只有由 URL 过滤引擎扫描的邮件（作为反垃圾邮件/病毒爆发过滤器扫描的一部分或通过邮件/内容过滤器）才会包含在这些模块中。但是，并非所有结果都有必要专门可归属于 URL 过滤功能。

• 排名靠前的 URL 类别模块包括在已扫描的邮件中发现的所有类别，不管这些邮件是否匹配内容或邮件过滤器。

• 每封邮件都只能与一个 URL 信誉级别关联。对于具有多个 URL 的邮件，统计数据会反映邮件中任何 URL 的最低信誉。

• 在“安全服务”(Security Services) >“URL 过滤”(URL Filtering) 中配置的全局允许列表内的 URL 未包含在报告中。

  报告中包含个别过滤器中使用的允许列表内的 URL。

• 恶意 URL 是病毒爆发过滤器确定为信誉不佳的 URL。不确定 URL 是病毒爆发过滤器确定需要单击时间保护的 URL。因此，不确定 URL 已被重写，从而重定向到思科网络安全代理。

• 基于 URL 类别的过滤器的结果会反映在内容和邮件过滤器报告中。

• 思科网络安全代理的单击时间 URL 评估结果不会反映在报告中。

“病毒爆发过滤”报告页面显示有关最近的病毒爆发的信息，并显示由于“病毒爆发过滤器”而隔离的邮件的相关信息。使用此页面可以监控对针对性病毒、诈骗和网络钓鱼攻击的防御。

使用“病毒爆发过滤”报告页面可回答以下类型的问题：

• 多少封邮件被隔离？依据的是哪项“病毒爆发过滤器”(Outbreak Filters) 规则？

• 邮件在病毒爆发隔离区中停留多长时间？

• 哪些可能是恶意的 URL 是最常见的？

要查看“病毒爆发过滤”(Outbreak Filtering) 报告页面，请从“报告”下拉列表中选择病毒爆发过滤 (Outbreak Filtering)。

下表解释了“病毒爆发过滤”报告页面上的各部分：

注	为了正确填充“病毒爆发过滤器”报告页面上的各个表，邮件网关必须能够与思科更新服务器进行通信。

“伪造邮件检测”页面包括以下报告：

• 排名靠前的伪造邮件检测。显示内容字典中与传入邮件中的伪造“发件人：”信头匹配的前十个用户。

• 伪造邮件检测：详细信息显示内容词典中与传入邮件中的伪造“发件人：”信头匹配所有用户的列表，对于给定用户，还会显示匹配的邮件的数量。

要在安全管理设备上查看“伪造邮件检测”报告页面，请从“报告”下拉列表中选择伪造邮件检测。

只有在使用“伪造邮件检测”内容过滤器或 forged-email-detection 邮件过滤器时，才会填充“伪造邮件检测”报告。

从“伪造邮件检测”报告页面中，您还可以将原始数据导出到 CSV 文件。单击报告页面顶部的导出 (Export) 链接。选择要导出的所需报告模块，然后单击下载 (Download)。

您可以使用“发件人域信誉”报告页面：

• 以图形格式根据从 SDR 服务接收的判定查看传入邮件。

• 以图形格式根据从 SDR 服务接收的威胁类别查看传入邮件。

  注	只有那些 SDR 判为 "不受信任" 或 "有问题" 的信息才被归入 SDR 威胁类别，如 "垃圾邮件"、"恶意 "等。

• 根据从 SDR 服务中表格的形式接收的威胁类别的传入邮件摘要。

要在安全管理设备上查看“发件人域信誉”报告页面，请从“产品”下拉列表中选择发件人域信誉。

您可以使用“外部威胁源”(External Threat Feeds) 报告页面查看：

• 以图形格式查看用于检测邮件威胁的排名靠前的 ETF 来源

• 以表格格式查看用于检测邮件威胁的 ETF 来源的摘要。

• 以图形格式查看与检测到的邮件威胁相匹配的排名靠前的 IOC。

• 以图形格式查看用于过滤恶意传入邮件连接的排名靠前的 ETF 来源。

• 以表格格式查看用于过滤恶意传入邮件连接的 ETF 来源的摘要。

在“外部威胁源来源摘要”(Summary of External Threat Feed Sources) 部分：

• 您可以单击特定 ETF 来源的邮件数量，在邮件跟踪中查看相关邮件。

• 您可以单击特定威胁源来源，根据 IOC 查看 ETF 来源的分布情况。

在“感染指标 (IOC) 匹配摘要”部分：

• 您可以单击特定 ETF 来源的 IOC 数量，在邮件跟踪中查看相关邮件。

• 您可以单击特定 IOC，根据 ETF 来源查看 IOC 的分布情况。

要查看“外部威胁源”(External Threat Feeds) 报告页面，请从“报告”(Reports) 下拉列表中选择外部威胁源 (External Threat Feeds)。

“邮件流详细信息”报告页面为连接到托管思科安全邮件和 Web 管理器的所有远程主机提供实时信息的交互式报告。您可以收集有关发送邮件到您的系统的 IP 地址、域和网络所有者（组织）的信息。您还可以收集有关传出发件人的 IP 地址和域的信息。

要查看“邮件流详细信息”报告页面，请从“报告”下拉列表中选择邮件流详细信息。

“邮件流详细信息”报告页面包含以下选项卡：

• 传入邮件

• 传出邮件发件人

要在您的数据中搜索特定信息，请参阅搜索与交互式邮件报告页面。

您可以从“传入邮件”选项卡中执行以下操作：

• 按威胁邮件总数查看发件人排行榜（采用图形格式）。

• 按安全邮件数查看发件人排行榜（采用图形格式）。

• 按恶意邮件数查看发件人排行榜（采用图形格式）。

• 请参阅已将邮件发送至思科安全邮件和 Web 管理器的 IP 地址、域或网络所有者（组织）。

• 查看关于已将邮件发送到您的邮件网关的发件人的详细统计信息。统计信息包括连接数（接受或拒绝）、按安全服务（发件人信誉过滤、反垃圾邮件、防病毒等）细分的所尝试邮件数量、威胁邮件总数、恶意邮件和安全邮件总数。

• 有关特定 IP 地址、域或网络所有者（组织）的详细信息，请参阅“传入邮件”交互式表。有关详细信息，请参阅“传入邮件”表。

  如果您的访问权限允许您查看填充此报告的邮件的邮件跟踪数据，请单击表中的数字链接。

您可以从“传出发件人”选项卡中执行以下操作：

• 按威胁邮件总数查看发件人排行榜（采用图形格式）。

• 按安全邮件数查看发件人排行榜（采用图形格式）。

• 查看您的组织中传出威胁邮件（垃圾邮件、病毒等）的发件人排行榜（按 IP 地址或域）。

• 查看关于已从您的邮件网关发送邮件的发件人的详细统计信息。统计信息包括按安全服务（发件人信誉过滤、反垃圾邮件、防病毒等）细分的威胁邮件总数。

• 有关特定 IP 地址或域的详细信息，请参阅“发件人详细信息”交互式表。有关详细信息，请参阅“发件人详细信息”表。

  如果您的访问权限允许您查看填充此报告的邮件的邮件跟踪数据，请单击表中的数字链接。

“发件人组”(Sender Groups) 报告按发件人组和邮件流量策略操作提供连接摘要，从而便于查看 SMTP 连接和邮件流量策略趋势。“按发件人组的邮件流量 (Mail Flow by Sender Group)”列表显示每个发件人组的连接的百分比和数量。“按邮件流量策略操作的连接”(Connections by Mail Flow Policy Action) 图表显示每个邮件流量策略操作的连接百分比。此页面概述了主机访问表 (HAT) 策略的有效性。有关 HAT 的详细信息，请参阅配置网关以接收邮件。

“传出邮件目标”(Outgoing Destinations) 页面提供有关您的公司发送邮件所至的域的信息。该页面包含两部分。页面上半部分包含一些图表，这些图表描述按传出威胁邮件排名靠前的目标，以及按页面上半部分的传出正常邮件排名靠前的目标。页面下半部分显示一个图表，包含按收件人总数（默认设置）排序的所有列。

您可以选择报告的时间范围，例如天、周或自定义范围。与所有报告相同，通过导出 (Export) 链接可以将图表数据或详细信息列表导出为 CSV 格式。

“外发目标”(Outgoing Destinations) 页面可用于回答以下类型的问题：

• 邮件网关将邮件发送到哪些域？
• 向每个域发送多少邮件？
• 该邮件中有多少是正常的、具有垃圾邮件特征、具有病毒特征、具有恶意软件特征或由内容过滤器拦截？
• 传送了多少邮件以及被目标服务器硬性退回了多少邮件？

“TLS 加密”页面显示所收发邮件的 TLS 加密的整体使用情况。该报告还显示使用 TLS 连接发送邮件的每个域的详细信息。

“TLS 连接”页面可用于确定以下信息：

• 总体而言，传入和传出连接的哪个部分使用 TLS？

• 我与哪些合作伙伴成功建立了 TLS 连接？

• 我与哪些合作伙伴建立的 TLS 连接没有成功？

• 在 DANE 支持下，我与哪些合作伙伴成功建立了 TLS 连接？

• 在 DANE 支持下，我未能与哪些合作伙伴成功建立 TLS 连接？

• 哪些合作伙伴的 TLS 证书存在问题？

• 某个合作伙伴使用 TLS 的邮件占总邮件的百分比是多少？

• DANE 支持的传出连接成功的百分比是多少？

• DANE 支持的传出连接不成功的百分比是多少？

“TLS 加密”页面分为传入连接部分和传出连接部分。每个部分都包括图表、摘要和详细信息表格。

图表显示您指定的时间范围内，传入或传出 TLS 加密和未加密连接的视图。该图显示邮件总数、加密和未加密邮件的数量成功和失败的 TLS 加密邮件的数量以及成功和失败的 DANE 连接的数量。需要 TLS 的连接图表和仅首选 TLS 的连接图表有所不同。

此表显示发送或接收加密邮件的域的详细信息。对于每个域，可以查看成功和失败的需要及首选的 TLS 连接数量、尝试的 TLS 连接总数（无论成功还是失败）未加密连接总数以及 DANE 连接总数（根据是成功还是失败）。您还可以查看所有尝试 TLS 连接的百分比和成功发送的加密邮件总数，不考虑 TLS 是首选还是需要。您可以通过在表的右上方自定义列图标来显示或隐藏列。

“入站 SMTP 身份验证”(Inbound SMTP authentication) 页面显示了使用客户端证书和“SMTP AUTH”命令对邮件网关与用户的邮件客户端之间的 SMTP 会话进行身份验证。如果邮件网关接受证书或 SMTP AUTH 命令，则会建立到邮件客户端的 TLS 连接 ，供客户端用来发送邮件。因为邮件网关无法逐个用户跟踪这些尝试，因此报告会根据域名和域 IP 地址显示有关 SMTP 身份验证的详细信息。

使用此报告可确定以下信息：

• 总体而言，多少入站连接使用 SMTP 身份验证？
• 多少连接使用经过认证的客户端？
• 多少连接使用 SMTP AUTH？
• 当尝试使用 SMTP 身份验证时，哪些域无法连接？
• 当 SMTP 身份验证失败时，多少连接成功使用回退？

“入站 SMTP 身份验证”(Inbound SMTP Authentication) 页面包含一个表示已接收的连接的图形、一个表示已尝试 SMTP 身份验证连接的邮件收件人的图形，以及一个包含有关对连接进行身份验证的尝试的详细信息的表。

“已接收的连接”(Received Connections) 图形显示在指定时间范围内来自尝试使用 SMTP 身份验证对其连接进行身份验证的邮件客户端的传入连接。该图表显示邮件网关接收的连接总数、未尝试使用 SMTP 身份验证进行验证的次数，使用客户端证书验证连接的成功和失败次数，以及使用 SMTP AUTH 命令进行验证的成功和失败次数。

“已接收的收件人”(Received Recipients) 图形显示了收件人的数量，这些收件人的邮件客户端尝试对其与邮件网关的连接进行身份验证以使用 SMTP 身份验证来发送邮件。该图形还显示其连接已进行身份验证的收件人数和其连接未进行身份验证的收件人数。

“SMTP 身份验证详细信息”(SMTP Authentication details) 表显示了域的详细信息，这些域的用户尝试对其与邮件网关的连接进行身份验证以发送邮件。对于每个域，可以查看尝试使用客户端证书进行连接的成功或失败次数、尝试使用 SMTP AUTH 命令进行连接的成功或失败次数，以及在客户端证书连接尝试失败后回退到 SMTP AUTH 的次数。您可以使用页面顶部的选项卡按域名或域 IP 地址显示此信息。

通过按信封发件人进行速率限制，您可以根据发件人地址从单个发件人限制每个时间间隔的邮件收件人数。“速率限制”(Rate Limits) 报告显示最严重超过此限制的发件人。

使用此报告可帮助确定以下内容：

• 可能用于批量发送垃圾邮件的有漏洞用户账户。
• 组织中的失控应用程序，这些应用程序使用邮件发送通知、风险通告、自动声明等内容。
• 组织中具有大量邮件活动的来源，用于内部计费或资源管理目的。
• 可能未被视为垃圾邮件的大量入站邮件流量的来源。

请注意，包含内部发件人（例如内部用户或传出邮件发件人）的统计信息的其他报告仅测量已发送的邮件数；它们不会向大量收件人表明少数邮件的发件人的身份。

“按事件划分的排名靠前的危害”图表显示最频繁尝试向超过配置限制的收件人发送邮件的信封发件人。每次尝试都是一个事件。此图表汇总所有侦听程序的事件计数。

“按已拒绝收件人划分的排名靠前的危害”图表显示向高于配置限制的最大数量的收件人发送邮件的信封发件人。此图表汇总所有侦听程序的收件人计数。

要按信封发件人配置速率限制或修改现有速率限制，请参阅使用邮件流策略定义传入邮件规则。

您可以使用“按国家/地区划分的连接”报告页面查看：

• 以图形格式显示的基于来源国家/地区的传入邮件连接排行榜。

• 以表格格式显示的基于源国家/地区的传入邮件连接总数。

您可以单击特定地理位置的传入邮件连接数来查看邮件跟踪中的相关消息。

“邮件总数”列仅显示在 SMTP 连接级别接受的邮件。

注	报告生成期间： 如果将一个或多个传入邮件连接检测为私有 IP 地址，则这些传入邮件连接将在报告中归类为“私有 IP 地址”。 如果将一个或多个传入邮件连接检测为非有效 IP 信誉得分，则这些传入邮件连接将在报告中归类为“无国家/地区信息”。

“用户邮件摘要”页面按邮件地址提供有关内部用户发送和接收的邮件的信息（一个用户可能列出了多个邮件地址 - 报告中不合并邮件地址）。

该页面包含两部分：

• 描述按正常传入和传出邮件排名靠前用户和收到灰色邮件的靠前用户的图表。

• 用户邮件流量详细信息

您可以选择报告时间范围（小时、天、周或月）。与所有报告相同，通过导出 (Export) 链接可以将图表数据或详细信息列表导出为 CSV 格式。您还可以通过单击表格右上方的“自定义列”(Customize Column) 链接显示隐藏表列或隐藏默认列。

“用户邮件流量详细信息”(User Mail Flow Details) 列表将每个邮件邮件地址收到和发送的邮件细分为“正常”(Clean)、“检测到垃圾邮件”(Spam Detected)（仅限传入）、“检测到病毒”(Virus Detected) 和“内容过滤器匹配”(Content Filter Matches)。您可以通过单击列标题对列表排序。

使用内部用户报告，可以回答以下类型的问题：

• 谁发送的外部邮件最多？

• 谁接收的正常邮件最多？

• 谁接收的灰色邮件最多？

• 谁接收的垃圾邮件最多？

• 谁触发了哪些内容过滤器？

• 谁的邮件被内容过滤器拦截？

入站内部用户是您根据“收件人：”(Rcpt To:) 地址为其收到邮件的用户。出站内部用户基于“发件人: (Mail From:)”地址，在跟踪内部网络中的发件人所发送邮件的类型时非常有用。

请注意，某些出站邮件（如退回）包含空发件人。它们计入出站和“未知”之下。

单击某个内部用户，可查看该用户的“内部用户详细信息”(Internal User detail) 页面。

单击表格右上方的“自定义列”图标以显示默认情况下隐藏的列，例如由智能多扫描列检测到的传入垃圾邮件或智能多扫描列检测到的传出垃圾邮件。

“DLP 事件摘要”(DLP Incident Summary) 页面显示传出邮件中发生的防数据丢失 (DLP) 策略违规事件的信息。邮件网关使用在“传出邮件策略”(Outgoing Mail Policies) 表中启用的 DLP 邮件策略来检测用户发送的敏感数据。违反 DLP 策略的每个外发邮件均报告为一个事件。

使用 DLP 事件报告，可以回答以下类型的问题：

• 用户发送什么类型的敏感数据？

• 这些 DLP 事件具有什么样的严重性？

• 传送的这些邮件有多少数量？

• 丢弃的这些邮件有多少数量？

• 是谁在发送这些邮件？

“DLP 事件摘要”页面包括两个主要部分：

• DLP 事件趋势图，按严重性（低、中、高、关键）和策略匹配排名靠前的 DLP 事件；

• DLP 事件详细信息列表。

您可以选择报告的时间范围，例如小时、周或自定义范围。与所有报告相同，通过导出 (Export) 链接可以将图表数据或详细信息列表导出为 CSV 格式。有关生成英语以外的其他语言的 PDF 的信息，请参阅有关报告的注意事项。

单击 DLP 策略的名称可查看有关策略检测到的 DLP 事件的详细信息。使用此方法可以获取发送的邮件包含策略检测到的敏感数据的用户列表。

• 只有启用了网络交互跟踪功能，才能填充网络交互跟踪报告。

• 网络交互跟踪报告模块不会实时更新，而是每 30 分钟刷新一次。此外，单击重写的 URL 后，网络交互跟踪报告最长可能需要两小时，才会报告此事件。

• 网络交互跟踪报告不会实时更新。单击云重定向的重写 URL 后，网络交互跟踪报告最长可能需要两小时，才会报告此事件。

• 网络交互跟踪报告适用于传入和传出邮件。

• 这些模块中仅包含最终用户（通过策略或爆发过滤器）单击的云重定向重写 URL。

• “网络交互跟踪”(Web Interaction Tracking) 页面包括以下报告：

最终用户单击的恶意 URL 排行榜。单击 URL 可查看包含以下信息的详细报告：

• 单击了重写恶意 URL 的最终用户列表。

• 单击该 URL 的日期和时间。

• URL 是否已由策略或病毒爆发过滤器重写。

• 单击重写的 URL 时采取的操作（允许、阻止或未知）。请注意，如果 URL 被病毒爆发过滤器重写，且未提供最终判定，则状态显示为“未知”(unknown)。

单击恶意 URL 的最终用户排行榜

本部分显示单击传入和传出邮件中重写恶意 URL 的最终用户排行榜摘要。

网络交互跟踪详细信息 (Web Interaction Tracking Details)。包括以下信息：

• 所有云重定向重写 URL（恶意和非恶意）的列表。单击某个 URL 可查看详细报告。

• 单击云重定向重写的 URL 时采取的操作（允许、阻止或未知）。

要显示数据，请执行以下操作：

• 选择传入邮件策略 (Incoming Mail Policies) > 爆发过滤器(Outbreak Filters) 配置爆发过滤器，并启用邮件修改和 URL 重写。

• 为内容过滤器配置“重定向到思科安全代理”操作。

请注意，如果最终用户单击某个 URL 时，其判定（正常或恶意）未知，则状态将显示为未知。这可能是因为，需要进一步审查该 URL，或用户单击时网络服务器停止服务或无法访问。

• 最终用户单击重写的 URL 的次数。单击数字可查看包含可单击的 URL 的所有邮件列表。

• 在使用网络交互跟踪报告时，请记住以下限制：

  • 如果已将内容或邮件过滤器配置为重写恶意 URL 后传送邮件并通知其他用户（例如管理员），则原始收件人的网络交互跟踪数据将增加，即使获得通知的用户单击的是重写的 URL 也不例外。

  • 如果使用 Web 界面将包含重写 URL 的被隔离邮件副本发送给用户（例如管理员），则原始收件人的网络交互跟踪数据将增加，即使接收邮件副本的用户单击的是重写的 URL 也不例外。

  • 在任何时候，如果您计划修改邮件网关时间，请确保系统时间与协调世界时 (UTC) 同步。

您可以使用“补救”报告来监控“邮箱自动补救”和“邮箱搜索和补救”的补救结果。

以下列表解释“速率限制”报告上的各部分：

“邮件过滤器”(Message Filters) 页面通过两种形式显示排名靠前的邮件过滤器匹配项（匹配邮件数量最多的邮件过滤器）：条形图和表格形式。

使用条形图，可查找传入和传出邮件触发最多的邮件过滤器。表格形式显示排名靠前的邮件过滤器和各个邮件过滤器的匹配项数。单击数值可使用“邮件跟踪”(Message Tracking) 查看该数值中包含的所有邮件的列表。

您可以选择报告的时间范围，例如小时、周或自定义范围。与所有报告相同，通过导出 (Export) 链接可以将图表数据或详细信息列表导出为 CSV 格式。

Note	“大量邮件”(High Volume Mail) 页面仅显示使用“信头重复”规则的邮件过滤器的数据。

“大量邮件 (High Volume)”页面包含以下条形图形式的报告：

• 排名靠前的主题。使用此图表可以了解 AsyncOS 接收的邮件的热门主题。
• 排名靠前的信封发件人。使用此图表可以了解 AsyncOS 接收的邮件排名靠前的信封发件人。
• 按匹配数排名靠前的邮件过滤器。使用此图表可以了解排名靠前的邮件过滤器（使用“信头重复”规则）匹配项。

“大量邮件”(High Volume Mail) 页面还提供排名靠前的邮件过滤器和各个邮件过滤器的匹配项数表格。单击数值可使用“邮件跟踪”查看该数值中包含的所有邮件的列表。

您可以选择报告的时间范围，例如小时、周或自定义范围。与所有报告相同，通过导出 (Export) 链接可以将图表数据或详细信息列表导出为 CSV 格式。

“内容过滤器”(Content Filters) 页面通过两种形式显示排名靠前的传入和传出邮件内容过滤器匹配项（匹配邮件数量最多的内容过滤器）：条形图和列表。使用“内容过滤器”(Content Filters) 页面，可以按内容过滤器或按用户查看企业策略，并回答以下类型的问题：

• 传入或传出邮件触发哪些内容过滤器的次数最多？

• 发送或接收的邮件触发了特定内容过滤器的排名靠前的用户有哪些？

单击列表中内容过滤器的名称，可在“内容过滤器详细信息”(Content Filter detail) 页面查看有关该过滤器的详细信息。

您可以使用“安全打印”(Safe Print) 报告页面查看：

• 以图形格式显示的基于文件类型的安全打印附件的数量。

• 基于表格格式的文件类型的安全打印附件摘要。

在“安全打印文件类型的摘要”(Summary of Safe Print File Types) 部分中，单击要在邮件跟踪中查看邮件详细信息的安全打印附件总数。

报告 (Reports) > 邮件流摘要 (Mail Flow Summary) > 高级网络钓鱼防护 (Advanced Phishing Protection) 报告页面会显示以下内容：

• 已成功转发到思科高级网络钓鱼防护云服务的邮件总数。

• 未转发到思科高级网络钓鱼防护云服务的邮件总数。

  注	如果邮件元数据转发失败，则必须验证“高级网络钓鱼防护”(Advanced Phishing Protection) 功能的配置。有关详细信息，请参阅如何将邮件网关与思科高级网络钓鱼防护云服务相集成

您可以在“高级网络钓鱼防护”(Advanced Phishing Protection) 报告页面上查看以下内容：

• 在控制面板中从组织级别的所有邮件网关发送到思科高级网络钓鱼防护云服务的邮件总数。

• 尝试转发到思科高级网络钓鱼防护云服务的邮件总数，以图形格式显示。

要查看转发到思科高级网络钓鱼防护云服务的邮件元数据的详细信息，请单击链接并登录到思科高级网络钓鱼防护云服务。有关详细信息，请参阅监控思科高级网络钓鱼防护云服务上的邮件元数据。

您可以使用“邮件策略详细信息”(Mail Policy Details) 报告页面查看：

• 排名靠前的与配置的邮件策略匹配的传入邮件（图形和表格格式）。

• 排名靠前的与已配置邮件策略匹配的传出邮件（图形和表格格式）。

在“传入策略”(Incoming Policies) 部分中，单击与特定邮件策略匹配的传入邮件总数，以查看“邮件跟踪”(Message Tracking) 中的邮件详细信息。

在“传出策略”(Outgoing Policies) 部分中，单击与特定邮件策略匹配的传入邮件总数，以查看“邮件跟踪”(Message Tracking) 中的邮件详细信息。

可以选择以下报告类型：

• AMP 信誉
• 高级恶意软件防护文件分析
• 高级恶意软件防护文件追溯
• 按国家分类的连接
• 内容过滤器
• DLP 事件概要
• DMARC 验证报告
• 发送状态
• 内容摘要
• 外部威胁源
• 伪造邮件检测
• 大量邮件
• 入站 SMTP 身份验证页面
• 宏检测
• 邮件流摘要：传入
• 邮箱自动补救
• 邮件流详细信息（传出发件人：域）
• 邮件流摘要：传出
• 邮件过滤器
• 我的电子邮件报告
• 外发目标
• 速率限制
• 发件人域信誉
• 组
• 系统容量
• TLS 加密
• 用户邮件摘要
• URL 过滤
• 病毒爆发过滤器
• 病毒过滤
• Web 交互

每个报告都包含相应的“邮件安全监控”(Email Security Monitor) 页面的摘要。

要设置报告的返回地址，请参阅为邮件网关生成的邮件配置返回地址。在 CLI 中，请使用 addressconfig 命令。

计划的报告可以安排每天、每周或每月运行。可以选择运行报告的时间。无论何时运行报告，它都只包含指定期间的数据，例如过去 3 天或上一个日历月。请注意，安排在凌晨 1 点运行的每日报告包含前一天从午夜到午夜的数据。

邮件网关提供默认的计划报告集 - 您可以使用、修改或删除其中的任何内容。

监控 (Monitor) > 存档报告 (Archived Reports) 页面将列出可用的存档报告。可以通过单击“报告标题”(Report Title) 列中的报告名称查看报告。通过单击立即生成报告 (Generate Report Now)，可以立即生成报告

使用“显示”(Show) 菜单可过滤将列出的报告类型。单击列标题可对列表进行排序。

存档的报告将自动删除 - 每个计划的报告最多可保留 30 个实例（最多 1000 个报告），随着新报告的添加，系统将删除时间最长的报告，以保持 1000 这一数字不变。30 个实例的限制适用于各个计划的报告，与报告类型无关。

问题

从报告深入了解邮件跟踪中的详细信息，会产生意外结果。

解决方案

如果报告和邮件跟踪不同时启用、不能正常工作、不能在本地存储数据（相对于在思科安全邮件和 Web 管理器上集中存储数据），就会出现这种情况。每个功能（报告和邮件跟踪）的数据仅在该功能已启用且在邮件网关上正常工作时存储，不受另一功能（报告或邮件跟踪）是否已启用且正常工作影响。因此，报告可能包括邮件跟踪中不可用的数据，反之亦然。

问题

对于从组织中其他邮件网关上传的文件，无法在公共云中获取完整的文件分析结果。

解决方案

务必将所有要共享文件分析结果数据的邮件网关分组到一起。请参阅（仅公共云文件分析服务）配置设备组。必须在该组中的每台设备上完成此配置。