请确保在邮件安全设备上，至少配置和启用了一种传入内容过滤器或其他正文扫描功能。有关内容过滤器和正文扫描的信息，请参阅邮件安全设备的文档或在线帮助。

• [对于邮件或被拒连接] 收到邮件 (Message Received)：使用“昨天”(Last Day)、“过去 7 天”(Last 7 Days) 或“自定义范围”(Custom Range) 为查询指定日期和时间范围。使用“昨天”(Last Day) 选项可搜索过去 24 小时内的邮件；使用“过去 7 天”(Last 7 Days) 选项可搜索过去七整天内的邮件（加上当天经过的时间）。

  如果未指定日期，查询将返回所有日期的数据。如果仅指定时间范围，查询将返回所有可用日期内该时间范围的数据。如果您指定当前日期，并将 23:59 指定为结束日期和时间，查询则返回当前日期的所有数据。

  日期和时间存储在数据库时会转换为 GMT 格式。在设备上查看日期和时间时，它们将按设备的本地时间显示。

  只有邮件安全设备中已记录邮件，且安全管理设备检索到邮件时，结果中才会显示邮件。根据日志大小和轮询频率，邮件的发送时间与其实际在跟踪和报告结果中的显示时间可能存在小的差距。

• 信封发件人 (Envelope Sender)：选择“开头为”(Begins With)、“是”(Is) 或“包含”(Contains)，然后在“信封发件人”(Envelope Sender) 中输入要搜索的文本字符串。您可以输入邮件地址、用户名或域。使用以下格式：

  • 对于邮件域：example.com、[203.0.113.15]、[ipv6:2001:db8:80:1::5]

  • 对于完整的邮件地址：user@example.com、user@[203.0.113.15] 或 user@[ipv6:2001:db8:80:1::5]。

  • 您可以输入任何字符。不执行条目验证。

• 主题 (Subject)：选择“开头为”(Begins With)、“是”(Is)、“包含”(Contains) 或“为空”(Is Empty)，然后在邮件主题行中输入要搜索的文本字符串。

• 信封收件人 (Envelope Recipient)：选择“开头为”(Begins With)、“是”(Is) 或“包含”(Contains)，然后在“信封收件人”(Envelope Recipient) 中输入要搜索的文本字符串。您可以输入邮件地址、用户名或域。

  如果对邮件安全设备上的的别名扩展使用别名表，搜索将查找扩展的收件人地址，而不是原始信封地址。在任何其他情况下，邮件跟踪查询将查找原始信封收件人地址。

  否则，信封收件人的有效搜索条件与信封发件人的搜索条件相同。

  您可以输入任何字符。不执行条目验证。

• 附件名称 (Attachment name)：选择“开头为”(Begins With)、“是”(Is) 或“包含”(Contains)，然后为要查找的一个附件名称输入 ASCII 或 Unicode 文本字符串。前导空格和尾部空格不会从您输入的文本中删除。

• 回复 (Reply-To)：选择“开头为”(Begins With)、“是”(Is) 或“包含”(Contains)，然后输入文本字符串以根据邮件的回复 (Reply-To) 信头搜索邮件。

• 文件 SHA256：输入消息的文件 SHA-256 值。

  有关基于 SHA-256 散列识别文件的详细信息，请参阅通过 SHA-256 散列标识文件。

• Cisco Host：选择所有主机以在所有邮件安全设备中进行搜索，或从下拉菜单中选择所需的邮件安全设备。

• 邮件 ID 标题和 Cisco MID (Message ID Header and Cisco MID)：输入邮件 ID 标题、Cisco IronPort 邮件 ID 或两者的文本字符串。

• [对于邮件和拒绝的连接]发件人 Ip 地址/域/网络所有者：输入发件人 ip 地址、域或网络所有者详细信息。

  • IPv4 地址必须是用句点隔开的 4 个数字。每个数字的值必须介于 0 和 255 之间。（示例：203.0.113.15）。

  • IPv6 地址包含 8 组 16 位十六进制值，用冒号分隔。

    可以在一个位置使用零压缩，例如 2001:db8:80:1::5。

  • 邮件事件 (Message Event)：选择要跟踪的事件。选项为“病毒 (Virus Positive)”、“垃圾邮件 (Spam Positive)”、“可疑垃圾邮件 (Suspect Spam)”、“包含恶意 URL (contained malicious URLs)”、“包含指定类别的 URL (contained URL in specified category)”、“DLP 违规 (DLP Violations)”（可以选择 DLP 策略的名称，并选择违规严重程度或采取的操作）、“DMARC 违规 (DMARC violations)”、“已传送 (Delivered)”、“高级恶意软件保护 (Advanced Malware Protection Positive)”（适用于附件中的恶意软件）、“硬退回 (Hard Bounced)”、“软退回 (Soft Bounced)”、“当前在策略、病毒或病毒爆发隔离区 (currently in a policy, virus, or outbreak quarantine)”、“被邮件过滤器或内容过滤器拦截 (caught by message filters or content filters)”和“作为垃圾邮件隔离 (Quarantined as Spam)”。与您添加到跟踪查询的大多数条件不同，事件是使用“OR”运算符添加的。选择多个事件可扩大搜索。

您无需填写每个字段。除“邮件事件”(Message Event) 选项外，该查询是一种“AND”搜索。该查询返回与搜索字段中指定的“AND”条件相匹配的邮件。例如，如果您为信封收件人和主题行参数指定文本字符串，则查询只会返回与指定信封收件人和主题行都匹配的邮件。

每行与一封邮件相对应。向下滚动，以在视图中加载更多邮件。

如有必要，请通过输入新的搜索条件细化搜索，然后重新运行查询。或者，您可以通过缩小结果集细化搜索，如以下各部分所述。

点击“导出”(Export) 以导出搜索结果。

• 信封发件人 (Envelope Sender)：选择“开头为”(Begins With)、“是”(Is) 或“包含”(Contains)，然后在“信封发件人”(Envelope Sender) 中输入要搜索的文本字符串。您可以输入邮件地址、用户名或域。使用以下格式：
  • 对于邮件域：example.com、[203.0.113.15]、[ipv6:2001:db8:80:1::5]
  • 对于完整的邮件地址：user@example.com、user@[203.0.113.15] 或 user@[ipv6:2001:db8:80:1::5]。
  • 您可以输入任何字符。不执行条目验证。
• 信封收件人 (Envelope Recipient)：选择“开头为”(Begins With)、“是”(Is) 或“包含”(Contains)，然后在“信封收件人”(Envelope Recipient) 中输入要搜索的文本字符串。您可以输入邮件地址、用户名或域。

如果对邮件安全设备上的的别名扩展使用别名表，搜索将查找扩展的收件人地址，而不是原始信封地址。在任何其他情况下，邮件跟踪查询将查找原始信封收件人地址。

否则，信封收件人的有效搜索条件与信封发件人的搜索条件相同。

您可以输入任何字符。不执行条目验证。

• 主题 (Subject)：选择“开头为”(Begins With)、“是”(Is)、“包含”(Contains) 或“为空”(Is Empty)，然后在邮件主题行中输入要搜索的文本字符串。
• 收到邮件 (Message Received)：使用“昨天”(Last Day)、“过去 7 天”(Last 7 Days) 或“自定义范围”(Custom Range) 为查询指定日期和时间范围。使用“昨天”(Last Day) 选项可搜索过去 24 小时内的邮件；使用“过去 7 天”(Last 7 Days) 选项可搜索过去七整天内的邮件（加上当天经过的时间）。

如果未指定日期，查询将返回所有日期的数据。如果仅指定时间范围，查询将返回所有可用日期内该时间范围的数据。如果您指定当前日期，并将 23:59 指定为结束日期和时间，查询则返回当前日期的所有数据。

日期和时间存储在数据库时会转换为 GMT 格式。在设备上查看日期和时间时，它们将按设备的本地时间显示。

只有邮件安全设备中已记录邮件，且安全管理设备检索到邮件时，结果中才会显示邮件。根据日志大小和轮询频率，邮件的发送时间与其实际在跟踪和报告结果中的显示时间可能存在小的差距。

• 发件人 IP 地址 (Sender IP Address)：输入发件人 IP 地址并选择是要搜索邮件还是仅搜索已拒绝的连接。
  • IPv4 地址必须是用句点隔开的 4 个数字。每个数字的值必须介于 0 和 255 之间。（示例：203.0.113.15）。
  • IPv6 地址包含 8 组 16 位十六进制值，用冒号分隔。可以在一个位置使用零压缩，例如 2001:db8:80:1::5。
• 邮件事件 (Message Event)：选择要跟踪的事件。选项为“病毒”、“垃圾邮件”、“可疑垃圾邮件”、“包含恶意 URL”、“包含指定类别的 URL”、“DLP 违规”（可以输入 DLP 策略的名称，并选择违规严重程度或所采取的操作）、“DMARC 违规”、“已传送”、“高级恶意软件保护”（适用于附件中的恶意软件）、“硬退回”、“软退回”、“当前在策略、病毒或病毒爆发隔离区”、“被邮件过滤器或内容过滤器拦截”、“已检测到的宏文件类型”、“地理位置”、“低风险”和“作为垃圾邮件隔离” 。与您添加到跟踪查询的大多数条件不同，事件是使用“OR”运算符添加的。选择多个事件可扩大搜索。
• 邮件 ID 标题和 Cisco IronPort MID (Message ID Header and Cisco IronPort MID)：输入邮件 ID 标题、Cisco IronPort 邮件 ID 或两者的文本字符串。
• 查询设置 (Query Settings)：从下拉菜单中，选择您希望查询在超时之前运行多久。选项包括“1 分钟”(1 minute)“2 分钟”(2 minutes)、“5 分钟”(5 minutes)、“10 分钟”(10 minutes) 和“无时间限制”(No time limit)。此外，请选择您希望查询返回的最大结果数量（最多为 1000 个）。
• 附件名称 (Attachment name)：选择“开头为”(Begins With)、“是”(Is) 或“包含”(Contains)，然后为要查找的一个附件名称输入 ASCII 或 Unicode 文本字符串。前导空格和尾部空格不会从您输入的文本中删除。

您无需填写每个字段。除“邮件事件”(Message Event) 选项外，该查询是一种“AND”搜索。该查询返回与搜索字段中指定的“AND”条件相匹配的邮件。例如，如果您为信封收件人和主题行参数指定文本字符串，则查询只会返回与指定信封收件人和主题行都匹配的邮件。

查询结果出现在页面顶部。每行与一封邮件相对应。

您的搜索条件在每行中突出显示。

如果返回的行数大于“每页项目数”(Items Per Page) 字段中指定的值，则结果显示在多个页面上。要浏览各个页面，请点击列表顶部或底部的页码。

如有必要，请通过输入新的搜索条件细化搜索，然后重新运行查询。或者，您可以通过缩小结果集细化搜索，如以下各部分所述。

使用以下参数值细化搜索：

• 日期和时间
• 邮件ID (MID)
• 主机（邮件安全设备）
• 发件人
• 接收方
• 邮件的主题行或主题的起始词语

使用以下参数值细化搜索：

• 日期和时间

• 邮件ID (MID)

• 思科主机（邮件安全设备）

• 发件人

• 接收方

• 邮件的主题行或主题的起始词语

• 邮件事件 (Message Event)

• 更多详细信息（邮件最后状态、SBRS、发件人 IP 和发件人组）

“结果”(Results) 部分显示与原始查询参数和您添加的新条件相匹配的邮件。