管理Exchange合規性　設定郵件防範資料外洩

不管資訊科技如何快速向上發展，企業對於Email的使用始終是依賴程度最高的服務。現今的辦公作業可以一天沒有電話、傳真機甚至於上網，但若少了Email，老闆肯定跳腳，因為對外幾乎所有與業務往來的訊息，包括報價、訂單、專案進度、客服訊息等等，全部都得透過Email進行收發。至於對內部分，人員之間的協同合作也都是以Email為基礎來運行。換句話說，少了Email，就算有電話、電腦、網路，也難以補救。

然而，「水能載舟亦能覆舟」，這句話用在Email也是一樣。善用Email的溝通方式，不僅可以提升人員的協作效率，也能改善客戶及合作夥伴的關係。相反地，如果人員對於一些敏感資訊的發送沒有小心處理，輕者可能造成同事之間的誤會，重者則可能因此將這些敏感資訊發送到不該收到的外部信箱。而這一些常見誤發的敏感資訊，包括了報價、人員個資、網路連線資訊等等。

上述只是針對常見敏感資訊的誤發情境，如果今日遭遇的狀況是有內部人員惡意洩密，那就牽扯到法律訴訟的問題，此時公司便會要求IT部門協助提供相關的事證資料。關於諸如此類的惡意行為，相信在越龐大的組織當中越是常見。因此，建構一套全方位的郵件系統，絕對不能夠只考量到郵件的收發、效能、穩定性、安全性以及高可用性，更要深入郵件系統在合規性的管理機制與功能面，是否能夠滿足企業在IT管理政策上的實踐。

選擇部署Exchange Server 2019企業版的優勢之一，就是直接內建了合規性管理功能，而不需要再編列額外的IT預算來整合第三方的解決方案。在接下來的實戰講解中，除了會介紹合規性中的日誌規則、就地封存、保留原則、郵件探索、郵件發送仲裁、訴訟資料暫留以及資料外洩防護功能外，也將說明如何設定郵件免責聲明，讓人員對外發送的郵件獲得基本的保障。

在開始進入各項合規性功能的講解之前，管理者必須優先學習的肯定是如何幫用戶搜索郵件的發送狀態，因為這幾乎是用戶們最喜歡諮詢的問題之一。其實，操作方法很簡單，只要開啟「Exchange系統管理中心」網站，點選至如圖1所示的「郵件流程」→「傳遞回報」頁面，就能夠透過設定想要搜尋的信箱、搜尋傳送給此人的郵件、搜尋由此人寄來的郵件或主旨，找到相關已傳遞的郵件。

設定郵件免責聲明

一般來說，商務人士對於Email的發送，都會預先設定好自動附加在郵件內容尾部的簽名，以表明自己的職務、聯絡方式以及公司的服務等等。不過，為了更加嚴謹地管理公司Email的發送，通常IT部門還會要求加入所謂的郵件免責聲明於簽名後。

在Exchange Server中，用戶可以自行於Outlook或OWA中設定簽名內容，但並不需要手動設定郵件免責聲明，而是交由IT人員於伺服端統一進行設定與套用即可。如此往後若需要修改其內容，也僅須從伺服端來完成修改即可。

設定方法很簡單，先開啟「Exchange系統管理中心」網站。接著，到「郵件流程」→「規則」頁面中，從新增圖示選單中點選「套用免責聲明」，來開啟「新增規則」頁面。

如圖2所示，除了輸入新規則的名稱外，在條件下拉選單中選取【收件者位於..】選項，並設定成「在組織外」。隨後，在執行動作的下拉選單中選取【附加免責聲明】，並設定好免責聲明的文字內容。最後，設定嚴重性層級以及強制的規則模式，再按下〔儲存〕按鈕。

完成設定郵件免責聲明規則之後，立即從Outlook或OWA中發送一封信件到外部信箱進行測試。如圖3所示，可以看到一封由Outlook.com所收到的Email，其內容的尾部已自動附上了預先設定好的郵件免責聲明。

使用日誌規則

日誌規則可算是Exchange Server所提供最早的合規性管理功能，它的運作方式很簡單，其實就是依規則設定來將選定的郵件發送，自動轉送一份完整的記錄至選定的信箱內。接著，只要被賦予讀取權限的相關人員，便可以隨時在自己的Outlook或OWA操作介面中，開啟該日誌信箱並進行郵件的閱讀，這項功能對於遺失郵件的查找或是重要郵件的稽核都相當便利。

如圖4所示，便是在「Exchange系統管理中心」網站的「合規性管理」→「日誌規則」頁面中新增一筆日誌規則的範例，目的是將人力資源部門所收發的內部郵件自動轉送一份至選定的人員信箱備存。

當點選新增圖示後，將會開啟「新增日誌規則」頁面。如圖5所示，依序輸入接收日誌報告的郵件地址、新日誌規則名稱、選定要進行日誌備存的目標使用者或群組。接著，在日誌中所要記錄的郵件類型，可以自行選擇所有郵件、僅內部郵件、僅外部郵件，最後按下〔儲存〕按鈕。

回到日誌規則頁面後，進一步點選「選取地址」超連結，如圖6所示來設定未傳遞回報的接受信箱，如此一來，管理人員才能透過此信箱，得知有哪一些符合規則的郵件沒有被成功轉送至日誌信箱。

如圖7所示，便是一封成功被轉送至日誌信箱的Email。首先，會發現寄件者顯示的是「Microsoft Outlook」，這表示這項執行動作是由系統來自動完成處理。在郵件內容部分，也與一般的郵件呈現方式不同，因為郵件的本文會統一修改顯示為郵件原始碼中的寄件者地址、主旨、訊息識別碼、收件者地址。至於原始郵件的本文與相關附件，則自動變成此日誌郵件的附件。

使用信箱就地封存

前面所介紹的日誌功能，是由管理員針對選定的信箱，在伺服端直接完成內外郵件發送後的集中保存。對於用戶來說，如果想要自行保存重要郵件，早期常見的做法是由用戶在Outlook介面中先行建立好存放於本機的Outlook資料檔案（.pst）並開啟，這樣用戶便可以隨時將任何自認為重要的郵件，在介面中直接拖曳到此資料檔案的位置。這種做法的主要好處在於，即使Exchange Server無法連線，一樣能夠繼續存取這些已封存在本機電腦內的郵件。

雖然Outlook所提供的郵件本機封存功能看似好用，但並非所有用戶都願意使用它。再者，可能也會因為組織IT管理政策的因素，不會讓用戶使用這項功能。此時，就可以選擇使用將用戶封存郵件，存放於伺服端的線上封存功能，而採用功能的主要好處，就是交由IT部門來集中管理與配置，包括信箱線上封存功能的啟用與停用、資料庫位置、配額以及封存原則的管理等等。

接著到「Exchange系統管理中心」網站，在「收件者」→「信箱」頁面中，如圖8所示，先選定要設定的信箱，再點選「就地封存」區域內的「啟用」連結。

如圖9所示，接著在「建立就地封存」頁面中即可按下〔瀏覽〕按鈕，然後選取用來存放線上封存信箱的資料庫。建議將不同分公司的線上封存信箱，集中存放在相同的信箱資料庫內，並且與主要信箱的資料庫分開存放。

建立好就地封存信箱之後，用戶就可以在Outlook或OWA中看到「線上封存」的信箱，可以隨時將想要封存的郵件拖曳過去。在如圖10所示的範例中，則可以同時分別看到存放在本機的封存（JoviKu_Local）、共用信箱的線上封存以及用戶自己的線上封存。

管理郵件保留原則

當人員的主要信箱內又多了一個線上封存信箱後，除了讓用戶能夠隨時將郵件拖曳至線上封存信箱來進行保存外，也可透過管理員預先建立封存原則或保留標籤，來自由套用在選定的郵件或郵件資料夾設定中，如圖11所示。

接下來，先開啟「Exchange系統管理中心」網站，然後在「合規性管理」→「保留標記」頁面中，如圖12所示，點選〔＋〕新增小圖示，將發現能夠建立的保留標記分別有「自動套用至整個信箱 (預設)」、「自動套用至預設資料夾」、「依使用者套用至項目和資料夾 (個人)」，最後一個選項便是允許用戶自行選擇性套用的設定。

如圖13所示，在新標記頁面中，先設定一個新標記的名稱，然後設定所要執行的保留動作、保留期間以及註解，設定完畢記得按下〔儲存〕按鈕。

當完成了所有需要使用到的保留標記新增後，就可以切換到「保留原則」頁面中，如圖14所示來新增保留原則設定。在此，可以為每一個保留原則添加多個不同的保留標記。

完成建立保留原則之後，開啟人員信箱的屬性編輯頁面，如圖15所示，即可在「信箱功能」頁面內選定想要套用至此信箱的保留原則。

如果想要得知某一位人員信箱（例如SandyChen）所套用的原則標籤有哪一些，則如圖16所示在EMS命令介面中執行以下命令參數：

$1 = Get-Mailbox SandyChen Get-RetentionPolicy $1.Retention Policy | FlRetentionPolicyTagLinks

倘若要查看其中某一個保留原則標記的設定，則參考以下的命令參數範例：

Get-RetentionPolicyTag "Default 2 year move to archive"

保留原則結合郵件規則的使用

當Exchange管理員在伺服端建立好封存原則以及保留標籤後，雖然可以建立一些供用戶們可自行選用的原則，但那畢竟得手動針對選定的郵件或資料夾進行設定，似乎仍有一些不便之處。為此，可以改成指導用戶善用郵件規則功能，讓郵件封存的設定自動根據規則條件來套用。

如何做呢？如圖17所示，在Outlook功能列的「規則」選單中點選「建立規則」。接著，略過快速規則設定功能，改為點選「進階選項」。

開啟「規則精靈」之後，便可以在「步驟1：選取條件」頁面中選擇並設定規則的執行條件，例如設定依寄件者、收件者、重要性、敏感度等條件。設定好了之後，按下〔下一步〕按鈕。接著，在「步驟1：選取動作」頁面內，如圖18所示勾選「套用保留原則」設定，並點選「保留原則」超連結。

如圖19所示，在「保留原則」頁面中便會看到目前可用的保留原則清單，選取後點選「套用」即可。此外，還可按下〔使用資料夾原則〕按鈕來完成相關設定。

郵件探索與保留

長年累月下來，企業中往往會有許多敏的感資訊，這些包括了像是業務、研發人事方面的訊息，分散在人員信箱或公用資料夾內。為了避免企業自身的商業利益受損，通常會要求IT部門針對一些選定的信箱進行稽核，必要時還得完整保存相關郵件，以防未來如果發生法律訴訟方面的事件時，可以隨時取得這些郵件訊息來做為呈堂證供。

想要進行包含公用資料夾以及多重信箱的郵件探索與保留時，管理人員必須同時屬於「Compliance Management」與「Discovery Management」的管理員角色成員。關於這部分的配置，可以到「Exchange系統管理中心」網站的「權限」→「管理員角色」頁面內來完成設定。

確認已符合管理員所需要的權限後，便可以在「合規性管理」→「就地電子文件探索和保留」頁面中，點選新增小圖示來開啟「新增就地電子文件探索和保留」頁面。如圖20所示，分別輸入新的名稱與描述，並按下〔下一步〕按鈕。

如圖21所示，接著決定是否要搜尋信箱，並且自行添加所要搜尋的信箱清單，或是直接選取「搜尋所有信箱」設定。然後，決定是否要勾選「搜尋所有公用資料夾」設定。完成設定之後，按下〔下一步〕按鈕。

在「搜尋查詢」頁面中，可以進一步決定是要包含所有內容，還是僅根據準則設定來篩選結果。若要執行後者功能的操作，必須隸屬於「Discovery Management」管理員角色的成員才行。如圖22所示，若有權限執行篩選，便可以在「搜尋查詢」頁面中分別設定想要查詢的關鍵字、起訖日期、寄件者、收件者以及郵件類型等條件。設定完畢，按下〔儲存〕按鈕。最後，決定是否要啟用就地保留功能以及設定保留天數。

再次回到「就地電子文件探索和保留」頁面中，如圖23所示，便可以看到剛剛新增的設定。在此如果出現的狀態是顯示「預估成功」，可以點選「預估搜尋結果」超連結來查看其探索結果。

如圖24所示，在「就地電子文件探索搜尋」預覽頁面內，便能夠在「所有項目」中查看到所有符合查詢條件的郵件清單。若要查看個別信箱與公用資料夾的探索結果，只要點選分類名稱即可。

當所啟動的探索設定執行成功後，啟動者將會收到搜尋成功的相關Email通知，如圖25所示，內容中詳細描述了執行的起迄時間、成功搜尋的來源Email信箱清單、大小、數量等資訊。

此外，對於所建立過的探索設定，可以隨時在選定後，從搜尋小圖示選單中點選「複製搜尋結果」。如圖26所示便是執行「複製搜尋結果」後所開啟的頁面，可以將此設定所有探索的結果，複製一份到選定的探索信箱內，而且可以選擇是否要包含無法搜尋的項目記錄，以及決定在複製的過程中，是否要啟用重複資料的刪除以及完整記錄。最後，建議將「複製完成時傳送電子郵件給我」設定勾選，再按下〔複製〕按鈕。

想要建立橫跨多重信箱的關鍵字探索，不一定非得透過「Exchange系統管理中心」網站來完成不可。如果已經熟悉EMS命令介面的使用，可以直接透過如圖27所示的New-MailboxSearch命令參數範例來完成探索設定的建立：

New-MailboxSearch -Name "安全關鍵 字探索" -SourceMailboxes JoviKu, SandyChen -TargetMailbox Administrator -StartDate "2019/06/01" -EndDate "2019/08/01" -Recipients "@lab04.com" -SearchQuery " 安全" -StatusMailRecipients Administrator

在上述的命令參數範例中，並沒有設定啟用就地保留功能。以下針對HR信箱的探索設定，則是添加了InPlaceHoldEnabled $true參數設定，來啟用無限期的郵件就地保留功能，若要設定保留天數，只要再添加ItemHoldPeriod參數來設定即可：

New-MailboxSearch -Name "HR群組 就地保留" -SourceMailboxes HR -InPlaceHoldEnabled $true

針對任何已建立好的探索設定，只要像以下的命令範例，透過Start-MailboxSearch命令來啟動它即可：

Start-MailboxSearch -Name "HR群組 就地保留"

郵件發送仲裁

過去常聽說企業使用IBM Domino/Notes來做為Mail Server的好處之一，就是它能夠透過簡易的開發設計，讓Email的傳遞可以遵循預先定義好的流程來完成，如此便可以讓一些較敏感的郵件發送單位或人員，在發送郵件的過程中需要先經由選定的人員核准後才能到達目的地信箱。

在Exchange Server 2019設計中，雖然無法提供像IBM Domino/Notes那樣強大的客製化設計，但基本的郵件傳送流程功能卻是直接內建，不需要額外開發。

設定的方法非常簡單！只要先開啟「Exchange系統管理中心」網站，然後在「郵件流程」→「規則」頁面中，如圖28所示點選〔＋〕新增圖示選單中的「傳送郵件給仲裁者」。

接著，如圖29所示在「新增規則」頁面中，先輸入新的規則名稱，再選定群組或人員的收件者來做為條件。在「執行下列動作」選單中，可以自由選擇「將需要核准的郵件轉寄到」或「轉寄給寄件者的經理進行核准」設定，後者的判定方法是根據Active Directory人員屬性中的組織設定來決定。

最後，進一步設定例外狀況的條件，例如可針對選定的人員或群組來當作略過郵件傳送核准的條件。在規則模式設定中，則選取「強制」，最後按下〔儲存〕。

完成新增上述有關於「傳送郵件給仲裁者」規則後，立即嘗試發送一封符合規則條件設定的Email。發送之後，仲裁者將會收到類似如圖30所示的Email通知，可以發現原主旨已被加入了「核准要求」的字眼，而內容也會出現「請提供您的決策」的敘述，至於附件則是夾帶了原始郵件。仲裁者可以在閱讀完附件後，再來決定要點選「核准」或「拒絕」。

一旦仲裁者點選「核准」，原始郵件便會正式發送給收件者，反之，若點選了「拒絕」，則寄件者便會收到駁回的退信。在前面講解到有關仲裁規則中的「轉寄給寄件者的經理進行核准」動作設定，其判定就是根據如圖31所示的人員屬性，只要完成在「組織」（Organization）頁面中的「經理」（Manager）設定，便能夠決定相對的仲裁者。

訴訟資料暫留的使用

在一些重視研發的企業中，用戶的信箱裡頭經常會有許多敏感資訊，例如研發與業務部門等等，為了確保公司營運的自身利益，建議最好能夠針對某一些特定人員或部門，完整保存他們所有往來的郵件訊息，而這些對象肯定就是有權掌握公司研發或業務相關敏感訊息的人士，以避免往後發生法律訴訟時，公司的法務單位能藉此提出有利的事證。

想要妥善保存選定用戶的郵件，有些人可能會發現透過前面所介紹過的日誌規則、傳輸規則功能就可以辦得到了。其實，若只是想針對某些用戶信箱來完整保存他們的郵件，包含已從「刪除的郵件」資料夾內徹底清除的郵件，以供往後可以隨時從這些信箱當中探索到具有法律效力的郵件，那麼「訴訟資料暫留」這一項功能肯定是最佳的選擇。

如何在Exchange Server 2019中啟用訴訟資料暫留功能呢？首先針對單一信箱的啟用設定部分，只要先開啟選定信箱屬性編輯頁面，再進一步點選「信箱功能」頁面中「訴訟資料暫留」區域內的「啟用」超連結，即可開啟如圖32所示的設定頁面，可以輸入訴訟保留持續的天數、附註以及詳細說明的URL。最後，記得按下〔儲存〕按鈕。

完成人員信箱的訴訟資料暫留功能啟用後，就能夠如圖33所示執行以下的命令參數使其設定立即生效，並可查看該信箱有關於訴訟資料暫留的設定值，例如啟用狀態、說明網址、啟用日期與時間、擁有人以及附註：

Start-ManagedFolderAssistant -Iden tity JoviKu Get-Mailbox JoviKu | FL Litigatio nHoldEnabled,RetentionUrl,Litigat ionHoldDate,LitigationHoldOwner, RetentionComment

當人員信箱的訴訟資料暫留設定生效後，該人員便可以在自己的Outlook介面中，如圖34所示看到位於「帳戶資訊」頁面的訴訟資料暫留資訊。

想要知道有哪些人員信箱已經啟用了訴訟資料暫留功能，最快的方式就是在「收件者」→「信箱」頁面中，如圖35所示，點選「選項」圖示選單中的「進階搜尋」選項。

在開啟「進階搜尋」頁面後，如圖36所示，按下〔新增條件〕按鈕並加入【已啟用訴訟資料暫留】設定，最後按下〔確定〕按鈕即可。此外，也可以在此設定複合式條件進行查詢。

如圖37所示，便是針對已啟用訴訟資料暫留功能信箱的兩筆搜尋結果。可以發現其中的搜尋欄位顯示的是「LitigationHoldEnabled:"True"」，這表示如果想要經由EMS命令介面來執行查詢，只要比對該欄位的值是否為「真」（True）即可。

接下來，在EMS命令介面中，透過執行以下命令參數來查看所有人員信箱的訴訟資料暫留功能啟用狀態：

Get-Mailbox -ResultSize Unlimited -Filter {RecipientTypeDetails -eq "UserMailbox"} | Format-List Name,LitigationHold*

其中加入了「LitigationHold*」參數，表示要查看所有與訴訟資料暫留相關的欄位設定，如圖38所示，可以看見凡是「LitigationHoldEnabled」欄位值為「True」，就表示已經啟用完成了。

關於訴訟資料暫留功能的啟用，除了透過「Exchange系統管理中心」網站的操作來完成外，也可以經由EMS命令介面來執行。舉例來說，如果想要針對所有人員信箱啟用訴訟資料暫留功能，並且將暫留期限設定為180天，則執行以下的命令參數：

Get-Mailbox -ResultSize Unlimited -Filter "RecipientTypeDetails -eq 'UserMailbox'" | Set-Mailbox -LitigationHoldEnabled $true -LitigationHoldDuration 180

善用資料外洩防護（DLP）

組織中為了防範某些敏感的資訊被以Email方式發送到組織內某些選定的人員、部門、群組或是組織以外的信箱中，在Exchange Server 2007與Exchange Server 2010版本時期，IT人員通常都會盡可能善用傳輸規則的設定，來解決這一方面的管理問題。

然而問題來了，因為有許多的敏感資訊，若僅依賴主旨與內文關鍵字的篩選，恐怕無法真正百分百判斷成功，這包括了個資中的護照號碼、信用卡號碼、身分證字號、銀行帳號等等。因為諸如這一類的資訊，大多有它們各自的編碼規則，因此就必須有一套能夠自動辨別這一類資訊的元件加入，才能夠真正完全監視到是否被附加在Email中，進而再來決定對於這些敏感郵件的拒絕、記錄或是放行等動作。

上述的管理問題，在Exchange Server 2019架構中，可以善用內建的資料外洩防護（Data Loss Prevention，DLP）功能來加以解決。它不僅提供了現成豐富的DLP範本，還可以自訂新的防護原則以及結合傳輸規則，來設定新防護原則所需要的條件、規則以及處理動作。

接著，一同來學習如何以最簡單的方式來建立DLP的防護機制。首先，開啟「Exchange系統管理中心」，並在「郵件流程」→「規則」頁面中，如圖39所示點選〔＋〕新增圖示選單中的「偵測到機密資訊時產生事件報告」選項。

在「新規則」頁面中，如圖40所示，先輸入新規則名稱，在條件的設定中以選擇當收件者位於組織外，以及選定「台灣身分證」來做為機密資訊的條件類型。在「執行下列動作」設定上，則是選擇【產生附隨報告並傳送到】設定並選定人員，並且以原則提示通知寄件者。最後決定是否要設定例外條件，以及選定「強制」使用此規則模式，然後按下〔儲存〕按鈕。

在上述的傳輸規則設定中，最值得注意的是「機密資訊類型」設定。如圖41所示，在此可以從眾多內建的類型清單中，找到適用於自己國家與地區的機密資訊類型，並可同時添加多個不同機密資訊類型於規則條件的設定中。

圖42所示是當所建立的傳輸規則偵測到有人員嘗試發送了關於身分證資訊的Email至組織外的信箱時，所自動發送給管理人員的Email通知範例。

針對原寄件者來說，上述的郵件除了可能因為DLP原則設定而遭到封鎖外，也有可能允許寄件者以業務理由覆寫及傳送。無論是哪一種原則設定，只要管理員對於該DLP原則有選定「以原則提示通知寄件者」設定，便可以在寄件者正式送出郵件之前，自動於Outlook或OWA的寄件者欄位上方，出現如圖43所示的原則提示訊息，這裡以點選「覆寫」超連結為例進行說明。

如圖44所示，用戶將會看到在提示訊息視窗中有兩項設定可以選擇，分別是手動輸入業務上的正常理由之訊息，或是選取「此郵件不包含機密資訊」之設定。無論用戶選擇為何，其實管理人員早已經攔截並接收到這封Email的完成內容。

最後，在「合規性管理」→「稽核」頁面中，發現系統還提供了一個以合規性為基礎的查詢頁面，方便進行相關設定異動的記錄查詢，例如想要知道已啟用訴訟資料暫留的信箱名單、非擁有者存取信箱查詢、系統管理員角色群組報告，以及針對電子文件探索設定所進行過的變更等等。

＜本文作者：顧武雄， Microsoft MVP 2004-2016、MCITP與MCTS認證專家、台灣微軟Technet、TechDays、Webcast、MVA特約資深顧問講師、VMware vExpert 2016-217、IBM Unified Communications/Notes/Domino/Connections Certified。＞