Trao đổi Khám phá điện tử tại chỗ & Giữ | Giới thiệu | 5#7

Theo thời gian, nhà phát triển Exchange đã nghĩ cách sử dụng các khả năng Ấn tượng của tính năng Litigation Hold làm công cụ “sao lưu và phục hồi” và “phiên bản cải tiến” của Litigation Hold được trình bày trong phiên bản Exchange 2013 dưới tên - “In-Place eDiscovery & Giữ ".

Thuật ngữ “Khám phá điện tử tại chỗ”

Thuật ngữ “Khám phá điện tử tại chỗ ” là một thuật ngữ hơi mơ hồ.
Nghe có vẻ ngạo mạn nhưng tôi sẵn sàng cá rằng ngay cả khi bạn là chuyên gia Exchange, thuật ngữ này vẫn chưa hoàn toàn rõ ràng đối với bạn.

Những lý do cho sự mơ hồ này là:

• Khám phá điện tử tại chỗ của Exchange là một thuật ngữ được xây dựng dựa trên và liên quan đến nhiều bộ phận và thành phần khác nhau trong cơ sở hạ tầng Exchange, đồng thời, thậm chí còn liên quan đến các công nghệ và sản phẩm khác của Microsoft như SharePoint.
• Thông tin công khai không quá rõ ràng và không có nhiều thông tin cho phép hiểu được “bức tranh lớn” trình bày tất cả các thành phần và cơ sở hạ tầng Exchange Online khác nhau liên quan đến “Khám phá điện tử tại chỗ”.

Nếu chúng ta muốn trang trọng hơn, hãy sử dụng định nghĩa của thuật ngữ Wikipedia - Khám phá điện tử

Khám phá điện tử (hoặc khám phá điện tử hoặc khám phá điện tử) đề cập đến khám phá trong các vụ kiện tụng hoặc điều tra của chính phủ liên quan đến việc trao đổi thông tin ở định dạng điện tử (thường được gọi là thông tin được lưu trữ điện tử hoặc ESI).[1] Những dữ liệu này tuân theo các quy tắc địa phương cũng như các quy trình đã được thống nhất và thường được xem xét về đặc quyền cũng như mức độ liên quan trước khi được chuyển cho luật sư đối lập.
Dữ liệu được luật sư xác định là có khả năng liên quan và được lưu giữ theo pháp lý. Sau đó, bằng chứng được trích xuất và phân tích bằng các quy trình pháp y kỹ thuật số và được xem xét bằng nền tảng xem xét tài liệu. Tài liệu có thể được xem xét dưới dạng tệp gốc hoặc sau khi chuyển đổi sang dạng PDF hoặc TIFF.[1] Nền tảng đánh giá tài liệu rất hữu ích nhờ khả năng tổng hợp và tìm kiếm số lượng lớn ESI.

Khái niệm Khám phá Điện tử được triển khai như thế nào trong cơ sở hạ tầng Exchange?

Việc triển khai eDiscovery trong môi trường dựa trên Exchange (phiên bản Exchange 2013) được triển khai bởi tính năng có tên: Exchange In-Place eDiscovery & Hold.

Bằng cách sử dụng Exchange In-Place eDiscovery & Hold, chúng tôi có thể đáp ứng các nhu cầu bắt buộc:

1. Lập chỉ mục dữ liệu được lưu trữ trong tất cả các hộp thư của người dùng.
2. Sử dụng một công cụ cho phép chúng tôi tìm kiếm thông qua cơ sở hạ tầng này.
3. Sử dụng một công cụ để “giữ” dữ liệu, nghĩa là tùy chọn ngăn chặn việc xóa dữ liệu cụ thể.
4. Phí “rút” ra khỏi “tìm nạp” một dữ liệu cụ thể từ hộp thư của người dùng đến “vị trí khác” - chúng ta có thể coi hoạt động này là việc lưu được chứng minh trong một kịch bản về hoạt động bất hợp pháp hoặc tội phạm hoặc chỉ liên quan đến hoạt động này như một tùy chọn để khôi phục các mục thư đã xóa.

Các “bộ phận” khác nhau của cơ sở hạ tầng Exchange In-Place eDiscovery & Hold

Mặc dù cần phải đơn giản hóa nhưng tôi thấy điều quan trọng là phải cung cấp tổng quan ngắn gọn về các thành phần khác nhau liên quan đến cơ sở hạ tầng eDiscovery & Hold của Exchange In-Place.

Trong sơ đồ sau, chúng ta có thể thấy các “bộ phận” hoặc “khối xây dựng” khác nhau tạo ra dịch vụ Exchange có tên: Exchange In-Place eDiscovery & Hold.

1. Việc “giữ”

Đây là phần cho phép chúng tôi “thông báo cho Exchange” rằng chúng tôi muốn “đóng dấu” thông tin cụ thể “gắn cờ” (mục thư) là thông tin sẽ không bị xóa trong bất kỳ trường hợp nào.

2. Hộp thư đã xóa các mục “lưu trữ ” (thư mục Các mục có thể phục hồi)

Đây là “parathion ẩn” của hộp thư người dùng đóng vai trò là nơi chứa các mục thư đã xóa (và cho các mục đích bổ sung như kiểm tra). Khi chúng tôi nói rằng chúng tôi “tạm dừng” một thông tin cụ thể, nghĩa là các mục thư đã bị xóa được lưu trữ trong thư mục Mục có thể phục hồi .

3. Giao diện công cụ tìm kiếm & Giao diện công cụ tìm kiếm Hold

Đây là công cụ quản trị web Exchange Online cho phép chúng tôi thực hiện tìm kiếm, xác định các tham số tìm kiếm và nếu cần, hãy xác định “giữ” trên các mục thư trả lời các tham số tìm kiếm.

4. Kết quả tìm kiếm “cửa hàng”

Khi chúng tôi sử dụng Exchange In-Place eDiscovery & Hold để tìm kiếm mục thư “trả lời” các tham số cụ thể, kết quả được hiển thị bằng cách sử dụng “chế độ xem phẳng” bằng ứng dụng khách web OWA.

Trong trường hợp chúng tôi cần lưu thông tin (không chỉ xem thông tin) để phân tích thêm, làm bằng chứng hoặc cho mục đích khôi phục, mà chúng tôi còn có thể yêu cầu “lưu trữ” dữ liệu (kết quả tìm kiếm) trong một cửa hàng cụ thể.

Hộp thư Tìm kiếm Khám phá Exchange là một hộp thư hệ thống tích hợp sẵn, đóng vai trò như một “vùng chứa” cho các kết quả tìm kiếm Khám phá Điện tử Tại chỗ.

Trong ảnh chụp màn hình sau, chúng ta có thể thấy đầu ra của lệnh PowerShell:

Get-Mailbox

Chúng ta có thể thấy Exchange Discovery Search Mailbox xuất hiện cùng với các hộp thư của người dùng khác.

Chúng tôi sử dụng lệnh PowerShell để hiển thị thông tin về Hộp thư Tìm kiếm Exchange Discovery vì Hộp thư Tìm kiếm Exchange Discovery không xuất hiện trong giao diện đồ họa hiển thị người nhận Exchange.

5. Dịch vụ chỉ mục Exchange

Khả năng thực hiện nhanh chóng và hiệu quả trong hàng trăm, thậm chí hàng nghìn hộp thư phụ thuộc rất nhiều vào dịch vụ “Exchange index”.

Việc tìm kiếm không được thực hiện bằng cách tìm kiếm “dữ liệu thực tế” được lưu trữ trong mỗi hộp thư, mà thay vào đó, việc “tìm kiếm” được thực hiện, việc tìm kiếm hộp thư được thực hiện bằng cách tìm kiếm cơ sở dữ liệu chỉ mục Exchange (chỉ mục Exchange là vợ chồng để cung cấp thông tin về tất cả các các mục thư được lưu trữ trong cơ sở dữ liệu hộp thư Exchange).

Exchange tại chỗ eDiscovery & Hold | Phạm vi tìm kiếm và đối tượng tìm kiếm

Exchange In-Place eDiscovery & Hold là một công cụ rất mạnh cho phép chúng tôi kích thích nhiều loại tìm kiếm khác nhau.

Để có thể sử dụng tùy chọn tìm kiếm Exchange In-Place eDiscovery & Hold, điều quan trọng là chúng tôi phải thất bại với “phạm vi tìm kiếm” khác có sẵn cho chúng tôi khi sử dụng Exchange In-Place eDiscovery & Hold.

Phạm vi tìm kiếm cấp 1 - Exchange In-Place eDiscovery & Hold có thể thực hiện tìm kiếm trong hộp thư người dùng cụ thể, một nhóm hộp thư hoặc tất cả các hộp thư hiện có.

Hầu hết thời gian, trong trường hợp khôi phục thư, phạm vi tìm kiếm của chúng tôi sẽ tập trung vào một hộp thư cụ thể.

Phạm vi tìm kiếm cấp 2 - “sức mạnh” của kịch bản khôi phục eDiscovery & Giữ trong thư Exchange In-Place là khả năng “rút ra” các mục thư bị “ẩn” được lưu trữ trong
Thư mục Mục có thể phục hồi.

Tại thời điểm hiện tại, tham số truy vấn tìm kiếm không bao gồm tùy chọn để xác định rằng tìm kiếm hộp thư sẽ chỉ được triển khai trong thư mục Mục có thể phục hồi.

Lưu ý - nếu bạn muốn triển khai tìm kiếm hộp thư sẽ chỉ tìm và sao chép thông tin từ phân vùng hộp thư thư mục Các mục có thể phục hồi, bạn sẽ cần sử dụng lệnh PowerShell:

Search-Mailbox

Bạn có thể đọc thêm thông tin về cách thực hiện khôi phục thư bằng
Hộp thư tìm kiếm trong bài viết - Khôi phục các mục thư đã xóa bằng lệnh ghép ngắn PowerShell Search-Mailbox | 7#7

Phạm vi tìm kiếm cấp 3 - “phạm vi tìm kiếm” cuối cùng mà tôi muốn đề cập là phạm vi tìm kiếm liên quan đến “loại” mục thư mà chúng tôi muốn tìm kiếm.

Công cụ Exchange In-Place eDiscovery & Hold cho phép chúng tôi xác định một loại mục thư cụ thể chẳng hạn như - mục thư lịch, mục thư liên hệ, mục thư ghi chú, v.v.

Khám phá điện tử tại chỗ & giữ | Truy vấn tìm kiếm và kết quả tìm kiếm

Khám phá điện tử tại chỗ & giữ | Kết quả tìm kiếm

Khi sử dụng tùy chọn Khám phá điện tử tại chỗ & giữ để tìm kiếm một mục thư cụ thể, “kết quả” nghĩa là kết quả tìm kiếm, có thể được “triển khai” theo nhiều cách khác nhau.

Ví dụ: chúng tôi tạo truy vấn Tìm kiếm và kích hoạt quy trình tìm kiếm, kết quả của quá trình tìm kiếm (kết quả Tìm kiếm) có thể sử dụng theo cách sau:

1. Thông tin về các mục thư được tìm thấy - một báo cáo bao gồm thông tin về từng mục thư được tìm thấy.
2. Các mục thư cụ thể được tìm thấy trong quá trình tìm kiếm. Chúng tôi có thể yêu cầu lưu các mục thư được tìm thấy cho các mục đích như khôi phục mục thư, v.v.
3. Tạm dừng - chúng tôi có thể sử dụng kết quả tìm kiếm (danh sách các mục thư cụ thể) để “yêu cầu” Exchange tạm dừng các mục thư cụ thể này.

Khám phá điện tử tại chỗ & giữ | Truy vấn tìm kiếm

Khi chúng tôi sử dụng eDiscovery & hold tại chỗ, bước đầu tiên là xác định truy vấn tìm kiếm.
Truy vấn tìm kiếm đóng vai trò là “vùng chứa” cho các tham số tìm kiếm mà chúng tôi xác định.

Ví dụ về truy vấn mà chúng tôi có thể tạo bằng cách sử dụng eDiscovery & hold tại chỗ có thể là:

• Ví dụ 1- chúng ta có thể xác định một truy vấn sẽ tìm kiếm một lịch, mục thư cụ thể trong hộp thư của người dùng cụ thể trong một khoảng thời gian cụ thể.
• Ví dụ 2- chúng ta có thể xác định truy vấn sẽ tìm kiếm các mục thư có chuỗi văn bản cụ thể và thực hiện tìm kiếm (xác định phạm vi tìm kiếm) bao gồm tất cả các hộp thư được lưu trữ trong tổ chức Exchange.

Giao diện eDiscovery & hold Exchange tại chỗ mà chúng tôi sử dụng để tạo truy vấn tìm kiếm bắt buộc được coi là một giao diện mạnh mẽ vì nó cho phép chúng tôi tạo một truy vấn rất cụ thể dựa trên nhiều tham số khác nhau, chẳng hạn như:

• Phạm vi ngày
• Một hộp thư cụ thể, nhóm hộp thư hoặc tất cả các hộp thư của tổ chức Exchange
• Người nhận nguồn - người nhận tạo mục email.
• Người nhận đích - người nhận chấp nhận mục email.
• Các mục thư Exchange cụ thể - khả năng tìm kiếm một loại mục thư Exchange cụ thể chẳng hạn như mục thư lịch, mục thư, mục ghi chú, v.v.

Sau khi tạo xong truy vấn tìm kiếm cần thiết, chúng tôi “thực hiện” thao tác tìm kiếm.

Sau này, chúng ta sẽ cần quyết định “phải làm gì” với các mục thư “trả lời” truy vấn cụ thể mà chúng ta đã xác định.

Khám phá điện tử tại chỗ & giữ | Làm gì với kết quả tìm kiếm?

Sau khi hoạt động tìm kiếm kết thúc, chúng ta cần quyết định

1. Tạo báo cáo về các phát hiện (Nhật ký) - trong một số trường hợp, tất cả những gì chúng tôi muốn là nhận được báo cáo về các mục thư được tìm thấy.
2. Xem kết quả tìm kiếm - tùy chọn này phù hợp với trường hợp chúng tôi muốn có cái nhìn tổng quát về các mục thư đã được tìm thấy, tìm kiếm nội dung mục thư cụ thể, v.v.
3. Giữ kết quả tìm kiếm trong Hộp thư Tìm kiếm Khám phá - tùy chọn này phù hợp với trường hợp các mục thư khôi phục hoặc trường hợp chúng tôi cần các mục thư được tìm thấy làm bằng chứng. Theo mặc định, các mục thư sẽ được lưu trong hộp thư hệ thống dành riêng cho Exchange được tạo tự động và đặt tên là - Hộp thư Tìm kiếm Khám phá.
4. Giữ kết quả tìm kiếm trong các Hộp thư khác - trong trường hợp chúng tôi muốn lưu các mục thư từ kết quả tìm kiếm trong một hộp thư khác chứ không phải trong Hộp thư Tìm kiếm Exchange Discovery mặc định, chúng tôi có thể làm như vậy. Tùy chọn chọn các hộp thư khác chỉ khả dụng khi chúng tôi kích hoạt In-place eDiscovery & hold thông qua giao diện PowerShell.
5. Xuất kết quả Tìm kiếm sang tệp PST - đây là một tùy chọn rất hữu ích và Thoải mái cho phép chúng tôi xuất các mục thư có trong tệp PST. Lưu ý - chúng tôi sẽ xem xét tùy chọn này trong phần - Bước 5 - Xuất kết quả tìm kiếm sang tệp PST
6. Đặt các mục thư cụ thể ở trạng thái chờ - công cụ Giữ & khám phá điện tử tại chỗ của Exchange sử dụng “tham số truy vấn tìm kiếm” làm bộ lọc để tìm kiếm các mục thư cụ thể trả lời tham số tìm kiếm và khi Exchange tìm thấy mục thư này, hãy đặt “giữ” về mục thư này.

Một thứ còn thiếu trong Exchange tại chỗ eDiscovery & giữ tìm kiếm

Một trong những “tùy chọn bị thiếu” đáng chú ý nhất của Exchange tại chỗ eDiscovery & hold là giao diện mà chúng tôi sử dụng để tạo truy vấn tìm kiếm và bao gồm nhiều tùy chọn cũng như tham số để lọc kết quả tìm kiếm, không bao gồm bộ lọc cho phép chúng tôi giới hạn phạm vi tìm kiếm trong phân vùng hộp thư - thư mục Các mục có thể phục hồi.

Các tình huống tùy chọn để sử dụng & lưu giữ eDiscovery tại chỗ

Kịch bản 1 | Hộp thư người dùng chuẩn - Sự kiện Xóa cứng

Một tình huống trong đó người dùng Exchange có hộp thư “tiêu chuẩn” (hộp thư không có Lưu giữ tố tụng hoặc Giữ nguyên tại chỗ) và người dùng thực hiện Xóa cứng các mục thư.

Trong trường hợp này, mục thư được chuyển đến Thư mục Xóa trong phân vùng thư mục Mục có thể phục hồi và người dùng không thể sử dụng ứng dụng thư khách Outlook hoặc OWA để khôi phục các mục thư cụ thể.

Trong trường hợp này, quản trị viên Exchange Online có thể khôi phục thư bằng công cụ Exchange In-Place eDiscovery trong thời gian tối đa là 14 ngày.

Kịch bản 2 | Hộp thư trao đổi có bật tính năng Giữ kiện tụng hoặc Giữ tại chỗ

Tình huống trong đó hộp thư người dùng được đặt cấu hình là:

• Đã bật tạm dừng tố tụng
• Đã bật tính năng Giữ tại chỗ

Trong trường hợp này, trong trường hợp người dùng thực hiện thao tác Xóa cứng, chúng tôi sẽ có khả năng khôi phục thư đã xóa trong khoảng thời gian được bảo vệ theo chính sách Giữ kiện hoặc Giữ tại chỗ.

Trường hợp 1 - hộp thư được xác định là đã bật Litigation Hold
Trong trường hợp này, các mục thư đã bị Xóa cứng sẽ được lưu trong Thư mục Thanh lọc.

Trường hợp 2 - hộp thư được xác định là đã bật tính năng Lưu giữ tại chỗ
Trong trường hợp này, các mục thư đã bị xóa cứng sẽ được lưu trong thư mục DiscoveryHolds .

Trao đổi trực tuyến Khám phá điện tử tại chỗ | Hai quan niệm sai lầm phổ biến

1. Công cụ lưu giữ và khám phá điện tử tại chỗ của Exchange chỉ được sử dụng cho hộp thư được đặt cấu hình là đã bật Giữ kiện tụng hoặc đã bật Giữ tại chỗ

Giả định này là sai!

Exchange In-place eDiscovery & hold như tên hoạt động như một “công cụ tìm kiếm” được tạo để tìm kiếm các mục thư dựa trên một tham số cụ thể (truy vấn tìm kiếm).

Trao đổi Khám phá điện tử tại chỗ và giữ “không quan tâm” nếu hộp thư là hộp thư tiêu chuẩn hoặc hộp thư được định cấu hình là - Đã bật Giữ kiện tụng hoặc đã bật Giữ tại chỗ.

Sự khác biệt duy nhất giữa hộp thư tiêu chuẩn so với hộp thư được đặt cấu hình là bật Litigation Hold hoặc bật In-Place Hold là trong trường hợp chúng tôi triển khai tùy chọn “giữ” trên một hộp thư cụ thể, chúng tôi có thể sử dụng Exchange In-place eDiscovery & giữ khả năng tìm kiếm để tìm kiếm và khôi phục các mục thư được lưu trữ trong Thư mục Xóa hoặc Thư mục DiscoveryHolds trong khoảng thời gian dài hơn khoảng thời gian 14 ngày mặc định.

2. Tùy chọn lưu giữ và khám phá điện tử tại chỗ của Exchange Online chỉ có thể được sử dụng bởi những khách hàng đã mua giấy phép E3.

Giả định này là sai!

Đối với những khách hàng Office 365 đã mua giấy phép Office 365 Business, đúng là giao diện quản trị Exchange Online có sự khác biệt.

Giao diện quản trị Exchange Online của khách hàng Office 365 có giấy phép Office 365 Business được coi là “đơn giản hóa” và nhiều menu cũng như tùy chọn có trong giao diện quản lý Exchange của khách hàng “E” không xuất hiện trong “giao diện đơn giản hóa” này. ”

Ví dụ: “giao diện quản lý đơn giản hóa” của khách hàng Office 365 có giấy phép Office 365 Business không bao gồm hai tùy chọn - Khám phá điện tử tại chỗ & giữ

Bí mật nhỏ mà hầu hết chúng ta không biết là tùy chọn Exchange của Khám phá điện tử & giữ tại chỗ cũng có sẵn cho khách hàng Office 365 có giấy phép Office 365 Business.

Điều đáng chú ý là chúng ta cần sử dụng một thủ thuật nhỏ để hiển thị “Quản lý Exchange Online nâng cao” bao gồm tùy chọn Giữ và khám phá điện tử tại chỗ.

Điều quan trọng cần nhấn mạnh là tùy chọn “giữ” không khả dụng đối với khách hàng Office 365 đã mua giấy phép Office 365 Business!

Exchange In-place eDiscovery & Hold hoạt động như một “công cụ hộp thư tìm kiếm” chứ không phải để “tạm dừng” một dữ liệu cụ thể