Exchange Online postafiók-helyreállítás: mit lehet valóban visszaszerezni?

Az Exchange Online postafiók-helyreállítás valójában azon múlik, melyik órával versenyez éppen. Aki kiürítette a Törölt elemek mappáját, alapértelmezetten 14 napig hozhatja vissza az elemet saját maga, és ezt a rendszergazda legfeljebb 30 napra emelheti — feljebb nem. Egy törölt felhasználó postafiókja 30 napig állítható helyre, utána véglegesen megsemmisül. Arra pedig egyáltalán nincs mód, hogy egy postafiókot visszaállítsanak a múlt keddi állapotára: az Exchange gyűjtőket kínál, amelyekből elemeket lehet kihalászni, nem időpont szerinti visszaállítást. Rendszerint az dönti el, hogy ötperces javítás vagy bocsánatkérés lesz a vége, hogy tudja-e, melyik óra ketyeg és mikor indult.

A három időablak, amely valóban létezik

A helyzet	Natív időablak	Ki tud eljárni
Elem a Törölt elemek mappában	A mappa kiürítéséig	A felhasználó
A Törölt elemekből is kiürített elem	Alapértelmezetten 14 nap, legfeljebb 30 napra emelhető	A felhasználó, a Törölt elemek helyreállítása funkcióval
Ezen is túl kiürített elem, bekapcsolt egyelemes helyreállítás mellett	A megőrzési idő hátralévő része	Rendszergazda, megfelelőségi kereséssel
Törölt felhasználó postafiókja	30 nap	Rendszergazda
Megőrzési szabállyal vagy jogi zárolással érintett postafiók	A zárolás teljes időtartama	Megfelelőségi rendszergazda

Törölt elemek: 14 nap, nem 30

Amikor egy felhasználó véglegesen töröl egy levelet — Shift+Delete, vagy a Törölt elemek kiürítése —, az üzenet nem tűnik el, hanem egy rejtett, helyreállítható elemeket tartalmazó mappába kerül. Innen az Outlook Törölt elemek helyreállítása funkciójával rendszergazdai közreműködés nélkül visszahozható. Ennek a mappának az alapértelmezett megőrzési ideje az Exchange Online-ban 14 nap. A rendszergazda ezt megnövelheti, de legfeljebb 30 napra, a RetainDeletedItemsFor beállítással.

Ebből két dolog következik. Egyrészt az a széles körben elterjedt hiedelem, hogy „van 30 napunk”, gyakran a felére téved, mert az alapértéket soha senki nem módosította. Másrészt a 30 nap a szolgáltatás által szabott plafon, nem pedig kiindulópont, amelyről feljebb lehetne alkudni.

Egyelemes helyreállítás: érdemes ellenőrizni, nem feltételezni

A felhasználó által elérhető réteg alatt van egy második is, amely a felhasználó által már kiürített elemeket tartja. Ehhez a felhasználó nem fér hozzá, a rendszergazda viszont megfelelőségi kereséssel igen — és éppen ez teszi lehetővé a helyreállítást azután, hogy valaki szándékosan eltüntette maga után a nyomokat. Hogy ez az Ön esetében rendelkezésre áll-e, azon múlik, be van-e kapcsolva az egyelemes helyreállítás az adott postafiókon, és mennyi a beállított megőrzési idő. Mindkettőt érdemes most ellenőrizni a saját bérlőjén, nem pedig egy incidens közepén, mert a válasz attól függ, mikor és hogyan jött létre a postafiók.

Egy törölt felhasználó postafiókja: 30 nap

A felhasználó törlésekor a postafiók nem semmisül meg azonnal, hanem előbb csak logikailag törlődik. A rendszergazda 30 napig visszahozhatja: vagy a felhasználói fiók visszaállításával, vagy a postafiók tartalmának egy másik postafiókba, illetve archívumba történő visszatöltésével. A 30 nap letelte után a postafiók véglegesen törlődik, és semmilyen rendszergazdai művelettel nem szerezhető vissza.

Kivétel az a postafiók, amelyre a törlés pillanatában megőrzési szabály vagy jogi zárolás vonatkozott: ez inaktív postafiókká válik, és a zárolás teljes időtartamára megmarad. Ez azonban megőrzési mechanizmus, nem kényelmi funkció — a tartalom eDiscovery útján nyerhető ki, nem egyetlen kattintással állítható vissza.

Miért a postafiókok kérdése a csevegési előzmény is

Mielőtt törölné egy kilépő kolléga postafiókját, érdemes tudni: a Microsoft Teams az üzeneteit az Exchange-ben tárolja. A csatornaüzenetek a csapat mögötti Microsoft 365-csoport postafiókjának rejtett mappájában vannak, a kétszemélyes és csoportos csevegések pedig minden résztvevő saját postafiókjának rejtett mappájában. Egy távozó munkatárs postafiókjának törlésével tehát minden beszélgetés egyik oldalát is törli. Azt, hogy melyik Teams-adat hol található valójában, a Teams-adatok tényleges helyéről szóló írásunkban vezetjük végig.

Hol ér véget az Exchange Online postafiók-helyreállítás

Nincs időpont szerinti visszaállítás. A fenti mechanizmusok mindegyike vagy elemeket, vagy egy teljes postafiókot állít helyre. Egyik sem válaszol arra a kérdésre, hogy „állítsuk vissza a postafiókot a változtatás előtti állapotra” — pedig pontosan erre van szükség egy elrontott migráció, egy több ezer levelet rossz helyre soroló szabály vagy egy postafiókot átrendező, feltört fiók után.

Az óra a törléstől ketyeg, nem a felfedezéstől. A 14 nap nem sok idő arra, hogy valami csendes dolog feltűnjön. Egy postafiókhoz hozzáférő támadónak vagy a nyomait takarító, távozó munkatársnak elég két hétig feltűnésmentesnek maradnia, és az alapértelmezett ablak magától bezárul.

A sérülés és a felülírás nem törlés. A gyűjtők azt fogják meg, amit töröltek. Semmit nem tesznek azzal a postafiókkal, amelynek a tartalmát módosították, vagy azzal a fiókkal, amelynek szabályai a beérkező leveleket csendben átirányítják és eltávolítják.

A zárolás megőriz, nem állít vissza. A megőrzési szabály vagy jogi zárolás megakadályozza az adat törlését, és kereshetővé teszi. Ahhoz azonban, hogy az adat visszakerüljön egy működő postafiókba, exportálni és kézzel visszatölteni kell, miközben az érintettek várnak. Ezt a különbséget — és azt, hogy melyik fél miért felel — a megosztott felelősségi modellről szóló cikkünkben fejtjük ki.

A kiléptetés mindezt összeadja. A levelezés 30 napos órán fut a felhasználó törlése után, ugyanannak a személynek a fájljai pedig a saját ütemük szerint. Ezt az oldalt a OneDrive lomtárról szóló írásunk járja körül: a két időablak nem esik egybe, és egyik sem vár Önre.

Mit érdemes keresni helyette

• Ön által meghatározott megőrzési idő, hogy egy hónapokkal későbbi megkeresés is megválaszolható legyen
• Időpont szerinti visszaállítás: a postafiók olyan állapotban, ahogyan egy adott esemény előtt volt
• Granuláris visszaállítás egyetlen üzenet, mappa vagy naptárbejegyzés szintjén, a többi érintése nélkül
• A teljes postafiók lefedése — levelek, naptár, névjegyek és a köréjük épülő mappaszerkezet
• Anomáliadetektálás a tömeges törlésekre, hogy ne a 14 napos alapérték legyen az egyetlen riasztás
• Exportálható visszaállítási naplók a GDPR, a NIS2 és a kiberbiztosítási kérdésekhez
• Legalább egyszer, szándékosan végigvitt visszaállítás, még mielőtt élesben szükség lenne rá

Függetlenek vagyunk, és nem mi üzemeltetjük az Ön bérlőjét. Segítünk kiválasztani az Exchange Online-környezetéhez és kötelezettségeihez illő megoldást, és beüzemelni, kísért bevezetéssel — ezután Öné a megoldás, és Ön üzemelteti. A Microsoft 365 mentés és helyreállítás oldalunk munkaterhelésenként részletezi a védelem terjedelmét.

Ha nem tudja biztosan megmondani, hogy egy 40 napja törölt postafiók ma még visszaállítható-e az Ön bérlőjén, egy felmérés a leggyorsabb módja kideríteni: rövid, gyakorlatias áttekintés arról, mely időablakokra támaszkodik, és mit igényelne egy valódi visszaállítás.