我正在尝试在交换服务器上进行取证分析，并且想要确定用户何时读取特定的电子邮件。 有没有办法 – 也许有一个工具，如mfcmapi或其他开源或商业工具，可以提供这些信息？
具体而言，机密邮件被意外地发送给用户，随后立即通过电子邮件通知用户该意外违规并指示用户删除该消息而不共享该消息。 用户声称他们只是把它发送到他们自己的帐户，因为违规包含了他们自己的个人信息，他们没有看到后续的消息，直到他们已经发送了自己的消息副本。 我想certificate用户在转发第一封（即保密）电子邮件之前先阅读第二封邮件。
在没有阅读收据的情况下，有什么方法可以certificate这一点？
谢谢
最简洁的答案是不。
假设您正在使用Outlook与MAPI（使用IMAP或其他一些协议只能告诉您邮件客户端检索邮件，其中大部分按计划自动同步）。 即使有一种方法可以确定电子邮件何时被标记为已读（我怀疑是否存在，但不能肯定），但它仍然无法certificate任何事情。 例如，我有Outlook安装程序自动将邮件标记为五秒钟后读取。
没有用户自己确认他们会阅读电子邮件，就没有办法“certificate”这一点。 你所能做的最好的是build立一个似乎表明某种行为的证据。 但这不会在法庭上成立。
但最重要的是，用户无论如何都不负责任。 电子邮件不被视为一种安全的沟通forms，不应被用于保密信息。 例外情况是，如果您已经设置了某种encryption方式（有很多可用的encryption方式），但是鉴于有问题的人能够阅读电子邮件的内容，可以肯定地认为这是不适用的。
可能存在一些组织先例，其规定了用户在转发电子邮件中的行为是合理的还是可接受的（阅读了要求他们删除或不删除的消息，可能有争议的是，合理的人会认为内容是保密的和/或不适合被转发）。 但是这是你们人力资源部门的问题。