Microsoft 365 / Telusuri log audit Purview untuk aktivitas pengguna dan admin

Gunakan pencarian log audit Microsoft Purview untuk menyelidiki aktivitas pengguna dan administrator di Microsoft 365. Batasi pencarian berdasarkan pelaku, jenis aktivitas, dan periode, lalu tinjau waktu, tindakan, serta objek yang terdampak. Log audit membantu menyelidiki aktivitas nyata; log ini tidak menyimpan semua detail semua layanan tanpa batas.

Apa yang bisa Anda periksa dengan catatan audit?

Anda dapat meninjau aktivitas pengguna dan administrator pada berbagai layanan Microsoft 365, seperti akses dan berbagi file, operasi kotak surat, serta perubahan grup atau pengaturan. Jenis peristiwa, waktu ketersediaan dalam pencarian, dan masa retensi bergantung pada layanan serta lisensi. Periksa kemampuan organisasi dalam panduan Microsoft untuk memulai audit Purview.

Jika Anda ingin menyelidiki keberhasilan dan kegagalan masuk, log masuk Microsoft Entra memberikan informasi yang lebih langsung dibandingkan pencarian audit Purview. Untuk jalur pengiriman email, gunakan pelacakan pesan Exchange. Memilih log yang sesuai untuk pertanyaan Anda lebih penting daripada memperluas istilah pencarian.

Mempersiapkan pencarian audit

• Tentukan satu pertanyaan untuk diverifikasi. Misalnya: "Siapa yang mengubah pengaturan berbagi file ini dan kapan?"
• Dapatkan informasi identifikasi pengguna, file/situs, atau tindakan yang menjadi target.
• Periksa waktu kejadian dan zona waktu. Waktu yang ditampilkan di layar mungkin berbeda dengan zona waktu log.
• Verifikasi izin pencarian audit. Kekurangan izin tidak berarti tidak ada hasil; bisa berarti Anda tidak dapat melakukan pencarian.

Periksa izin melihat, periode retensi, dan keterlambatan pengumpulan

Mencari dan mengekspor catatan audit memerlukan peran Audit Logs atau View-Only Audit Logs di Microsoft Purview. Grup peran Audit Reader mencakup izin pencarian dan ekspor; Audit Manager memiliki kemampuan yang lebih luas. Penugasan unit administratif dapat membatasi catatan yang dapat Anda cari. Menghapus filter pencarian tidak memperluas akses yang diizinkan. Menjadi administrator Exchange atau Teams tidak secara otomatis memberikan akses ke setiap catatan audit Purview.

Audit (Standard) mempertahankan catatan selama 180 hari secara default. Untuk pengguna Audit (Premium) yang memiliki lisensi yang sesuai, aktivitas Microsoft Entra ID, Exchange, dan SharePoint memiliki retensi default selama satu tahun; aktivitas lain dan kebijakan retensi yang dikonfigurasi dapat memiliki kondisi yang berbeda. Periksa lisensi pengguna yang melakukan aktivitas, layanan, dan kebijakan retensi yang berlaku. Satu administrator yang memiliki lisensi tidak membuat catatan audit semua orang memenuhi syarat untuk retensi satu tahun.

Aktivitas terbaru mungkin tidak dapat dicari secara langsung. Microsoft menjelaskan ketersediaan khas selama 60–90 menit untuk layanan inti seperti Exchange, SharePoint, OneDrive, dan Teams, tetapi tidak menjamin interval tersebut. Latensi pengumpulan berbeda dengan waktu yang dibutuhkan untuk menjalankan pekerjaan pencarian. Kuery yang lebih luas tidak dapat memulihkan kejadian yang tidak pernah dikumpulkan atau sudah melampaui masa retensi. Pertama, periksa status pengumpulan audit organisasi dan apakah aktivitas yang diperlukan didukung.

Mencari di Purview

1. Buka Audit → Search di portal Microsoft Purview. Nama menu dalam panduan ini mengikuti antarmuka berbahasa Inggris. Isi Date and time range (UTC) dengan Waktu Universal Terkoordinasi. Satu pencarian mencakup paling banyak 180 hari; batas rentang pencarian berbeda dari masa retensi catatan. Bagi periode lebih panjang yang masih tersimpan ke dalam beberapa rentang pencarian.
2. Saring berdasarkan pengguna target dan jenis aktivitas. Mulailah dengan kondisi utama daripada menambahkan terlalu banyak kondisi sejak awal.

3. Jalankan pencarian dan buka hasil untuk memeriksa waktu terjadinya aktivitas, pengguna, objek target, dan detailnya. Jika perlu, catat ID peristiwa atau rekamannya dalam dokumen investigasi internal.
4. Jika tidak ada hasil, periksa cakupan dan zona waktu, izin pencarian, penundaan pengumpulan log, dan apakah aktivitas tersebut tunduk pada audit. Jangan menyimpulkan bahwa tidak ada aktivitas yang terjadi hanya karena tidak ada log.

Jika Audit tidak terlihat pada beranda portal, pilih View all solutions → Audit. Pekerjaan pencarian memiliki status Queued, In Progress, atau Completed, yaitu mengantre, sedang diproses, atau selesai. Pekerjaan tetap berjalan setelah browser ditutup. Periksa pekerjaan yang sudah ada sebelum menjalankan pencarian yang sama berulang kali.

Panduan Microsoft untuk mencari log audit menjelaskan izin, hasil, dan ekspor. Ekspor menggunakan nilai yang dipisahkan koma (CSV), yaitu format data tabel, dan dapat memuat data pribadi atau sensitif untuk keamanan. Simpan hasilnya di lokasi investigasi yang disetujui dan jangan lampirkan ekspor mentah dalam posting publik.

Contoh pencarian untuk menyelidiki perubahan berbagi file

Asumsikan bahwa Anda sedang menyelidiki "siapa yang mengubah pengaturan berbagi file ini pagi ini." Karena pemilik file dan orang yang melakukan perubahan mungkin berbeda, mencari hanya dengan pemilik pada tahap ketika pelaku belum diketahui dapat menyebabkan Anda melewatkan hasil penting.

1. Dapatkan alamat situs tempat file berada, jalur ke file, dan waktu saat masalah ditemukan. Gunakan lokasi yang sebenarnya untuk membedakan file dengan nama yang sama.
2. Konversikan waktu insiden ke UTC menggunakan offset lokal yang tepat, termasuk waktu musim panas jika relevan. Misalnya, Korea Standard Time (KST) adalah UTC+09:00: 10:00–12:00 KST adalah 01:00–03:00 UTC pada tanggal yang sama. Tengah malam dapat mengubah tanggal: 00:30 KST pada 14 November adalah 15:30 UTC pada 13 November.
3. Pilih aktivitas berbagi file atau folder dalam Activities - friendly names. Jika memakai Activities - operations names, salin nama operasi persis dari katalog aktivitas audit Microsoft; jangan terjemahkan atau menebak nama operasi.
4. Tentukan alamat atau nama yang diperlukan untuk filter file, folder, atau situs. Jika pelaku perubahan belum diketahui, biarkan filter pengguna kosong. Gunakan pengenal insiden dalam nama pencarian untuk membedakannya dari pencarian lain.
5. Setelah tugas pencarian selesai, bandingkan aktivitas, stempel waktu, pengguna, dan item yang terpengaruh bersama-sama, dan buka detail dari item terkait. Jika tidak ada hasil karena kondisi terlalu sempit, sesuaikan jangkauan file dan kondisi aktivitas satu per satu.

Kolom Keyword Search mencari konten yang diindeks dalam skema audit umum; itu tidak mencari setiap properti dalam payload AuditData yang rinci. Detail tersebut dapat direpresentasikan dalam JavaScript Object Notation (JSON), sebuah format data terstruktur. Jika kueri kata kunci untuk properti tertentu tidak menemukan apa pun, periksa apakah bidang tersebut diindeks sebelum menarik kesimpulan. Mulailah dengan kriteria yang jelas seperti periode, aktivitas, dan lokasi file yang sebenarnya.

Hal-hal yang perlu diperhatikan saat menafsirkan hasil

Beberapa peristiwa terkait mungkin tetap ada untuk satu aktivitas, atau waktu ketersediaan catatan dapat berbeda-beda menurut layanan. Akun otomatis, aplikasi, atau tugas yang didelegasikan juga dapat muncul dengan nama pengguna yang berbeda. Jika ini adalah insiden penting, lakukan pemeriksaan silang terhadap log rinci dan catatan perubahan konfigurasi layanan dengan penjelasan dari pengguna. Ikuti standar pengolahan data organisasi agar hasil audit tidak diduplikasi atau disimpan secara tidak perlu bahkan setelah tujuan investigasi selesai.

Sebagai contoh, catatan audit mengenai pembuatan tautan berbagi menunjukkan bahwa tautan dibuat pada saat itu. Ini tidak membuktikan bahwa penerima eksternal membaca kontennya. Catatan akses atau unduhan file juga tidak menetapkan niat pengguna atau penyalinan eksternal di kemudian hari dengan sendirinya. Bedakan tuduhan insiden dari apa yang didukung oleh catatan spesifik.

Ketika tidak ada hasil atau ekspor diperlukan

• Aktivitas terbaru: Pertimbangkan keterlambatan pengumpulan dan periksa terlebih dahulu apakah pekerjaan pencarian yang ada telah selesai. Untuk melakukan kueri lagi, gunakan Copy this search untuk menggunakan kembali kriteria dan memulai pencarian baru, menyesuaikan lingkup jika perlu.
• Kesalahan Periode/Waktu: Bandingkan waktu UTC dan waktu lokal, periksa tanggal sebelum dan sesudah tengah malam. Juga, konfirmasi periode retensi.
• Kesalahan Target/Izin: Verifikasi apakah organisasi dan lingkup admin saat ini, serta aktor dan repositori sebenarnya sudah benar. Jangan mencari file SharePoint di lokasi OneDrive pengguna individu.
• Kesalahan Kondisi Aktivitas: Periksa nama operasi yang tepat, ketersediaan dukungan layanan, dan status pengumpulan audit. Kurangi satu kondisi pada satu waktu untuk menemukan penyebabnya.

Pilih Export dari pencarian yang telah selesai untuk menganalisis hasil dalam format CSV. Portal ini mendukung hingga 50.000 baris ekspor untuk Audit (Standard) dan 1.000.000 untuk Audit (Premium). Bagi penyelidikan yang lebih besar ke dalam rentang tanggal atau penerima dan periksa bahwa ekspor Anda mencakup hasil yang dimaksud. Biarkan ekspor asli tetap tidak berubah dan ubah zona waktu pada salinan analisis sehingga Anda dapat membandingkan pekerjaan Anda dengan catatan asli.

Catatan investigasi mencakup kondisi pencarian dan zona waktu, ID dan waktu pekerjaan pencarian, peristiwa penting, dan setiap rentang yang belum dikonfirmasi. Untuk kegagalan login, periksa terkait dengan Investigasi masuk Microsoft Entra, dan untuk pengiriman email, periksa terkait dengan pelacakan pesan, dan jangan menyimpulkan bahwa suatu insiden tidak terjadi hanya karena log hilang.