Microsoft 365 / Cercare attività di utenti e amministratori nei log di audit Purview

Per indagare sulle azioni di utenti e amministratori in Microsoft 365, usa la ricerca nei log di controllo di Microsoft Purview. Filtra la persona, il tipo di attività e il periodo, quindi esamina orario, operazione e oggetto interessato. I log aiutano a ricostruire attività effettive; non conservano senza limiti tutti i dettagli di tutti i servizi.

Cosa puoi verificare con i registri di controllo?

Puoi consultare attività come accesso e condivisione di file, operazioni sulle cassette postali e modifiche a gruppi o impostazioni nei servizi Microsoft 365. Gli eventi raccolti, la loro disponibilità nelle ricerche e i periodi di conservazione dipendono dal servizio e dalla licenza. Verifica i requisiti della tua organizzazione nella guida introduttiva di Microsoft al controllo di Purview.

Se vuoi indagare sui successi o fallimenti di accesso, i log di accesso di Microsoft Entra forniscono informazioni più dirette rispetto alle ricerche di audit di Purview. Per i percorsi di consegna della posta, usa il tracciamento dei messaggi di Exchange. Scegliere il log appropriato per la tua domanda è più importante che ampliare i termini di ricerca.

Prepararsi per le ricerche di audit

• Scegli una domanda da verificare. Ad esempio: "Chi ha modificato le impostazioni di condivisione di questo file e quando?"
• Ottieni le informazioni identificative dell'utente target, del file/sito o dell'azione.
• Controlla l'ora di occorrenza e il fuso orario. L'ora visualizzata sullo schermo può differire dal fuso orario del registro.
• Verifica le autorizzazioni di ricerca dell'audit. La mancanza di autorizzazioni non significa che non ci siano risultati; può significare che non puoi eseguire la ricerca.

Controlla le autorizzazioni di visualizzazione, il periodo di conservazione e i ritardi nella raccolta

La ricerca e l'esportazione dei registri di controllo richiedono il ruolo di Audit Logs o View-Only Audit Logs in Microsoft Purview. Il gruppo di ruoli Audit Reader include le autorizzazioni di ricerca ed esportazione; Audit Manager ha capacità più ampie. Le assegnazioni all'unità amministrativa possono limitare i registri che è possibile cercare. Cancellare un filtro di ricerca non espande il tuo accesso autorizzato. Essere amministratore di Exchange o Teams non ti dà automaticamente accesso a tutti i registri di controllo di Purview.

Audit (Standard) conserva i record per 180 giorni per impostazione predefinita. Per gli utenti di Audit (Premium) con licenza appropriata, le attività di Microsoft Entra ID, Exchange e SharePoint hanno una conservazione predefinita di un anno; altre attività e le politiche di conservazione configurate possono avere condizioni diverse. Verificare la licenza dell'utente che ha eseguito l'attività, il servizio e la politica di conservazione applicabile. Un amministratore con licenza non rende i record di audit di tutti idonei per la conservazione di un anno.

Le attività recenti potrebbero non essere immediatamente ricercabili. Microsoft descrive una disponibilità tipica di 60-90 minuti per servizi principali come Exchange, SharePoint, OneDrive e Teams, ma non garantisce tale intervallo. La latenza di raccolta è separata dal tempo necessario per eseguire un lavoro di ricerca. Una query più ampia non può recuperare eventi che non sono mai stati raccolti o che superano il periodo di conservazione. Verificare prima lo stato della raccolta audit dell’organizzazione e se l’attività richiesta è supportata.

Ricerca in Purview

1. Apri Audit → Search nel portale Microsoft Purview; nella documentazione italiana la pagina di ricerca è indicata come Ricerca. Imposta Intervallo di data e ora (UTC) usando il tempo coordinato universale. Una ricerca può coprire al massimo 180 giorni, indipendentemente dal periodo di conservazione dei record. Suddividi un periodo più lungo ancora conservato in più finestre di ricerca.
2. Filtra per utente target e tipo di attività. Inizia con condizioni chiave invece di aggiungere troppe condizioni fin dall'inizio.

3. Esegui la ricerca e apri i risultati per controllare l’orario dell’attività, l'utente, l'oggetto target e i dettagli. Se necessario, annota l’identificativo dell’evento o il record nel documento di indagine interna.
4. Se non ci sono risultati, controlla l'ambito e il fuso orario, le autorizzazioni di ricerca, i ritardi nella raccolta dei log e se l'attività è soggetta ad audit. Non concludere che non sia avvenuta alcuna attività solo perché non ci sono log.

Se Audit è assente dalla home del portale, seleziona Visualizza tutte le soluzioni → Audit. Una ricerca crea un lavoro con stato In Coda, In Corso o Completato. Continua anche dopo aver chiuso il browser, quindi controlla i lavori esistenti invece di avviare ricerche duplicate.

La guida di Microsoft alla ricerca nei log di controllo spiega autorizzazioni, risultati ed esportazione. Gli export utilizzano valori separati da virgole (CSV), un formato tabellare, e possono contenere dati personali o sensibili per la sicurezza. Conservali nella posizione approvata per l’indagine e non allegare export originali a pubblicazioni accessibili a tutti.

Esempio di ricerca per investigare le modifiche alla condivisione dei file

Supponi di voler scoprire chi ha modificato questa mattina le impostazioni di condivisione di un file. Il proprietario e l’autore della modifica possono essere persone diverse. Se non conosci ancora l’autore, filtrare soltanto per il proprietario può escludere eventi importanti.

1. Ottieni l'indirizzo del sito in cui si trova il file, il percorso del file e l'orario in cui il problema è stato scoperto. Usa la posizione reale per distinguere i file con lo stesso nome.
2. Converti l'orario dell'incidente in UTC utilizzando il corretto offset locale, includendo l'ora legale dove rilevante. Ad esempio, l'orario standard della Corea (KST) è UTC+09:00: 10:00–12:00 KST corrisponde a 01:00–03:00 UTC nella stessa data. La mezzanotte può cambiare la data: 00:30 KST del 14 novembre corrisponde a 15:30 UTC del 13 novembre.
3. Scegli le attività di condivisione di file o cartelle in Attività - nomi descrittivi. Se usi Attività - nomi delle operazioni, copia il nome esatto dal catalogo Microsoft delle attività di controllo; non tradurre e non inventare nomi di operazione.
4. Indica l’indirizzo o il nome necessario per i filtri di file, cartella o sito. Se non sai chi ha effettuato la modifica, lascia vuoto il filtro degli utenti. Usa un identificativo dell’incidente nel nome della ricerca per distinguerla dalle altre.
5. Una volta completato il compito di ricerca, confronta insieme attività, timestamp, utenti e elementi interessati, e apri i dettagli degli elementi correlati. Se non ci sono risultati a causa di condizioni troppo restrittive, modifica l'intervallo di file e le condizioni dell'attività una per una.

La ricerca per parole chiave cerca i contenuti indicizzati nello schema di audit comune; non cerca ogni proprietà nei dettagli del payload AuditData. Questi dettagli possono essere rappresentati in JavaScript Object Notation (JSON), un formato di dati strutturato. Se una query per parola chiave su una proprietà specifica non trova nulla, verificare se quel campo è indicizzato prima di trarre conclusioni. Iniziare con criteri chiari come il periodo, l'attività e la posizione effettiva del file.

Punti a cui prestare attenzione nell'interpretazione dei risultati

Una singola attività può generare più eventi correlati e i tempi di disponibilità dei record possono variare tra servizi. Account automatici, app e operazioni delegate possono mostrare identità diverse da quelle attese. Per un incidente importante, confronta i log dettagliati, le modifiche di configurazione e la spiegazione dell’utente. Rispetta le regole dell’organizzazione sul trattamento dei dati ed evita copie o conservazioni non necessarie dopo la conclusione dell’indagine.

Ad esempio, un registro di audit della creazione di link di condivisione mostra che un link è stato creato in quel momento. Non dimostra che un destinatario esterno abbia letto il contenuto. Un registro di accesso o download di un file non stabilisce da solo l'intento dell'utente o una eventuale copia successiva da parte di terzi. Distingui l'accusa dell'incidente da ciò che i registri specifici supportano.

Quando non ci sono risultati o sono necessarie esportazioni

• Attività recenti: Consenti la latenza nella raccolta e verifica prima se il job di ricerca esistente è completato. Per interrogare di nuovo, usa Copia questa ricerca per riutilizzare i criteri e avviare una nuova ricerca, adattando l'ambito se necessario.
• Errori di Periodo/Tempo: Confrontare l'UTC e l'orario locale, controllare la data prima e dopo la mezzanotte. Inoltre, confermare il periodo di conservazione.
• Errori di Destinazione/Permesso: Verificare se l'organizzazione e l'ambito dell'amministratore attuali, e l'attore e il repository effettivi sono corretti. Non cercare i file di SharePoint nella posizione di OneDrive di un utente individuale.
• Errori di Condizione di Attività: Controllare il nome esatto dell'operazione, la disponibilità del supporto del servizio e lo stato della raccolta audit. Ridurre una condizione alla volta per trovare la causa.

Seleziona Esporta da una ricerca completata per analizzare i risultati come CSV. Il portale supporta fino a 50.000 righe esportate per Audit (Standard) e 1.000.000 per Audit (Premium). Dividi un'indagine più ampia in intervalli di date o destinatari e verifica che le tue esportazioni coprano i risultati previsti. Mantieni l'esportazione originale invariata e converti i fusi orari in una copia per l'analisi in modo da poter confrontare il tuo lavoro con i record originali.

I registri delle indagini includono le condizioni di ricerca e il fuso orario, l'ID del lavoro di ricerca e l'orario, gli eventi chiave e eventuali intervalli che non sono ancora stati confermati. Per i tentativi di accesso non riusciti, verificare in relazione a Indagine sull'accesso a Microsoft Entra, e per la consegna della posta, verificare in relazione a tracciamento dei messaggi, e non concludere che un incidente non sia avvenuto solo perché un log è mancante.