Microsoft 365 / Pesquisar atividades de usuários e administradores nos logs do Purview

Para investigar ações de usuários e administradores no Microsoft 365, use a pesquisa do log de auditoria do Microsoft Purview. Filtre a pessoa, o tipo de atividade e o período e examine o horário, a operação e o item afetado. Os logs ajudam a investigar atividades reais; não armazenam sem limites todos os detalhes de todos os serviços.

O que você pode verificar com logs de auditoria?

Você pode consultar atividades como acesso e compartilhamento de arquivos, operações de caixa de correio e alterações de grupos ou configurações. Os eventos coletados, sua disponibilidade para pesquisa e a retenção dependem do serviço e da licença. Confira os requisitos da organização no guia da Microsoft para começar a usar a auditoria do Purview.

Se você deseja investigar sucessos e falhas de login, os logs de login do Microsoft Entra fornecem informações mais diretas do que as pesquisas de auditoria do Purview. Para caminhos de entrega de e-mails, use o rastreamento de mensagens do Exchange. Escolher o log apropriado para sua questão é mais importante do que expandir os termos de pesquisa.

Preparando-se para pesquisas de auditoria

• Decida uma pergunta para verificar. Por exemplo: "Quem mudou as configurações de compartilhamento deste arquivo e quando?"
• Identifique a conta do usuário, o arquivo ou site e a atividade que deseja investigar.
• Verifique o horário da ocorrência e o fuso horário. O horário exibido na tela pode diferir do fuso horário do registro.
• Verifique as permissões de pesquisa de auditoria. A falta de permissões não significa que não há resultados; pode significar que você não pode realizar a pesquisa.

Verifique as permissões de visualização, período de retenção e atrasos na coleta

Para pesquisar e exportar, é necessário ter a função Audit Logs ou View-Only Audit Logs no Microsoft Purview. O grupo de funções Audit Reader inclui pesquisa e exportação; Audit Manager oferece capacidades mais amplas. As unidades administrativas atribuídas podem restringir os registros acessíveis. Remover um filtro não amplia suas permissões. Ser administrador do Exchange ou Teams não concede automaticamente acesso a todos os logs do Purview.

A Auditoria (Standard) mantém registros por 180 dias por padrão. Para usuários da Auditoria (Premium) devidamente licenciados, as atividades do Microsoft Entra ID, Exchange e SharePoint têm retenção padrão de um ano; outras atividades e políticas de retenção configuradas podem ter condições diferentes. Verifique a licença do usuário que realizou a atividade, o serviço e a política de retenção aplicável. Um administrador licenciado não torna os registros de auditoria de todos elegíveis para retenção de um ano.

Atividade recente pode não estar imediatamente disponível para pesquisa. A Microsoft descreve como típica a disponibilidade de 60 a 90 minutos para serviços principais, como Exchange, SharePoint, OneDrive e Teams, mas não garante esse intervalo. A latência de coleta é separada do tempo que uma tarefa de pesquisa leva para ser executada. Uma consulta mais ampla não pode recuperar eventos que nunca foram coletados ou que estão além do período de retenção. Primeiro, verifique o status de coleta de auditoria da organização e se a atividade necessária é suportada.

Pesquisando no Purview

1. Abra Auditar → Pesquisar no portal Microsoft Purview e defina o Intervalo de data e hora (UTC) em Tempo Universal Coordenado. Uma pesquisa pode abranger até 180 dias; esse limite é diferente da retenção dos registros. Divida um período maior ainda retido em várias janelas de pesquisa.
2. Filtre pelo usuário alvo e tipo de atividade. Comece com condições-chave em vez de adicionar muitas condições desde o início.

3. Execute a pesquisa e abra os resultados para verificar o horário da operação, usuário, objeto-alvo e detalhes. Se necessário, registre o ID do evento ou o registro no documento interno de investigação.
4. Se não houver resultados, verifique o escopo e o fuso horário, as permissões de pesquisa, os atrasos na coleta de logs e se a atividade está sujeita a auditoria. Não conclua que nenhuma atividade ocorreu apenas porque não há logs.

Se a solução de auditoria não aparecer na página inicial, abra Exibir todas as soluções → Auditar. Os trabalhos passam pelos estados Queued, In Progress e Completed, ou seja, na fila, em andamento e concluído. Continuam após o fechamento do navegador. Confira os trabalhos existentes antes de iniciar pesquisas duplicadas.

O guia da Microsoft para pesquisar o log de auditoria explica permissões, resultados e exportação. Os arquivos exportados usam valores separados por vírgulas (CSV), um formato tabular, e podem conter dados pessoais ou sensíveis à segurança. Guarde-os no local aprovado para a investigação e não anexe exportações brutas a publicações abertas ao público.

Exemplo de pesquisa para investigar alterações no compartilhamento de arquivos

Suponha que você esteja investigando "quem alterou as configurações de compartilhamento deste arquivo esta manhã". Como o proprietário do arquivo e a pessoa que fez a alteração podem ser diferentes, pesquisar apenas com o proprietário na fase em que o autor da ação é desconhecido pode fazer você perder resultados importantes.

1. Obtenha o endereço do site onde o arquivo está localizado, o caminho para o arquivo e o horário em que o problema foi descoberto. Use a localização real para diferenciar arquivos com o mesmo nome.
2. Converta o horário do incidente para UTC usando o deslocamento local correto, incluindo o horário de verão quando relevante. Por exemplo, Horário Padrão da Coreia (KST) é UTC+09:00: 10:00–12:00 KST é 01:00–03:00 UTC na mesma data. A meia-noite pode mudar a data: 00:30 KST em 14 de novembro é 15:30 UTC em 13 de novembro.
3. Escolha atividades de compartilhamento de arquivos ou pastas em Atividades - nomes amigáveis. Se você usar Atividades - nomes de operações, copie o nome exato do catálogo de atividades de auditoria da Microsoft; não traduza nem adivinhe os nomes das operações.
4. Informe o endereço ou nome necessário para os filtros de arquivo, pasta ou site. Se não souber quem fez a alteração, deixe o filtro de usuário em branco. Use um identificador do incidente no nome da pesquisa para diferenciá-la das demais.
5. Uma vez concluída a tarefa de pesquisa, compare atividades, carimbos de data/hora, usuários e itens afetados juntos, e abra os detalhes dos itens relacionados. Se não houver resultados devido a condições excessivamente restritas, ajuste o intervalo de arquivos e as condições de atividade uma por uma.

A Pesquisa por Palavra-chave busca conteúdo indexado no esquema comum de auditoria; ela não pesquisa todas as propriedades nos dados detalhados AuditData. Esses detalhes podem estar representados em JavaScript Object Notation (JSON), um formato de dados estruturado. Se uma consulta por palavra-chave para uma propriedade específica não encontrar nada, verifique se esse campo está indexado antes de tirar conclusões. Comece com critérios claros, como o período, a atividade e a localização real do arquivo.

Pontos para ter cuidado ao interpretar resultados

Vários eventos relacionados podem permanecer para uma atividade, ou o momento em que o registro fica disponível pode diferir por serviço. Contas automatizadas, aplicativos ou tarefas delegadas também podem aparecer com nomes de usuário diferentes. Se for um incidente importante, verifique os logs detalhados e os registros de alterações de configuração do serviço com a explicação do usuário. Siga os padrões de processamento de dados da organização para que os resultados da auditoria não sejam duplicados ou retidos desnecessariamente mesmo após a finalidade da investigação ser concluída.

Por exemplo, um registro de auditoria da criação de link de compartilhamento mostra que um link foi criado naquele momento. Isso não prova que um destinatário externo leu o conteúdo. Um registro de acesso ou download de arquivo também não estabelece, por si só, a intenção do usuário ou cópia externa posterior. Distinga a alegação do incidente do que os registros específicos suportam.

Quando não há resultados ou são necessárias exportações

• Atividade recente: Considere a latência de coleta e verifique primeiro se o trabalho de busca existente foi concluído. Para consultar novamente, use Copiar esta pesquisa para reutilizar os critérios e iniciar uma nova busca, ajustando o escopo, se necessário.
• Erros de Período/Tempo: Compare o UTC com o horário local, verifique a data antes e depois da meia-noite. Além disso, confirme o período de retenção.
• Erros de Alvo/Permissão: Verifique se a organização atual e o escopo de administrador, bem como o ator e o repositório reais, estão corretos. Não procure arquivos do SharePoint na localização do OneDrive de um usuário individual.
• Erros de Condição de Atividade: Verifique o nome exato da operação, a disponibilidade de suporte ao serviço e o status da coleta de auditoria. Reduza uma condição de cada vez para encontrar a causa.

Selecione Exportar a partir de uma pesquisa concluída para analisar os resultados como CSV. O portal suporta até 50.000 linhas exportadas para Auditoria (Standard) e 1.000.000 para Auditoria (Premium). Divida uma investigação maior em intervalos de datas ou destinatários e verifique se suas exportações cobrem os resultados desejados. Mantenha a exportação original inalterada e converta os fusos horários em uma cópia de análise para que você possa comparar seu trabalho com os registros originais.

Os registros de investigação incluem as condições e o fuso horário da pesquisa, o ID e o horário do trabalho de pesquisa, eventos-chave e quaisquer intervalos que ainda não foram confirmados. Para falhas de login, verifique em conexão com investigação de login do Microsoft Entra, e para entrega de e-mail, verifique em conexão com rastreamento de mensagens, e não conclua que um incidente não ocorreu apenas porque um registro está ausente.