Microsoft 365 / Rechercher les activités dans les journaux d’audit Purview

Pour vérifier quelles actions un utilisateur ou un administrateur a effectuées dans Microsoft 365, utilisez la Recherche dans le journal d’audit de Microsoft Purview. Limitez la recherche à la personne cible, au type d’activité et à la période de survenue, puis interprétez le temps, l’action et la cible dans les résultats. Les journaux d’audit sont des documents pour enquêter sur les activités réelles, et non des enregistrements stockant toutes les actions détaillées de tous les services sans limite.

Que pouvez-vous vérifier avec les journaux d’audit ?

Vous pouvez consulter des activités telles que l’accès et le partage de fichiers, les opérations de boîte aux lettres et les modifications de groupes ou de paramètres. Les événements collectés, leur disponibilité dans les recherches et leur conservation dépendent du service et de la licence. Vérifiez les possibilités de votre organisation dans le guide de Microsoft pour démarrer avec l’audit Purview.

Si vous souhaitez enquêter sur les réussites et les échecs de connexion, les journaux de connexion Microsoft Entra fournissent des informations plus directes que les recherches d'audit Purview. Pour les chemins de livraison des mails, utilisez le suivi des messages Exchange. Choisir le journal approprié pour votre question est plus important que d'élargir les termes de recherche.

Préparer les recherches d'audit

• Décidez d'une question à vérifier. Par exemple : "Qui a modifié les paramètres de partage de ce fichier et quand ?"
• Relevez le compte de l’utilisateur, l’adresse du fichier ou du site et l’activité à examiner.
• Vérifiez l'heure d'occurrence et le fuseau horaire. L'heure affichée à l'écran peut différer du fuseau horaire du journal.
• Vérifiez les autorisations de recherche dans l'audit. L'absence d'autorisations ne signifie pas qu'il n'y a pas de résultats ; cela peut signifier que vous ne pouvez pas effectuer la recherche.

Vérifiez les autorisations de visualisation, la période de conservation et les délais de collecte

La recherche et l’exportation nécessitent le rôle Audit Logs ou View-Only Audit Logs dans Microsoft Purview. Le groupe de rôles Audit Reader comprend les autorisations de recherche et d’exportation ; Audit Manager offre des capacités plus étendues. Les unités administratives attribuées peuvent limiter les enregistrements accessibles. Retirer un filtre n’élargit pas vos autorisations. Un rôle d’administrateur Exchange ou Teams ne donne pas automatiquement accès à tous les journaux de Purview.

L'audit (Standard) conserve les enregistrements pendant 180 jours par défaut. Pour les utilisateurs d'Audit (Premium) disposant d'une licence appropriée, les activités Microsoft Entra ID, Exchange et SharePoint ont une rétention par défaut d'un an ; les autres activités et les stratégies de rétention configurées peuvent avoir des conditions différentes. Vérifiez la licence de l'utilisateur qui a effectué l'activité, le service et la politique de rétention applicable. Un administrateur disposant d’une licence ne rend pas les enregistrements d'audit de tous les utilisateurs éligibles à une rétention d'un an.

Les activités récentes peuvent ne pas être immédiatement consultables. Microsoft indique une disponibilité typique de 60 à 90 minutes pour les services principaux tels qu'Exchange, SharePoint, OneDrive et Teams, mais ne garantit pas cet intervalle. La latence de collecte est distincte du temps nécessaire à l’exécution d’une recherche. Une requête plus large ne peut pas récupérer des événements qui n’ont jamais été collectés ou qui dépassent la période de conservation. Vérifiez d’abord l’état de collecte des audits de l’organisation et si l’activité requise est prise en charge.

Recherche dans Purview

1. Ouvrez Audit → Recherche dans le portail Microsoft Purview et définissez la Plage de dates et d’heures (UTC) en temps universel coordonné. Une recherche couvre au maximum 180 jours ; cette limite est indépendante de la durée de conservation des données. Répartissez une période plus longue encore conservée en plusieurs fenêtres de recherche.
2. Filtrez par utilisateur cible et type d'activité. Commencez par les conditions clés plutôt que d'ajouter trop de conditions dès le départ.

3. Exécutez la recherche et ouvrez les résultats pour vérifier l’horodatage de l’activité, l’utilisateur, l'objet cible et les détails. Si nécessaire, consignez l’identifiant de l’événement ou l’enregistrement dans le document d'enquête interne.
4. S'il n'y a pas de résultats, vérifiez la portée et le fuseau horaire, les autorisations de recherche, les délais de collecte des journaux et si l'activité est soumise à audit. Ne concluez pas qu'aucune activité n'a eu lieu simplement parce qu'il n'y a pas de journaux.

Si Audit est absent de la page d'accueil du portail, sélectionnez Afficher toutes les solutions → Audit. Une recherche crée un travail avec le statut En file d'attente, En cours ou Terminé. Elle continue après la fermeture du navigateur, il est donc conseillé de vérifier les travaux existants plutôt que de lancer des recherches dupliquées.

Le guide de Microsoft sur la recherche dans le journal d’audit explique les autorisations, les résultats et l’exportation. Les exports utilisent des valeurs séparées par des virgules (CSV), un format de données tabulaires, et peuvent contenir des informations personnelles ou sensibles pour la sécurité. Conservez-les dans l’emplacement approuvé pour l’investigation et ne joignez pas les exports bruts à des publications publiques.

Exemple de recherche pour l’investigation des modifications de partage de fichiers

Supposons que vous enquêtiez sur « qui a modifié les paramètres de partage de ce fichier ce matin ». Puisque le propriétaire du fichier et la personne ayant effectué la modification peuvent être différents, rechercher uniquement avec le propriétaire à l’étape où l’acteur est inconnu pourrait vous faire manquer des résultats importants.

1. Obtenez l'adresse du site où le fichier est situé, le chemin vers le fichier et l'heure à laquelle le problème a été découvert. Utilisez l'emplacement réel pour distinguer les fichiers portant le même nom.
2. Convertissez l'heure de l'incident en UTC en utilisant le décalage local correct, y compris l'heure d'été le cas échéant. Par exemple, l'heure standard de Corée (KST) est UTC+09:00 : 10:00–12:00 KST correspond à 01:00–03:00 UTC à la même date. Minuit peut changer la date : 00:30 KST le 14 novembre correspond à 15:30 UTC le 13 novembre.
3. Choisissez les activités de partage de fichiers ou de dossiers sous Activités - noms conviviaux. Si vous utilisez Activités - noms des opérations, copiez le nom exact depuis le catalogue des activités d’audit de Microsoft ; ne traduisez pas et ne devinez pas les noms des opérations.
4. Indiquez l’adresse ou le nom nécessaire pour les filtres de fichier, dossier ou site. Si vous ignorez qui a effectué la modification, laissez le filtre Utilisateurs vide. Utilisez un identifiant de l’incident dans le nom de la recherche pour la distinguer des autres.
5. Une fois la tâche de recherche terminée, comparez les activités, les horodatages, les utilisateurs et les éléments affectés ensemble, et ouvrez les détails des éléments associés. S'il n'y a aucun résultat en raison de conditions trop restrictives, ajustez la plage de fichiers et les conditions d'activité une par une.

La recherche par mot-clé recherche le contenu indexé dans le schéma d'audit commun ; elle ne recherche pas chaque propriété dans les données détaillées AuditData. Ces détails peuvent être représentés en JavaScript Object Notation (JSON), un format de données structuré. Si une requête par mot-clé pour une propriété spécifique ne trouve rien, vérifiez si ce champ est indexé avant de tirer des conclusions. Commencez avec des critères clairs tels que la période, l'activité et l'emplacement réel du fichier.

Points auxquels il faut faire attention lors de l'interprétation des résultats

Plusieurs événements liés peuvent rester pour une seule activité, ou le délai d’apparition des enregistrements peut varier selon le service. Les comptes automatisés, les applications ou les tâches déléguées peuvent également apparaître avec des noms d'utilisateur différents. S'il s'agit d'un incident important, recoupez les journaux détaillés et les enregistrements de modifications de configuration du service avec l'explication de l'utilisateur. Suivez les normes de traitement des données de l'organisation afin que les résultats de l'audit ne soient pas inutilement dupliqués ou conservés même après que l'objectif de l'enquête est atteint.

Par exemple, un enregistrement d'audit de création de lien de partage montre qu'un lien a été créé à ce moment-là. Cela ne prouve pas qu'un destinataire externe a lu le contenu. Un enregistrement d'accès ou de téléchargement de fichier n'établit pas non plus l'intention de l'utilisateur ou une copie externe ultérieure à lui seul. Distinguez l'allégation d'incident de ce que les enregistrements spécifiques prouvent.

Lorsqu’aucun résultat n’est trouvé ou que des exports sont nécessaires

• Activité récente : Tenez compte de la latence de collecte et vérifiez d'abord si le travail de recherche existant est terminé. Pour interroger à nouveau, utilisez Copier cette recherche pour réutiliser les critères et démarrer une nouvelle recherche, en ajustant la portée si nécessaire.
• Erreurs de période/heure : Comparez l'heure UTC et l'heure locale, vérifiez la date avant et après minuit. Confirmez également la période de rétention.
• Erreurs de cible/permission : Vérifiez si l'organisation actuelle et l'étendue de l'administrateur, ainsi que l'acteur réel et le dépôt, sont corrects. Ne recherchez pas de fichiers SharePoint dans l'emplacement du OneDrive d'un utilisateur individuel.
• Erreurs de condition d'activité : Vérifiez le nom exact de l'opération, la disponibilité du support du service et l'état de la collecte des audits. Réduisez une condition à la fois pour en trouver la cause.

Sélectionnez Exporter à partir d'une recherche terminée pour analyser les résultats au format CSV. Le portail prend en charge jusqu'à 50 000 lignes exportées pour Audit (Standard) et 1 000 000 pour Audit (Premium). Divisez une enquête plus grande en plages de dates ou de destinataires et vérifiez que vos exports couvrent les résultats souhaités. Gardez l'export original inchangé et convertissez les fuseaux horaires dans une copie d'analyse afin de pouvoir comparer votre travail avec les enregistrements originaux.

Les dossiers d'enquête incluent les conditions de recherche et le fuseau horaire, l'ID et l'heure de la tâche de recherche, les événements clés, et toutes les plages qui n'ont pas encore été confirmées. Pour les échecs de connexion, vérifiez en rapport avec l'enquête sur la connexion Microsoft Entra, et pour la livraison des mails, vérifiez en rapport avec la traçabilité des messages, et ne concluez pas qu'un incident n'a pas eu lieu uniquement parce qu'un journal est manquant.