Microsoft 365 / 使用审核日志查询用户与管理员活动
要在 Microsoft 365 中确认用户或管理员的操作，请使用 Microsoft Purview 的 审核日志搜索。缩小调查对象、活动类型和发生期间后，解读结果的时间、操作和对象。审核日志是用于调查实际活动的资料，而不是保存所有服务所有详细操作的无限记录。
通过审核日志可以确认什么内容？
可以查询多个 Microsoft 365 服务的用户和管理员活动，如文件访问与共享、邮箱操作、组与设置更改等。收集的事件类型、可搜索时间点和保留期限取决于服务和许可证。请在微软的 Purview 审核入门指南 中确认当前组织的功能和条件。
如果想调查登录成功或失败，比起 Purview 审计搜索，Microsoft Entra 登录日志会提供更直接的资料。邮件的投递路径请使用 Exchange 消息跟踪。选择符合问题的日志，比增加搜索条件更重要。
审计搜索的准备
- 确定一个要确认的问题。例如：“谁在什么时候更改了此文件的共享设置？”
- 获取目标用户、文件·站点或操作的识别信息。
- 确认发生时间和时区。屏幕显示时间与日志时区可能不同。
- 确认审计搜索权限。没有权限并不意味着没有结果，而是可能处于无法搜索的状态。
查询权限·保留期限·收集延迟确认
在审核搜索和导出中，需要 Purview 的 审核读取角色（Audit Reader） 或 审核管理角色（Audit Manager） 等审计日志角色。如果为角色指定了管理单元范围，搜索的对象也可能会受到限制。不要仅因为是 Exchange 或 Teams 的管理员，就假设可以查看整个 Purview 的日志。
Audit(Standard) 的默认保留期目前为 180 天。具有适当 Premium 许可证的用户的某些服务活动可能适用默认 1 年保留等其他条件，因此不能仅凭“管理员有一个许可，所有内容都保留 1 年”来判断。需要同时确认原始活动用户的许可证、服务及适用的保留策略。
最近的活动可能不会立即显示。微软解释说，在主要服务中通常会有 60~90 分钟的反映时间，但不保证固定时间。超出保留期或未收集的活动，即使扩大搜索条件也不会出现。请首先确认当前组织的审计收集状态以及所需活动的支持情况。
在 Purview 中搜索
- 进入 Microsoft Purview 门户的 [审核]，并在搜索界面中设置日期范围。
- 筛选目标用户和活动类型。与其从一开始就设置太多条件，不如从核心条件开始。
- 执行搜索并打开结果，查看操作时间、用户、目标对象及详细信息。如有必要，将事件 ID 或记录留在内部调查文档中。
- 如果没有结果，检查范围和时区、搜索权限、日志收集延迟，以及该活动是否属于审计对象。仅因没有日志而得出操作未发生的结论是不正确的。
如果门户首页未显示审核入口，请在查看所有解决方案 → 审核中查找。执行搜索后，将生成等待、进行中、完成状态的任务。关闭界面不会取消任务，因此与其多次创建相同的搜索，不如检查现有任务的状态。
可在 Microsoft 的审计日志搜索文档中查看搜索权限、结果格式及导出方法。导出的 CSV（逗号分隔值文件）可能包含个人信息和安全敏感内容，因此不要以原始形式附在公开文章中。
调查文件共享变更的搜索示例
假设我们要调查“今天上午谁更改了这个文件的共享范围”。由于文件所有者和更改者可能不同，在不知道行为人的阶段，如果只以一个所有者来搜索，可能会遗漏重要结果。
- 获取文件所在的网站地址、该文件路径以及发现问题的时间。为了区分同名文件，使用实际位置。
- 确认搜索日期·时间的UTC显示。UTC是协调世界时，比韩国时间(KST)慢9小时。如果调查韩国时间10:00~12:00，则转换为同一天的UTC 01:00~03:00。接近午夜时还需确认日期是否会改变。
- 从活动的显示名称列表中选择与文件·文件夹共享相关的活动。如果直接输入准确的操作名称，必须与官方活动列表的名称一致，不要输入随意翻译或推测名称。
- 在文件·文件夹·网站条件中指定必要的地址·名称范围，如果不知道更改者，则搜索时用户条件留空。搜索名称中使用可区分事件的标识符。
- 完成搜索操作后，将活动、时间、用户和对象一起比较，并打开相关条目的详细信息。如果条件过于狭窄而没有结果，请逐一调整文件范围和活动条件。
关键字搜索并不能完全检索日志中的所有 JSON 详细内容。将特定属性放入关键字后如果没有结果，请确认该字段是否在搜索范围内。初期最好使用如时间段、活动、实际文件位置等含义明确的条件来确定范围。
解释结果时需要注意的事项
一个活动可能会留下多个相关事件，或者各服务记录的反映时间可能不同。自动化帐户、应用程序或委托操作的用户名称可能显示不同。如果是重要事件，请交叉确认该服务的详细日志、设置变更记录以及用户说明。在调查目的结束后，请按照组织的数据处理规范，避免不必要地复制或保存审计结果。
例如，共享链接创建记录表示当时创建了链接的事实，并不等于外部人员实际阅读了内容的证据。即使存在文件访问或下载活动，也不能仅凭这一条记录就确定用户意图或之后的外部复制。请区分事件声明和记录所证明的范围。
当没有结果或需要导出时
- 最近操作: 考虑到收集延迟，可重新执行相同搜索或以新条件进行搜索，但需先确认现有操作是否完成。
- 期间·时间段错误: 对照 UTC 与本地时间，以及午夜前后的日期。也要确认可保存的期限。
- 对象·权限错误: 确认当前组织和管理员范围，以及实际行为者·存储位置是否正确。不要在个人 OneDrive 路径中查找 SharePoint 文件。
- 活动条件错误: 确认输入的操作名称、服务支持情况及审计收集状态。逐一减少筛选条件以找出原因。
从已完成的搜索结果中选择 导出，便可进行 CSV 分析。由于按产品导出的行数有限，如果结果较多，则分期·分对象导出，并对比是否包含全部结果。保留 CSV原始文件，在用于分析的副本中转换时区，便于与原始记录比较。
调查记录中会留下搜索条件和时间段、结果作业ID·时间、核心事件以及尚未确认的范围。登录故障请与Entra登录调查、邮件投递请与消息跟踪关联确认，仅凭缺少某一日志不会得出事件不存在的结论。
