purview-audit

Microsoft Purview Audit

Microsoft Purview Audit 记录 Microsoft 365 服务中的用户和管理员活动，并支持搜索这些活动，以用于安全调查、取证和合规。它是事件响应团队首先会用到的工具，也是领导层最希望自己当初配置得更好的工具。

适用场景

调查事件、支持电子取证与合规工作，以及满足 Microsoft 365 服务的监管日志记录要求。

不要将此技能用于登录或身份日志（请使用 Entra ID 登录日志 / Defender XDR），也不要用于 Azure 资源活动（请通过 Sentinel 使用 Azure Activity Log）。

选择合适的层级和保留期限

需求	层级	保留期限
日常运维所需的核心管理员/用户操作	Audit (Standard)	默认约 180 天
数据泄露调查（MailItemsAccessed、Send、SearchQueryInitiated）	Audit (Premium)	默认 1 年
受监管行业 / 法律保全场景	Audit (Premium) + 10 年附加项	最长 10 年
长期 SIEM/UEBA 关联分析	通过 Office 365 connector 流式传输到 Sentinel	Sentinel 保留期限

经验法则：在事件发生之前确认层级和保留期限——默认保留期限是最常见的缺口，它会让“我们有审计日志”变成“我们没有合适的日志”。

方法

1. 确认层级——Audit (Standard) 提供核心日志记录和默认保留期限；Audit (Premium) 增加更长的默认保留期限（1 年，通过附加项可延长至 10 年）、更高的带宽，以及访问关键/高价值事件（例如 MailItemsAccessed、Send、SearchQueryInitiated）的权限，这些事件对取证很有价值。 验证：针对已知用户的 MailItemsAccessed 示例查询会返回结果。
2. 确认已启用审计——确认租户已启用审计日志记录（新式租户默认应已启用，但旧租户可能已将其关闭）。 验证：Get-AdminAuditLogConfig / 门户显示审计数据正在采集。
3. 配置保留策略——审计日志保留策略可延长或缩短特定记录类型/工作负载/活动的保留期限；应根据最重要的调查手册来制定策略。 验证：至少为高管配置涵盖 MailItemsAccessed、FileAccessed、SearchQueryInitiated 的保留策略。
4. 搜索——使用 Purview 门户中的审计搜索（或 Office 365 Management Activity API / Microsoft Graph audit API），按用户、活动、工作负载和时间进行查询。 验证：测试调查查询在审计搜索预期的 SLA 内返回结果。
5. 投入运营——将审计数据流式传输到 Sentinel/SIEM，以便进行关联分析和长期分析；记录调查人员使用的操作手册。 验证：Sentinel 中的 Office 365 connector 显示数据正在采集，并且已配置工作簿。
6. 演练——使用审计日志开展桌面演练，回答“谁在什么时候外传了什么”；记录保留期限或高级事件方面的任何缺口。

防护措施

• 在事件发生之前确认保留期限符合监管要求——对于你所在的行业，或发现数据泄露所需的时间，默认保留期限可能并不足够。
• 仅限 Premium 的事件（例如 MailItemsAccessed）对数据泄露调查至关重要——请确认已获得相应许可，并且你可能需要调查的每位用户都在持续生成这些事件。
• 审计搜索存在延迟；应据此设计调查流程，并优先使用 Sentinel/KQL 对热数据进行迭代式关联分析。
• 严格限制审查人员的访问权限——审计数据可能暴露敏感活动；请使用 eDiscovery / Audit 角色组，而非 Global Admin。
• 将审计配置视为一项需要变更管理的安全控制——关闭审计必须可审计且会触发告警。

常见反模式

• 假设 Premium 事件会自动流入，但未确认每位用户的许可证。
• 仅使用默认保留设置，事后才发现可调查的事件时间范围只能追溯到 9 个月前。
• 时间紧迫时在 Purview 门户中调查，而不是使用预先构建的 Sentinel KQL。
• 未为关键事件设置保留策略，导致最重要记录的保留期限回退为默认值。
• 向大型群组授予租户范围的审计读取者权限。

示例提示词

• Search the Microsoft 365 audit log to investigate user activity.
• Configure audit log retention and confirm Audit Premium events.
• How do I export audit data via the Microsoft Graph audit API?
• Set up forensic logging for crucial audit events.
• Stream Microsoft 365 audit to Sentinel and build an investigation workbook.

Microsoft Learn

• 审计解决方案概述：https://learn.microsoft.com/purview/audit-solutions-overview
• Audit Standard 与 Premium：https://learn.microsoft.com/purview/audit-premium
• 搜索审计日志：https://learn.microsoft.com/purview/audit-search
• 审计日志保留策略：https://learn.microsoft.com/purview/audit-log-retention-policies
• Office 365 Management Activity API：https://learn.microsoft.com/office/office-365-management-api/office-365-management-activity-api-reference