Logs d'audit Microsoft 365
Aperçu
Lakewatch est en aperçu privé. Pour demander l'accès, contactez l'équipe de votre compte Databricks.
Lakewatch fournit un connecteur d'API pour ingérer les logs d'audit depuis Microsoft 365. Cet article couvre les prérequis, les instructions de configuration, les schémas de connecteur et les observables de l'analyseur Lakewatch.
Prérequis
Le connecteur nécessite :
- Lakeflow Spark Declarative Pipelines Serverless est activé dans votre workspace.
- Unity Catalog, avec les privilèges de créer ou d’utiliser une connexion Unity Catalog. Voir Autorisations de connexion.
- L'audit unifié Office 365 est activé pour votre organisation.
- Autorisation d'inscrire une application dans Microsoft Entra ID.
- Autorisation d'accorder un consentement d'administrateur à l'échelle du tenant pour les APIs de gestion de Office 365.
Limitations connues
- Le SCD de type 2 n'est pas pris en charge, car les logs d'audit de Microsoft 365 ne permettent que l'ajout.
- Conformément à la documentation de l’API Microsoft 365 Management, les logs d’audit ne peuvent être récupérés qu’après la création et l’activation d’un abonnement pour récupérer les blobs de contenu. Le connecteur tente de créer et d’activer l’abonnement au start de l’ingestion. Par conséquent, si un abonnement n’est pas déjà activé, le connecteur n’ingère que les enregistrements d’audit générés après l’activation de l’abonnement. Nous vous recommandons également de ne pas désactiver l’abonnement en cours de route afin d’éviter toute perte de données potentielle.
- L'API de gestion Microsoft 365 fournit l'accès aux logs d'audit uniquement pour les sept derniers jours à compter de la création de l'abonnement. Par conséquent, si l’intervalle entre deux exécutions consécutives du pipeline dépasse sept jours, le connecteur n’ingère que les logs correspondant à la semaine passée. Pour éviter toute perte de données, planifiez l’exécution du pipeline à des intervalles nettement inférieurs à 7 jours.
- L’analyse rétrospective ne peut pas dépasser les 7 jours pendant lesquels Microsoft 365 conserve les logs d'audit. Voir Choisir la profondeur de l'ingestion.
Configurer Microsoft 365 pour l’ingestion
Dans cette étape, vous enregistrez une application dans le portail Azure pour permettre l’authentification depuis Databricks.
Enregistrer l'application
- Accédez au portail Azure et recherchez Microsoft Entra ID .
- Dans le volet gauche, accédez à Gérer > Inscriptions des applications et cliquez sur Nouvelle inscription .
- Sur la page Enregistrer une application :
- Saisissez un nom d'affichage destiné à l'utilisateur pour votre application.
- Dans Types de comptes pris en charge, sélectionnez tenant unique uniquement -<your tenant name> \.
- Laissez l’URI de redirection vide.
- Cliquez sur Inscrire .
Créer un secret client
- Dans le volet de gauche de la page de l’application enregistrée, accédez à Gérer > Certificats et secrets , puis cliquez sur Nouveau secret client .
- Dans le panneau qui s'ouvre, saisissez une description du secret, sélectionnez 24 mois pour Expiration et cliquez sur Ajouter .
- Notez la valeur de l’identifiant, pas l’ ID secret . Vous utiliserez cette valeur à l'étape suivante.
Configurer les autorisations de l’API
-
Ajouter des autorisations déléguées :
- Dans le panneau de gauche, accédez à Gérer > Autorisations API et cliquez sur Ajouter une autorisation .
- Dans le panneau Demander des autorisations d’API , cliquez sur APIs de gestion Office 365 .
- Cliquez sur Autorisations déléguées .
- Sélectionnez
ActivityFeed.Read,ActivityFeed.ReadDlpetServiceHealth.Read. - Cliquez sur Ajouter des autorisations .
-
Répétez les étapes d'autorisation pour les autorisations d'application :
- Cliquez sur Ajouter une autorisation .
- Dans le panneau Demander des autorisations d’API , cliquez sur APIs de gestion Office 365 .
- Cliquez sur Autorisations d’application .
- Sélectionnez
ActivityFeed.Read,ActivityFeed.ReadDlpetServiceHealth.Read. - Cliquez sur Ajouter des autorisations .
-
Dans la page Permissions d’API, cliquez sur Accorder le consentement de l’administrateur pour \, à<your organization> côté de Ajouter une permission, puis cliquez sur Oui dans la fenêtre contextuelle de confirmation.
Copier les identifiants d’application
- Dans le volet gauche, accédez à Présentation .
- Notez l' ID de l'application (client) et l' ID du répertoire (tenant) . Vous les utiliserez à l'étape suivante.
Lors de la création d'une connexion via l'interface utilisateur Lakewatch, vous avez besoin de l' ID client , du secret client et de l' ID de tenant collectés ci-dessus.
Étapes suivantes
Une fois la configuration terminée, créez une source de données avec le connecteur Microsoft 365 dans l'interface utilisateur de Lakewatch. Voir Connecteurs API pour obtenir des instructions.
Schémas de connecteur et Lakewatch
Le connecteur Microsoft 365 Audit Logs prend en charge cinq tables sources dans le schéma source default. Microsoft peut ajouter des champs et des types d'événement à ces charges utiles. Pour les définitions de champ, voir le schéma de l'API de gestion d'activité Microsoft 365.
Table source | Type de contenu Microsoft | Analyseur Lakewatch intégré |
|---|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Le connecteur écrit chaque table source sélectionnée vers la destination brute de la source de données. Chaque table source possède un analyseur intégré enregistré qui écrit une table analysée séparée nommée d'après l'analyseur, sauf si vous définissez une destination analysée lorsque vous configurez la source de données.
Colonnes gérées par Lakewatch
Le connecteur ajoute les colonnes suivantes à chaque ligne source brute :
lw_id: Chaîne non nulle que Lakewatch utilise comme clé primaire. Le connecteur dérivé un ID stable et triable par heure à partir des champs MicrosoftCreationTimeetId. L’ID prend en charge la déduplication entre les synchronisations incrémentielles.time: Timestamp UTC non nul analysé à partir deCreationTime. Le connecteur utilisetimecomme champ de curseur pour l’ingestion incrémentale.
Les tables analysées reportent lw_id. L’analyseur attribue également la colonne time analysée et ajoute :
lw_meta: métadonnées de traitement standard de Lakewatch.lw_observables: Valeurs extraites de champs marqués comme observables de sécurité dans le processeur.
Pour plus d’information, consultez la référence de l’analyseur.
Schémas de table de connecteur bruts
Les schémas suivants combinent les champs d’événement Microsoft 365 avec lw_id et time.
audit_azure_active_directory
Capture les événements d'audit Azure Active Directory, notamment les connexions des utilisateurs, l'accès aux applications et les modifications apportées à l'annuaire. Pour plus d'informations sur le schéma, reportez-vous aux documents de l'API de gestion Microsoft 365.
Schéma
Champ | Type de données |
|---|---|
lw_id | chaîne |
Heure | Horodatage |
ID | chaîne |
Type d’enregistrement | entier |
Heure de création | Horodatage |
Opérations | chaîne |
IdOrganisation | chaîne |
Type d’utilisateur | entier |
Clé utilisateur | chaîne |
Workload | chaîne |
Version | entier |
StatutRésultat | chaîne |
ID d’objet | chaîne |
ID utilisateur | chaîne |
IPClient | chaîne |
Champ d'application | chaîne |
Contexte d'accès à l'application | structure |
AppAccessContext.AADSessionId | chaîne |
AppAccessContext.APIId | chaîne |
AppAccessContext.ClientAppId | chaîne |
AppAccessContext.ClientAppName | chaîne |
AppAccessContext.CorrelationId | chaîne |
Type d’événement Azure Active Directory | entier |
Propriétés étendues | array<struct> |
ExtendedProperties.Name | chaîne |
ExtendedProperties.Value | chaîne |
PropriétésModifiées | array<map<string, variant>> |
Propriétés de l’appareil | array<struct> |
DeviceProperties.Name | chaîne |
Propriétés de l’appareil.Valeur | chaîne |
Application | chaîne |
Client | chaîne |
LoginStatus | entier |
Domaine utilisateur | chaîne |
Acteur | array<struct> |
ID d'acteur | chaîne |
Type d'acteur | entier |
ID de contexte de l'acteur | chaîne |
Adresse IP de l’acteur | chaîne |
InterSystemsId | chaîne |
IntraSystemId | chaîne |
IDTicketSupport | chaîne |
Cible | array<struct> |
ID de la cible | chaîne |
Type de cible | entier |
Id de contexte cible | chaîne |
IdentifiantApp | chaîne |
Numéro d'erreur | chaîne |
Erreur de connexion | chaîne |
audit_exchange
Capture les événements d’audit de la boîte aux lettres Exchange, notamment l’accès aux e-mails, les opérations sur les dossiers et les déplacements d’éléments. Pour plus d’informations sur le schéma, consultez la documentation de l’API de gestion de Microsoft 365.
Schéma
Champ | Type de données |
|---|---|
lw_id | chaîne |
Heure | Horodatage |
ID | chaîne |
Type d’enregistrement | entier |
Heure de création | Horodatage |
Opérations | chaîne |
IdOrganisation | chaîne |
Type d’utilisateur | entier |
Clé utilisateur | chaîne |
Workload | chaîne |
Version | entier |
StatutRésultat | chaîne |
ID d’objet | chaîne |
ID utilisateur | chaîne |
IPClient | chaîne |
Champ d'application | chaîne |
Contexte d'accès à l'application | structure |
AppAccessContext.AADSessionId | chaîne |
AppAccessContext.APIId | chaîne |
AppAccessContext.ClientAppId | chaîne |
AppAccessContext.ClientAppName | chaîne |
AppAccessContext.CorrelationId | chaîne |
ModifiedObjectResolvedName | chaîne |
Paramètres | array<struct> |
Nom des parameters | chaîne |
Parameters.Value | chaîne |
PropriétésModifiées | array<map<string, variant>> |
Accès externe | booléen |
Serveur d’origine | chaîne |
Nom d'organisation | chaîne |
Type de connexion | entier |
InternalLogonType | entier |
Guid de la boîte aux lettres | chaîne |
UPN du propriétaire de la boîte aux lettres | chaîne |
MailboxOwnerSid | chaîne |
MailboxOwnerMasterAccountSid | chaîne |
SidUtilisateurDeConnexion | chaîne |
NomAffichageUtilisateurConnecté | chaîne |
Chaîne d'informations client | chaîne |
ClientIPAddress | chaîne |
Nom de la machine cliente | chaîne |
Nom du processus client | chaîne |
VersionClient | chaîne |
Dossier | structure |
Dossier.Id | chaîne |
Chemin du dossier | chaîne |
Folder.FolderItems | array<struct> |
Folder.FolderItems.Id | chaîne |
Dossier.ÉlémentsDossier.IdentifiantImmuable | chaîne |
Dossier.ÉlémentsDeDossier.IdentifiantDeMessageInternet | chaîne |
Folder.FolderItems.CreationTime | Horodatage |
Folder.FolderItems.Subject | chaîne |
Taille en octets des éléments du dossier | long |
Dossier.ÉlémentsDeDossier.Sensibilité | chaîne |
Folder.FolderItems.ClientRequestId | chaîne |
Dossier.ÉlémentsDeDossier.Équipes | variante |
Opérations sur plusieurs boîtes aux lettres | booléen |
DestMailboxId | chaîne |
DestMailboxOwnerUPN | chaîne |
DestMailboxOwnerSid | chaîne |
Sid du compte maître du propriétaire de la boîte aux lettres de destination | chaîne |
DestFolder | structure |
DestFolder.Id | chaîne |
DestFolder.Path | chaîne |
Dossier de destination. Éléments du dossier | array<struct> |
Id.FolderItems.DestFolder | chaîne |
DestFolder.FolderItems.ImmutableId | chaîne |
DestFolder.FolderItems.InternetMessageId | chaîne |
DestFolder.FolderItems.CreationTime | Horodatage |
DestFolder.FolderItems.Subject | chaîne |
DestFolder.FolderItems.SizeInBytes | long |
DestFolder.FolderItems.Sensitivity | chaîne |
DossierDest.ÉlémentsDossier.IdRequêteClient | chaîne |
DestFolder.FolderItems.Teams | variante |
Dossiers | array<struct> |
Dossiers. Id | chaîne |
Chemin d'accès aux dossiers. | chaîne |
Folders.FolderItems | array<struct> |
Dossiers.ÉlémentsDossier.Id | chaîne |
ID immuable des éléments de dossier | chaîne |
Dossiers.Éléments de dossier.ID de message Internet | chaîne |
Folders.FolderItems.CreationTime | Horodatage |
Dossiers.ÉlémentsDossier.Sujet | chaîne |
Dossiers.FolderItems.TailleEnOctets | long |
Folders.FolderItems.Sensitivity | chaîne |
Folders.FolderItems.ClientRequestId | chaîne |
Folders.FolderItems.Teams | variante |
AffectedItems | array<struct> |
AffectedItems.Id | chaîne |
AffectedItems.Subject | chaîne |
AffectedItems.ParentFolder | structure |
ÉlémentsAffectés.DossierParent.Id | chaîne |
AffectedItems.ParentFolder.Path | chaîne |
Éléments affectés. Dossier parent. Éléments du dossier | array<struct> |
AffectedItems.ParentFolder.FolderItems.Id | chaîne |
AffectedItems.ParentFolder.FolderItems.ImmutableId | chaîne |
ID de message Internet des éléments de dossier parent des éléments affectés | chaîne |
AffectedItems.ParentFolder.FolderItems.CreationTime | Horodatage |
AffectedItems.ParentFolder.FolderItems.Subject | chaîne |
ÉlémentsConcernés.DossierParent.ÉlémentsDuDossier.TailleEnOctets | long |
AffectedItems.ParentFolder.FolderItems.Sensitivity | chaîne |
AffectedItems.ParentFolder.FolderItems.ClientRequestId | chaîne |
AffectedItems.ParentFolder.FolderItems.Teams | variante |
Pièces jointes des éléments affectés. | chaîne |
Élément | structure |
Élément.Id | chaîne |
Article.Objet | chaîne |
Item.ParentFolder | structure |
Item.ParentFolder.Id | chaîne |
Item.ParentFolder.Path | chaîne |
Item.ParentFolder.FolderItems | array<struct> |
ID des éléments du dossier parent | chaîne |
Item.ParentFolder.FolderItems.ImmutableId | chaîne |
Item.ParentFolder.FolderItems.InternetMessageId | chaîne |
Item.ParentFolder.FolderItems.CreationTime | Horodatage |
Item.ParentFolder.FolderItems.Subject | chaîne |
Item.ParentFolder.FolderItems.SizeInBytes | long |
Item.ParentFolder.FolderItems.Sensitivity | chaîne |
Item.ParentFolder.FolderItems.ClientRequestId | chaîne |
Item.ParentFolder.FolderItems.Teams | variante |
Élément.Pièces jointes | chaîne |
SendAsUserSmtp | chaîne |
GUID de boîte aux lettres d'envoi en tant qu'utilisateur | chaîne |
SendOnBehalfOfUserSmtp | chaîne |
SendOnBehalfOfUserMailboxGuid | chaîne |
audit_sharepoint
Capture les événements d'audit SharePoint, notamment l'accès aux fichiers, les opérations sur les listes et les activités de partage. Pour plus d’informations sur le schéma, reportez-vous à la documentation de l’API Microsoft 365.
Schéma
Champ | Type de données |
|---|---|
lw_id | chaîne |
Heure | Horodatage |
ID | chaîne |
Type d’enregistrement | entier |
Heure de création | Horodatage |
Opérations | chaîne |
IdOrganisation | chaîne |
Type d’utilisateur | entier |
Clé utilisateur | chaîne |
Workload | chaîne |
Version | entier |
StatutRésultat | chaîne |
ID d’objet | chaîne |
ID utilisateur | chaîne |
IPClient | chaîne |
Champ d'application | chaîne |
Contexte d'accès à l'application | structure |
AppAccessContext.AADSessionId | chaîne |
AppAccessContext.APIId | chaîne |
AppAccessContext.ClientAppId | chaîne |
AppAccessContext.ClientAppName | chaîne |
AppAccessContext.CorrelationId | chaîne |
Site | chaîne |
Type d’élément | chaîne |
EventSource | chaîne |
SourceName | chaîne |
AgentUtilisateur | chaîne |
MachineDomainInfo | chaîne |
ID de machine | chaîne |
ID unique des éléments de liste | chaîne |
ID de liste | chaîne |
IdentifiantApp | chaîne |
ApplicationDisplayName | chaîne |
EstWorkflow | booléen |
URL du site | chaîne |
URL relative à la source | chaîne |
SourceFileName | chaîne |
SourceFileExtension | chaîne |
DestinationRelativeUrl | chaîne |
DestinationFileName | chaîne |
Extension de fichier de destination | chaîne |
UserSharedWith | chaîne |
SharingType | chaîne |
Libellé de la source | chaîne |
Étiquette de destination | chaîne |
Email du propriétaire du label de sensibilité | chaîne |
ID d'étiquette de sensibilité | chaîne |
Titre de la liste | chaîne |
ListName | chaîne |
URL de liste | chaîne |
Type de base de liste | chaîne |
TypeDeModèleDeBaseDeListe | chaîne |
ListeMasquée | booléen |
EstDocLib | booléen |
TargetUserOrGroupName | chaîne |
Type d’utilisateur ou de groupe cible | chaîne |
UniqueSharingId | chaîne |
Événement personnalisé | chaîne |
Données d'événement | chaîne |
PropriétésModifiées | array<map<string, variant>> |
audit_general
Capture divers événements d'audit M365 non couverts par d'autres schémas spécifiques aux charges de travail, avec une charge utile de variante flexible. Pour plus d’informations sur le schéma, reportez-vous à la documentation de l’API de gestion de Microsoft 365.
Schéma
Champ | Type de données |
|---|---|
lw_id | chaîne |
Heure | Horodatage |
ID | chaîne |
Type d’enregistrement | entier |
Heure de création | Horodatage |
Opérations | chaîne |
IdOrganisation | chaîne |
Type d’utilisateur | entier |
Clé utilisateur | chaîne |
Workload | chaîne |
Version | entier |
StatutRésultat | chaîne |
ID d’objet | chaîne |
ID utilisateur | chaîne |
IPClient | chaîne |
Champ d'application | chaîne |
Contexte d'accès à l'application | structure |
AppAccessContext.AADSessionId | chaîne |
AppAccessContext.APIId | chaîne |
AppAccessContext.ClientAppId | chaîne |
AppAccessContext.ClientAppName | chaîne |
AppAccessContext.CorrelationId | chaîne |
charge utile | variante |
dlp_all
Capture les événements de correspondance de politique de prévention de la perte de données (DLP) sur les workloads Exchange, SharePoint et endpoint. Pour plus d'informations sur le schéma, reportez-vous à la documentation de l'API Microsoft 365 Management.
Schéma
Champ | Type de données |
|---|---|
lw_id | chaîne |
Heure | Horodatage |
ID | chaîne |
Type d’enregistrement | entier |
Heure de création | Horodatage |
Opérations | chaîne |
IdOrganisation | chaîne |
Type d’utilisateur | entier |
Clé utilisateur | chaîne |
Workload | chaîne |
Version | entier |
StatutRésultat | chaîne |
ID d’objet | chaîne |
ID utilisateur | chaîne |
IPClient | chaîne |
Champ d'application | chaîne |
Contexte d'accès à l'application | structure |
AppAccessContext.AADSessionId | chaîne |
AppAccessContext.APIId | chaîne |
AppAccessContext.ClientAppId | chaîne |
AppAccessContext.ClientAppName | chaîne |
AppAccessContext.CorrelationId | chaîne |
SharePointMetaData | structure |
SharePointMetaData.From | chaîne |
SharePointMetaData.itemCreationTime | Horodatage |
GUID de collection de sites de métadonnées SharePoint | chaîne |
SharePointMetaData.SiteCollectionUrl | chaîne |
SharePointMetaData.FileName | chaîne |
Métadonnées SharePoint.Propriétaire du fichier | chaîne |
SharePointMetaData.FilePathUrl | chaîne |
SharePointMetaData.DocumentLastModifier | chaîne |
SharePointMetaData.DocumentSharer | chaîne |
SharePointMetaData.UniqueId | chaîne |
SharePointMetaData.LastModifiedTime | Horodatage |
Métadonnées SharePoint.Est visible par les utilisateurs externes | booléen |
Métadonnées d’échange | structure |
ExchangeMetaData.MessageID | chaîne |
ExchangeMetaData.From | chaîne |
ExchangeMetaData.To | array<string> |
ExchangeMetaData.CC | array<string> |
Cci des métadonnées d’échange | array<string> |
ExchangeMetaData.Subject | chaîne |
ExchangeMetaData.Sent | Horodatage |
ExchangeMetaData.RecipientCount | entier |
Métadonnées de point de terminaison | structure |
MétadonnéesDePointDeTerminaison.InformationsSensibles | array<struct> |
Confiance des informations sensibles des métadonnées du point de terminaison | entier |
EndPointMetaData.SensitiveInformation.Count | entier |
Métadonnées de point de terminaison.Informations sensibles.Emplacement | chaîne |
EndPointMetaData.SensitiveInformation.SensitiveType | chaîne |
EndPointMetaData.SensitiveInformation.SensitiveInformationDetections | structure |
EndPointMetaData.SensitiveInformation.SensitiveInformationDetections.DetectedValues | array<struct> |
EndPointMetaData.SensitiveInformation.SensitiveInformationDetections.DetectedValues.Name | chaîne |
Métadonnées du point de terminaison.Informations sensibles.Détections d’informations sensibles.Valeurs détectées.Valeur | chaîne |
EndPointMetaData.SensitiveInformation.SensitiveInformationDetections.ResultsTruncated | booléen |
MétadonnéesPointTerminaison.InformationsSensibles.AttributsClassificationDétailléeInformationsSensibles | array<struct> |
EndPointMetaData.SensitiveInformation.SensitiveInformationDetailedClassificationAttributes.Confidence | entier |
EndPointMetaData.SensitiveInformation.SensitiveInformationDetailedClassificationAttributes.Count | entier |
EndPointMetaData.SensitiveInformation.SensitiveInformationDetailedClassificationAttributes.IsMatch | booléen |
Type d’informations sensibles des métadonnées du point de terminaison | chaîne |
EndPointMetaData.SensitiveInformation.UniqueCount | entier |
EndPointMetaData.EnforcementMode | chaîne |
EndPointMetaData.FileExtension | chaîne |
EndPointMetaData.FileType | chaîne |
Nom de l'appareil des métadonnées du point de terminaison | chaîne |
ExceptionInfo | chaîne |
PolicyDetails | array<struct> |
DétailsDeLaPolitique.IdentifiantDeLaPolitique | chaîne |
Nom de la politique | chaîne |
PolicyDetails.Rules | array<struct> |
Détails de la stratégie.Règles.ID de la règle | chaîne |
PolicyDetails.Rules.RuleName | chaîne |
PolicyDetails.Rules.Actions | array<string> |
PolicyDetails.Rules.OverriddenActions | array<string> |
PolicyDetails.Rules.Severity | chaîne |
Mode de règle des détails de politique | chaîne |
PolicyDetails.Rules.ConditionsMatched | structure |
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation | array<struct> |
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.Confidence | entier |
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.Count | entier |
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.Location | chaîne |
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveType | chaîne |
Détails de la stratégie.Règles.Conditions correspondantes.Informations sensibles.Détections d'informations sensibles | structure |
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetections.DetectedValues | array<struct> |
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetections.DetectedValues.Name | chaîne |
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetections.DetectedValues.Value | chaîne |
Détections d’informations sensibles. Résultats tronqués. | booléen |
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetailedClassificationAttributes | array<struct> |
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetailedClassificationAttributes.Confidence | entier |
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetailedClassificationAttributes.Count | entier |
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetailedClassificationAttributes.IsMatch | booléen |
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationTypeName | chaîne |
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.UniqueCount | entier |
PolicyDetails.Rules.ConditionsMatched.DocumentProperties | array<struct> |
PolicyDetails.Rules.ConditionsMatched.DocumentProperties.Name | chaîne |
PolicyDetails.Rules.ConditionsMatched.DocumentProperties.Value | chaîne |
Détails de la politique.Règles.Conditions remplies.Autres conditions | array<struct> |
PolicyDetails.Rules.ConditionsMatched.OtherConditions.Name | chaîne |
PolicyDetails.Rules.ConditionsMatched.OtherConditions.Valeur | chaîne |
SensitiveInfoDetectionIsIncluded | booléen |
Observables d’analyseur
Chaque analyseur intégré extrait les champs listés ci-dessous dans lw_observables.
microsoft365_audit_azure_active_directory
Observables
Champ | Observable |
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
microsoft365_audit_exchange
Observables
Champ | Observable |
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
microsoft365_audit_sharepoint
Observables
Champ | Observable |
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
microsoft365_audit_general
Observables
Champ | Observable |
|---|---|
|
|
|
|
|
|
|
|
|
|
Le champ Audit.General contient des clés d'événement qui n'ont pas de colonne dans le schéma commun. Sa forme varie donc en fonction de la charge de travail. L'analyseur analyse également le champ payload et extrait les valeurs ip, domain, hostname, url, email, username, actor_id et trace_id dans lw_observables en faisant correspondre les noms des sous-champs.
microsoft365_dlp_all
Observables
Champ | Observable |
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Questions fréquemment posées
Je ne parviens pas à trouver mon plan d’abonnement à utiliser lors de la connexion UC
Si le forfait n'est pas disponible, utilisez un site Web de recherche d'ID de tenant tel que https://tenantidlookup.com/ et saisissez votre ID de tenant. Regardez le champ Sous-portée de la région du tenant . Si ce champ est vide, vous utilisez le forfait Entreprise ; sinon, le forfait utilisé s'affiche.
Dépannage
Je ne peux pas voir les enregistrements importés lors de la première synchronisation
Selon la documentation de l’API Microsoft 365 Management, les premiers objets blob de contenu peuvent mettre jusqu’à 12 heures à être disponibles après la création d’un abonnement. Par conséquent, si l’abonnement n’était pas activé auparavant, un délai allant jusqu’à 12 heures peut être nécessaire avant que les données de logs d’audit ne soient disponibles pour ingestion.