Logs de auditoria do Microsoft 365

info

Visualização

O Lakewatch está em Visualização privada. Para solicitar acesso, entre em contato com a equipe do Databricks responsável pela sua account.

O Lakewatch fornece um conector de API para ingerir logs de auditoria do Microsoft 365. Este artigo aborda pré-requisitos, instruções de configuração, esquemas de conectores e observáveis do analisador do Lakewatch.

Pré-requisitos

O conector requer:

O Lakeflow pipelines serverless está ativado no seu workspace.
Unity Catalog, com privilégios para criar ou usar uma conexão do Unity Catalog. Consulte Permissões de conexão.
A prévia do Lakeflow Connect for Microsoft 365 Unified Audit Logs foi ativada em seu workspace por um administrador do workspace. Consulte Ativar a prévia do conector.
Se a política de rede serverless do seu workspace usa acesso restrito, os domínios da API da origem devem estar na lista Domínios permitidos da política. Consulte Permitir os domínios da API de origem em sua política de rede.
Auditoria unificada do Office 365 ativada para sua organização.
Permissão para registro um aplicativo no Microsoft Entra ID.
Permissão para conceder consentimento de administrador em todo o tenant para APIs de Gerenciamento do Office 365.

Limitações conhecidas

O SCD tipo 2 não é suportado, pois os Logs de Auditoria do Microsoft 365 são apenas de anexação.
De acordo com a documentação da API de Gerenciamento do Microsoft 365, os logs de auditoria podem ser recuperados somente após uma inscrição para buscar os blobs de conteúdo ter sido criada e ativada. O conector tenta criar e ativar a inscrição no início da ingestão. Portanto, se uma inscrição ainda não estiver habilitada, o conector ingerirá apenas os registros de auditoria gerados após a inscrição se tornar ativa. Também recomendamos não desabilitar a inscrição no meio do caminho para evitar qualquer perda potencial de dados.
A API de Gerenciamento do Microsoft 365 fornece acesso a Logs de auditoria apenas nos sete dias mais recentes desde a criação da inscrição. Portanto, se o intervalo entre duas execuções consecutivas do pipeline exceder sete dias, o conector ingere apenas os logs correspondentes à semana anterior. Para garantir que não ocorra perda de dados, programe o pipeline para execução em intervalos muito menores que 7 dias.
A retrospectiva histórica não pode exceder os 7 dias que o Microsoft 365 mantém os logs de auditoria. Consulte Escolher até onde ingerir.

Configurar Microsoft 365 para ingestão

Nesta etapa, você faz o registro de um aplicativo no portal do Azure para permitir a autenticação do Databricks.

Registro o aplicativo

Vá para o portal do Azure e procure por ID do Microsoft Entra .
No painel esquerdo, vá para Gerenciar > Registros de aplicativos e clique em Novo registro .
Na página Registro um aplicativo :
1. Insira um nome de exibição voltado para o usuário para seu aplicativo.
2. Em Tipos de account compatíveis, selecione Somente um tenant - <nome do seu tenant\>.<your tenant name>
3. Deixe Redirect URI em branco.
4. Clique em Registrar .

Criar um segredo de cliente

No painel esquerdo da página do aplicativo registrado, vá para Gerenciar > Certificados e segredos e clique em Novo segredo do cliente .
No painel que é aberto, digite uma descrição para o segredo, selecione 24 meses para Expira e clique em Adicionar .
Observe o Valor da credencial, não o ID do Segredo . Você usa esse valor na próxima etapa.

Configurar permissões da API

O conector do Microsoft 365 suporta apenas autenticação OAuth machine-to-machine (M2M). Ele não suporta OAuth delegado.

No painel esquerdo, vá para Gerenciar > Permissões de API e clique em Adicionar uma permissão .
No painel Solicitar permissões de API , clique em APIs de gerenciamento do Office 365 .
Clique em Permissões do aplicativo .
Selecione ActivityFeed.Read.
Se você planeja ingerir a tabela de origem dlp_all, selecione também ActivityFeed.ReadDlp.
Clique em Adicionar permissões .
Na página Permissões de API, clique em Conceder consentimento de administrador para <sua organização\> ao<your organization> lado de Adicionar uma permissão e clique em Sim no pop-up de confirmação.

Copie os IDs dos aplicativos

No painel esquerdo, vá para Visão geral .
Observe o ID do aplicativo (cliente) e o ID do diretório (tenant) ; você os usará na próxima etapa.

dica

Ao criar uma conexão através da interface do usuário do Lakewatch, você precisará da ID do Cliente , do Segredo do Cliente e da ID do Tenant coletados acima.

Os passos seguintes

Após concluir a configuração acima, crie uma fonte de dados com o conector Microsoft 365 na interface do usuário do Lakewatch. Consulte Conectores de API para obter instruções.

Esquemas de Conector e Lakewatch

O conector de Logs de Auditoria do Microsoft 365 oferece suporte a cinco tabelas de origem no esquema de origem default. A Microsoft pode adicionar campos e tipos de evento a esses payloads. Para definições de campo, consulte o esquema da API de Atividade de Gerenciamento do Microsoft 365.

Tabela de origem	Tipo de conteúdo Microsoft	Analisador Lakewatch integrado
`audit_azure_active_directory`	`Audit.AzureActiveDirectory`	`microsoft365_audit_azure_active_directory`
`audit_exchange`	`Audit.Exchange`	`microsoft365_audit_exchange`
`audit_sharepoint`	`Audit.SharePoint`	`microsoft365_audit_sharepoint`
`audit_general`	`Audit.General`	`microsoft365_audit_general`
`dlp_all`	`DLP.All`	`microsoft365_dlp_all`

Tabela de origem	Tipo de conteúdo Microsoft	Analisador Lakewatch integrado
`audit_azure_active_directory`	`Audit.AzureActiveDirectory`	`microsoft365_audit_azure_active_directory`
`audit_exchange`	`Audit.Exchange`	`microsoft365_audit_exchange`
`audit_sharepoint`	`Audit.SharePoint`	`microsoft365_audit_sharepoint`
`audit_general`	`Audit.General`	`microsoft365_audit_general`
`dlp_all`	`DLP.All`	`microsoft365_dlp_all`

O conector grava cada tabela de origem selecionada no destino bruto da fonte de dados. Cada analisador integrado registrado que grava uma tabela analisada separada com o nome do analisador, a menos que você defina um destino analisado ao configurar a fonte de dados.

Colunas gerenciadas pelo Lakewatch

O conector adiciona as seguintes colunas a cada linha de origem bruta:

lw_id: Uma string não nula que o Lakewatch usa como key primária. O conector deriva um ID estável e classificável por tempo dos campos Microsoft CreationTime e Id. O ID oferece suporte à desduplicação entre sincronizações incrementais.
time: um Timestamp UTC não nulo analisado de CreationTime. O conector usa time como o campo de cursor para ingestão incremental.

As tabelas analisadas levam lw_id para frente. O analisador também atribui a coluna time analisada e adiciona:

lw_meta: Metadados de processamento padrão do Lakewatch.
lw_observables: Um objeto JSON que contém um campo que contém seus observáveis de segurança extraídos do parser.

Para mais informações, consulte Referência do analisador.

Esquemas de tabelas de conectores brutos

Os esquemas a seguir combinam os campos de evento do Microsoft 365 com lw_id e time.

audit_azure_active_directory

Captura eventos de auditoria do Azure Active Directory, incluindo logins de usuários, acesso a aplicativos e alterações de diretório. Para obter mais informações sobre o esquema, consulte os documentos da API de Gerenciamento do Microsoft 365.

Esquema

campo	Tipo de dados
lw_id	string
Tempo	carimbo de data/hora
ID	string
Tipo de registro	inteiro
HoraDeCriação	carimbo de data/hora
Operação	string
OrganizationId	string
TipoDeUsuário	inteiro
ChaveDoUsuário	string
Workload	string
Versão	inteiro
Status do Resultado	string
ID do objeto	string
userId	string
IP do cliente	string
Escopo	string
Contexto de Acesso ao Aplicativo	struct
AppAccessContext.AADSessionId	string
AppAccessContext.APIId	string
AppAccessContext.ClientAppId	string
AppAccessContext.NomeDoAplicativoCliente	string
AppAccessContext.CorrelationId	string
AzureActiveDirectoryEventType	inteiro
ExtendedProperties	array<struct>
ExtendedProperties.Name	string
ExtendedProperties.Value	string
ModifiedProperties	array<map<string, variant>>
Propriedades do dispositivo	array<struct>
DeviceProperties.Name	string
DeviceProperties.Value	string
Aplicativo	string
Cliente	string
Status de login	inteiro
Domínio do Usuário	string
Ator	array<struct>
Actor.ID	string
Actor.Type	inteiro
ActorContextId	string
EndereçoIpAtor	string
InterSystemsId	string
IntraSystemId	string
SupportTicketId	string
Destino	array<struct>
Target.ID	string
Destino.Tipo	inteiro
IdContextoDestino	string
ApplicationId	string
Número do erro	string
Erro de Logon	string

campo	Tipo de dados
lw_id	string
Tempo	carimbo de data/hora
ID	string
Tipo de registro	inteiro
HoraDeCriação	carimbo de data/hora
Operação	string
OrganizationId	string
TipoDeUsuário	inteiro
ChaveDoUsuário	string
Workload	string
Versão	inteiro
Status do Resultado	string
ID do objeto	string
userId	string
IP do cliente	string
Escopo	string
Contexto de Acesso ao Aplicativo	struct
AppAccessContext.AADSessionId	string
AppAccessContext.APIId	string
AppAccessContext.ClientAppId	string
AppAccessContext.NomeDoAplicativoCliente	string
AppAccessContext.CorrelationId	string
AzureActiveDirectoryEventType	inteiro
ExtendedProperties	array<struct>
ExtendedProperties.Name	string
ExtendedProperties.Value	string
ModifiedProperties	array<map<string, variant>>
Propriedades do dispositivo	array<struct>
DeviceProperties.Name	string
DeviceProperties.Value	string
Aplicativo	string
Cliente	string
Status de login	inteiro
Domínio do Usuário	string
Ator	array<struct>
Actor.ID	string
Actor.Type	inteiro
ActorContextId	string
EndereçoIpAtor	string
InterSystemsId	string
IntraSystemId	string
SupportTicketId	string
Destino	array<struct>
Target.ID	string
Destino.Tipo	inteiro
IdContextoDestino	string
ApplicationId	string
Número do erro	string
Erro de Logon	string

audit_exchange

Captura eventos de auditoria da caixa de correio do Exchange, incluindo acesso ao email, operações de pasta e movimentos de itens. Para obter mais informações sobre o esquema, consulte a documentação da API de gerenciamento do Microsoft 365.

Esquema

campo	Tipo de dados
lw_id	string
Tempo	carimbo de data/hora
ID	string
Tipo de registro	inteiro
HoraDeCriação	carimbo de data/hora
Operação	string
OrganizationId	string
TipoDeUsuário	inteiro
ChaveDoUsuário	string
Workload	string
Versão	inteiro
Status do Resultado	string
ID do objeto	string
userId	string
IP do cliente	string
Escopo	string
Contexto de Acesso ao Aplicativo	struct
AppAccessContext.AADSessionId	string
AppAccessContext.APIId	string
AppAccessContext.ClientAppId	string
AppAccessContext.NomeDoAplicativoCliente	string
AppAccessContext.CorrelationId	string
ModifiedObjectResolvedName	string
Parâmetros	array<struct>
Detalhes da linha	string
Parameters.Value	string
ModifiedProperties	array<map<string, variant>>
Acesso Externo	boolean
Servidor de origem	string
OrganizationName	string
LogonType	inteiro
TipoDeLogonInterno	inteiro
GuidDaCaixaDeCorreio	string
MailboxOwnerUPN	string
MailboxOwnerSid	string
MailboxOwnerMasterAccountSid	string
LogonUserSid	string
LogonUserDisplayName	string
StringInformaçõesCliente	string
Endereço IP do cliente	string
NomeDaMáquinaCliente	string
Nome do processo do cliente	string
Versão do cliente	string
Pasta	struct
Folder.Id	string
Caminho.da.Pasta	string
Pasta.ItensDaPasta	array<struct>
Folder.FolderItems.Id	string
Folder.FolderItems.ImmutableId	string
Pasta.ItensDaPasta.IDDaMensagemDaInternet	string
Folder.FolderItems.CreationTime	carimbo de data/hora
Folder.FolderItems.Subject	string
Pasta.Itens da Pasta.Tamanho em Bytes	long
Pasta.Itens da pasta.Sensibilidade	string
Folder.FolderItems.ClientRequestId	string
Folder.FolderItems.Teams	Variante
OperaçõesCrossMailbox	boolean
DestMailboxId	string
UPNdoProprietárioDaCaixaDeCorreioDeDestino	string
SidDoProprietárioDaCaixaDeCorreioDeDestino	string
DestMailboxOwnerMasterAccountSid	string
PastaDest	struct
DestFolder.Id	string
DestFolder.Path	string
DestFolder.FolderItems	array<struct>
DestFolder.FolderItems.Id	string
DestFolder.FolderItems.ImmutableId	string
DestFolder.FolderItems.InternetMessageId	string
DestFolder.FolderItems.CreationTime	carimbo de data/hora
DestFolder.FolderItems.Subject	string
Tamanho em bytes da pasta de destino.	long
DestFolder.FolderItems.Sensitivity	string
DestFolder.FolderItems.ClientRequestId	string
DestFolder.FolderItems.Teams	Variante
Pastas	array<struct>
Id das pastas	string
Pastas.Caminho	string
Folders.FolderItems	array<struct>
Folders.FolderItems.Id	string
Folders.FolderItems.ImmutableId	string
Folders.FolderItems.InternetMessageId	string
Folders.FolderItems.CreationTime	carimbo de data/hora
Folders.FolderItems.Subject	string
Folders.FolderItems.SizeInBytes	long
Pastas.Itens de Pasta.Sensibilidade	string
Folders.FolderItems.ClientRequestId	string
Folders.FolderItems.Teams	Variante
AffectedItems	array<struct>
AffectedItems.Id	string
AffectedItems.Subject	string
AffectedItems.ParentFolder	struct
AffectedItems.ParentFolder.Id	string
Caminho da pasta pai dos itens afetados	string
Itens afetados.Pasta pai.Itens da pasta	array<struct>
AffectedItems.ParentFolder.FolderItems.Id	string
AffectedItems.ParentFolder.FolderItems.ImmutableId	string
AffectedItems.ParentFolder.FolderItems.InternetMessageId	string
Data e hora de criação da pasta pai dos itens afetados.	carimbo de data/hora
AffectedItems.ParentFolder.FolderItems.Subject	string
AffectedItems.ParentFolder.FolderItems.SizeInBytes	long
ItensAfetados.PastaPai.ItensDaPasta.Sensibilidade	string
AffectedItems.ParentFolder.FolderItems.ClientRequestId	string
AffectedItems.ParentFolder.FolderItems.Teams	Variante
AffectedItems.Attachments	string
Item	struct
Id do item	string
Item.Assunto	string
Item.ParentFolder	struct
Item.ParentFolder.Id	string
Item.ParentFolder.Path	string
Item.ParentFolder.FolderItems	array<struct>
Item.ParentFolder.FolderItems.Id	string
Item.ParentFolder.FolderItems.ImmutableId	string
Item.ParentFolder.FolderItems.InternetMessageId	string
Data e hora de criação da pasta pai do item.	carimbo de data/hora
Assunto da pasta pai do item.	string
Item.ParentFolder.FolderItems.SizeInBytes	long
Item.ParentFolder.FolderItems.Sensitivity	string
Item.ParentFolder.FolderItems.ClientRequestId	string
Equipes dos itens da pasta pai do item	Variante
Item.Attachments	string
EnviarComoUsuárioSmtp	string
GuidCaixaCorreioEnviarComoUsuário	string
EnviarEmNomeDeUsuárioSmtp	string
SendOnBehalfOfUserMailboxGuid	string

campo	Tipo de dados
lw_id	string
Tempo	carimbo de data/hora
ID	string
Tipo de registro	inteiro
HoraDeCriação	carimbo de data/hora
Operação	string
OrganizationId	string
TipoDeUsuário	inteiro
ChaveDoUsuário	string
Workload	string
Versão	inteiro
Status do Resultado	string
ID do objeto	string
userId	string
IP do cliente	string
Escopo	string
Contexto de Acesso ao Aplicativo	struct
AppAccessContext.AADSessionId	string
AppAccessContext.APIId	string
AppAccessContext.ClientAppId	string
AppAccessContext.NomeDoAplicativoCliente	string
AppAccessContext.CorrelationId	string
ModifiedObjectResolvedName	string
Parâmetros	array<struct>
Detalhes da linha	string
Parameters.Value	string
ModifiedProperties	array<map<string, variant>>
Acesso Externo	boolean
Servidor de origem	string
OrganizationName	string
LogonType	inteiro
TipoDeLogonInterno	inteiro
GuidDaCaixaDeCorreio	string
MailboxOwnerUPN	string
MailboxOwnerSid	string
MailboxOwnerMasterAccountSid	string
LogonUserSid	string
LogonUserDisplayName	string
StringInformaçõesCliente	string
Endereço IP do cliente	string
NomeDaMáquinaCliente	string
Nome do processo do cliente	string
Versão do cliente	string
Pasta	struct
Folder.Id	string
Caminho.da.Pasta	string
Pasta.ItensDaPasta	array<struct>
Folder.FolderItems.Id	string
Folder.FolderItems.ImmutableId	string
Pasta.ItensDaPasta.IDDaMensagemDaInternet	string
Folder.FolderItems.CreationTime	carimbo de data/hora
Folder.FolderItems.Subject	string
Pasta.Itens da Pasta.Tamanho em Bytes	long
Pasta.Itens da pasta.Sensibilidade	string
Folder.FolderItems.ClientRequestId	string
Folder.FolderItems.Teams	Variante
OperaçõesCrossMailbox	boolean
DestMailboxId	string
UPNdoProprietárioDaCaixaDeCorreioDeDestino	string
SidDoProprietárioDaCaixaDeCorreioDeDestino	string
DestMailboxOwnerMasterAccountSid	string
PastaDest	struct
DestFolder.Id	string
DestFolder.Path	string
DestFolder.FolderItems	array<struct>
DestFolder.FolderItems.Id	string
DestFolder.FolderItems.ImmutableId	string
DestFolder.FolderItems.InternetMessageId	string
DestFolder.FolderItems.CreationTime	carimbo de data/hora
DestFolder.FolderItems.Subject	string
Tamanho em bytes da pasta de destino.	long
DestFolder.FolderItems.Sensitivity	string
DestFolder.FolderItems.ClientRequestId	string
DestFolder.FolderItems.Teams	Variante
Pastas	array<struct>
Id das pastas	string
Pastas.Caminho	string
Folders.FolderItems	array<struct>
Folders.FolderItems.Id	string
Folders.FolderItems.ImmutableId	string
Folders.FolderItems.InternetMessageId	string
Folders.FolderItems.CreationTime	carimbo de data/hora
Folders.FolderItems.Subject	string
Folders.FolderItems.SizeInBytes	long
Pastas.Itens de Pasta.Sensibilidade	string
Folders.FolderItems.ClientRequestId	string
Folders.FolderItems.Teams	Variante
AffectedItems	array<struct>
AffectedItems.Id	string
AffectedItems.Subject	string
AffectedItems.ParentFolder	struct
AffectedItems.ParentFolder.Id	string
Caminho da pasta pai dos itens afetados	string
Itens afetados.Pasta pai.Itens da pasta	array<struct>
AffectedItems.ParentFolder.FolderItems.Id	string
AffectedItems.ParentFolder.FolderItems.ImmutableId	string
AffectedItems.ParentFolder.FolderItems.InternetMessageId	string
Data e hora de criação da pasta pai dos itens afetados.	carimbo de data/hora
AffectedItems.ParentFolder.FolderItems.Subject	string
AffectedItems.ParentFolder.FolderItems.SizeInBytes	long
ItensAfetados.PastaPai.ItensDaPasta.Sensibilidade	string
AffectedItems.ParentFolder.FolderItems.ClientRequestId	string
AffectedItems.ParentFolder.FolderItems.Teams	Variante
AffectedItems.Attachments	string
Item	struct
Id do item	string
Item.Assunto	string
Item.ParentFolder	struct
Item.ParentFolder.Id	string
Item.ParentFolder.Path	string
Item.ParentFolder.FolderItems	array<struct>
Item.ParentFolder.FolderItems.Id	string
Item.ParentFolder.FolderItems.ImmutableId	string
Item.ParentFolder.FolderItems.InternetMessageId	string
Data e hora de criação da pasta pai do item.	carimbo de data/hora
Assunto da pasta pai do item.	string
Item.ParentFolder.FolderItems.SizeInBytes	long
Item.ParentFolder.FolderItems.Sensitivity	string
Item.ParentFolder.FolderItems.ClientRequestId	string
Equipes dos itens da pasta pai do item	Variante
Item.Attachments	string
EnviarComoUsuárioSmtp	string
GuidCaixaCorreioEnviarComoUsuário	string
EnviarEmNomeDeUsuárioSmtp	string
SendOnBehalfOfUserMailboxGuid	string

audit_sharepoint

Captura eventos de auditoria do SharePoint, incluindo acesso a arquivos, operações de lista e atividades de compartilhamento. Para obter mais informações sobre o esquema, consulte a documentação da API do Microsoft 365.

Esquema

campo	Tipo de dados
lw_id	string
Tempo	carimbo de data/hora
ID	string
Tipo de registro	inteiro
HoraDeCriação	carimbo de data/hora
Operação	string
OrganizationId	string
TipoDeUsuário	inteiro
ChaveDoUsuário	string
Workload	string
Versão	inteiro
Status do Resultado	string
ID do objeto	string
userId	string
IP do cliente	string
Escopo	string
Contexto de Acesso ao Aplicativo	struct
AppAccessContext.AADSessionId	string
AppAccessContext.APIId	string
AppAccessContext.ClientAppId	string
AppAccessContext.NomeDoAplicativoCliente	string
AppAccessContext.CorrelationId	string
Site	string
ItemType	string
EventSource	string
SourceName	string
UserAgent	string
MachineDomainInfo	string
IdDaMáquina	string
ListItemUniqueId	string
ListId	string
ApplicationId	string
ApplicationDisplayName	string
IsWorkflow	boolean
SiteUrl	string
SourceRelativeUrl	string
Nome do arquivo de origem	string
SourceFileExtension	string
URL relativa do destino	string
Nome do arquivo de destino	string
Extensão do Arquivo de Destino	string
UsuárioCompartilhadoCom	string
SharingType	string
SourceLabel	string
Rótulo de destino	string
SensitivityLabelOwnerEmail	string
SensitivityLabelId	string
Título da lista	string
ListName	string
URL da lista	string
ListBaseType	string
ListBaseTemplateType	string
IsHiddenList	boolean
É uma biblioteca de documentos	boolean
TargetUserOrGroupName	string
TargetUserOrGroupType	string
UniqueSharingId	string
CustomEvent	string
EventData	string
ModifiedProperties	array<map<string, variant>>

campo	Tipo de dados
lw_id	string
Tempo	carimbo de data/hora
ID	string
Tipo de registro	inteiro
HoraDeCriação	carimbo de data/hora
Operação	string
OrganizationId	string
TipoDeUsuário	inteiro
ChaveDoUsuário	string
Workload	string
Versão	inteiro
Status do Resultado	string
ID do objeto	string
userId	string
IP do cliente	string
Escopo	string
Contexto de Acesso ao Aplicativo	struct
AppAccessContext.AADSessionId	string
AppAccessContext.APIId	string
AppAccessContext.ClientAppId	string
AppAccessContext.NomeDoAplicativoCliente	string
AppAccessContext.CorrelationId	string
Site	string
ItemType	string
EventSource	string
SourceName	string
UserAgent	string
MachineDomainInfo	string
IdDaMáquina	string
ListItemUniqueId	string
ListId	string
ApplicationId	string
ApplicationDisplayName	string
IsWorkflow	boolean
SiteUrl	string
SourceRelativeUrl	string
Nome do arquivo de origem	string
SourceFileExtension	string
URL relativa do destino	string
Nome do arquivo de destino	string
Extensão do Arquivo de Destino	string
UsuárioCompartilhadoCom	string
SharingType	string
SourceLabel	string
Rótulo de destino	string
SensitivityLabelOwnerEmail	string
SensitivityLabelId	string
Título da lista	string
ListName	string
URL da lista	string
ListBaseType	string
ListBaseTemplateType	string
IsHiddenList	boolean
É uma biblioteca de documentos	boolean
TargetUserOrGroupName	string
TargetUserOrGroupType	string
UniqueSharingId	string
CustomEvent	string
EventData	string
ModifiedProperties	array<map<string, variant>>

audit_general

Captura diversos eventos de auditoria do M365 não cobertos por outros esquemas específicos de carga de trabalho, com um payload de variante flexível. Para obter mais informações sobre o esquema, consulte a documentação da API de gerenciamento do Microsoft 365.

Esquema

campo	Tipo de dados
lw_id	string
Tempo	carimbo de data/hora
ID	string
Tipo de registro	inteiro
HoraDeCriação	carimbo de data/hora
Operação	string
OrganizationId	string
TipoDeUsuário	inteiro
ChaveDoUsuário	string
Workload	string
Versão	inteiro
Status do Resultado	string
ID do objeto	string
userId	string
IP do cliente	string
Escopo	string
Contexto de Acesso ao Aplicativo	struct
AppAccessContext.AADSessionId	string
AppAccessContext.APIId	string
AppAccessContext.ClientAppId	string
AppAccessContext.NomeDoAplicativoCliente	string
AppAccessContext.CorrelationId	string
Payload	Variante

campo	Tipo de dados
lw_id	string
Tempo	carimbo de data/hora
ID	string
Tipo de registro	inteiro
HoraDeCriação	carimbo de data/hora
Operação	string
OrganizationId	string
TipoDeUsuário	inteiro
ChaveDoUsuário	string
Workload	string
Versão	inteiro
Status do Resultado	string
ID do objeto	string
userId	string
IP do cliente	string
Escopo	string
Contexto de Acesso ao Aplicativo	struct
AppAccessContext.AADSessionId	string
AppAccessContext.APIId	string
AppAccessContext.ClientAppId	string
AppAccessContext.NomeDoAplicativoCliente	string
AppAccessContext.CorrelationId	string
Payload	Variante

dlp_all

Captura eventos de correspondência de política de Prevenção de Perda de Dados (DLP) em cargas de trabalho do Exchange, SharePoint e endpoint. Para obter mais informações sobre o esquema, consulte os documentos da API de Gerenciamento do Microsoft 365.

Esquema

campo	Tipo de dados
lw_id	string
Tempo	carimbo de data/hora
ID	string
Tipo de registro	inteiro
HoraDeCriação	carimbo de data/hora
Operação	string
OrganizationId	string
TipoDeUsuário	inteiro
ChaveDoUsuário	string
Workload	string
Versão	inteiro
Status do Resultado	string
ID do objeto	string
userId	string
IP do cliente	string
Escopo	string
Contexto de Acesso ao Aplicativo	struct
AppAccessContext.AADSessionId	string
AppAccessContext.APIId	string
AppAccessContext.ClientAppId	string
AppAccessContext.NomeDoAplicativoCliente	string
AppAccessContext.CorrelationId	string
SharePointMetaData	struct
SharePointMetaData.From	string
SharePointMetaData.itemCreationTime	carimbo de data/hora
SharePointMetaData.SiteCollectionGuid	string
SharePointMetaData.SiteCollectionUrl	string
SharePointMetaData.NomeDoArquivo	string
SharePointMetaData.FileOwner	string
URL do caminho do arquivo de metadados do SharePoint.	string
SharePointMetaData.DocumentLastModifier	string
SharePointMetaData.DocumentSharer	string
SharePointMetaData.UniqueId	string
SharePointMetaData.LastModifiedTime	carimbo de data/hora
SharePointMetaData.IsViewableByExternalUsers	boolean
ExchangeMetaData	struct
ExchangeMetaData.MessageID	string
ExchangeMetaData.From	string
ExchangeMetaData.To	array<string>
ExchangeMetaData.CC	array<string>
ExchangeMetaData.BCC	array<string>
ExchangeMetaData.Subject	string
ExchangeMetaData.Sent	carimbo de data/hora
ExchangeMetaData.Contagem de destinatários	inteiro
EndPointMetaData	struct
EndPointMetaData.SensitiveInformation	array<struct>
EndPointMetaData.SensitiveInformation.Confidence	inteiro
EndPointMetaData.SensitiveInformation.Count	inteiro
EndPointMetaData.SensitiveInformation.Location	string
EndPointMetaData.SensitiveInformation.SensitiveType	string
EndPointMetaData.SensitiveInformation.SensitiveInformationDetections	struct
EndPointMetaData.SensitiveInformation.SensitiveInformationDetections.DetectedValues	array<struct>
Nome dos valores detectados nas informações confidenciais de metadados do ponto de extremidade.	string
EndPointMetaData.SensitiveInformation.SensitiveInformationDetections.DetectedValues.Value	string
EndPointMetaData.SensitiveInformation.SensitiveInformationDetections.ResultsTruncated	boolean
EndPointMetaData.SensitiveInformation.SensitiveInformationDetailedClassificationAttributes	array<struct>
EndPointMetaData.SensitiveInformation.SensitiveInformationDetailedClassificationAttributes.Confidence	inteiro
EndPointMetaData.SensitiveInformation.SensitiveInformationDetailedClassificationAttributes.Count	inteiro
EndPointMetaData.SensitiveInformation.SensitiveInformationDetailedClassificationAttributes.IsMatch	boolean
EndPointMetaData.SensitiveInformation.SensitiveInformationTypeName	string
EndPointMetaData.SensitiveInformation.UniqueCount	inteiro
EndPointMetaData.EnforcementMode	string
EndPointMetaData.FileExtension	string
EndPointMetaData.FileType	string
EndPointMetaData.DeviceName	string
ExceptionInfo	string
DetalhesDaPolítica	array<struct>
PolicyDetails.PolicyId	string
Detalhes da Política.Nome da Política	string
PolicyDetails.Rules	array<struct>
Detalhes da Política.Regras.ID da Regra	string
DetalhesDaPolítica.Regras.NomeDaRegra	string
PolicyDetails.Rules.Actions	array<string>
PolicyDetails.Rules.OverriddenActions	array<string>
PolicyDetails.Rules.Severity	string
PolicyDetails.Rules.RuleMode	string
PolicyDetails.Rules.ConditionsMatched	struct
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation	array<struct>
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.Confidence	inteiro
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.Count	inteiro
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.Location	string
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveType	string
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetections	struct
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetections.DetectedValues	array<struct>
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetections.DetectedValues.Name	string
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetections.DetectedValues.Value	string
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetections.ResultsTruncated	boolean
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetailedClassificationAttributes	array<struct>
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetailedClassificationAttributes.Confidence	inteiro
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetailedClassificationAttributes.Count	inteiro
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetailedClassificationAttributes.IsMatch	boolean
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationTypeName	string
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.UniqueCount	inteiro
Detalhes da Política.Regras.Condições Correspondidas.Propriedades do Documento	array<struct>
PolicyDetails.Rules.ConditionsMatched.DocumentProperties.Name	string
PolicyDetails.Rules.ConditionsMatched.DocumentProperties.Value	string
PolicyDetails.Rules.ConditionsMatched.OtherConditions	array<struct>
PolicyDetails.Rules.ConditionsMatched.OtherConditions.Name	string
PolicyDetails.Rules.ConditionsMatched.OtherConditions.Value	string
SensitiveInfoDetectionIsIncluded	boolean

campo	Tipo de dados
lw_id	string
Tempo	carimbo de data/hora
ID	string
Tipo de registro	inteiro
HoraDeCriação	carimbo de data/hora
Operação	string
OrganizationId	string
TipoDeUsuário	inteiro
ChaveDoUsuário	string
Workload	string
Versão	inteiro
Status do Resultado	string
ID do objeto	string
userId	string
IP do cliente	string
Escopo	string
Contexto de Acesso ao Aplicativo	struct
AppAccessContext.AADSessionId	string
AppAccessContext.APIId	string
AppAccessContext.ClientAppId	string
AppAccessContext.NomeDoAplicativoCliente	string
AppAccessContext.CorrelationId	string
SharePointMetaData	struct
SharePointMetaData.From	string
SharePointMetaData.itemCreationTime	carimbo de data/hora
SharePointMetaData.SiteCollectionGuid	string
SharePointMetaData.SiteCollectionUrl	string
SharePointMetaData.NomeDoArquivo	string
SharePointMetaData.FileOwner	string
URL do caminho do arquivo de metadados do SharePoint.	string
SharePointMetaData.DocumentLastModifier	string
SharePointMetaData.DocumentSharer	string
SharePointMetaData.UniqueId	string
SharePointMetaData.LastModifiedTime	carimbo de data/hora
SharePointMetaData.IsViewableByExternalUsers	boolean
ExchangeMetaData	struct
ExchangeMetaData.MessageID	string
ExchangeMetaData.From	string
ExchangeMetaData.To	array<string>
ExchangeMetaData.CC	array<string>
ExchangeMetaData.BCC	array<string>
ExchangeMetaData.Subject	string
ExchangeMetaData.Sent	carimbo de data/hora
ExchangeMetaData.Contagem de destinatários	inteiro
EndPointMetaData	struct
EndPointMetaData.SensitiveInformation	array<struct>
EndPointMetaData.SensitiveInformation.Confidence	inteiro
EndPointMetaData.SensitiveInformation.Count	inteiro
EndPointMetaData.SensitiveInformation.Location	string
EndPointMetaData.SensitiveInformation.SensitiveType	string
EndPointMetaData.SensitiveInformation.SensitiveInformationDetections	struct
EndPointMetaData.SensitiveInformation.SensitiveInformationDetections.DetectedValues	array<struct>
Nome dos valores detectados nas informações confidenciais de metadados do ponto de extremidade.	string
EndPointMetaData.SensitiveInformation.SensitiveInformationDetections.DetectedValues.Value	string
EndPointMetaData.SensitiveInformation.SensitiveInformationDetections.ResultsTruncated	boolean
EndPointMetaData.SensitiveInformation.SensitiveInformationDetailedClassificationAttributes	array<struct>
EndPointMetaData.SensitiveInformation.SensitiveInformationDetailedClassificationAttributes.Confidence	inteiro
EndPointMetaData.SensitiveInformation.SensitiveInformationDetailedClassificationAttributes.Count	inteiro
EndPointMetaData.SensitiveInformation.SensitiveInformationDetailedClassificationAttributes.IsMatch	boolean
EndPointMetaData.SensitiveInformation.SensitiveInformationTypeName	string
EndPointMetaData.SensitiveInformation.UniqueCount	inteiro
EndPointMetaData.EnforcementMode	string
EndPointMetaData.FileExtension	string
EndPointMetaData.FileType	string
EndPointMetaData.DeviceName	string
ExceptionInfo	string
DetalhesDaPolítica	array<struct>
PolicyDetails.PolicyId	string
Detalhes da Política.Nome da Política	string
PolicyDetails.Rules	array<struct>
Detalhes da Política.Regras.ID da Regra	string
DetalhesDaPolítica.Regras.NomeDaRegra	string
PolicyDetails.Rules.Actions	array<string>
PolicyDetails.Rules.OverriddenActions	array<string>
PolicyDetails.Rules.Severity	string
PolicyDetails.Rules.RuleMode	string
PolicyDetails.Rules.ConditionsMatched	struct
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation	array<struct>
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.Confidence	inteiro
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.Count	inteiro
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.Location	string
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveType	string
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetections	struct
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetections.DetectedValues	array<struct>
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetections.DetectedValues.Name	string
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetections.DetectedValues.Value	string
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetections.ResultsTruncated	boolean
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetailedClassificationAttributes	array<struct>
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetailedClassificationAttributes.Confidence	inteiro
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetailedClassificationAttributes.Count	inteiro
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetailedClassificationAttributes.IsMatch	boolean
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationTypeName	string
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.UniqueCount	inteiro
Detalhes da Política.Regras.Condições Correspondidas.Propriedades do Documento	array<struct>
PolicyDetails.Rules.ConditionsMatched.DocumentProperties.Name	string
PolicyDetails.Rules.ConditionsMatched.DocumentProperties.Value	string
PolicyDetails.Rules.ConditionsMatched.OtherConditions	array<struct>
PolicyDetails.Rules.ConditionsMatched.OtherConditions.Name	string
PolicyDetails.Rules.ConditionsMatched.OtherConditions.Value	string
SensitiveInfoDetectionIsIncluded	boolean

Observáveis do analisador

Cada analisador integrado extrai os campos listados abaixo para lw_observables.

`microsoft365_audit_azure_active_directory`

Observáveis

campo	Observável
`UserKey`	`username`
`UserId`	`username`
`ClientIP`	`ip`
`ClientIP`	`net_addr`
`AppAccessContext.CorrelationId`	`trace_id`
`Actor[].ID`	`username`
`ActorIpAddress`	`ip`
`Target[].ID`	`username`

`microsoft365_audit_exchange`

Observáveis

campo	Observável
`UserKey`	`username`
`UserId`	`username`
`ClientIP`	`ip`
`ClientIP`	`net_addr`
`AppAccessContext.CorrelationId`	`trace_id`
`MailboxOwnerUPN`	`username`
`MailboxOwnerUPN`	`email`
`MailboxOwnerSid`	`actor_id`
`MailboxOwnerMasterAccountSid`	`actor_id`
`LogonUserSid`	`actor_id`
`ClientIPAddress`	`ip`
`ClientIPAddress`	`net_addr`
`ClientMachineName`	`hostname`
`DestMailboxOwnerUPN`	`username`
`DestMailboxOwnerUPN`	`email`
`DestMailboxOwnerSid`	`actor_id`
`DestMailboxOwnerMasterAccountSid`	`actor_id`
`SendAsUserSmtp`	`email`
`SendOnBehalfOfUserSmtp`	`email`

campo	Observável
`UserKey`	`username`
`UserId`	`username`
`ClientIP`	`ip`
`ClientIP`	`net_addr`
`AppAccessContext.CorrelationId`	`trace_id`
`MailboxOwnerUPN`	`username`
`MailboxOwnerUPN`	`email`
`MailboxOwnerSid`	`actor_id`
`MailboxOwnerMasterAccountSid`	`actor_id`
`LogonUserSid`	`actor_id`
`ClientIPAddress`	`ip`
`ClientIPAddress`	`net_addr`
`ClientMachineName`	`hostname`
`DestMailboxOwnerUPN`	`username`
`DestMailboxOwnerUPN`	`email`
`DestMailboxOwnerSid`	`actor_id`
`DestMailboxOwnerMasterAccountSid`	`actor_id`
`SendAsUserSmtp`	`email`
`SendOnBehalfOfUserSmtp`	`email`

`microsoft365_audit_sharepoint`

Observáveis

campo	Observável
`UserKey`	`username`
`UserId`	`username`
`ClientIP`	`ip`
`ClientIP`	`net_addr`
`AppAccessContext.CorrelationId`	`trace_id`
`SiteUrl`	`url`
`SourceRelativeUrl`	`url`
`DestinationRelativeUrl`	`url`
`UserSharedWith`	`username`
`SensitivityLabelOwnerEmail`	`email`
`ListUrl`	`url`
`TargetUserOrGroupName`	`email`

campo	Observável
`UserKey`	`username`
`UserId`	`username`
`ClientIP`	`ip`
`ClientIP`	`net_addr`
`AppAccessContext.CorrelationId`	`trace_id`
`SiteUrl`	`url`
`SourceRelativeUrl`	`url`
`DestinationRelativeUrl`	`url`
`UserSharedWith`	`username`
`SensitivityLabelOwnerEmail`	`email`
`ListUrl`	`url`
`TargetUserOrGroupName`	`email`

`microsoft365_audit_general`

Observáveis

campo	Observável
`UserKey`	`username`
`UserId`	`username`
`ClientIP`	`ip`
`ClientIP`	`net_addr`
`AppAccessContext.CorrelationId`	`trace_id`

O payload Audit.General contém keys de evento que não têm uma coluna no esquema comum, portanto sua estrutura varia de acordo com a carga de trabalho. O analisador também examina o campo payload e extrai os valores ip, domain, hostname, url, email, username, actor_id e trace_id para lw_observables, correspondendo aos nomes dos subcampos.

`microsoft365_dlp_all`

Observáveis

campo	Observável
`UserKey`	`username`
`UserId`	`username`
`ClientIP`	`ip`
`ClientIP`	`net_addr`
`AppAccessContext.CorrelationId`	`trace_id`
`SharePointMetaData.From`	`username`
`SharePointMetaData.From`	`email`
`SharePointMetaData.SiteCollectionUrl`	`url`
`SharePointMetaData.FileOwner`	`username`
`SharePointMetaData.FileOwner`	`email`
`SharePointMetaData.FilePathUrl`	`url`
`SharePointMetaData.DocumentLastModifier`	`username`
`SharePointMetaData.DocumentLastModifier`	`email`
`SharePointMetaData.DocumentSharer`	`username`
`SharePointMetaData.DocumentSharer`	`email`
`ExchangeMetaData.From`	`username`
`ExchangeMetaData.From`	`email`
`ExchangeMetaData.To[]`	`email`
`ExchangeMetaData.CC[]`	`email`
`ExchangeMetaData.BCC[]`	`email`
`EndPointMetaData.DeviceName`	`hostname`

campo	Observável
`UserKey`	`username`
`UserId`	`username`
`ClientIP`	`ip`
`ClientIP`	`net_addr`
`AppAccessContext.CorrelationId`	`trace_id`
`SharePointMetaData.From`	`username`
`SharePointMetaData.From`	`email`
`SharePointMetaData.SiteCollectionUrl`	`url`
`SharePointMetaData.FileOwner`	`username`
`SharePointMetaData.FileOwner`	`email`
`SharePointMetaData.FilePathUrl`	`url`
`SharePointMetaData.DocumentLastModifier`	`username`
`SharePointMetaData.DocumentLastModifier`	`email`
`SharePointMetaData.DocumentSharer`	`username`
`SharePointMetaData.DocumentSharer`	`email`
`ExchangeMetaData.From`	`username`
`ExchangeMetaData.From`	`email`
`ExchangeMetaData.To[]`	`email`
`ExchangeMetaData.CC[]`	`email`
`ExchangeMetaData.BCC[]`	`email`
`EndPointMetaData.DeviceName`	`hostname`

Perguntas frequentes

Não consigo encontrar meu plano de inscrição para usar ao fazer a conexão UC

Se o plano de inscrição não estiver disponível, use um site de pesquisa de ID de tenant como https://tenantidlookup.com/ e insira seu ID de tenant. Veja o campo Subescopo da região do tenant . Se estiver vazio, você está no plano Enterprise; caso contrário, mostra o plano.

Solução de problemas

Não consigo ver nenhum registro ingerido na primeira sincronização

De acordo com a documentação da API de Gerenciamento do Microsoft 365, pode levar até 12 horas para que os primeiros blobs de conteúdo fiquem disponíveis após a criação de uma inscrição. Portanto, se a inscrição não foi habilitada anteriormente, pode haver um atraso de até 12 horas antes que os dados do log de auditoria estejam disponíveis para ingestão.

Pré-requisitos​

Limitações conhecidas​

Configurar Microsoft 365 para ingestão​

Registro o aplicativo​

Criar um segredo de cliente​

Configurar permissões da API​

Copie os IDs dos aplicativos​

Os passos seguintes​

Esquemas de Conector e Lakewatch​

Colunas gerenciadas pelo Lakewatch​

Esquemas de tabelas de conectores brutos​

audit_azure_active_directory​

audit_exchange​

audit_sharepoint​

audit_general​

dlp_all​

Observáveis do analisador​

microsoft365_audit_azure_active_directory​

microsoft365_audit_exchange​

microsoft365_audit_sharepoint​

microsoft365_audit_general​

microsoft365_dlp_all​

Perguntas frequentes​

Solução de problemas​

Pré-requisitos

Limitações conhecidas

Configurar Microsoft 365 para ingestão

Registro o aplicativo

Criar um segredo de cliente

Configurar permissões da API

Copie os IDs dos aplicativos

Os passos seguintes

Esquemas de Conector e Lakewatch

Colunas gerenciadas pelo Lakewatch

Esquemas de tabelas de conectores brutos

audit_azure_active_directory

audit_exchange

audit_sharepoint

audit_general

dlp_all

Observáveis do analisador

`microsoft365_audit_azure_active_directory`

`microsoft365_audit_exchange`

`microsoft365_audit_sharepoint`

`microsoft365_audit_general`

`microsoft365_dlp_all`

Perguntas frequentes

Solução de problemas