Abfragen für die OfficeActivity-Tabelle

Artikel
11/05/2024

Informationen zur Verwendung dieser Abfragen im Azure-Portal finden Sie im Log Analytics-Lernprogramm. Informationen zur REST-API finden Sie unter "Abfrage".

Alle Office-Aktivitäten

Alle Ereignisse, die von Office-Aktivität bereitgestellt werden.

OfficeActivity
| project TimeGenerated, UserId, Operation, OfficeWorkload, RecordType, _ResourceId
| sort by TimeGenerated desc nulls last

Benutzer, die auf Dateien zugreifen

Benutzer sortiert nach Anzahl der OneDrive- und SharePoint-Dateien, auf die sie zugegriffen haben.

OfficeActivity
| where OfficeWorkload in ("OneDrive", "SharePoint") and Operation in ("FileDownloaded", "FileAccessed")
| summarize AccessedFilesCount = dcount(OfficeObjectId) by UserId, _ResourceId
| sort by AccessedFilesCount desc nulls last

Dateiuploadvorgang

Listet Benutzer auf, die nach Der Anzahl der Dateien sortiert sind, die sie auf OneDrive und SharePoint hochgeladen haben.

OfficeActivity
| where OfficeWorkload in ("OneDrive", "SharePoint") and Operation in ("FileUploaded")
| summarize AccessedFilesCount = dcount(OfficeObjectId) by UserId, _ResourceId
| sort by AccessedFilesCount desc nulls last

Office-Aktivität für Benutzer

Die Abfrage zeigt die Aktivitäten des Benutzers über Office an.

// Replace the UPN in the query with the UPN of the user of interest
let v_Users_UPN= "osotnoc@contoso.com";
OfficeActivity
| where UserId==v_Users_UPN
| project TimeGenerated, OfficeWorkload, Operation, ResultStatus, OfficeObjectId, _ResourceId

Erstellen einer Vorwärtsregel

Listet die Erstellung von E-Mail-Weiterleitungsregeln auf.

OfficeActivity
| where OfficeWorkload == "Exchange"
| where Operation in~ ("New-TransportRule", "Set-TransportRule")
| extend RuleName = case(Operation =~ "Set-TransportRule", tostring(OfficeObjectId), Operation =~ "New-TransportRule", tostring(parse_json(Parameters)[1].Value), "Unknown")
| project  TimeGenerated, ClientIP, UserId, Operation, RuleName, _ResourceId

Verdächtiger Dateiname

Vorgänge für Dateien mit Namen, die möglicherweise auf die Verschleierung einer ausführbaren Datei hinweisen.

OfficeActivity
| where RecordType =~ "SharePointFileOperation" and isnotempty(SourceFileName)
| where OfficeObjectId has ".exe." and OfficeObjectId matches regex @"\.exe\.\w{0,4}$"

Freigeben über