通过

在电子数据展示 (预览) 中创建事例的搜索查询

  • 项目

可以使用电子数据展示中的搜索 (预览) 来搜索组织中与案例相关的就地内容，例如电子邮件、文档和即时消息对话。 使用搜索查找这些基于云的Microsoft 365 个数据源中的内容：

  • Exchange Online 邮箱
  • SharePoint 网站
  • OneDrive 账户
  • Microsoft Teams
  • Microsoft 365 组
  • Viva Engage 组

可以创建并运行与案例关联的不同搜索。 使用条件 (（如关键字) ）生成搜索查询，以返回搜索结果，其中包含与案例最有可能相关的数据。 还可以执行以下操作：

  • 查看可能有助于优化搜索查询以缩小结果范围的搜索统计信息。
  • 预览搜索结果以快速验证是否找到相关数据。
  • 修改查询并重新运行搜索。

搜索并找到与调查相关的数据后，可以将结果发送到评审集以供进一步调查，或将其导出以供调查团队外部的人员审阅。

注意

对于具有欧盟一般数据保护条例 (GDPR) 要求以在欧盟 (欧盟) 内保护和启用个人隐私的组织，还可以管理调查，以响应数据主体请求 (DSR) 由组织中的人员提交。 用户数据搜索案例工具已停用，其功能已与电子数据展示 (预览版) 合并。 现在，可以使用搜索查找内容，以支持电子数据展示搜索支持的所有位置的 DSR。

提示

开始使用Microsoft Security Copilot，探索使用 AI 功能更智能、更快速地工作的新方法。 详细了解 Microsoft Purview 中的Microsoft Security Copilot。

搜索提示

  • 所有搜索的时区为协调世界时 (UTC) 。 当前不支持更改组织的时区。 搜索视图中的时区显示设置仅适用于 “数据 ”列中的值，不会影响所收集项的时间戳。
  • 关键字搜索不区分大小写。 例如， cat 和 CAT 将返回相同的结果。
  • 布尔运算符 AND、 OR、 NOT 和 NEAR 必须为大写。
  • 使用引号会停止通配符和引号内的任何操作。
  • 两个关键字或两个 property:value 表达式之间的空格与使用 OR 相同。 例如， from:"Sara Davis" subject:reorganization 返回由 Sara Davis 发送的所有消息或主题行中包含单词重组的消息。 但是，在单个查询中混合使用空格和 OR 条件可能会导致意外结果。 建议在单个查询中使用空格或 OR 。
  • 使用与格式匹配的 property:value 语法。 值不区分大小写，并且运算符后面不能有空格。 如果有空格，则预期值为全文搜索。 例如to: pilarp，搜索“pilarp”作为关键字 (keyword) ，而不是搜索发送到 pilarp 的消息。
  • 在搜索收件人属性（如 To、From、Cc 或 Recipients）时，您可以使用 SMTP 地址、别名或显示名来表示收件人。 例如，可以使用 pilarp@contoso.com、pilarp 或“Pilar Pinilla”。
  • 只能使用前缀搜索;例如 cat* 或 set*。 不支持后缀搜索 (*cat) 、 (c*t) 的内缀搜索以及 (*cat*) 的子字符串搜索。
  • 在搜索属性时，如果搜索值包含多个单词，则使用双引号 (" ")。 例如， subject:budget Q1 返回在主题行中包含 预算 的消息，以及邮件中的任何位置或任何消息属性中包含 Q1 的消息。 使用 subject:"budget Q1" 返回主题行中任意位置包含 预算 Q1 的所有消息。
  • 若要将使用某个属性值标记的内容从搜索结果中排除，请在属性名称前放置减号 (-)。 例如， -from:"Sara Davis" 排除 Sara Davis 发送的任何消息。
  • 可以根据消息类型导出项目。 例如，若要在 Microsoft Teams 中导出 Skype 对话和聊天，请使用 语法 kind:im。 若要仅返回电子邮件，请使用 kind:email。 若要返回 Microsoft Teams 中的聊天、会议和通话，请使用 kind:microsoftteams。
  • 搜索网站时，使用 path 属性仅返回指定网站中的项时，必须向 URL 末尾添加尾随/。 如果未包含尾随 /，则还会返回具有类似路径名称的网站中的项目。 例如，如果使用 path:sites/HelloWorld ，也将返回名为 sites/HelloWorld_East 或 sites/HelloWorld_West 的网站中的项目。 若要仅从 HelloWorld 网站返回项目，必须使用 path:sites/HelloWorld/。
  • 在收集内容之前，必须在搜索查询中定义 查询语言-国家/地区 。
  • 在 “已发送 ”文件夹中搜索电子邮件时，不支持使用发件人的 SMTP 地址。 “已发送”文件夹中的项目仅包含显示名称。

创建搜索查询

提示

你更喜欢交互式配置指南体验吗？ 请查看 设计搜索 指南。

创建新案例后，会自动定向到事例中的“ 搜索 ”选项卡，并且已准备好为案例创建搜索。 搜索可帮助你查找要为案例收集的项目。

  1. 选择“ 创建搜索”。 如果这是没有任何先前搜索的新案例，还可以在“开始搜索相关数据”下的“main”窗格中选择“创建搜索”。

  2. 在 “输入详细信息以开始使用 ”页上，填写以下字段：

    • 搜索名称：为搜索提供所需的) (名称。 搜索名称在组织中必须唯一
    • 搜索说明：添加可选说明以帮助其他人了解此搜索。

  3. 选择“ 创建 ”以创建新的搜索并启动查询以查找案例的相关数据。

  4. 在搜索的“ 查询 ”选项卡上，为搜索添加数据源

  5. 选择 “添加数据源” 或 “添加租户范围的源”。

    • 添加数据源：选择此选项可将单个数据源添加到组织。

    • 添加租户范围的源：选择此选项将包括整个组织的源。 选择应用于所有源或优化对数据源子集的选择。

      例如，选择“所有人员和组”并为“邮箱”选择“全部”会将组织中的所有用户 Exchange 邮箱添加为数据源。 选择“所有人员和组”，然后选择“所有网站”会将组织中的所有用户 SharePoint 和 OneDrive 网站添加为数据源。

  6. 在 “搜索源 ”浮出控件窗格中，你将搜索并添加搜索查询的数据源。 可以筛选数据源的范围，以帮助选择要添加到搜索的一个或多个用户或组源。

    窗格的左侧显示源的 “筛选 ”选项，默认情况下，选择 租户中的所有源 以包括组织中的所有源以供选择和添加搜索。

    使用“ 显示筛选器 ”中的以下选项来帮助在 “搜索 ”部分中确定源的范围：

    • 默认) (所有人员和组
    • 仅限人员
    • 仅限组

    如果适用，请选择“ 排除非活动用户 ”，将源范围缩小为仅当前活动用户。

    筛选数据源后，使用“ 搜索 ”部分中的搜索控件和选择器将特定数据源、用户和组添加到搜索查询。 在搜索字段中输入要添加的特定用户、组或组织位置，然后选择“ 搜索”。

    使用以下值搜索人员：

    • 用户显示名称的第一个和系列名称 (例如 John Smith)
    • 仅名字
    • 用户 SMTP 地址
    • 用户别名
    • Exchange GUID
    • 用户的 OneDrive 网站的 URL

    使用以下值搜索组：

    • 组邮箱 SMTP 地址
    • 组网站的 URL。 Teams 频道站点的 URL 将 Teams 组解析为数据源。

  7. 选择“ 管理 ”以更新与所选源关联的邮箱或站点。 否则，请选择“ 保存并关闭”。

  8. 查看所选内容，并确认每个数据源包含的资源。 选择“保存”。 现已确定搜索查询所检查的数据源的范围。

  9. 在 “数据源 ”部分中，为数据源的管理选项选择任何数据源的省略号菜单。

    对于管理选项，请从以下选项中进行选择：

    • 管理数据源：管理所选用户或站点的数据源。
    • 禁用邮箱：禁用所选用户或站点的邮箱。 再次选择此选项，为用户或站点启用邮箱。
    • 禁用站点：禁用所选用户或站点的网站。 再次选择此选项，为用户或站点启用站点。
    • 频繁协作者：为经常与所选用户协作的用户选择关联的邮箱和网站。
    • 管理员：选择用户经理的关联邮箱和站点。
    • 直接下属：选择用户的直接下属的关联邮箱和网站。
    • 组用户拥有：选择用户所属组的关联邮箱和网站。
    • 组用户位于：选择用户所属组的关联邮箱和网站。

    对于组源，请从以下项中进行选择：

    • 成员：选择属于组成员的人员的关联邮箱和网站。

  10. 使用 “数据源” 命令栏控件根据需要添加、更新、同步和搜索搜索 (的其他数据源)

    • 搜索和添加：选择 + 图标以添加数据源。
    • 管理：选择铅笔图标以管理分配的数据源。
    • 同步：选择同步图标以同步数据源，并将数据源更新为组织中的最新数据源。
    • 搜索：选择搜索图标以搜索当前包含在搜索查询中的数据源。

  11. 若要定义搜索查询的参数，可以从“ 查询 ”选项卡上的以下选项中进行选择：

    • 条件生成器：在电子数据展示 (预览) 中生成搜索查询时，搜索中的 条件生成器 选项提供易于使用的搜索体验。 使用关键字或自定义条件来集中搜索查询的范围。 此外，还可以在搜索中使用 关键字查询语言 (KQL) 查询条件选项 ，该选项可提供指导，并使你能够快速将复杂的长查询直接粘贴到编辑器中。 它还有助于从头开始生成搜索查询，识别潜在错误并显示有关如何解决问题的提示。

      还可以使用 Microsoft Security Copilot 快速生成用于搜索的 KeyQL 查询。 有关指导，请参阅本文中的 以下部分 。

    • 按文件搜索：上传一个或多个文件以查找特定案例的相关或类似内容。 使用审核活动 csv 在特定时间范围内查找特定用户的相关消息和文件。 或者提供示例证据来查找类似内容。 每个文件的最大文件大小限制为 10 MB，文件可以是 csv 或 txt。 按文件搜索时，将禁用查询生成和 KQL 选项。

  12. 选择 运行查询。 如果要保存已定义的查询参数并稍后运行查询，请选择“ 另存为草稿”。

使用Microsoft Copilot (预览) 创建 KeyQL 搜索查询

通过搜索中的“自然语言查询 (预览”) KeyQL 生成器选项，可以使用自然语言和Microsoft Security Copilot快速生成关键字查询语言 (KeyQL) 语句。 使用生成器构造具有附加功能（包括 AND、OR 和条件分组）的复杂查询，同时使用自然语言提示。

此功能有助于使用预定义的提示（例如方案）更轻松地生成查询，并允许优化和增强自定义提示，以便更准确的搜索查询。 还可以选择使用提示建议作为起点，为常见或自定义搜索方案创建和优化 KeyQL 查询。

若要使用 Copilot 创建搜索查询，请完成以下步骤：

  1. 为查询选择数据源后，选择“ 使用 Copilot 起草查询”。
  2. 在 “自然语言提示 ”窗格中，选择以下选项之一：
    • 输入搜索查询问题。 可以包括用户、数据源和其他内容详细信息（如果适用）。
    • 选择“ 查看提示 ”，选择以下提示建议之一：
      • 查找包含“预算”和“财务”一词的所有电子邮件，并具有附件
      • 搜索 2020 年 1 月包含“财务年度”一词的所有聊天
      • 搜索包含“机密”和“预算”一词的 .docx 类型的文件
  3. 查看自然语言提示。 若要使用 Copilot 优化提示，请选择“ 优化”。
  4. 完成提示后，选择“ 生成 KeyQL”。
  5. 在 关键字查询语言 (KeyQL) 结果窗格中查看 KeyQL 查询。 如果需要优化 KeyQL 查询结果，可以在 “自然语言提示 ”窗格中更新提示，然后再次选择“ 生成 KeyQL ”。 1. 完成 KeyQL 结果后，选择“ 复制 KeyQL”。
  6. 将 KeyQL 结果粘贴到“ 关键字查询语言 (KeyQL) ”选项卡上的查询字段中。可以使用 Copilot 关闭“草稿”查询。
  7. 选择 运行查询。 如果要保存已定义的查询参数并稍后运行查询，请选择“ 另存为草稿”。

运行搜索查询

手动或使用Security Copilot创建搜索查询后，即可运行查询并生成搜索结果。

若要运行搜索查询，请完成以下步骤：

  1. 转到 Microsoft Purview 门户 ，并使用分配有电子数据展示权限的用户帐户的凭据登录。

  2. 选择电子数据展示解决方案卡然后选择左侧导航栏中的“案例 (预览) ”。

  3. 选择一个案例。 在“ 搜索 ”选项卡上，选择保存的搜索。

  4. 选择 运行查询。

  5. 选择“ 运行查询”后，你将看到 “设置查询结果格式 ”浮出控件窗格。 选择要为查询及其设置生成的视图。 可以选择 “统计信息 ”或 “示例” 视图：

    • 统计信息：此视图生成按排名靠前的指标排列的收集的数据估计摘要。 选择以下一个或多个选项：

      • 包括类别：优化视图以包括人员、敏感信息类型、项目类型和错误。

      • 包含查询关键字报告：评估搜索查询不同部分关键字 (keyword) 相关性/

      • 调查部分索引项：部分索引项通常按计数占数据源中内容的大约 1%。 选择此选项 (，并且仅此选项) ， (项计数和位置) 有关所选数据源中包含的部分索引项的摘要信息，以便进行搜索。 不会重新编制索引或处理部分索引项。 若要进一步处理作用域内数据源中的部分索引项，请考虑以下高级索引选项：

        • 在没有搜索命中的位置中排除部分索引项：选择此附加选项可缩小部分索引项的范围， (或高级索引，如果) 选择了该选项，则限制仅包含与搜索相关的项的数据源中的部分索引项。 这不包括与搜索相关的任何项的数据源中的部分索引项。

          例如，你已选择多个邮箱、SharePoint 网站和 OneDrive 网站作为搜索的数据源。 运行搜索时，只有少数邮箱和网站具有与搜索条件相关的项目索引，其余邮箱和网站不包含任何与搜索条件相关的本机索引项目。 如果已选择此选项，则包含与搜索相关的本机索引项目的邮箱和站点中的部分索引项将包含在搜索统计信息结果中。 邮箱和网站中不包含与搜索相关的任何本机索引项目的部分索引项将被忽略，并且不会在搜索统计信息结果中报告。

        • 对部分索引项执行高级索引编制：高级索引的运行范围取决于是否选择了“ 在未搜索命中的位置中排除部分索引项目 ”选项。 高级索引过程运行范围中部分索引项的统计信息示例，并确定这些项是否与查询匹配：

          • 使用“在未搜索命中的位置中排除部分索引项目”选项选中：这仅适用于具有与搜索查询匹配的完全索引项的数据源。 将对这些项进行采样、编制索引，并且与搜索查询匹配的项目显示在搜索统计信息中， () 适用。
          • 选中时没有“排除位置中部分索引的项目”选项：这适用于搜索中包含的所有数据源中的所有部分索引项。 将对所有项进行采样、编制索引，并且与搜索查询匹配的项目显示在搜索统计信息中， () 适用。

    • 示例：此视图生成完整搜索结果的代表性选择。 定义以下选项的参数：

      • 选择每个位置要生成的示例项数：选择 1、 10 或 100。
      • 选择要从中获取样本的位置数：选择 10、100、1000 或 10000。

  6. 选择“ 运行查询” 以立即运行查询。

根据所选的查询视图选项，将自动定向到 “统计信息 ”或“ 示例 ”选项卡。将启动搜索查询评估，并计算处理查询的剩余时间。 有关评估和微调搜索结果的详细信息，请参阅 查看和评估搜索结果。