Dotazy pro tabulku EmailAttachmentInfo

Soubory od odesílatele se zlými úmysly

Vyhledá první vzhled souborů odeslaných odesílatelem se zlými úmysly ve vaší organizaci ve vybraném časovém rámci. Pokud chcete zobrazit dřívější vzhled, zvyšte vybraný časový rozsah.

let MaliciousSender = "<insert the sender email address>";
EmailAttachmentInfo
| where SenderFromAddress =~ MaliciousSender
| project SHA256 = tolower(SHA256)
| join (
DeviceFileEvents
) on SHA256
| summarize FirstAppearance = min(Timestamp) by DeviceName, SHA256, FileName 
| take 100

E-maily do externích domén s přílohami

E-maily odeslané do externí domény, které obsahují přílohy.

EmailEvents
| where EmailDirection == "Outbound" and AttachmentCount > 0
| join EmailAttachmentInfo on NetworkMessageId 
| project Timestamp, Subject, SenderFromAddress, RecipientEmailAddress, NetworkMessageId, FileName, AttachmentCount 
| take 1000