Query per la tabella EmailAttachmentInfo

Per informazioni sull'uso di queste query nel portale di Azure, vedere Esercitazione di Log Analytics. Per l'API REST, vedere Query.

File provenienti da mittenti dannosi

Trova la prima apparizione dei file inviati da un mittente malintenzionato nell'organizzazione nel periodo di tempo selezionato. Per visualizzare le apparenze precedenti, aumentare l'intervallo di tempo selezionato.

let MaliciousSender = "<insert the sender email address>";
EmailAttachmentInfo
| where SenderFromAddress =~ MaliciousSender
| project SHA256 = tolower(SHA256)
| join (
DeviceFileEvents
) on SHA256
| summarize FirstAppearance = min(Timestamp) by DeviceName, SHA256, FileName 
| take 100

Messaggi di posta elettronica a domini esterni con allegati

Messaggi di posta elettronica inviati a un dominio esterno che include allegati.

EmailEvents
| where EmailDirection == "Outbound" and AttachmentCount > 0
| join EmailAttachmentInfo on NetworkMessageId 
| project Timestamp, Subject, SenderFromAddress, RecipientEmailAddress, NetworkMessageId, FileName, AttachmentCount 
| take 1000