Поиск событий Microsoft Teams в журнале аудита

• Применяется к:

  Microsoft Teams

Важно!

Центр администрирования Microsoft Teams постепенно заменяет центр администрирования Skype для бизнеса, и мы переносим в него параметры Teams из Центр администрирования Microsoft 365. Если параметр был перенесен, вы увидите уведомление, а затем будете перенаправлены в расположение параметра в Центре администрирования Teams. Дополнительные сведения см. в разделе Управление Teams при переходе в Центр администрирования Teams.

Журнал аудита поможет вам исследовать конкретные действия в службах Microsoft 365. Ниже приведены некоторые действия, которые проверяются для Microsoft Teams.

• Создание команды
• Удаление команды
• Добавление канала
• Удален канал
• Изменен параметр канала

Полный список действий Teams, для которых проводится аудит, см. в разделах Действия Teams и Смены в действиях Teams.

Примечание.

События аудита из частных каналов также регистрируются как для команд, так и для стандартных каналов.

Включение аудита в Teams

Прежде чем просматривать данные аудита, необходимо сначала включить аудит в Портал соответствия требованиям Microsoft Purview. Дополнительные сведения см. в разделе Включение и отключение аудита.

Важно!

Данные аудита доступны только с того момента, когда вы включили аудит.

Извлечение данных Teams из журнала аудита

1. Чтобы получить журналы аудита для действий Teams, перейдите по ссылке https://compliance.microsoft.com и выберите Аудит.

2. На странице Поиск отфильтруйте действия, даты и пользователей, которые требуется выполнить аудит.

3. Экспорт результатов в Excel для дальнейшего анализа.

Пошаговые инструкции см. в разделе Поиск в журнале аудита на портале соответствия требованиям.

Важно!

Данные аудита отображаются в журнале аудита только в том случае, если аудит включен.

Продолжительность хранения и поиска записи аудита в журнале аудита зависит от подписки на Microsoft 365 или Office 365, а также от типа лицензии, назначенной пользователям. Дополнительные сведения см. в описании службы Центра соответствия требованиям безопасности&.

Советы по поиску в журнале аудита

Ниже приведены советы по поиску действий Teams в журнале аудита.

• Вы можете выбрать определенные действия для поиска, установив флажок рядом с одним или несколькими действиями. Если действие выбрано, вы можете выбрать его, чтобы отменить выбор. В поле поиска также можно просмотреть действия, содержащие введенное ключевое слово.

  

• Чтобы отобразить события для действий, выполняемых с помощью командлетов, выберите Показать результаты для всех действий в списке Действия . Если известно имя операции для этих действий, введите его в поле поиска, чтобы отобразить действие, и выберите его.

• Чтобы очистить текущие условия поиска, выберите Очистить все. Диапазон дат сбрасывается в значение по умолчанию (последние семь дней).

• Если найдено 5 000 результатов, можно предположить, что условиям поиска соответствует более 5 000 событий. Вы можете уточнить условия поиска и повторно запустить поиск, чтобы получить меньше результатов, или экспортировать все результаты поиска, выбрав Экспорт>Скачать все результаты. Пошаговые инструкции по экспорту журналов аудита см. в статье Экспорт результатов поиска в файл.

Ознакомьтесь с этим видео , чтобы использовать поиск в журнале звука. Присоединитесь к Ansuman Acharya, менеджеру программы Teams, как он демонстрирует, как выполнять поиск по журналам аудита для Teams.

Действия в Teams

Ниже приведен список всех событий, которые регистрируются для действий пользователей и администраторов в Teams в журнале аудита Microsoft 365. Таблица содержит понятное имя, отображаемое в столбце Действия , и имя соответствующей операции, которое отображается в подробных сведениях записи аудита и в CSV-файле при экспорте результатов поиска.

Понятное имя	Операция	Описание
Бот добавлен в группу	BotAddedToTeam	Пользователь добавляет бот в группу.
Добавлен канал	ChannelAdded	Пользователь добавляет канал в группу.
Соединитель добавлен	ConnectorAdded	Пользователь добавляет соединитель в канал.
Добавлены сведения о собрании Teams 2, 5	MeetingDetail	Teams добавила сведения о собрании, включая время начала, время окончания и URL-адрес для присоединения к собранию.
Добавлены сведения об участниках собрания 2, 5	MeetingParticipantDetail	Teams добавили сведения об участниках собрания, включая идентификатор пользователя каждого участника, время присоединения участника к собранию и время, когда участник покинул собрание.
Добавлены члены 5, 6	MemberAdded	Владелец команды добавляет участников в команду, канал или групповой чат.
Вкладка добавлена	TabAdded	Пользователь добавляет вкладку в канал.
Примененная метка конфиденциальности	SensitivityLabelApplied	Пользователь или организатор собрания применил метку конфиденциальности к собранию Teams.
Изменен параметр канала	ChannelSettingChanged	Операция ChannelSettingChanged записывается в журнал при выполнении участником команды следующих действий. Для каждого из этих действий в результатах поиска в журнале аудита отображается описание измененного параметра (отображается в скобках). Изменение имени канала команды (название канала) Описание изменений канала группы (описание канала)
Изменен параметр организации	TeamsTenantSettingChanged	Операция TeamsTenantSettingChanged регистрируется, когда глобальный администратор в Центр администрирования Microsoft 365 выполняет следующие действия. Эти действия влияют на параметры Teams для всей организации. Дополнительные сведения см. в статье Управление параметрами Teams для вашей организации. Для каждого из этих действий в столбце Элемент в результатах поиска по журналу аудита отображается описание измененного параметра (показано в скобках). Включает или отключает Teams для организации (Microsoft Teams). Включает или отключает взаимодействие между Microsoft Teams и Skype для бизнеса для организации (Skype для бизнеса взаимодействие). Включает или отключает представление организационной диаграммы в клиентах Microsoft Teams (представление организационной диаграммы). Включает или отключает возможность для участников команды планировать частные собрания (планирование частных собраний). Включает или отключает возможность для участников команды планировать собрания каналов (планирование собраний канала). Включает или отключает видеозвонки в собраниях Teams (видео для собраний Skype). Включает или отключает общий доступ к экрану в собраниях Microsoft Teams для организации (демонстрация экрана для собраний Skype). Включает или отключает эту возможность добавления анимированных изображений (под названием Giphys) в беседы Teams (анимированные изображения). Изменяет параметр оценки содержимого для организации (оценка содержимого). Оценка содержимого ограничивает типы анимированных изображений, которые могут отображаться в беседах. Включает или отключает возможность добавления настраиваемых изображений (называемых пользовательскими мемами) из Интернета в беседы группы (настраиваемые изображения из Интернета). Включает или отключает возможность добавления участниками команды редактируемых изображений (называемых наклейками) в беседы группы (редактируемые изображения). Включает или отключает эту возможность для участников команды использовать ботов в чатах и каналах Microsoft Teams (боты на уровне организации). Включает определенных ботов для Microsoft Teams. К этим программам не относится T-Bot — программа-робот для предоставления справки по Teams, которая доступна, когда для организации включена возможность использования программ-роботов (Отдельные программы-роботы). Включает или отключает возможность добавления расширений или вкладок участниками команды (расширения или вкладки). Включает или отключает загрузку неопубликованных ботов для Microsoft Teams (загрузка ботов на стороне). Включает или отключает возможность отправки пользователями сообщений электронной почты на канал Microsoft Teams (электронная почта канала).
Изменена роль участников в команде	MemberRoleChanged	Владелец команды изменяет роль участников в команде. Следующие значения указывают тип роли, назначенный пользователю. 1 — указывает роль участника. 2 — указывает роль владельца. 3 — указывает на роль "Гость". Свойство Members также включает имя вашей организации и адрес электронной почты участника.
Изменен параметр группы	TeamSettingChanged	Операция TeamSettingChanged записывается в журнал при выполнении владельцем команды следующих действий. Для каждого из этих действий в столбце Элемент в результатах поиска по журналу аудита отображается описание измененного параметра (показано в скобках). Изменяет тип доступа для команды. Teams можно задать как частный или общедоступный (тип доступа team). Если команда закрытая (параметр по умолчанию), пользователи могут получить доступ к ней только по приглашению. Общедоступная команда открыта для всех. Изменяет классификацию информации команды (классификация команд). Например, можно классифицировать данные команды как имеющие высокое, среднее или низкое влияние на бизнес. Изменяет имя команды (имя команды). Изменяет описание команды (описание группы). Изменения, внесенные в параметры команды. Чтобы получить доступ к этим параметрам, владелец команды может щелкнуть команду правой кнопкой мыши, выбрать Управление командой, а затем выбрать вкладку Параметры . Для этих действий имя измененного параметра отображается в столбце Элемент в результатах поиска в журнале аудита.
Изменена метка конфиденциальности	SensitivityLabelChanged	Пользователь изменил метку конфиденциальности на собрании Teams.
Создан чат 1, 2	ChatCreated	Создан чат Teams.
Создана группа	TeamCreated	Пользователь создает команду.
Удалено сообщение 2	MessageDeleted	Сообщение в чате или канале было удалено.
Удалены все приложения организации	DeletedAllOrganizationApps	Удалены все приложения организации из каталога.
Удаленное приложение	AppDeletedFromCatalog	Приложение удалено из каталога.
Удален канал	ChannelDeleted	Пользователь удаляет канал из группы.
Удалена группа	TeamDeleted	Владелец команды удаляет ее.
Изменено сообщение со ссылкой НА URL-адрес в Teams 5	MessageEditedHasLink	Пользователь изменяет сообщение и добавляет к нему ССЫЛКу НА URL-адрес в Teams.
Экспортированные сообщения 1, 2	MessagesExported	Сообщения чата или канала экспортированы.
Экспортированные записи	RecordingExported	Записи чата экспортированы.
Экспортированные расшифровки	TranscriptsExported	Стенограммы чата экспортированы.
Не удалось проверить приглашение на общий канал 3	FailedValidation	Пользователь отвечает на приглашение на общий канал, но его проверка не пройдена.
Выборка чата 1, 2	ChatRetrieved	Получен чат Microsoft Teams.
Получено все размещенное содержимое сообщения1, 2	MessageHostedContentsListed	Все размещенное в сообщении содержимое, например изображения или фрагменты кода, было извлечено.
Приложение установлено	AppInstalled	Установлено приложение.
Выполнено действие для карта	PerformedCardAction	Пользователь выполнил действия с адаптивным карта в чате. Адаптивные карточки обычно используются ботами для эффективного отображения информации и взаимодействия в чатах. Примечание: В журнале аудита будут доступны только встроенные входные действия для адаптивного карта внутри чата. Например, когда пользователь отправляет ответ на опрос в беседе канала на адаптивном карта, созданном ботом опроса. Действия пользователя, такие как "Просмотр результата", при котором открывается диалоговое окно, или действия пользователя внутри диалогов, не будут доступны в журнале аудита.
Опубликовано новое сообщение 1, 2, 5, 6	MessageSent	Новое сообщение было опубликовано в чате или канале.
Опубликованное приложение	AppPublishedToCatalog	Приложение было добавлено в каталог.
Чтение сообщения 1, 2	MessageRead	Получено сообщение чата или канала.
Чтение размещенного содержимого сообщения 1, 2	MessageHostedContentRead	Было извлечено размещенное в сообщении содержимое, например изображение или фрагмент кода.
Бот удален из группы	BotRemovedFromTeam	Пользователь удаляет бот из группы.
Соединитель удален	ConnectorRemoved	Пользователь удаляет соединитель из канала.
Удалены участники	MemberRemoved	Владелец команды удаляет участников из команды, канала или группового чата.
Удалена метка конфиденциальности	SensitivityLabelRemoved	Пользователь удалил метку конфиденциальности из собрания Teams.
Удален общий доступ к каналу 3 команды	TerminatedSharing	Команда или владелец канала отключили общий доступ к общему каналу.
Восстановлен общий доступ к каналу 3 команды	SharingRestored	Команда или владелец канала повторно включил общий доступ для общего канала.
Вкладка удалена	TabRemoved	Пользователь удаляет вкладку из канала.
Ответ на приглашение для общего канала 3	InviteeResponded	Пользователь ответил на приглашение общего канала.
Ответ на ответ приглашенного на общий канал 3	ChannelOwnerResponded	Владелец канала ответил на ответ пользователя, который ответил на приглашение общего канала.
Полученные сообщения 1, 2	MessagesListed	Сообщения из чата или канала были получены.
Отправка сообщения со ссылкой НА URL-адрес в Teams 5	MessageCreatedHasLink	Пользователь отправляет сообщение, содержащее URL-ссылку в Teams.
Уведомление об отправленных изменениях для создания сообщения 1, 2	MessageCreatedNotification	Было отправлено уведомление об изменении, чтобы уведомить приложение прослушивателя с подпиской о новом сообщении.
Отправленное уведомление об изменении для удаления сообщения 1, 2	MessageDeletedNotification	Было отправлено уведомление об изменениях, чтобы уведомить приложение прослушивателя с подпиской об удаленном сообщении.
Отправлено уведомление об изменениях для сообщения обновления 1, 2	MessageUpdatedNotification	Было отправлено уведомление об изменении, чтобы уведомить приложение прослушивателя с подпиской об обновленном сообщении.
Отправленное приглашение для общего канала 3	InviteSent	Владелец канала или участник отправляет приглашение на общий канал. Приглашения на общие каналы можно отправлять пользователям за пределами организации, если политика канала настроена для предоставления доступа к каналу внешним пользователям.
Подписан на уведомления об изменении сообщений 1, 2	SubscribedToMessages	Подписка была создана приложением-прослушивателем для получения уведомлений об изменениях сообщений.
Удалено приложение	AppUninstalled	Приложение было удалено.
Обновленное приложение	AppUpdatedInCatalog	Приложение было обновлено в каталоге.
Обновлен чат 1, 2	ChatUpdated	Обновлен чат Teams.
Обновлено сообщение 1, 2	MessageUpdated	Обновлено сообщение чата или канала.
Обновлен соединитель	ConnectorUpdated	Пользователь изменил соединитель в канале.
Вкладка обновлена	TabUpdated	Пользователь изменил вкладку в канале.
Обновленное приложение	AppUpgraded	Приложение обновлено до последней версии в каталоге.
Пользователь вошел в Teams	TeamsSessionStarted	Пользователь входит в клиент Microsoft Teams. Это событие не фиксирует действия по обновлению маркера.
Опубликовано новое сообщение 3, 4, 5, 6	MessageSent	Новое сообщение было опубликовано в чате или канале. Это событие является функцией уровня "Премиум" с определяемыми сведениями о лицензировании.

Примечание.

¹ Запись аудита для этого события регистрируется только при выполнении операции путем вызова API Graph Майкрософт. Если операция выполняется в клиенте Teams, запись аудита не регистрируется.
² Это событие доступно только в audit (Premium). Это означает, что пользователям должна быть назначена соответствующая лицензия, прежде чем эти события будут зарегистрированы в журнале аудита. Дополнительные сведения о действиях, доступных только в audit (Premium), см. в разделе Аудит (премиум) в Microsoft Purview. Требования к лицензированию для функции "Аудит" (премиум) см. в статье Решения для аудита в Microsoft 365.
³ Это событие находится в общедоступной предварительной версии.
⁴Это событие создается для чата только при наличии гостей, федеративных и (или) анонимных пользователей.
⁵ Это событие в настоящее время недоступно в облаке сообщества для государственных организаций (GCC), облаке сообщества для государственных организаций (GCC-High) и Министерстве обороны (DoD).
⁶ Это событие включается во всех участвующих клиентах для федеративных чатов.
⁷ Это событие содержит сведения о домене участника для федеративных чатов 1:1.

Действия в Сменах для Teams

Если ваша организация использует приложение "Смены" в Teams, вы можете найти в журнале аудита действия, связанные с приложением "Смены". Ниже приведен список всех событий, регистрируемых для действий смен в Teams в журнале аудита Microsoft 365.

Понятное имя	Операция	Описание
Добавлена группа планирования	ScheduleGroupAdded	Пользователь успешно добавляет в расписание новую группу планирования.
Измененная группа планирования	ScheduleGroupEdited	Пользователь успешно изменяет группу планирования.
Удаленная группа планирования	ScheduleGroupDeleted	Пользователь успешно удаляет группу планирования из расписания.
Отозвали расписание	ScheduleWithdrawn	Пользователь успешно отзывает опубликованное расписание.
Добавлена смена	ShiftДобавлено	Пользователь успешно добавляет смену.
Измененная смена	ShiftEdited	Пользователь успешно изменяет смену.
Удаленная смена	ShiftDeleted	Пользователь успешно удаляет смену.
Добавлено время отгула	TimeOffAdded	Пользователь успешно добавляет время отгула по расписанию.
Измененное время отгула	TimeOffEdited	Пользователь успешно изменяет время отгула.
Удалено время отгула	TimeOffDeleted	Пользователь успешно удаляет время отгула.
Добавлена открытая смена	OpenShiftAdded	Пользователь успешно добавляет открытую смену в группу планирования.
Измененная открытая смена	OpenShiftEdited	Пользователь успешно изменяет открытую смену в группе планирования.
Удалена открытая смена	OpenShiftDeleted	Пользователь успешно удаляет открытую смену из группы планирования.
Общее расписание	ScheduleShared	Пользователь успешно предоставил общий доступ к расписанию команды для диапазона дат.
Синхронизация с использованием часов времени	ClockedIn	Пользователь успешно выполняет часы с помощью часов времени.
Время ожидания с помощью часов	ClockedOut	Пользователь успешно выполняет синхронизацию с помощью часов времени.
Запуск перерыва с помощью часов времени	BreakStarted	Пользователь успешно запускает перерыв во время активного сеанса часов времени.
Окончание перерыва с помощью часов времени	BreakEnded	Пользователь успешно завершает перерыв во время активного сеанса часов времени.
Добавлена запись time clock	TimeClockEntryAdded	Пользователь успешно добавляет новую запись часов времени вручную в time sheet.
Запись измененных часов времени	TimeClockEntryEdited	Пользователь успешно изменяет запись часов в таблице времени.
Запись "Удаленные часы времени"	TimeClockEntryDeleted	Пользователь успешно удаляет запись time clock в time sheet.
Добавлен запрос на смену	RequestAdded	Пользователь добавил запрос на смену.
Ответ на запрос на смену	RequestRespondedTo	Пользователь ответил на запрос смены.
Отмененный запрос на смену	RequestCancelled	Пользователь отменил запрос на смену.
Изменен параметр расписания	ScheduleSettingChanged	Пользователь изменяет параметр в параметрах shifts.
Добавлена интеграция с персоналом	WorkforceIntegrationДобавлено	Приложение Shifts интегрировано со сторонней системой.
Сообщение о принятом отключении смены	OffShiftDialogAccepted	Пользователь подтверждает сообщение вне смены для доступа к Teams после смены.

Обновления приложения в действиях Teams

Если ваша организация использует приложение Обновления в Teams, вы можете найти в журнале аудита действия, связанные с приложением Обновления. Ниже приведен список всех событий, регистрируемых для Обновления действий приложений в Teams в журнале аудита Microsoft 365.

Понятное имя	Операция	Описание
Создание запроса на обновление	CreateUpdateRequest	Пользователь успешно создает запрос на обновление.
Изменение запроса на обновление	EditUpdateRequest	Пользователь открывает мастер редактирования запросов и нажимает кнопку Сохранить , чтобы подтвердить и сохранить любые изменения, либо включает или отключает запрос на обновление напрямую.
Отправка обновления	SubmitUpdate	Пользователь успешно отправляет обновление.
Просмотр сведений об одном обновлении	ViewUpdate	Пользователь просматривает сведения об обновлении.

API действий управления Office 365

Вы можете использовать API действий управления Office 365 для получения сведений о событиях Teams. Дополнительные сведения о схеме API действий управления для Teams см. в разделе Схема Teams.

Присвоение в журналах аудита Teams

Изменения членства в Teams (например, добавленные или удаленные пользователи), внесенные с помощью Azure Active Directory (Azure AD), портала администрирования Microsoft 365 или Группы Microsoft 365 API Graph, будут отображаться в сообщениях аудита Teams и в канале "Общие" с указанием атрибута существующему владельцу команды, а не фактическому инициатору действия. В этих сценариях обратитесь к журналам аудита группы Azure AD или Microsoft 365, чтобы просмотреть соответствующую информацию.

Настройка политик действий с помощью Defender для облачных приложений

С помощью интеграции Microsoft Defender for Cloud Apps можно задать политики действий для обеспечения широкого спектра автоматизированных процессов с помощью API поставщика приложений. Эти политики позволяют отслеживать определенные действия, выполняемые различными пользователями, или следовать неожиданно высоким показателям одного определенного типа действий.

После настройки политики обнаружения действий начинается создание оповещений. Оповещения создаются только для действий, которые происходят после создания политики. Ниже приведены примеры сценариев использования политик действий в Defender для облачных приложений для мониторинга действий Teams.

Сценарий внешнего пользователя

Одним из сценариев, за которым вы можете следить с точки зрения бизнеса, является добавление внешних пользователей в среду Teams. Если внешние пользователи включены, рекомендуется отслеживать их присутствие. Вы можете использовать Defender для облачных приложений для выявления потенциальных угроз.

Снимок экрана этой политики для отслеживания добавления внешних пользователей позволяет присвоить политике имя, задать серьезность в соответствии с бизнес-потребностями, задать его как (в данном случае) одно действие, а затем установить параметры, которые будут отслеживать только добавление не внутренних пользователей, и ограничить это действие Teams.

Результаты этой политики можно просмотреть в журнале действий:

Здесь можно просмотреть соответствие заданной политике и внести любые изменения по мере необходимости или экспортировать результаты для использования в другом месте.

Сценарий массового удаления

Как упоминалось ранее, можно отслеживать сценарии удаления. Можно создать политику, которая будет отслеживать массовое удаление сайтов Teams. В этом примере настраивается политика на основе оповещений для обнаружения массового удаления команд в течение 30 минут.

Как показано на снимках экрана, для этой политики можно задать множество различных параметров для отслеживания удаления Teams, включая серьезность, одно или повторяющееся действие, а также параметры, ограничивающие удаление Teams и сайтов. Это можно сделать независимо от шаблона или вы можете создать шаблон, на основе которых будет основываться эта политика, в зависимости от потребностей вашей организации.

После установки политики, которая работает для вашей компании, вы можете просмотреть результаты в журнале действий по мере активации событий:

Вы можете отфильтровать ее до заданной политики, чтобы просмотреть результаты этой политики. Если результаты, полученные в журнале действий, не являются удовлетворительными (возможно, вы видите много результатов или вообще ничего), это поможет вам настроить запрос, чтобы сделать его более подходящим для выполнения.

Сценарий оповещений и управления

Вы можете настроить оповещения и отправлять сообщения электронной почты администраторам и другим пользователям при активации политики действий. Вы можете настроить действия автоматического управления, такие как приостановка пользователя или автоматическое выполнение входа пользователя. В этом примере показано, как можно приостановить учетную запись пользователя при активации политики действий и определить, что пользователь удалил две или более команд за 30 минут.

Настройка политик обнаружения аномалий с помощью Defender для облачных приложений

Политики обнаружения аномалий в Defender for Cloud Apps предоставляют готовую аналитику поведения пользователей и сущностей (UEBA) и машинное обучение (ML), чтобы вы могли немедленно запустить расширенное обнаружение угроз в облачной среде. Так как они включены автоматически, новые политики обнаружения аномалий обеспечивают немедленные результаты, обеспечивая немедленное обнаружение, нацелив на многочисленные аномалии поведения пользователей, компьютеров и устройств, подключенных к сети. Кроме того, новые политики предоставляют больше данных из подсистемы обнаружения Defender for Cloud Apps, чтобы ускорить процесс исследования и устранить текущие угрозы.

Мы работаем над интеграцией событий Teams в политики обнаружения аномалий. Сейчас вы можете настроить политики обнаружения аномалий для других продуктов Office и принять меры для пользователей, которые соответствуют этим политикам.

Статьи по теме

• Поиск в журнале аудита на портале соответствия требованиям Microsoft Purview