分享方式：

EmailEvents

  • 文章

適用於：

  • Microsoft Defender XDR

進EmailEvents階搜捕架構中的數據表包含有關在 適用於 Office 365 的 Microsoft Defender 上處理電子郵件的事件相關信息。 使用這個參考來建立從此表格取回之資訊的查詢。

提示

如需數據表所支援的事件類型 (ActionType 值) 詳細資訊，請使用 Microsoft Defender 全面偵測回應 中提供的內建架構參考。

如需進階搜捕結構描述中其他表格的資訊，請參閱進階搜捕參考 (部分內容為機器翻譯)。

重要事項

部分資訊與發行前版本產品有關，在正式發行之前可能會實質上進行修改。 Microsoft 對此處提供的資訊，不提供任何明確或隱含的瑕疵擔保。

資料行名稱 資料類型 描述
Timestamp datetime 事件記錄的日期和時間
NetworkMessageId string Microsoft 365 所產生電子郵件的唯一標識符
InternetMessageId string 透過傳送電子郵件系統所設定之電子郵件的公開識別碼
SenderMailFromAddress string [郵件寄件者] 標頭中的寄件者電子郵件地址，又稱為信封寄件者或退回路徑位址
SenderFromAddress string 電子郵件用戶端上的電子郵件收件者看得到 [寄件者] 標題中的寄件者電子郵件地址
SenderDisplayName string 通訊錄中顯示的寄件人名稱，通常是指定或名字的組合、中間的縮寫，以及姓氏或姓氏
SenderObjectId string Microsoft Entra ID 中發件者帳戶的唯一標識符
SenderMailFromDomain string [郵件寄件者] 標頭中的寄件者網域，也稱為信封寄件者或退回路徑位址
SenderFromDomain string [寄件者] 標頭中的寄件者網域，可對電子郵件用戶端上的電子郵件收件者顯示
SenderIPv4 string 轉送郵件的最後偵測郵件伺服器的 IPv4 位址
SenderIPv6 string 轉送郵件的最後偵測郵件伺服器的 IPv6 位址
RecipientEmailAddress string 收件者的電子郵件地址，或通訊群組清單展開後之收件者的電子郵件地址
RecipientObjectId string Microsoft Entra ID 中電子郵件收件者的唯一標識符
Subject string 電子郵件的主旨
EmailClusterId long 根據內容啟發式分析叢集的類似電子郵件群組識別碼
EmailDirection string 相對於您網路的電子郵件方向：輸入、輸出、組織內部
DeliveryAction string 電子郵件的傳遞動作：已傳送、已標示為垃圾郵件、已封鎖或已取代
DeliveryLocation string 傳送電子郵件的位置：收件匣/資料夾、內部部署/外部、垃圾郵件、隔離、失敗、已中斷、刪除的郵件
ThreatTypes string 電子郵件篩選堆疊中關於電子郵件是否包含惡意代碼、網路釣魚或其他威脅的決策
ThreatNames string 找到惡意代碼或其他威脅的偵測名稱
DetectionMethods string 用來偵測在電子郵件中找到的惡意代碼、網路釣魚或其他威脅的方法
ConfidenceLevel string 任何垃圾郵件或網路釣魚決策的信賴等級清單。 針對垃圾郵件，此數據行會顯示 SCL) (垃圾郵件信賴等級，指出電子郵件是否已略過 (-1) 、發現不是垃圾郵件 (0,1) 、發現為信賴度 (5,6) 的垃圾郵件，或是信賴度高的垃圾郵件 (9) 。 針對網路釣魚，此數據行會顯示信賴等級是「高」還是「低」。
BulkComplaintLevel int 指派給大量郵件發件者的電子郵件閾值、高大量抱怨層級 (BCL) 表示電子郵件較可能產生抱怨，因此更可能是垃圾郵件
EmailAction string 根據篩選決策、原則和使用者動作對電子郵件採取的最終動作：將郵件移至垃圾郵件資料夾、新增 X 標頭、修改主旨、重新導向郵件、刪除郵件、傳送至隔離、未採取任何動作、密件抄送郵件
EmailActionPolicy string 生效的動作原則：反垃圾郵件 - 高信賴度、反垃圾郵件、反垃圾郵件 - 大宗郵件、反垃圾郵件 - 網路釣魚、反網路釣魚網域模擬、反網路釣魚使用者模擬、反網路釣魚詐騙、反網路釣魚圖形模擬、反惡意程式碼、安全附件、企業傳輸規則 (ETR)
EmailActionPolicyGuid string 決定最終郵件動作的原則的唯一識別碼
AuthenticationDetails string DMARC、DKIM、SPF 等電子郵件驗證通訊協定的傳遞或失敗決策清單，或 CompAuth (多種驗證類型的組合)
AttachmentCount int 電子郵件的附件數量
UrlCount int 電子郵件的內嵌 URL 數量
EmailLanguage string 偵測到的電子郵件內容語言
Connectors string 定義組織郵件流程以及電子郵件路由方式的自定義指示
OrgLevelAction string 對電子郵件採取的動作，以回應符合組織層級定義的原則
OrgLevelPolicy string 觸發電子郵件所採取動作的組織原則
UserLevelAction string 針對電子郵件採取的動作，以回應收件者所定義的信箱原則相符專案
UserLevelPolicy string 觸發電子郵件動作的使用者信箱原則
ReportId string 以重複計數器為基礎的事件識別碼。 若要識別唯一事件，此數據行必須與 DeviceName 和 Timestamp 數據行搭配使用。
AdditionalFields string 實體或事件的其他相關信息
LatestDeliveryLocation* string 電子郵件的最後一個已知位置
LatestDeliveryAction* string 服務或系統管理員透過手動補救在電子郵件上嘗試的最後一個已知動作

注意事項

* 串流 API 中無法使用 和 LatestDeliveryLocationLatestDeliveryAction 資料行。

提示

想要深入了解? Engage 技術社群中的 Microsoft 安全性社群：Microsoft Defender 全面偵測回應 技術社群。