Introdução aos logs de auditoria do Microsoft Purview

By Mirko Peters · 2026-08-28

Bem-vindo de volta ao blog complementar do podcast! No post de hoje, vamos mergulhar fundo nas mecânicas fundamentais de rastreamento e revisão das ações dos usuários dentro do seu c…

Automatically translated with AI from the original post. Read the English original

Bem-vindo de volta ao blog complementar do podcast! Neste post, vamos mergulhar fundo nos mecanismos básicos de rastreamento e revisão das ações dos usuários no seu ambiente de nuvem. Se você quer proteger seu locatário, investigar possíveis incidentes de segurança e garantir a conformidade rigorosa com as regulamentações, entender o Unified Audit Log é indispensável. Para ouvir a discussão completa sobre este tema, não deixe de conferir o episódio do podcast relacionado, Audit Microsoft 365 User Activity with Purview.

À medida que as organizações migram cada vez mais cargas de trabalho para a nuvem, gerenciar a visibilidade de usuários e administradores se torna muito mais complexo. Sem uma estratégia de auditoria estruturada, você está essencialmente voando às cegas diante de ameaças internas e externas. Este guia vai orientá-lo pelas etapas estruturais necessárias para verificar seu ambiente, atribuir funções de governança adequadas e extrair inteligência acionável do portal do Microsoft Purview.

Introdução aos logs de auditoria do Microsoft Purview

Monitorar as ações de usuários e administradores em um ecossistema de nuvem é um componente essencial de qualquer postura moderna de segurança cibernética. O Microsoft Purview funciona como o hub central de conformidade, governança e auditoria no seu locatário. Ele consolida os registros de atividade do Exchange Online, SharePoint, OneDrive, Microsoft Teams e Microsoft Entra ID em um único repositório pesquisável.

Saber como aproveitar esses registros de auditoria dá aos administradores a capacidade de reconstruir linhas do tempo durante investigações de segurança, identificar desvios de configuração não autorizados e atender a estruturas de conformidade rigorosas, como HIPAA, GDPR e PCI DSS. Seja para rastrear logins simples de usuários ou padrões complexos de exfiltração de dados por meio de links de compartilhamento de arquivos, o Purview oferece a telemetria detalhada necessária para se manter seguro.

Pré-requisitos de auditoria: permissões e funções

Permissões e funções

Antes de começar a investigar anomalias de segurança ou a extrair relatórios de conformidade, é preciso garantir que os limites administrativos adequados e os controles de acesso baseados em função (RBAC) estejam estabelecidos. Nem todo administrador precisa de acesso total aos dados brutos de auditoria; aplicar o princípio do menor privilégio aqui protege a telemetria sensível da empresa.

Atribuir essas funções específicas pelo centro de administração do Microsoft Entra ou pelo portal de conformidade do Purview garante que seus responsáveis pela conformidade e analistas de segurança tenham exatamente o acesso necessário para executar suas tarefas com eficiência.

Habilitando o registro de auditoria

Embora muitas assinaturas modernas do Microsoft 365 já tenham a auditoria padrão habilitada, verificar o status de auditoria do seu locatário é sempre uma primeira etapa obrigatória. Se a auditoria estiver desativada, sua organização não terá nenhum rastro histórico das ações dos usuários antes de um evento de segurança.

1. Verifique se sua organização possui o nível de assinatura adequado (como Microsoft 365 E3 ou E5) para oferecer suporte à profundidade de registro desejada.
2. Confirme se o Unified Audit Log está ativo usando comandos do Exchange Online PowerShell ou verificando o portal do Purview.
3. Atribua as funções Leitor de Auditoria ou Administrador de Auditoria necessárias aos profissionais de segurança designados.
4. Configure recursos avançados, como o Microsoft Purview Audit (Premium), caso sua empresa precise de retenção estendida de logs e captura de eventos de alto valor.
5. Estabeleça rotinas contínuas de verificação para garantir que o status da auditoria não seja desativado sem querer durante migrações complexas de locatário ou transições administrativas.

Acessando os logs de auditoria no portal do Purview

Navegando pelo portal do Purview

Quando suas permissões estiverem definidas e a auditoria estiver confirmada como ativa, você poderá acessar as principais ferramentas de pesquisa na interface de conformidade. Faça login no portal de conformidade do Microsoft Purview, localize o painel de navegação à esquerda e selecione a solução Audit. Em seguida, clique em Search para abrir o construtor de parâmetros.

Lembre-se de que, quando um evento ocorre no seu ambiente, normalmente leva de 15 a 60 minutos para que a telemetria seja totalmente ingerida, indexada e disponibilizada pela ferramenta de pesquisa do portal. Paciência é essencial ao fazer resposta a incidentes em tempo real.

Filtrando e exportando logs

Como os ambientes corporativos geram milhões de registros de telemetria por dia, rolar a tela manualmente é impossível. O Purview oferece ferramentas de filtragem granulares para direcionar suas investigações com eficácia:

• Intervalo de data e hora (UTC): Especifique janelas precisas para sua investigação, lembrando que as pesquisas padrão abrangem até 180 dias.
• Palavras-chave: Pesquise cadeias de texto específicas dentro dos payloads JSON subjacentes.
• Atividades (nomes amigáveis): Selecione operações legíveis por humanos em vez dos nomes de métodos brutos do back-end.
• Tipos de registro: Restrinja as pesquisas a serviços específicos, como downloads de arquivos do SharePoint ou acessos a caixas de correio do Exchange.

Quando for necessária uma análise offline mais profunda, você pode exportar os resultados da pesquisa para o formato de valores separados por vírgula (.csv). Essa exportação traz as informações detalhadas do evento na coluna AuditData como objetos JSON estruturados, que podem então ser analisados com ferramentas como o Power Query do Excel ou pipelines de SIEM externos.

Entendendo e analisando logs de auditoria

As entradas brutas de auditoria são documentos JSON ricos que capturam dados contextuais, como endereços IP de clientes, user agents, IDs dos itens afetados e detalhes explícitos da operação. Interpretar esses logs permite que as equipes de segurança separem o comportamento benigno do usuário de ameaças internas maliciosas.

Ao estudar essas categorias de atividade, seu centro de operações de segurança (SOC) pode identificar padrões sutis de exfiltração de dados, desvio de configuração ou escalonamento de privilégios muito antes que levem a uma violação de dados catastrófica.

Boas práticas de auditoria: agendamento e conformidade

Manter um ambiente seguro exige governança proativa, e não apenas a revisão reativa de logs. Estabeleça agendas recorrentes para auditar contas privilegiadas, revisar alterações na associação de grupos administrativos e testar as políticas de alerta automatizadas.

Integrar a telemetria de auditoria do Purview a sistemas externos de Gerenciamento de Informações e Eventos de Segurança (SIEM) por meio das APIs de Atividade do Microsoft Graph ou do Azure Event Hubs permite que sua empresa automatize respostas. Por exemplo, se um evento de auditoria disparar um alerta de exclusão em massa de arquivos, um Logic App conectado pode revogar automaticamente sessões de usuários ou forçar a redefinição de autenticação multifator.

Além disso, aplique controles de privacidade robustos. Garanta que suas políticas de retenção de logs equilibrem os requisitos de conformidade legal e regulatória com os padrões organizacionais de privacidade de dados, usando ferramentas como exclusão automatizada e pseudonimização quando apropriado.

Solucionando problemas de acesso e de integridade dos logs

Os administradores frequentemente encontram obstáculos ao consultar logs ou verificar a cobertura da telemetria. Se você encontrar registros ausentes ou bloqueios de acesso, siga esta lista de verificação sistemática de solução de problemas:

• Verifique a auditoria do locatário: Execute scripts de verificação do PowerShell para garantir que a auditoria não tenha sido interrompida.
• Valide as atribuições de RBAC: Certifique-se de que sua conta de usuário tenha as funções corretas de Leitor de Auditoria ou de administrador de conformidade.
• Verifique os atrasos de ingestão: Lembre-se de que filas temporárias de ingestão no back-end podem causar lacunas breves nas pesquisas em tempo real.
• Revise as configurações de diagnóstico: Confirme que seus pipelines de exportação de dados e perfis de diagnóstico estejam mapeados corretamente para capturar todos os eventos pretendidos das cargas de trabalho.

Se os problemas persistirem, consulte a documentação oficial de solução de problemas da Microsoft ou execute consultas programáticas direcionadas pelo PowerShell para isolar os conjuntos de registros ausentes.

Conclusão

Dominar o ecossistema de logs de auditoria do Microsoft Purview é uma etapa essencial para qualquer administrador de nuvem ou profissional de segurança que queira fortalecer o seu ambiente do Microsoft 365. Desde entender as permissões básicas e habilitar o registro unificado até dominar exportações complexas em JSON e integrações com SIEM, a sua capacidade de rastrear a atividade dos usuários determina diretamente a maturidade de segurança da sua organização.

Para continuar aprendendo e ouvir cenários práticos do mundo real sobre monitoramento de usuários, não deixe de ouvir o nosso episódio complementar completo, Audit Microsoft 365 User Activity with Purview. Implementar essas práticas rigorosas de auditoria hoje vai proteger os ativos da sua empresa e manter a conformidade sem concessões amanhã.