Log de auditoria unificado não funciona

By Mirko Peters · 2026-04-23 · Updated 2026-07-18

Solucione problemas do log de auditoria unificado no Microsoft 365 com verificações de auditoria, permissões, filtros de pesquisa, licenciamento e atrasos.

Automatically translated with AI from the original post. Read the English original

Nada aquece mais o clima na TI do que abrir a auditoria do Microsoft 365 e… não acontecer nada. O log de auditoria unificado deveria oferecer uma visão completa da atividade de usuários e administradores, algo essencial para resposta a incidentes, conformidade e, simplesmente, para manter a sanidade. Quando ele não tem dados, se recusa a pesquisar ou o botão de exportação parece travado para sempre, todo o seu processo de segurança pode parar.

Este guia aborda os principais motivos pelos quais o log de auditoria unificado pode apresentar problemas, desde permissões ausentes até dados atrasados e até atualizações ocultas da Microsoft. Você encontrará etapas práticas para colocar tudo de volta nos trilhos, além de dicas para evitar surpresas no futuro. Também abordamos questões que poucos mencionam, como lacunas de licenciamento, conflitos de configuração e atrasos de processamento em segundo plano que parecem falhas reais. Ao final, você saberá não apenas como corrigir problemas de auditoria, mas também como manter seus logs tão confiáveis quanto seu café da manhã.

Como ativar o registro de auditoria nos aplicativos do Microsoft 365

Ativar o registro de auditoria no Exchange Online, SharePoint, OneDrive e Teams é o primeiro passo para obter dados de auditoria unificados confiáveis no Microsoft 365, e muitas vezes o mais negligenciado. Você precisa fazer isso no portal de conformidade do Microsoft 365, que hoje é chamado de Microsoft Purview na maioria das organizações.

Para locatários comerciais, acesse o portal do Microsoft Purview, navegue até "Auditoria" e verifique se o registro de auditoria está realmente ativado. Acredite ou não, nem sempre ele é automático, mesmo em locatários mais recentes. Se você estiver usando o portal de conformidade clássico ou um locatário do governo (GCC ou DOD), a interface pode ser um pouco diferente, mas as configurações ficam em um local semelhante, em "Pesquisa" ou "Pesquisa no log de auditoria".

Ao ativar o log de auditoria unificado, não presuma que "padrão" significa "concluído". Novos aplicativos do Microsoft 365 às vezes exigem que a ativação seja refeita para cobertura total da auditoria. Por exemplo, o Teams ou novos sites do SharePoint podem não estar totalmente incluídos se os serviços subjacentes foram provisionados depois. É sempre prudente verificar o status do registro após integrar novos serviços.

Lembre-se: alguns ambientes precisam de várias etapas para ficar completos. Auditar a atividade do usuário com o Microsoft Purview pode ajudar você a verificar quais níveis tem disponíveis (Audit Standard ou Premium), o que está sendo registrado e como garantir que toda carga de trabalho na nuvem esteja coberta. Pular a verificação é o motivo nº 1 para os logs estarem ausentes justamente quando você mais precisa deles.

Permissões de ferramentas de auditoria e acesso ao portal de conformidade

Um log de auditoria funcional não depende apenas de ligar as chaves certas. Muito depende de quem você é no mundo do Microsoft 365. Para acessar e pesquisar logs de auditoria, os administradores precisam das permissões corretas atribuídas por meio do Microsoft Purview ou do Security & Compliance Center.

As funções indispensáveis geralmente são Administrador de Conformidade, Logs de Auditoria ou Leitor de Segurança. Elas são concedidas por meio de grupos de funções no portal do Microsoft Purview (ou, às vezes, no Entra ID). Se você estiver tentando extrair logs e algo estiver quebrado ou desabilitado, confira novamente se sua conta realmente faz parte do grupo certo e se as alterações recentes já tiveram tempo de sincronizar com o back-end do Microsoft 365.

Armadilhas comuns? Atribuir pessoas ao grupo errado (como Leitor Global em vez de Administrador de Conformidade), depender de funções do Entra ID sem configurar o Purview, ou não perceber que algumas alterações de acesso podem levar até 24 horas para entrar em vigor. Atribuições de função inconsistentes ou o uso de contas de administrador de emergência (break-glass) que ignoram revisões manuais também podem fazer com que as ferramentas de auditoria não funcionem como esperado.

Um acesso de auditoria bem gerenciado não se resume a abrir as portas; trata-se também de boa governança, remoção de usuários desatualizados e revisões periódicas de acesso, temas explicados em detalhes neste guia de acesso e governança de dados do Microsoft 365. Manter as permissões bem controladas ajuda você a evitar lacunas acidentais na auditoria e garante a conformidade com as suas próprias políticas de segurança.

Solução de problemas de falhas no log de auditoria unificado no Microsoft 365

Quando o log de auditoria unificada parece não funcionar—mostrando pesquisas vazias, registros ausentes ou opções de exportação com falhas—normalmente é sintoma de algo mais profundo na configuração, no licenciamento ou em atrasos no back-end. Esses problemas podem parecer muito parecidos, mas muitas vezes têm causas e soluções bem diferentes.

Antes de abrir um chamado com o suporte ou escalar o problema, vale a pena saber como é o comportamento "normal" e quais etapas de solução de problemas ajudam a identificar se você está lidando com eventos ausentes, janelas de tempo erradas, falta de permissões ou limites impostos pela Microsoft. Às vezes o problema é tão simples quanto uma ingestão atrasada; em outras, é um problema sutil de licenciamento ou uma mudança de política que passou despercebida.

Nas próximas seções, você encontrará orientações práticas para diagnosticar lacunas, verificar a integridade dos logs, superar particularidades do PowerShell e da exportação e filtrar resultados para análises do dia a dia. Entendendo essas etapas, você vai reconhecer muito mais rápido—e resolver—as falhas de log de auditoria mais comuns e as mais complicadas.

Confiabilidade e integridade: como lidar com registros de auditoria ausentes ou incompletos

• Verifique a política de retenção e o licenciamento: Lacunas nos dados costumam aparecer quando suas licenças do Microsoft 365 não oferecem retenção estendida (somente E5 ou Premium) ou quando a licença de um usuário foi alterada recentemente. Sempre confirme se você tem o nível de licença correto para os registros e o período de que precisa.
• Analise os atrasos de ingestão: Os logs de auditoria não são em tempo real. Pode haver um atraso embutido de 15 minutos a várias horas or, em casos raros, até mais em fins de semana ou durante interrupções de serviço da Microsoft. Esse intervalo pode fazer os logs parecerem ausentes, quando na verdade estão apenas atrasados.
• Identifique limitação de taxa (throttling) e restrições de exportação: Locatários grandes podem atingir limitação de taxa, especialmente se exportações ou pesquisas de auditoria estiverem sendo executadas em alto volume. Algumas ações podem não ser registradas ou aparecer com atraso se você estiver atingindo limites de taxa ou de sessão.
• Filtre falsos positivos: Certifique-se de que os filtros de usuário, data ou atividade não estejam restritos demais ou configurados incorretamente. Pesquisar um intervalo muito estreito, escolher o usuário ou grupo errado, ou filtrar eventos "de ruído" inofensivos pode fazer as coisas parecerem mais quebradas do que realmente estão.
• Verifique problemas de configuração em todo o locatário: Às vezes, configurações do locatário relacionadas ao acesso condicional, permissões de entidades de serviço ou até políticas de retenção legal podem interferir na geração de eventos de auditoria. Revise as configurações e atualizações de segurança recentes para descartar causas ocultas.

Usando o cmdlet Search-UnifiedAuditLog no Microsoft PowerShell

O cmdlet Search-UnifiedAuditLog no PowerShell é uma ferramenta poderosa para solução avançada de problemas, permitindo contornar o portal web e consultar diretamente os logs de auditoria unificada no Microsoft 365. Ele é especialmente útil para exportações em massa, verificação de grandes intervalos de datas ou automação de investigações recorrentes.

As tarefas administrativas típicas incluem pesquisar por data, usuário ou atividade e exportar os resultados para análise mais detalhada. Apenas fique atento às restrições conhecidas, como o limite de exportação de 50.000 registros ou a limitação de taxa se você executar pesquisas grandes e repetidas. Os erros aqui podem indicar se o problema está no back-end, no portal ou apenas nos limites de escala da sua sessão.

Há muito potencial de automação, mas alguns recursos—como os aprofundamentos sobre governança com PowerShell—podem redirecionar para outros materiais caso o conteúdo seja movido. Ainda assim, a documentação oficial e os fóruns continuam valiosíssimos para as opções mais recentes dos cmdlets e para as armadilhas conhecidas.

Filtrando por data, usuário e visualizando detalhes ao exportar logs

• Filtre por intervalo de datas: Sempre defina uma janela de tempo específica—uma semana ou alguns dias—para limitar os resultados da pesquisa e reduzir o ruído. Pesquisas com datas muito amplas costumam deixar eventos de fora ou sobrecarregar as funções de exportação.
• Direcione por usuário ou tipo de atividade: Use nomes de entidade de usuário (UPN) ou palavras-chave de atividade para garantir que você esteja trazendo apenas os eventos que interessam. Isso poupa longas esperas e reduz a chance de atingir os limites de tamanho na exportação.
• Visualize os detalhes do evento antes de exportar: Abrir um único registro de log antes de exportar em massa permite confirmar se os eventos estão sendo capturados como esperado, com os metadados corretos.
• Exporte em lotes gerenciáveis: Para auditorias maiores, divida as exportações em intervalos menores e sobrepostos para evitar timeouts ou arquivos CSV parciais.

Executando pesquisas de auditoria e exportando dados da auditoria unificada

Para executar uma pesquisa de auditoria do Microsoft 365, acesse o portal do Microsoft Purview e selecione a seção Auditoria. Escolha o intervalo de datas, o(s) usuário(s) e os tipos de atividade para montar sua consulta. Evite pesquisas para todos os usuários ou para todo o locatário, a menos que realmente precise delas, pois podem sobrecarregar a interface e o mecanismo de exportação.

Quando os resultados aparecerem, você pode visualizá-los ou exportá-los para um arquivo CSV no portal. Lembre-se: resultados muito grandes podem falhar ou atingir o tempo limite, então mantenha as consultas bem direcionadas. Se ocorrerem erros durante a exportação, tente intervalos de datas menores ou use o PowerShell para extrair os logs de auditoria em lotes.

Sempre revise os arquivos exportados quanto à integridade, incluindo colunas e períodos, antes de usá-los em investigações.

Latência do log de auditoria unificada e problemas de atraso nos dados

Um dos motivos mais negligenciados para dados de auditoria "ausentes"? Simplesmente o atraso. Os logs de auditoria nem sempre são em tempo real, e a Microsoft processa os eventos de atividade em lotes, de modo que a entrada de log real às vezes aparece muito tempo depois da ação do usuário.

Isso pode gerar chamados de suporte urgentes e horas de solução de problemas desperdiçadas, quando os logs estão apenas lentos, e não quebrados. É fundamental entender os prazos normais de ingestão e saber distinguir um atraso normal de log de uma perda real de dados ou de um erro do sistema. Esta seção explica como esses atrasos funcionam e como acompanhar quais eventos estão realmente ausentes (e não apenas atrasados).

Entendendo os atrasos normais e anormais no processamento do log de auditoria

Os logs de auditoria unificada do Microsoft 365 normalmente processam ações de usuários e administradores em até 15 minutos a uma hora, mas não é incomum ver atrasos de até 24 horas, especialmente durante manutenções do serviço, interrupções regionais ou para determinados eventos de baixa prioridade.

O SLA oficial da Microsoft define em 24 horas o limite superior para a disponibilidade dos logs em condições normais, o que significa que qualquer prazo menor está dentro do esperado. Se eventos de auditoria estiverem ausentes por mais tempo que isso, ou se vários tipos de atividade estiverem atrasados além do normal, é hora de investigar com mais profundidade.

Tenha em mente que alguns serviços (como o Teams ou atividades de aplicativos de terceiros) podem agrupar seus logs de forma diferente do SharePoint ou do Exchange. Sempre verifique os comunicados atuais da Microsoft antes de presumir uma falha sistêmica de log.

Como monitorar e confirmar a integridade dos dados de log ao longo do tempo

• Estabeleça uma linha de base das atividades esperadas: identifique uma ação conhecida do usuário (como um login na caixa de correio ou um upload de arquivo), anote o horário e verifique quanto tempo leva para os eventos de auditoria correspondentes aparecerem.
• Use scripts do PowerShell: automatize verificações diárias com scripts agendados que coletem os registros recentes, comparem os horários e sinalizem anomalias, para que você não dependa de revisões manuais.
• Acompanhe o backlog ao longo dos dias: se um registro de log estiver ausente, verifique novamente 24 e 48 horas depois. Às vezes os atrasos se resolvem sozinhos, e padrões de lacunas persistentes podem revelar gargalos no back-end.
• Correlacione com os relatos dos usuários: se usuários afirmarem que uma atividade crítica não foi auditada, compare a data da atividade com os horários das exportações para descartar falhas de ingestão antes de abrir um chamado de suporte.

Prontidão do log de auditoria e estratégia de conformidade

Ter logs de auditoria confiáveis no Microsoft 365 começa muito antes de um incidente. As organizações precisam de um plano que cubra todo o ciclo de vida: licenciamento, retenção, automação e estratégia de conformidade. Muitas falhas de log decorrem de erros simples, como assinaturas omitidas, funções não atribuídas ou configurações de política incompatíveis.

Esta seção apresenta todos os pontos-chave: por quanto tempo seus logs são retidos (e como isso varia entre os planos E3, E5 e os planos governamentais), quais checklists garantem que sua configuração seja robusta e dicas práticas de licenciamento para evitar interrupções silenciosas. Você também vai entender como o Microsoft Purview e os controles de segurança relacionados, como DLP e rotulagem de confidencialidade, se encaixam em um panorama de conformidade mais amplo.

Com a colaboração na nuvem, ter o log de auditoria habilitado não basta. São as revisões de rotina, uma política estratégica e o alinhamento dos detalhes técnicos aos seus riscos de negócio e regulatórios que criam uma prontidão real e sustentável. Para saber mais sobre os aspectos mais complexos de conformidade e de conteúdo impulsionado por IA, confira esta análise sobre o desvio de conformidade oculto e como governar o Copilot com o Purview. Eles mostram por que painéis estáveis são só parte da história.

Noções básicas de retenção para logs de auditoria e checklist prático de auditoria do M365

• Atribua as funções de administrador corretas: Garanta que todas as funções necessárias de auditoria, conformidade e segurança estejam atribuídas, como Administrador de Conformidade e Logs de Auditoria, tanto no Purview quanto no Entra ID.
• Verifique os requisitos de licenciamento: A retenção padrão de auditoria é de 90 dias para a maioria dos locatários E3 (comerciais). O E5 ou o Audit Premium liberam retenção estendida (1 ano ou mais), sinais melhores e alguns eventos de alto valor. Confirme novamente se todos os usuários que precisam de cobertura têm o licenciamento correto, especialmente após mudanças ou implantações de licenciamento baseado em grupos.
• Configure as definições de auditoria do Purview: Verifique se o log de auditoria está explicitamente habilitado e inclui todos os serviços principais: Exchange, SharePoint, OneDrive, Teams e quaisquer aplicativos críticos. Não pule a integração de novos serviços.
• Revise as políticas de retenção e exportação: Defina a retenção de acordo com os seus requisitos de negócio e regulatórios. Fique atento a políticas concorrentes do Purview ou a retenções em espera que possam gerar inconsistências entre serviços.
• Teste e revise a cobertura regularmente: Execute buscas de auditoria de amostra, documente a janela de retenção esperada e exporte logs de amostra mensalmente para confirmar que os dados estão presentes e acessíveis quando forem necessários.
• Considere recursos extras de conformidade: Em ambientes de alto risco, reforce a governança com DLP, rótulos de confidencialidade e revisões regulares de acesso e de propriedade, para evitar lacunas na auditoria e permitir uma resposta real a incidentes.

Lacunas em qualquer um dos itens acima, além de esquecer que a retenção não é infinita, são a causa raiz mais comum de eventos críticos ausentes quando chega a hora da investigação. Alinhe o seu checklist aos seus riscos exatos e às suas obrigações regulatórias para se manter preparado e coberto.

Dicas avançadas para extrair o máximo valor do log de auditoria unificado

Ao trabalhar com o log de auditoria unificado do Microsoft 365, buscas superficiais não passam de arranhões na superfície. Se você quer capturar tudo, especialmente as ações em caixas de correio realizadas por usuários ou administradores, precisará usar os filtros avançados de busca. Não tenha receio do PowerShell: comandos como Search-UnifiedAuditLog permitem aprofundar a análise por usuário, data ou atividade, com precisão cirúrgica.

Aproveite também as opções de exportação. Exportar dados de auditoria regularmente para arquivos CSV pode facilitar bastante o cruzamento dos logs com as linhas do tempo dos incidentes. Se você quer identificar quem excluiu um arquivo sensível ou quando alguém concedeu permissões inesperadas em uma caixa de correio, esses dados exportados se tornam ouro para montar suas trilhas de auditoria ou relatórios de incidentes.

Fique atento a lacunas mais sutis nos logs. Muita gente deixa de perceber falhas de log relacionadas a licenças ou políticas. Crie o hábito de verificar se a cobertura de auditoria está consistente, especialmente após mudanças de licença ou grandes atualizações. Desconfie de eventos ausentes que possam ser causados por atrasos ou ajustes de políticas administrativas, e não apenas por um log com problemas.

Saiba quando escalar. Se você já revisou os filtros, validou as licenças e as políticas e ainda assim encontra lacunas de auditoria inexplicáveis, não é hora de continuar lutando no escuro. É o momento de reunir as suas constatações e abrir um caso de suporte com a Microsoft. Às vezes, o que parece erro do usuário acaba sendo um problema no back-end que só eles podem resolver.

Você também deve ouvir

Se você está explorando o tema Unified Audit Log not working, estes episódios trazem contexto prático sobre governança, segurança, automação e operações confiáveis no Microsoft 365.

• Microsoft Purview – Simply Explained — Conecte retenção, conformidade, auditoria e governança de dados.
• Microsoft Teams Governance – Simply Explained — Saiba por que regras de propriedade e ciclo de vida são importantes para a colaboração.
• Microsoft Defender XDR – Simply Explained — Relacione sinais operacionais com detecção e resposta.
• Conditional Access – Simply Explained — Entenda os controles de identidade e de risco por trás do acesso seguro.

Estes episódios ajudam a transformar o tema do artigo em decisões práticas de implementação.