Saiba mais sobre propriedades em registros de auditoria do Exchange

Este artigo explica as propriedades e os campos que você vê nos registros de auditoria do Exchange retornados por Search-UnifiedAuditLog. Ele foi escrito para administradores do Exchange e do Microsoft 365 que investigam a atividade da caixa de correio ou criam scripts para analisar a saída da auditoria. Você encontra uma descrição concisa das propriedades primárias, um JSON AuditData representativo para operações comuns, exemplos de extração do PowerShell e uma referência rápida para valores de propriedades comuns e cenários de investigação.

Use esta referência para entender:

• Propriedades principais nos resultados do registro de auditoria
• O que cada campo representa e contém
• Valores de propriedade comuns e seus significados
• Como extrair informações básicas de dados de auditoria

Referência da estrutura de registro de auditoria

Os registros de auditoria do Exchange contêm várias propriedades importantes que fornecem diferentes tipos de informações sobre a atividade auditada.

Propriedades do registro de auditoria primário

Quando você executa Search-UnifiedAuditLog, cada resultado contém estas propriedades principais:

Referência da estrutura JSON AuditData

A propriedade AuditData contém informações detalhadas no formato JSON. Aqui estão algumas estruturas de resposta JSON típicas para operações comuns:

• Exclusão de Email (SoftDelete/HardDelete)

{   
  "CreationTime": "2025-11-17T14:30:15",   
  "Id": "00aa00aa-bb11-cc22-dd33-44ee44ee44ee",   
  "Operation": "SoftDelete",   
  "OrganizationId": "00aa00aa-bb11-cc22-dd33-44ee44ee44ee",   
  "RecordType": 2,   
  "ResultStatus": "Success",   
  "UserKey": "user@domain.com",   
  "UserType": 0,   
  "Version": 1,   
  "Workload": "Exchange",   
  "ClientIP": "192.168.1.100",   
  "ObjectId": "AAMkADM2NDIyMzUzLWE1ZjQtNGVkNS04OGE3LTg5NzY4ZDc1ZTZhNwBGAAAAAAC7...",   
  "UserId": "user@domain.com",   
  "ClientInfoString": "Client=OWA;Mozilla/5.0...",   
  "ExternalAccess": false,   
  "InternalLogonType": 0,   
  "MailboxGuid": "87654321-4321-4321-4321-210987654321",   
  "MailboxOwnerUPN": "mailboxowner@domain.com",   
  "LogonType": 0,   
  "Item": {   
    "Id": "AAMkADM2NDIyMzUzLWE1ZjQtNGVkNS04OGE3LTg5NzY4ZDc1ZTZhNwBGAAAAAAC7...",   
    "Subject": "Meeting Request - Q4 Planning",   
    "ParentFolder": {   
      "Id": "AAMkADM2NDIyMzUzLWE1ZjQtNGVkNS04OGE3LTg5NzY4ZDc1ZTZhNwAuAAAAAAC7...",   
      "Name": "Inbox",   
      "Path": "[\\Inbox](file:///\\inbox\)"   
    }   
  },   
  "SessionId": "11111111-2222-3333-4444-555555555555"   
}

• Criação de regra de caixa de correio (New-InboxRule)

{   
  "CreationTime": "2025-11-17T14:45:22",   
  "Id": "98765432-8765-8765-8765-876543218765",   
  "Operation": "New-InboxRule",   
  "OrganizationId": "00aa00aa-bb11-cc22-dd33-44ee44ee44ee",   
  "RecordType": 1,   
  "ResultStatus": "Success",   
  "UserKey": "user@domain.com",   
  "UserType": 0,   
  "Version": 1,   
  "Workload": "Exchange",   
  "ClientIP": "10.0.0.50",   
  "ObjectId": "InboxRule:aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb",   
  "UserId": "user@domain.com",   
  "ClientInfoString": "Client=WebServices;ExchangeWebServices",   
  "MailboxGuid": "87654321-4321-4321-4321-210987654321",   
  "MailboxOwnerUPN": "mailboxowner@domain.com",   
  "Parameters": \[   
    {   
      "Name": "Name",   
      "Value": "Move Microsoft Security Emails"   
    },   
    {   
      "Name": "MoveToFolder",   
      "Value": "[\\Inbox\\Security](file:///\\inbox\Security)"   
    },   
    {   
      "Name": "From",   
      "Value": "security-noreply@microsoft.com"   
    }   
  \],   
  "SessionId": "22222222-3333-4444-5555-666666666666"   
} 

• Acesso à caixa de correio (MailItemsAccessed)

{   
  "CreationTime": "2025-11-17T15:00:10",   
  "Id": "13579246-1357-1357-1357-135792468135",   
  "Operation": "MailItemsAccessed",   
  "OrganizationId": "00aa00aa-bb11-cc22-dd33-44ee44ee44ee",   
  "RecordType": 50,   
  "ResultStatus": "Success",     
  "UserKey": "user@domain.com",   
  "UserType": 0,   
  "Version": 1,   
  "Workload": "Exchange",   
  "ClientIP": "203.0.113.45",   
  "UserId": "user@domain.com",   
  "ClientInfoString": "Client=ActiveSync;Apple-iPhone/1309.63",   
  "MailboxGuid": "87654321-4321-4321-4321-210987654321",   
  "MailboxOwnerUPN": "mailboxowner@domain.com",   
  "ClientAppId": "00000002-0000-0ff1-ce00-000000000000",   
  "Folders": \[   
    {   
      "Id": "AAMkADM2NDIyMzUzLWE1ZjQtNGVkNS04OGE3LTg5NzY4ZDc1ZTZhNwAuAAAAAAC7...",   
      "Path": "[\\Inbox](file:///\\inbox\)",   
      "FolderItems": \[   
        {   
          "Id": "AAMkADM2NDIyMzUzLWE1ZjQtNGVkNS04OGE3LTg5NzY4ZDc1ZTZhNwBGAAAAAAC7...",   
          "Subject": "Weekly Status Report"   
        }   
      \]   
    }   
  \],   
  "OperationCount": 5,   
  "SessionId": "33333333-4444-5555-6666-777777777777"   
} 

Aqui estão os principais campos organizados por categoria:

Informações de usuário e sessão

Detalhes da atividade

Informações de destino

Técnicas básicas de extração de dados

Use essas técnicas para extrair e inspecionar os valores de chave do conteúdo JSON AuditData.

Converter dados JSON

Para extrair informações do AuditData JSON, use os seguintes comandos:

\$AuditData = ConvertFrom-Json \$Results[0].AuditData \$AuditData.UserId \$AuditData.ClientIP \$AuditData.MailboxOwnerUPN

Exibir propriedades da chave

Para ver as propriedades principais em um formato legível, use o seguinte comando:

\$Results \| Select CreationDate, UserIds, Operations, @{Name="MailboxOwner";Expression={(ConvertFrom-Json \$\_.AuditData).MailboxOwnerUPN}} \| Format-Table -AutoSize

Noções básicas sobre valores de propriedades comuns

As tabelas a seguir ajudam você a entender os valores comuns encontrados nas propriedades do registro de auditoria.

Tipos de operação

A tabela a seguir lista as operações comuns de auditoria do Exchange e o que elas normalmente indicam durante uma investigação.

Valores de RecordType

A tabela a seguir explica os valores comuns de RecordType e as atividades do Exchange que eles representam.

Valores de UserType

UserType identifica que tipo de conta executou a ação auditada.

Exemplos de ClientInfoString

Os valores ClientInfoString mostram qual cliente, protocolo ou método de acesso foi usado.

Referência rápida

Use as tabelas a seguir como uma pesquisa rápida para as propriedades de auditoria e técnicas do PowerShell mais úteis.

Propriedades essenciais para investigações

A tabela a seguir destaca quais propriedades de auditoria são mais úteis para cenários comuns de investigação.

Técnicas úteis do PowerShell

Essas técnicas do PowerShell ajudam você a inspecionar, filtrar e apresentar registros de auditoria do Exchange com mais eficiência.

Próximas etapas

• Pesquisar no log de auditoria atividades de caixa de correio: Pesquise atividades específicas de caixa de correio.
• Use um script do PowerShell para pesquisar o log de auditoria: automatize as pesquisas de log de auditoria com o PowerShell.
• Use MailItemsAccessed para investigar contas comprometidas: Investigue padrões de acesso à caixa de correio.