Conduzir uma investigação eDiscovery de conteúdo no Microsoft Teams

As grandes empresas estão frequentemente expostas a processos judiciais com penalidades elevadas que exigem a apresentação de todas as informações armazenadas eletronicamente (ESI). O conteúdo do Microsoft Teams pode ser pesquisado e usado durante as investigações de Descoberta Eletrônica.

Visão Geral

Todos os chats 1:1 ou em grupo do Microsoft Teams são registrados em diário nas caixas de correio dos respectivos usuários. Todas as mensagens de canal padrão são registradas em diário na caixa de correio do grupo que representa a equipe. Files carregados em canais padrão são cobertos pela funcionalidade de Descoberta Eletrônica para SharePoint Online e OneDrive for Business.

A Descoberta Eletrônica de mensagens e arquivos em canais privados funciona de forma diferente dos canais padrão. Para saber mais, consulte Descoberta Eletrônica de Canais Privados.

As reuniões gravadas do Teams são armazenadas na conta do OneDrive for Business do organizador ou iniciador da reunião, dependendo da configuração MeetingRecordingOwnership. As informações de identificação do participante ao usar a funcionalidade Ocultar nomes de participantes para reuniões do Teams são armazenadas na caixa de correio do usuário do organizador da reunião. Para saber mais, confira Fluxo de trabalho de Descoberta Eletrônica (Premium) para conteúdo no Microsoft Teams.

Nem todo o conteúdo do Teams é Descoberta Eletível. A tabela a seguir mostra os tipos de conteúdo do Teams que você pode pesquisar usando as ferramentas de Descoberta Eletrônica da Microsoft:

¹ Os metadados de reunião (e chamada) incluem o seguinte:

• Hora de início e término da reunião e duração
• Ingressar na reunião e deixar eventos para cada participante
• Junções/chamadas VOIP
• Junções de usuário federado
• Ingresso de convidado

Aqui está um exemplo de uma conversa de chat entre os participantes durante uma reunião.

Aqui está um exemplo da cópia de conformidade da mesma conversa de chat exibida em uma ferramenta de Descoberta Eletrônica.

Veja um exemplo dos metadados da reunião.

Para obter mais informações sobre como conduzir uma investigação de Descoberta Eletrônica, consulte Introdução à Descoberta Eletrônica (Standard).

Os dados do Microsoft Teams aparecem como IM ou Conversas na saída de exportação da Descoberta Eletrônica do Excel. Você pode abrir o .pst arquivo no Outlook para exibir essas mensagens depois de exportá-las.

Ao visualizar o arquivo .pst da equipe, todas as conversas estão localizadas na pasta Team Chat em Histórico de Conversas. O título da mensagem contém o nome da equipe e o nome do canal. Por exemplo, a imagem abaixo mostra uma mensagem de Bob que enviou uma mensagem para o canal padrão do Project 7 da equipe de Especificações de Fabricação.

Os chats privados na caixa de correio de um usuário são armazenados na pasta Team Chat em Histórico de Conversas.

Descoberta eletrônica de canais privados e compartilhados

As cópias de conformidade de mensagens em canais privados e compartilhados são enviadas para caixas de correio diferentes, dependendo do tipo de canal. Isso significa que você precisa pesquisar diferentes locais de caixa de correio com base no tipo de canal do qual um usuário é membro.

• Canais privados. As cópias de conformidade são enviadas para a caixa de correio de todos os membros dos membros do canal privado. Isso significa que você deve pesquisar a caixa de correio do usuário ao pesquisar conteúdo em mensagens de canal privado.
• Canais compartilhados. As cópias de conformidade são enviadas para uma caixa de correio do sistema associada à equipe principal. Como o Teams não dá suporte a uma pesquisa de Descoberta Eletrônica de uma única caixa de correio do sistema para um canal compartilhado, você precisa pesquisar a caixa de correio pela equipe principal (selecionando o nome da caixa de correio da Equipe) ao pesquisar o conteúdo da mensagem nos canais compartilhados.

Cada canal privado e compartilhado tem seu próprio site do SharePoint separado do site da equipe principal. Isso significa que os arquivos em canais privados e compartilhados são armazenados em seu próprio site e gerenciados independentemente da equipe principal. Isso significa que você deve identificar e pesquisar o site específico associado a um canal ao pesquisar conteúdo em arquivos e anexos de mensagens de canal.

Use as seções a seguir para ajudar a identificar o canal privado ou compartilhado a ser incluído em sua pesquisa de Descoberta Eletrônica.

Identificação dos membros de um canal privado

Use o procedimento nesta seção para identificar membros de um canal privado para que você possa usar ferramentas de Descoberta Eletrônica para pesquisar conteúdo em mensagens de canal privado na caixa de correio do membro.

Antes de executar estas etapas, certifique-se de ter a versão mais recente do módulo do PowerShell do Teams instalada.

1. Execute o comando a seguir para obter a ID do grupo da equipe que contém os canais compartilhados que você deseja pesquisar.

   Get-Team -DisplayName <display name of the the parent team>
   

   Dica

   Execute o cmdlet Get-Team sem nenhum parâmetro para exibir uma lista de todas as equipes em sua organização. A lista contém a ID do grupo e o DisplayName para cada equipe.

2. Execute o comando a seguir para obter uma lista de canais privados na equipe principal. Use a ID do grupo para a equipe que você obteve na etapa 1.

    Get-TeamChannel -GroupId <parent team GroupId> -MembershipType Private
   

3. Execute o comando a seguir para obter uma lista de proprietários e membros de canal privado para um canal privado específico.

    Get-TeamChannelUser -GroupId <parent team GroupId> -DisplayName "Partner Shared Channel"
   

4. Inclua as caixas de correio de proprietários e membros de um canal privado como parte de sua consulta de pesquisa de Descoberta Eletrônica na Descoberta Eletrônica (Standard) ou ao identificar e coletar conteúdo de custódia na Descoberta Eletrônica (Premium).

Identificação do site do SharePoint para canais privados e compartilhados

Conforme explicado anteriormente, os arquivos compartilhados em canais privados e compartilhados (e arquivos anexados a mensagens de canal) são armazenados no conjunto de sites associado ao canal. Use o procedimento nesta seção para identificar a URL do site associado a um canal privado ou compartilhado específico. Em seguida, você pode usar ferramentas de Descoberta Eletrônica para pesquisar conteúdo no site.

Antes de executar essas etapas, instale o Shell de Gerenciamento do SharePoint Online e conecte-se ao SharePoint Online.

1. Opcionalmente, execute o seguinte para obter uma lista de todos os conjuntos de sites do SharePoint associados a canais compartilhados na equipe principal.

    Get-SPOSite
   

   Dica

   A convenção de nomenclatura da URL de um site associado a canais privados e compartilhados é [SharePoint domain]/sites/[Name of parent team]-[Name of private or shared channel]. Por exemplo, a URL do canal compartilhado chamado "Colaboração de Parceiro", que está localizado na equipe principal "Equipe de Engenheiros" na organização Contoso é https://contoso.sharepoint.com/sites/EngineeringTeam-PartnerCollaboration.

2. Execute os seguintes comandos do PowerShell para exibir a URL de todos os sites do SharePoint associados aos canais privados e compartilhados em sua organização. A saída do script também inclui a ID do grupo da equipe principal, que você precisa para executar os comandos na etapa 3.

   $sites = Get-SPOSite -Template "TEAMCHANNEL#1"
   foreach ($site in $sites) {$x= Get-SPOSite -Identity $site.url -Detail; $x.relatedgroupID; $x.url}
   

   Observação

   Os sites do SharePoint para canais privados criados antes de 28 de junho de 2021 usam o valor "TEAMCHANNEL#0" para a ID do modelo personalizado. Para exibir canais privados criados após essa data, use o valor "TEAMCHANNEL#1" ao executar os dois scripts anteriores. Os canais compartilhados usam apenas o valor de "TEAMCHANNEL#1".

3. Para cada equipe principal, execute os seguintes comandos do PowerShell para identificar os sites de canal privado e compartilhado, onde $groupID está a ID do grupo da equipe principal.

   $sites = Get-SPOSite -Template "TEAMCHANNEL#1"
   $groupID = "<group ID of parent team)"
   foreach ($site in $sites) {$x= Get-SpoSite -Identity $site.url -Detail; if ($x.RelatedGroupId -eq $groupID) {$x.RelatedGroupId;$x.url}}
   

4. Inclua o site associado a um canal privado ou compartilhado como parte de sua consulta de pesquisa de Descoberta Eletrônica na Descoberta Eletrônica (Standard) ou ao identificar e coletar conteúdo de custódia na Descoberta Eletrônica (Premium).

Pesquisar conteúdo para convidados

Você pode usar ferramentas de Descoberta Eletrônica para pesquisar conteúdo do Teams relacionado a convidados em sua organização. O conteúdo do chat do Teams associado a um convidado é preservado em um local de armazenamento baseado em nuvem e pode ser pesquisado usando a Descoberta Eletrônica. Isso inclui a pesquisa de conteúdo em conversas de chat 1:1 e 1:N nas quais um convidado é participante com outros usuários em sua organização. Você também pode pesquisar mensagens de canal privado nas quais um convidado é um participante e pesquisar conteúdo em conversas de chat guest:guest em que os únicos participantes são convidados.

Para pesquisar conteúdo para convidados:

1. Conecte-se ao Microsoft Graph PowerShell. Para obter mais informações, consulte a visão geral do Microsoft Graph PowerShell. Certifique-se de concluir as Etapas 1 e 2 no artigo anterior.

2. Depois de se conectar com êxito ao Microsoft Graph PowerShell, execute o comando a seguir para exibir o nome UPN de todos os convidados em sua organização. Você precisa usar o UPN do convidado ao criar a pesquisa na etapa 4.

   Get-MgUser -Filter "userType eq 'Guest'" -All $true | FL UserPrincipalName
   

   Dica

   Em vez de exibir uma lista de nomes principais de usuário na tela do computador, você pode redirecionar a saída do comando para um arquivo de texto. Você pode fazer isso anexando > filename.txt ao comando anterior. O arquivo de texto com os nomes principais do usuário será salvo na pasta atual.

3. Em uma janela de Windows PowerShell diferente, conecte-se ao PowerShell de Segurança & Conformidade. Para obter instruções, consulte Conectar-se ao PowerShell de Segurança & Conformidade. Você pode se conectar com ou sem usar a autenticação multifator.

4. Crie uma pesquisa de conteúdo que pesquise todo o conteúdo (como mensagens de chat e mensagens de email) do qual o convidado especificado era um participante executando o comando a seguir.

   New-ComplianceSearch <search name> -ExchangeLocation <guest UPN>  -AllowNotFoundExchangeLocationsEnabled $true -IncludeUserAppContent $true
   

   Por exemplo, para pesquisar conteúdo associado à convidada Sara Davis, você executaria o comando a seguir.

   New-ComplianceSearch "Sara Davis Guest" -ExchangeLocation "sara.davis_hotmail.com#EXT#@contoso.onmicrosoft.com" -AllowNotFoundExchangeLocationsEnabled $true -IncludeUserAppContent $true
   

   Para obter mais informações sobre como usar o PowerShell para criar pesquisas de conteúdo, consulte New-ComplianceSearch.

5. Execute o seguinte comando para iniciar a pesquisa de conteúdo criada na etapa 4:

   Start-ComplianceSearch <search name>
   

6. Vá para https://compliance.microsoft.com e selecione Mostrar toda a>Pesquisa de conteúdo.

7. Na lista de pesquisas, selecione a pesquisa que você criou na etapa 4 para exibir a página de submenu.

8. Na página de submenu, você pode fazer o seguinte:

   • Selecione Exibir resultados para exibir os resultados da pesquisa e visualizar o conteúdo.
   • Ao lado do campo Consulta , selecione Editar para editar e execute a pesquisa novamente. Por exemplo, você pode adicionar uma consulta de pesquisa para restringir os resultados.
   • Selecione Exportar resultados para exportar e baixar os resultados da pesquisa.

Pesquisar o conteúdo do card

O conteúdo do cartão gerado por aplicativos nos canais do Teams, chats 1:1 e chats 1xN é armazenado em caixas de correio e pode ser pesquisado. Um cartão é um contêiner de interface de usuário para pequenos pedaços de conteúdo. Os cartões podem ter várias propriedades e anexos, e podem incluir itens que podem disparar ações de card. Para obter mais informações, confira Cartões

Como outros conteúdos de equipes, onde o conteúdo do cartão é armazenado é baseado em onde o cartão foi usado. O conteúdo dos cartões usados em um canal Teams é armazenado na caixa de correio do grupo Teams. O conteúdo do cartão para bate-papos individuais e 1xN é armazenado nas caixas de correio dos participantes do bate-papo.

Para pesquisar o conteúdo do cartão, você pode usar as condições de pesquisa kind:microsoftteams ou itemclass:IPM.SkypeTeams.Message. Ao revisar os resultados da pesquisa, o conteúdo do card gerado por bots em um canal do Teams tem a propriedade de email Remetente/Autor como <appname>@teams.microsoft.com, onde appname é o nome do aplicativo que gerou o conteúdo do card. Se o conteúdo do cartão foi gerado por um usuário, o valor de Remetente/Autor identifica o usuário.

Ao exibir o conteúdo do cartão nos resultados da pesquisa de conteúdo, o conteúdo aparece como um anexo da mensagem. O anexo é denominado appname.html, onde appname é o nome do aplicativo que gerou o conteúdo do cartão. As capturas de tela a seguir mostram como o conteúdo do cartão (para um aplicativo chamado Asana) aparece no Teams e nos resultados de uma pesquisa.

Conteúdo do cartão no Teams

Conteúdo do cartão nos resultados de pesquisa

Pesquisar reuniões do Teams por data

Os administradores podem pesquisar o conteúdo das reuniões do Teams com base nas datas de início ou término das reuniões. Para filtrar itens do conjunto de revisão por datas de reunião específicas do Teams, você pode usar as propriedades Data de início da reunião e Data de término da reunião nas opções de filtragem avançada na Descoberta Eletrônica (Premium).

Procurar por participantes ocultos nas reuniões do Teams

O recurso Ocultar nomes de participantes no Microsoft Teams oculta o nome dos participantes de outros participantes para que somente os organizadores possam ver os nomes dos participantes. Esse recurso pode ser usado para reuniões ou eventos com empresas externas, fornecedores, reuniões confidenciais ou outras reuniões em que a privacidade pessoal entre os participantes é importante. Quando esse recurso está habilitado, os nomes dos participantes ficam ocultos na lista de reuniões, no chat das reuniões e nas gravações das reuniões.

Para pesquisar os nomes dos participantes em reuniões do Teams em que o recurso Ocultar Nomes de Participantes foi habilitado, você deve incluir a caixa de correio do organizador no escopo da pesquisa. Os nomes ocultos dos participantes só estão disponíveis na caixa de correio do organizador.

Descoberta Eletrônica em acesso externo e ambientes de convidados

Os administradores podem usar a Descoberta Eletrônica para pesquisar conteúdo em chats, mensagens em uma reunião do Teams em ambientes de acesso externo e acesso de convidado com base nas seguintes restrições:

• Acesso externo: em uma reunião do Teams com usuários de sua organização e usuários de uma organização externa em que os participantes externos estejam usando o acesso externo, os administradores de ambas as organizações podem pesquisar conteúdo em mensagens de chat da reunião.
• Convidado: em uma reunião do Teams com usuários da sua organização e convidados, somente os administradores da organização que hospedam a reunião do Teams podem pesquisar conteúdo em mensagens de chat da reunião.

Artigos relacionados

• Soluções de Descoberta Eletrônica no Microsoft 365
• Introdução à Descoberta Eletrônica (Standard)
• Fluxo de trabalho do Teams na Descoberta Eletrônica (Premium)
• Visão Geral do PowerShell do Teams