本文說明如何在 Microsoft Defender for Cloud Apps 中使用活動篩選器與儲存查詢，以調查事件、縮小搜尋結果範圍，並監控使用者與應用程式行為。 你將學習可用的篩選欄位、如何建立和儲存自訂查詢，以及如何查詢或匯出最多六個月前的活動。
使用活動篩選器
以下列表說明可套用的活動篩選器。 大多數篩選器支援多個值和 NOT，讓您能使用強大的原則建立工具。
活動識別碼 - 依據識別碼，僅搜尋特定活動。 當您將 Microsoft Defender for Cloud Apps 連線到 SIEM（使用 SIEM 代理程式），並想要使用 Defender for Cloud Apps 進一步調查警示時，此篩選器會很實用。
活動物件 – 搜尋執行此活動時所針對的物件。 此篩選器適用於檔案、資料夾、使用者或應用程式物件。
活動物件 ID — 物件 (檔案、資料夾、使用者或應用程式 ID 的 ID，) 。
項目 - 允許您依據任何活動物件的名稱或 ID， (例如使用者名稱、檔案、參數、網站) 等搜尋。 對於 活動物件 Item 篩選器，你可以選擇是否要篩選包含、等於或以特定項目開頭的項目。
注意事項
Activity-Policy 的 活動物件項目 過濾器僅支援 Equals 運算子。
動作類型 - 搜尋應用程式中更具體的動作。
活動類型 - 搜尋應用程式活動。
注意事項
只有當應用程式有相關活動時，應用程式才會被加入篩選器。
行政活動 – 僅搜尋行政活動。
注意事項
Defender for Cloud Apps 將所有 GCP 活動分類為管理活動。
警示識別碼 - 依警示識別碼搜尋。
應用程式 – 僅在特定應用程式中搜尋活動。
套用的動作 - 依已套用的治理動作搜尋：封鎖、繞過 Proxy、解密、加密、加密失敗、無動作。
日期 – 活動發生的日期。 篩選器支援篩選某日期之前/之後的資料，以及日期範圍。
裝置標籤 - 依 Intune 相容性、已使用 Microsoft Entra 混合式聯結或有效用戶端憑證進行搜尋。
裝置類型 - 僅搜尋使用特定裝置類型執行的活動。 例如，搜尋行動裝置、個人電腦或平板電腦上的所有活動。
檔案與資料夾 - 搜尋已執行該活動的檔案與資料夾。
- 檔案 ID - 讓你能依照執行活動的檔案 ID 搜尋。
- 名稱 - 對檔案或資料夾名稱的篩選功能。 你可以選擇名稱是否以你的搜尋值結尾、等於你的搜尋值，或以你的搜尋值開頭。
- 特定檔案或資料夾——你可以包含或排除特定的檔案或資料夾。 選擇檔案或資料夾時，你可以依 應用程式、 擁有者或部分 檔案名稱來篩選清單。
IP 位址 – 活動所從的原始 IP 位址、類別或標籤。
- 原始 IP 位址 - 讓你能搜尋在原始 IP 位址上或由原始 IP 位址執行的活動。 未經處理的 IP 位址可等於、不等於、開頭為或開頭不為特定順序。
- IP 類別 - 活動所從的 IP 位址類別，例如管理 IP 位址範圍內的所有活動。 分類需要設定以包含相關的 IP 位址。 有些 IP 可能會預設被分類。 例如，有些 IP 位址被 Microsoft 威脅情報來源視為風險等級。 欲了解如何設定 IP 類別，請參閱 「使用 IP 位址標籤與範圍」。
- IP 標籤 - 執行活動時所使用之 IP 位址的標籤，例如所有來自匿名代理伺服器 IP 位址的活動。 Defender for Cloud Apps 建立了一組內建的 IP 標籤，這些標籤無法設定。 此外，你也可以設定 IP 標籤。 欲了解更多關於設定 IP 標籤的資訊，請參閱 「使用 IP 位址標籤」。
內建的 IP 標籤包括以下幾項：
Microsoft 應用程式 (14 個)
匿名代理
啟用中 - 該匿名化工具在過去一個月內的檢測結果為陽性。
疑似 - 匿名化工具在過去三個月內檢測結果為陽性，但不包括最近一個月。
非活躍 - 該匿名化程式在過去六個月內檢測呈陽性，但在過去三個月內未檢測呈陽性。
私人 - 匿名工具不公開，且無法使用自動化工具進行測試。 這些位址通常屬於 商業 VPN 專案。
殭屍網路 (你會看到該活動是由殭屍網路執行，並附有連結可深入了解該殭屍網路)
暗網掃描 IP
惡意軟體 C&C 伺服器
遠端連線分析程式
衛星供應商
智慧代理和存取代理 (故意省略)
Tor 出口節點
Zscaler
冒充活動 - 僅搜尋以其他使用者名義執行的活動。
實例（Instance）-該活動被執行或未執行的應用程式實例。
地點 - 活動所屬的國家/地區。
配對政策 - 搜尋與入口網站中設定的特定政策相符的活動。
註冊 ISP - 執行該活動的 ISP。
來源 - 依偵測活動來源搜尋。 來源可以是 應用程式連接器 或 應用程式連接器分析：
- 應用程式連接器 - 直接來自應用程式 API 連接器的記錄。
- App 連接器分析 - 根據 API 連接器所掃描的資訊，為 Defender for Cloud Apps 提供增強資訊。
使用者 - 執行該活動的使用者，可篩選為網域、群組、名稱或組織。 為了篩選沒有特定使用者的活動，可以使用「is not set」操作符。
- 使用者網域 - 搜尋特定的使用者網域。
- 使用者組織 - 執行該活動的使用者所屬的組織單位，例如EMEA_marketing使用者所執行的所有活動。 這只適用於使用組織單位連接的 Google Workspace 實例。
- 使用者群組 - 可從連接應用程式匯入的特定使用者群組，例如 Microsoft 365 管理員。
- 使用者名稱 - 搜尋特定使用者名稱。 要查看特定使用者群組的使用者清單，請在 活動抽屜中選擇該使用者群組名稱。 點擊後會進入帳戶頁面，列出群組中的所有使用者。 接著，你可以深入查看群組中特定使用者的帳號細節。
- 使用者 群組 與 使用者名稱 篩選器可透過 As 篩選器並選擇使用者角色進行進一步篩選，角色可為以下任一：
- 僅活動物件——意即所選使用者或使用者群組並未執行該活動;他們是活動的目標。
- 僅活動執行者 - 這表示使用者或使用者群組執行了活動。
- 任何角色——意指使用者或使用者群組參與該活動，無論是作為執行該活動的人，還是作為活動的對象。
使用者代理程式 - 執行活動的來源使用者代理程式。
User agent 標籤 - 內建的使用者代理標籤，例如所有來自過時作業系統或瀏覽器的活動。
建立並執行活動查詢
為了讓調查更簡單，你現在可以建立自訂查詢並儲存以備後用。
在 活動記錄 頁面，使用 活動篩選 器深入檢視你的應用程式。
完成查詢後，選擇 另存為 按鈕。
在 「儲存查詢」 彈出式視窗中，請為查詢命名。
未來若要再次使用已儲存的查詢，請在 查詢中往下滑至 已儲存查詢 並選擇您的查詢。
Defender for Cloud Apps 也提供建議查詢。 建議的查詢會為你提供可篩選活動的建議調查方向。 你可以編輯這些查詢，並儲存為自訂查詢。 以下是可選的建議查詢：
管理員活動 - 篩選所有活動，只顯示涉及管理員的活動。
下載活動 - 篩選所有活動，只顯示下載活動，包括下載使用者清單 .csv 檔案、下載共享內容及資料夾下載。
失敗的登入 - 篩選所有活動，只顯示登入失敗和透過 SSO 的簽入失敗
檔案與資料夾活動 - 篩選所有活動，只顯示涉及檔案和資料夾的活動。 這個篩選器包括上傳、下載和存取資料夾，以及建立、刪除、上傳、下載、隔離、存取檔案和傳輸內容。
冒充活動 - 篩選您的所有活動，只顯示冒充活動。
密碼變更與重設請求 - 過濾所有活動，只顯示涉及密碼重設、更改密碼及強制使用者在下一次登入時更改密碼的活動。
分享活動 - 篩選所有活動，只顯示涉及分享資料夾和檔案的活動，包括建立公司連結、建立匿名連結，以及授予讀寫權限。
成功登入 - 篩選您的所有活動，只顯示與成功登入相關的活動，包括模擬身分動作、模擬身分登入、單一登入 (SSO) 登入，以及從新裝置登入。
此外，你也可以將建議的查詢作為新查詢的起點。 首先，選擇一個建議的查詢。 接著，根據需要進行修改，最後選擇 另存為（Save as ）建立新的 已儲存查詢。
六個月前的查詢活動
要調查超過 30 天的活動，你可以前往 活動日誌 ，並在畫面右上角選擇「 調查 6 個月前 」：
在 調查過去 6 個月 視圖中，你可以像平常在 活動日誌 中一樣設定篩選條件，但有以下差異：
日期篩選是強制性的，且限於一週內。 這表示雖然你可以查詢最多六個月的活動，但每次只能查詢一週。
僅以下欄位支援查詢 30 天前的資料：
- 活動識別碼
- 活動類型
- 動作類型
- 應用程式
- IP 位址
- 位置
- 使用者名稱
例如：
六個月前的出口活動
你可以透過點擊活動日誌頁面左上角的匯出按鈕，匯出過去六個月的所有活動。
注意事項
匯出功能所需權限： 要使用匯出功能，使用者必須被指派以下其中一個角色：
-
Defender for Cloud Apps 內建的管理員角色——至少，以下其中一個角色必須透過 Microsoft Defender for Cloud Apps 的權限與角色設定被授予：
- 雲端探索全域管理員
- 資安人員
- 合規管理員
- 安全性讀取器
-
Microsoft Entra ID 角色-這些角色必須透過 Microsoft Entra ID 內建的角色來指派：
- 安全性系統管理員
- 雲端應用程式安全管理員
- 全域讀者
匯出資料時：
- 你可以選擇最長六個月的日期範圍。
- 你可以選擇排除私人活動。
- 匯出檔案限制為 100,000 筆紀錄，並以 CSV 格式交付。
匯出完成後，匯出檔案會在 「匯出報告」中提供。
若要存取匯出檔案並檢查匯出狀態，請在 Microsoft 365 Defender 入口網站的 「報告 -> 雲端應用程式 」中查看匯出進度並查看過去的匯出進度。
包含私人活動的報告會在報告頁面以「眼睛」圖示標示。
