Instrukcja oparta na dokumentacji Microsoft dostępnej 17 października 2026 r. Nazwy i układ menu mogą się zmieniać.
Trzeba wyjaśnić zmianę w środowisku Microsoft 365, aktywność na dokumentach lub działanie administracyjne. Pomocny może być dziennik audytu w Microsoft Purview. Najlepszy punkt startowy to konkretne pytanie, znany przedział czasu oraz wskazany użytkownik lub zasób.
Dziennik zawiera obsługiwane zdarzenia z usług objętych rejestrowaniem. Zakres danych zależy od konfiguracji, licencji i rodzaju aktywności. Znaleziony rekord jest elementem analizy; znaczenie dla organizacji trzeba ustalić w kontekście pozostałych informacji.
Przygotuj uprawnienia i pytanie do sprawdzenia
W Purview rola View-Only Audit Logs, dostępna m.in. w grupie Audit Reader, służy do wyszukiwania i eksportowania danych audytowych. Szersza rola Audit Logs daje dodatkowe możliwości. Administrator powinien nadać dostęp odpowiedni do zadania i sprawdzić wymagania licencyjne. Microsoft — przygotowanie audytu i uprawnienia.
Przed wejściem do portalu zapisz cel: przykładowo ustalenie, jakie dostępne zdarzenia dotyczą wskazanego dokumentu w określonym czasie. Ustal osobę prowadzącą sprawę oraz miejsce na wyniki. Ograniczy to przypadkowe eksportowanie dużych ilości danych pracowników.
Krok 1 — otwórz rozwiązanie Audit
Zaloguj się do portalu Microsoft Purview. Wybierz Audit. Jeżeli karta jest niewidoczna, otwórz View all solutions, a następnie Audit w części Core. Przejdź do wyszukiwania. Microsoft — wyszukiwanie dziennika audytu.
Brak dostępu wyjaśnij z administratorem. Nie próbuj rozwiązywać go przez użycie konta innej osoby. Nadanie roli powinno być osobną, zarejestrowaną czynnością, z uwzględnieniem właściwego zakresu organizacji.
Krok 2 — ustaw czas i kryteria
W formularzu ustaw przedział czasu w UTC. Wskaż użytkownika oraz potrzebny rodzaj aktywności, korzystając z listy nazw. Dodatkowo możesz zawęzić wyszukiwanie do właściwej usługi lub zasobu. Nadaj wyszukiwaniu rozpoznawalną nazwę i uruchom je. Opis filtrów w dokumentacji Microsoft.
Przeliczenie strefy jest ważne. Przykład modelowy: 15 października 2026 r. godzina 10:00 w Warszawie odpowiada 08:00 UTC. Zimą różnica jest inna. W notatce zachowaj zarówno czas zgłoszenia, jak i zakres użyty w zapytaniu.
Na początku nie zawężaj wszystkich pól naraz. Jeżeli dokładna nazwa operacji jest nieznana, wybierz odpowiednią kategorię z listy i sprawdź wyniki. Zbyt wąski filtr może ukryć rekord, którego szukasz.
Krok 3 — poczekaj na zakończenie wyszukiwania
Wyszukiwanie działa jako zadanie. Sprawdź jego status i dopiero po zakończeniu otwórz rezultaty. W szczegółach interesującego rekordu przeanalizuj czas, wykonawcę, czynność, obiekt i dostępne pola dodatkowe. Przebieg wyszukiwania w Purview.
Zwracaj uwagę na to, co dokładnie potwierdza zdarzenie. Aktywność dotycząca pliku może wymagać sprawdzenia uprawnień, sposobu udostępnienia i aplikacji. Nie przypisuj użytkownikowi intencji wyłącznie na podstawie nazwy operacji.
Schemat instruktażowy DataOne. Ilustracja nie jest zrzutem ekranu i nie zawiera danych organizacji.
Krok 4 — wyeksportuj dane i sprawdź kompletność
Wyniki można wyeksportować do pliku CSV. Dane szczegółowe rekordu znajdują się także w polu AuditData, zawierającym strukturę JSON. Limity eksportu zależą od wariantu usługi; przy dużej liczbie wyników zawęź zakres i zachowaj informację o podziale. Microsoft — eksport i odczyt rekordów audytu.
Po pobraniu otwórz kopię roboczą i sprawdź nagłówki, zakres dat oraz obecność potrzebnych rekordów. Oryginalny eksport zachowaj bez edycji. Do analizy w arkuszu można przygotować osobną kopię, aby nie utracić pierwotnej struktury danych.
Udostępniaj eksport tylko osobom uprawnionym do danej sprawy. W materiale dla zarządu wystarczy zwykle opis zdarzenia, wpływu, podjętych działań i otwartych pytań. Pełne identyfikatory i dane użytkowników mogą pozostać w chronionym załączniku technicznym.
Jak wyjaśnić pusty wynik
Sprawdź filtry, strefę czasową, zakończenie zadania, właściwą organizację i dostępność danego rodzaju zdarzeń. Rejestracja oraz udostępnienie rekordu mogą następować z opóźnieniem. Ponowienie wyszukiwania po uzgodnionym czasie bywa potrzebne, ale nie zastępuje sprawdzenia konfiguracji. Microsoft — dostępność rekordów i warunki wyszukiwania.
Poproś administratora o potwierdzenie rejestrowania audytu i okresu przechowywania dla używanych licencji. Nowe ustawienie retencji lub uruchomienie zbierania nie odtworzy danych, których wcześniej nie zarejestrowano albo które zostały już usunięte.
Notatka, która pomaga zamknąć sprawę
| Element | Co zapisać |
|---|---|
| Pytanie | Jaką aktywność chcemy wyjaśnić |
| Zakres | Organizacja, użytkownik lub zasób, daty w UTC |
| Zapytanie | Nazwa zadania i zastosowane filtry |
| Wynik | Potwierdzone zdarzenia oraz ograniczenia danych |
| Materiał | Identyfikatory rekordów i chroniony odnośnik do eksportu |
| Dalsze działanie | Wykonawca, termin i sposób potwierdzenia |
Tak przygotowana notatka jest użyteczna dla administratora, koordynatora bezpieczeństwa i osoby podejmującej decyzję. Pozwala również powtórzyć analizę bez rozpoczynania od zera.
Jak wykorzystać te dane w stałym monitoringu
Jeżeli organizacja potrzebuje cyklicznej analizy, warto ustalić zakres integracji z SIEM. Trzeba potwierdzić dostępne interfejsy, licencje, uprawnienia, opóźnienia i sposób wykrywania przerw w zbieraniu. Różne dzienniki Microsoft 365 mogą wymagać różnych sposobów pobierania.
W DataOne możemy pomóc sprawdzić dostępność logów, zaplanować ich zbieranie i przygotować zrozumiałą ścieżkę obsługi alarmów. Zacznijmy od kilku zdarzeń istotnych dla Twojej organizacji i kryteriów, po których poznamy, że monitoring działa. Sprawdź wsparcie cyberbezpieczeństwa DataOne.