首先启用合规中心审计功能，登录Microsoft 365合规中心，进入“治理 > 审计”页面并开启记录，确保勾选邮件发送、文件访问等关键操作；随后使用搜索功能审查日志，设置时间范围、操作类型（如SendMail、ViewFile）、用户或资源进行筛选；可导出CSV格式日志用于SIEM分析，通过通知中心下载完成的导出文件；为实现实时监控，配置警报策略，针对DeleteMailbox、AdminRoleAdded等高风险操作设置频率阈值和邮件通知；定期审查UserLoggedIn等登录活动，结合IP地址识别异常地理位置或设备，及时处置可疑行为。
如果您在使用Office365时需要确保组织的操作符合安全与合规要求，可能需要通过合规中心审计功能来追踪用户活动和系统事件。启用并审查审计日志可以帮助识别异常行为或满足内部审计需求。
本文运行环境：Dell XPS 13，Windows 11
一、启用合规中心审计功能
在审查审计日志之前，必须确保已启用审核功能，否则系统不会记录相关操作事件。默认情况下，部分Office365租户可能未开启审计功能。
1、登录到Microsoft 365合规中心（https://compliance.microsoft.com）。
2、导航至“治理” > “审计”页面。
3、点击“开始记录用户活动”以启用审核功能。
4、确认所有关键的审核选项已被勾选，包括邮件发送、文件访问、权限更改等。
二、使用搜索功能查询审计日志
合规中心提供强大的日志搜索能力，允许管理员根据时间范围、用户、操作类型等条件筛选审计记录。
1、进入合规中心的“审计”日志搜索界面。
2、设置时间范围，例如过去7天或自定义起止日期。
3、在操作类型字段中选择要审查的行为，如"SendMail"、"ViewFile"或"AddedUserToRole"。
4、可选地指定特定用户、资源（如文件名或邮箱）进行精确过滤。
5、点击“搜索”按钮执行查询，并等待结果返回。
三、导出审计日志用于外部分析
当需要将审计数据导入SIEM系统或进行离线分析时，可以将日志结果导出为CSV格式文件。
1、完成审计搜索后，点击结果页面上方的“导出结果”按钮。
2、系统会提示导出过程将在后台运行，完成后可通过通知中心下载。
3、打开Microsoft 365通知中心查看导出状态，待其显示“已完成”后进行下载。
4、下载的CSV文件包含时间戳、用户主体、操作名称、项目名称及IP地址等详细信息。
四、配置警报规则监控高风险操作
为了实现实时监控，可以通过创建警报策略对敏感操作自动触发通知。
1、进入合规中心的“警报策略”管理页面。
2、选择“新建警报策略”，命名为“高风险审计操作监控”。
3、在条件设置中添加多个高危操作类型，例如“DeleteMailbox”、“DownloadedMultipleFiles”或“AdminRoleAdded”。
4、设定触发频率阈值，如“每小时内超过5次”即触发警报。
5、配置通知方式，选择发送电子邮件给指定的安全团队成员。
五、定期审查审计日志中的登录活动
用户登录行为是安全审查的重要组成部分，异常登录可能表明账户存在风险。
1、在审计搜索中选择操作类型为“UserLoggedIn”或“InteractiveLogin”。
2、重点关注来自非常用设备或地理位置的登录尝试。
3、结合IP地址信息判断是否存在跨境或可疑网络来源。
4、发现异常时，立即检查该用户的其他操作记录，并考虑临时禁用账户。
