OMEPortal

Шифрование сообщений Microsoft Purview — это служба, которая позволяет организациям отправлять зашифрованные сообщения всем получателям.

OMEPortal — это тип события, который записывается в единый журнал аудита Office 365. Он представляет любое действие для доступа к зашифрованным сообщениям внешним получателем с помощью портала зашифрованных сообщений. Это событие полезно, чтобы определить, когда и кто обращается к порталу.

• Проверки подлинности
• открыть сообщение
• просмотр вложения
• скачивание вложения
• ответить или пересылать сообщение

Доступ к единому журналу аудита Office 365

Доступ к журналам аудита можно получить с помощью следующих методов.

• Средство поиска в журнале аудита на портале соответствия требованиям Microsoft Purview
• Командлет PowerShell Search-UnifiedAuditLog в Exchange Online.
• API действий управления Office 365

Средство поиска по журналам аудита

1. Перейдите к Портал соответствия требованиям Microsoft Purview и выполните вход.

2. В левой области портала соответствия требованиям выберите Аудит.

   Примечание.

   Если вы не видите элемент Аудит на панели слева, сведения о разрешениях см. в разделе Роли и группы ролей в Microsoft Defender для Office 365 и соответствие требованиям Microsoft Purview.

3. На вкладке Новый поиск задайте для параметра Тип записи значение OMEPortal и настройте другие параметры.

Дополнительные сведения о просмотре журналов аудита в Портал соответствия требованиям Microsoft Purview см. в разделе Действия журнала аудита.

Поиск единого журнала аудита в PowerShell

Чтобы получить доступ к единому журналу аудита с помощью PowerShell, сначала откройте окно PowerShell и подключитесь к Exchange Online PowerShell. Инструкции см. в статье Подключение к Exchange Online PowerShell.

Командлет Search-UnifiedAuditLog

Командлет Search-UnifiedAuditLog — это команда PowerShell, которую можно использовать для поиска в едином журнале аудита Office 365. Единый журнал аудита — это запись действий пользователей и администраторов в Office 365, которую можно использовать для отслеживания событий. Рекомендации по использованию этого командлета см. в разделе Рекомендации по использованию Search-UnifiedAuditLog.

Чтобы извлечь события OMEPortal из единого журнала аудита с помощью PowerShell, можно использовать следующую команду. При этом в едином журнале аудита будет выполнен поиск указанного диапазона дат и возвращаются все события с типом записи "OMEPortal". Результаты будут экспортированы в CSV-файл по указанному пути.

Search-UnifiedAuditLog -RecordType OMEPortal -StartDate (Get-Date).AddDays(-100) -EndDate (Get-Date) | Export-Csv -Path <output file> 

Ниже приведен пример события OMEPortal из PowerShell с открывающим сообщением в действии портала зашифрованных сообщений.

RecordType   : OMEPortal 

CreationDate : 3/22/2023 7:00:59 PM 

UserIds      : admin@M365x965352.onmicrosoft.com 

Operations   : MessageAccess 

AuditData    : {"CreationTime":"2023-03-22T19:00:59","Id":"a3500d45-6ab3-4971-a762-a01a846015d0","Operation":"MessageAccess","OrganizationId":"84b06764-3e5e-4f51-9a78-046a7f38b59b","RecordType":154,"ResultStatus":"Success","UserKey":"admin@M365x965352.onmicrosoft.com","UserType":0,"Version":1,"Workload":"Exchange","UserId":"admin@M365x965352.onmicrosoft.com","AuthenticationMethod":"Google","AuthenticationStatus":0,"MessageId":"<MW5PR18MB5094602B59DFEC335A3C5E58AA869@MW5PR18MB5094.namprd18.prod.outlook.com>","OperationProperties":[{"Name":"MailSubject","Value":"Support case 1234567"}],"OperationStatus":0,"Recipient":"samschan.msft@gmail.com","Sender":"admin@M365x965352.onmicrosoft.com"} 

ResultIndex  : 6 

ResultCount  : 7 

Identity     : a3500d45-6ab3-4971-a762-a01a846015d0 

IsValid      : True 

ObjectState  : Unchanged 

Используйте следующую команду, чтобы найти сценарий, в котором пользователь просматривает вложение. Пример результата командлета PowerShell также показан ниже.

Search-UnifiedAuditLog -Operations AttachmentReview -RecordType OMEPortal -StartDate (Get-Date).AddDays(-100) -EndDate (Get-Date)

Ниже приведен пример события AipSensitivityLabelAction из PowerShell с обновленной меткой конфиденциальности.

RecordType   : OMEPortal 

CreationDate : 3/22/2023 7:04:09 PM 

UserIds      : admin@M365x965352.onmicrosoft.com 

Operations   : AttachmentReview 

AuditData    : {"CreationTime":"2023-03-22T19:04:09","Id":"ef29c387-c81b-4812-9020-90b378d92cde","Operation":"AttachmentReview","OrganizationId":"84b06764-3e5e-4f51-9a78-046a7f38b59b","RecordType":154,"ResultStatus":"Failure","UserKey":"admin@M365x965352.onmicrosoft.com","UserType":0,"Version":1,"Workload":"Exchange","UserId":"admin@M365x965352.onmicrosoft.com","AttachmentName":"Form.docx","AuthenticationMethod":"OTP","AuthenticationStatus":0,"MessageId":"<MW5PR18MB5094CD4A4C6D8A5636154FEBAA869@MW5PR18MB5094.namprd18.prod.outlook.com>","OperationProperties":[{"Name":"MailSubject","Value":"Support case 987654"}],"OperationStatus":1,"Recipient":"samschan.msft@gmail.com","Sender":"admin@M365x965352.onmicrosoft.com"} 

ResultIndex  : 4 

ResultCount  : 7 

Identity     : ef29c387-c81b-4812-9020-90b378d92cde 

IsValid      : True 

ObjectState  : Unchanged 

К другим операциям, которые можно специально искать в OMEPortal, относятся AttachmentDownload, AuthenticationRequest, MessageAccess и MessageForward.

Атрибуты события OMEPortal

В следующей таблице содержатся сведения, связанные с событиями OMEPortal.