Microsoft Defender for Cloud Apps使你能够查看已连接应用中的所有活动。 使用应用连接器将Defender for Cloud Apps连接到应用后，Defender for Cloud Apps扫描发生的所有活动（追溯扫描期因应用而异），然后使用新活动不断更新。
注意
活动类型 (（如 FileCreated、FileCreatedOnNetworkShare、 ArchiveCreated或 FileDeleted) ）及其关联数据直接源自连接的应用的第三方 API (例如 Salesforce 或 ServiceNow) 。
Microsoft Defender for Cloud Apps完全按照收到的方式显示这些活动名称和类型，并且不定义或修改它们。 若要了解活动的含义，请参阅相关的第三方 API 文档。
事件和活动的操作类型由源服务确定，无论是第一方服务还是第三方服务。 Microsoft Defender for Cloud Apps (MDA) 支持各种操作类型，并且不限于特定的操作类型。 有关Defender for Cloud Apps监视的Microsoft 365 活动的完整列表，请参阅在 Microsoft Purview 门户中搜索审核日志。
注意
随着 Microsoft Defender 正朝着完全集成的统一身份平台迈进，Defender for Cloud Apps 的某些数据管道仍然保持独立。 活动日志使用尚未与 标识清单集成的单独数据管道。 标识清单中定义的相关性不会影响活动日志中显示的用户详细信息。 有关受影响功能的完整列表，请参阅 启用标识清单集成。
可以筛选 活动日志 ，使你能够查找特定活动。 根据活动创建策略，然后定义要发出警报和操作的内容。 可以搜索在特定文件上执行的活动。 我们为每个活动获取的活动类型和信息取决于应用以及应用可以提供的数据类型。
例如，可以使用 活动日志 查找组织中使用操作系统或浏览器过期的用户：
- 将应用连接到Defender for Cloud Apps后，在“活动日志”页上，选择“高级筛选器”。
- 选择 “用户代理标记”。
- 选择 “过时”浏览器 或 “过时”操作系统。
基本筛选器提供了用于开始筛选活动的绝佳工具。
您可以选择高级筛选器来扩展基本筛选器，以便深入查看更具体的活动。
注意
- “旧版”标签会被添加到所有使用旧版“用户”筛选器的活动策略中。 此筛选器继续照常工作。 如果要删除旧标记，可以删除筛选器，并使用新的 “用户名” 筛选器再次添加筛选器。
- 在一些极少数情况下，活动日志中显示的事件计数可能略高于应用于筛选器并呈现的事件的实际数目。
活动抽屉
使用活动抽屉
可以通过在活动日志中选择“活动”本身来查看有关每个活动的详细信息。 这会打开活动抽屉，为每个活动提供以下附加操作和见解：
- 匹配的策略：选择 “匹配的策略 ”链接以查看此活动匹配的策略列表。
- 查看原始数据：选择“ 查看原始数据 ”以查看从应用接收的实际数据。
- 用户：选择该用户以查看执行活动的用户的用户页面。
- 设备类型：选择“ 设备类型 ”以查看原始用户代理数据。
- 位置：选择位置以查看必应地图中的位置。
- IP 地址类别和标记：选择 IP 标记以查看在此活动中找到的 IP 标记列表。 然后，可以按与此标记匹配的所有活动进行筛选。
注意
IP 地址类别会根据威胁情报自动分配，并可使用 IP 地址范围 手动覆盖。
活动抽屉中的字段提供了附加活动的上下文链接，并直接从抽屉向下钻取可能要执行的操作。 例如，如果将光标移到 IP 地址类别旁边，则可以使用 “添加”筛选 图标 
。将 IP 地址立即添加到当前页的筛选器。 还可以使用设置齿轮图标 
，以直接到达修改其中一个字段的配置（如 用户组）所需的设置页面。
还可以使用选项卡顶部的图标来：
- 查看相同类型的活动
- 查看同一用户的所有活动
- 查看来自同一 IP 地址的活动
- 从确切的地理位置查看活动
- 查看同一时间段内（48 小时）的活动
有关可用治理操作的列表，请参阅 活动治理操作。
用户见解
调查体验包括有关活动用户的见解。 只需单击一下，即可全面了解用户，包括用户从哪个位置连接、涉及的打开警报数及其元数据信息。
查看用户见解：
在Activity log中选择 Activity 本身。
然后选择“ 用户 ”选项卡。
选择它可打开“活动抽屉 用户 ”选项卡，提供有关用户的以下见解：- 未处理警报：涉及该用户的未处理警报数量。
- 匹配：用户拥有的文件与策略匹配的次数。
- 活动：用户在过去 30 天内执行的活动数。
- 国家/地区：用户在过去 30 天内连接的国家/地区数。
- ISP：过去 30 天内用户从中连接的 ISP 数。
- IP 地址：用户在过去 30 天内连接的 IP 地址数。
IP 地址分析
由于 IP 地址信息对于几乎所有调查都至关重要，因此可以在活动抽屉中查看有关 IP 地址的详细信息。 在特定活动中，可以选择“IP 地址”选项卡来查看有关 IP 地址的合并数据，包括特定 IP 地址的未结警报数、最近活动的趋势图和位置映射。 例如，这样便于在调查“不可能旅行”警报时进行深入分析。 此外，可以轻松了解 IP 地址的使用位置以及它是否涉及可疑活动。 还可以直接在 IP 地址抽屉中执行操作，以便将 IP 地址标记为有风险、VPN 或公司，以方便将来的调查和策略创建。
要查看 IP 地址分析：
在Activity log中选择 Activity 本身。
然后选择“ IP 地址 ”选项卡。
这会打开“活动抽屉 IP 地址 ”选项卡，该选项卡提供有关 IP 地址的以下见解：
未处理警报：涉及该 IP 地址的未处理警报数量。
活动：IP 地址在过去 30 天内执行的活动数。
IP 位置：IP 地址在过去 30 天内连接的地理位置。
活动：过去 30 天内从此 IP 地址执行的活动数。
管理员活动：过去 30 天内从此 IP 地址执行的管理活动数。 可以执行以下 IP 地址操作：
- 设置为公司 IP 并添加到允许列表
- 设置为 VPN IP 地址并添加到允许列表
- 设置为风险 IP 并添加到阻止列表
注意
- 由与 API 连接的云应用程序审核的内部 IPv4 或 IPv6 IP 地址可能指示云应用程序网络内部的内部服务通信，并且不应与设备连接的源网络的内部 IP 混淆，因为云应用程序不会向设备的内部 IP 公开。
- 为了避免员工通过公司 VPN 从家中位置连接时触发 异常旅行 警报，建议将该 IP 地址标记为 VPN。
导出活动
可以将所有用户活动导出到 CSV 文件。
在 活动日志中，选择左上角的“ 导出 ”按钮。
注意
本文将提供有关如何从设备或服务删除个人数据的步骤，并可用来支持你在 GDPR 下的义务。 如果要查找有关 GDPR 的一般信息，请参阅 服务信任门户的 GDPR 部分。
后续步骤
如果你遇到任何问题，我们随时为你提供帮助。 若要获取产品问题的帮助或支持，请联系Microsoft Defender XDR支持人员。