通过

EmailEvents

Office 365 电子邮件事件，包括电子邮件传递和阻止事件。

数据表属性

Attribute Value
资源类型 -
Categories 安全性
Solutions SecurityInsights
基本日志 Yes
引入时转换 Yes
示例查询 Yes

Columns

Column 类型 Description
AdditionalFields dynamic 有关实体或活动的其他信息。
AttachmentCount int 电子邮件中的附件数。
AuthenticationDetails 字符串 按电子邮件身份验证协议（如 DMARC、DKIM、SPF 或多种身份验证类型的组合 (CompAuth)）列出的传递或失败裁定列表。
_BilledSize real 记录大小（字节）
BulkComplaintLevel int 分配给批量邮箱中的电子邮件的阈值，高批量投诉级别 (BCL) 意味着电子邮件更有可能生成投诉，因此更有可能是垃圾邮件。
Cc dynamic 指示电子邮件抄送字段中列出的地址
ConfidenceLevel 字符串 任何垃圾邮件或网络钓鱼裁定的置信度列表。 对于垃圾邮件，此列显示垃圾邮件置信度 (SCL)，指示电子邮件是否被跳过 (-1)，被发现不是垃圾邮件 (0,1)，被发现是具有中等置信度的垃圾邮件 (5,6)，或被发现是具有高置信度的垃圾邮件 (9)。 对于网络钓鱼，此列显示置信度是“高”还是“低”。
Connectors 字符串 定义组织邮件流的自定义说明以及电子邮件的路由方式。
Context 字符串 计算机的配置上下文数据
DeliveryAction 字符串 已传送电子邮件的操作。
DeliveryLocation 字符串 已传送电子邮件的位置：收件箱/文件夹、本地/外部、垃圾邮件、隔离、失败、已删除、已删除邮件。
DetectionMethods 字符串 电子邮件的传送操作：已传送、被放入垃圾邮件文件夹、被阻止或已替换。
DistributionList 字符串 收件人所属的通讯组列表的名称（如果适用）;如果涉及嵌套列表，则显示顶级通讯组列表
EmailAction 字符串 根据筛选器裁定、策略和用户操作对电子邮件执行的最终操作：将邮件移动到垃圾邮件文件夹、添加 X 标头、修改主题、重定向邮件、删除邮件、发送到隔离区、未执行任何操作、密件抄送邮件。
EmailActionPolicy 字符串 生效的操作策略：反垃圾邮件高可信度、反垃圾邮件、反垃圾邮件批量邮件、反垃圾邮件网络钓鱼、反网络钓鱼域模拟、反网络钓鱼用户模拟、反网络钓鱼欺骗、反网络钓鱼图模拟、反恶意软件安全附件、企业传输规则 (ETR)。
EmailActionPolicyGuid 字符串 生效的策略的唯一标识符。
EmailClusterId long 电子邮件群集的标识符。 电子邮件根据其内容的启发式分析进行聚集（分组）。
EmailDirection 字符串 电子邮件方向：入站、出站、组织内。
EmailLanguage 字符串 检测到的电子邮件内容语言。
ExchangeTransportRule 字符串 邮件流规则（也称为传输规则）类似于 Outlook 和 Outlook 网页版中提供的收件箱规则。 主要区别在于邮件流规则在传输过程中对邮件执行操作。
ForwardingInformation 字符串 转发详细信息的 JSON 数组，包括转发用户和转发类型
InternetMessageId 字符串 由发送电子邮件系统设置的电子邮件的面向公众的标识符。
_IsBillable 字符串 指定引入数据是否计费。 当 _IsBillable 为 false 时，不会向 Azure 帐户计收引入费
LatestDeliveryAction 字符串 服务或管理员通过手动修正在电子邮件上尝试的最后一个已知操作。
LatestDeliveryLocation 字符串 电子邮件的最后已知位置。
NetworkMessageId 字符串 Office 365 生成的电子邮件的唯一标识符。
OrgLevelAction 字符串 针对电子邮件执行的操作，以响应在组织级别定义的策略的匹配项。
OrgLevelPolicy 字符串 触发对电子邮件执行的操作的组织策略。
RecipientEmailAddress 字符串 收件人电子邮件地址，或者通讯组列表扩展后收件人的电子邮件地址。
RecipientObjectId 字符串 电子邮件收件人 Azure AD 标识符。
ReportId 字符串 事件的唯一标识符。
SenderDisplayName 字符串 发件人标头中的发件人电子邮件地址，此地址对电子邮件客户端上的电子邮件收件人可见。
SenderFromAddress 字符串 发件人标头中的发件人域，此域对电子邮件客户端上的电子邮件收件人可见。
SenderFromDomain 字符串 电子邮件筛选堆栈中关于电子邮件是否包含恶意软件、网络钓鱼或其他威胁的裁定。
SenderIPv4 字符串 上次检测到中继消息的邮件服务器的 IPv4 地址。
SenderIPv6 字符串 上次检测到中继消息的邮件服务器的 IPv6 地址。
SenderMailFromAddress 字符串 邮件发件人标头中的发件人电子邮件地址，也称为信封发件人或返回路径地址。
SenderMailFromDomain 字符串 邮件发件人标头中的发件人域，也称为信封发件人或返回路径地址。
SenderObjectId 字符串 发件人标头中的发件人电子邮件地址，此地址对电子邮件客户端上的电子邮件收件人可见。
SourceSystem 字符串 收集事件的代理的类型。 例如，适用于 Windows 代理的 OpsManager、直接连接或 Operations Manager、适用于所有 Linux 代理的 Linux 或适用于 Azure 诊断的 Azure
Subject 字符串 电子邮件主题字段。
TenantId 字符串 Log Analytics 工作区 ID
ThreatClassification 字符串 指示邮件的威胁分类
ThreatNames 字符串 发件人标头中的发件人电子邮件地址，此地址对电子邮件客户端上的电子邮件收件人可见。
ThreatTypes 字符串 电子邮件筛选堆栈中关于电子邮件是否包含恶意软件、网络钓鱼或其他威胁的裁定。
TimeGenerated 日期/时间 生成记录时的日期和时间 (UTC)。
To dynamic 指示在电子邮件的“To”字段中列出的地址
类型 字符串 表的名称
UrlCount int 电子邮件中的嵌入 URL 数。
UserLevelAction 字符串 针对电子邮件执行的操作，以响应收件人定义的邮箱策略的匹配项。
UserLevelPolicy 字符串 触发对电子邮件执行的操作的最终用户邮箱策略。