关键要点： Microsoft 365（M365）中的文件下载行为往往会立即引发关注，但审计日志很少能够反映完整情况。当知识产权、敏感数据或内部风险受到影响时，仅依赖云端记录会留下许多关键问题无法解答。将审计日志与终端设备证据相结合，可以在关键证据消失之前还原事件经过，为调查提供必要背景，从而帮助组织以更高的信心和更强的可辩护性作出决策。

当员工辞职或被解雇时，组织首先关注的问题之一是：在离职之前，该员工是否访问、保留或不当转移了公司信息。随着越来越多的组织采用基于云的协作平台，Microsoft 365（M365）已成为调查潜在内部风险、数据泄露以及知识产权（IP）相关问题的重要证据来源。

在许多情况下，调查人员会首先审查 M365 审计日志，以了解发生了哪些活动。这些审计日志能够为用户与文件、电子邮件及协作平台之间的交互提供宝贵洞察。然而，尽管审计日志是任何调查的重要组成部分，但它们通常只反映了事件的一部分情况。

充分了解审计日志的优势与局限性，有助于在离职员工调查中得出具有可辩护性的结论。

Microsoft 365 审计日志能够揭示什么

M365 审计日志能够提供有关 SharePoint、OneDrive、Teams 和 Exchange Online 等云服务中广泛用户活动的洞察。根据许可证类型、保留策略和租户配置，组织通常能够识别以下活动：

• 访问存储在 SharePoint 和 OneDrive 中的文件。
• 文件获取和下载活动。
• 与通过 Teams 共享文件的交互活动。
• 电子邮件及附件相关活动。
• 用户身份验证和账户访问事件。

这些记录有助于建立事件时间线、识别与特定活动相关的用户，并为在 M365 环境中发生的行为提供重要背景信息。

对于调查潜在数据泄露或知识产权（IP）风险的组织而言，审计记录通常是开展调查的重要起点。

挑战：审计记录缺乏完整背景信息

在离职员工调查中，最常见的误区之一是认为单个审计事件能够明确说明某个文件后来发生了什么。

例如，调查人员可能发现一条记录显示某个文件在员工离职前不久被下载。虽然这一信息确实具有重要参考价值，但仅凭该审计记录往往无法回答几个关键问题：

• 该文件是否实际被打开过？
• 该文件随后是否被复制到可移动存储介质？
• 该文件是否被传输到其他设备？
• 该活动是否由自动同步过程触发？
• 文件到达终端设备后，是否还发生了其他相关活动？

这些问题的答案通常需要云端审计记录之外的其他证据来源来进行验证。x

现代协作平台增加了调查复杂性

Microsoft M365 各项服务之间高度互联的特性，也为审计活动的解读带来了挑战。

例如，用户可能通过 Teams 访问文档，而这些文档的底层存储实际上位于 SharePoint 中。同样，通过 OneDrive 同步的文件所产生的活动记录，可能与同步服务相关，而非传统的浏览器下载行为。

如果不了解这些服务之间的交互方式，调查人员可能会无意中误判单个审计事件的实际意义。

这并不意味着审计日志的价值有所降低。相反，它凸显了在相关技术环境的整体背景下评估审计记录的重要性。

缺失的一环：终端设备证据e

虽然云端审计记录能够揭示发生在 M365 服务中的活动，但终端设备通常保存着能够解释文件从云端获取后发生了什么的重要证据。

根据具体情况，终端设备中的取证痕迹可能提供以下信息：

• 本地文件访问情况
• 文件下载活动
• 应用程序使用记录
• 最近的文档交互行为
• 可移动存储设备使用情况
• 文件系统活动记录

这些取证痕迹能够帮助调查人员判断，在云端审计日志中识别出的文件是否随后在本地设备上被打开、传输或以其他方式进行了操作。

在许多调查中，终端设备证据能够提供仅依靠云端审计记录无法获得的关键背景信息。

构建更具可辩护性的调查

最有效的离职员工调查很少仅依赖单一证据来源。

云端审计记录能够证明相关活动确实发生在 M365 服务环境中。终端设备取证痕迹则能够揭示信息在到达用户设备后是如何被处理的。当两类证据结合分析时，可以更全面地还原用户活动情况，并降低因孤立事件而得出片面结论的风险。

组织应考虑采用包含以下要素的调查方法：

• 保全相关的 M365 审计记录。
• 识别并保全终端设备。
• 关联分析云端证据与终端证据。
• 在技术和业务背景下评估相关活动。
• 记录调查发现及调查方法。

这种方法能够提升调查结论的准确性和可辩护性。

从审计事件到具备可辩护性的调查结论

Microsoft 365（M365）审计日志已成为离职员工调查和内部风险调查中的重要证据来源。它能够为发生在云服务中的用户活动提供宝贵洞察，并作为构建调查时间线和形成调查结论的基础。

然而，审计记录本身并不能完整反映文件从云端获取后被如何处理。最有效的调查会将云端证据与从终端设备中提取的数字取证证据相结合，从而帮助调查人员更全面地了解用户活动。

随着组织不断扩大对云协作平台的使用，在应对数据泄露、知识产权纠纷以及其他内部风险场景时，关联和分析多种证据来源的能力将变得越来越重要。

了解更多关于 Epiq 数字取证与数据采集服务 的信息。.

Erwin Risher，高级数字取证顾问

Erwin 专注于数字调查、电子取证（eDiscovery）、内部风险管理以及数据保护。他与人力资源、法务和数据隐私团队紧密合作，应对内部威胁并保护敏感数据。其专业经验涵盖大规模数字取证调查、民事与刑事案件调查，以及为军事调查人员和律师提供培训。