Onde procurar uma ação do Teams no audit log

Quando alguma coisa acontece no Teams (uma equipe criada, um canal apagado, um participante estranho numa reunião, um app instalado) e você precisa descobrir quem fez, quando fez e de onde fez, o caminho é o audit log do Microsoft Purview. Não o Teams admin center, não o Entra ID, não o log local do cliente. É o audit log unificado do Microsoft 365.

A documentação de partida para isso está em duas páginas do Microsoft Learn: Search the audit log for events in Microsoft Teams ((abre em nova aba)) e Audit log activities ((abre em nova aba)). Foi delas que tirei tudo o que escrevo aqui.

Antes de tudo: a auditoria precisa estar ligadaLink para esta seção

Parece óbvio, mas é o ponto que mais pega. A auditoria unificada vem ligada por padrão para organizações Microsoft 365, mas nem sempre. Se no seu tenant ela estiver desligada, você vê um aviso no portal do Purview pedindo para ativar. O passo a passo para ligar está em Turn auditing on or off ((abre em nova aba)).

Um detalhe importante: os dados de auditoria só ficam disponíveis a partir do momento em que você liga. Não existe retrospectiva. Se alguém apagou uma equipe antes de a auditoria estar ativa, esse evento simplesmente não existe no log.

Onde procurarLink para esta seção

O acesso é pelo portal do Microsoft Purview ((abre em nova aba)), na área de Audit. Você precisa de permissão de leitura de auditoria, não necessariamente de administrador global. A Microsoft recomenda usar o papel com menos privilégio que ainda permita o acesso, e o artigo roles and permissions ((abre em nova aba)) ajuda a encontrar o papel certo.

Lá dentro, você define um intervalo de data e hora, escolhe as atividades que quer investigar e aplica filtros por usuário. O resultado é uma lista de eventos com quem fez, o que fez, quando e de qual endereço IP.

Se a busca retornar 5 mil resultados, o sistema avisa que pode haver mais eventos além desse limite. Nesse caso, refine os filtros ou exporte tudo em CSV usando o botão Export > Download all results. O artigo Search the audit log ((abre em nova aba)) detalha o processo completo.

O que o Teams auditaLink para esta seção

A lista de operações auditadas do Teams é extensa. A tabela completa está em Teams activities ((abre em nova aba)), mas vou destacar as categorias que mais aparecem em investigação do dia a dia.

Equipes e canaisLink para esta seção

Criação e exclusão de equipe geram os eventos TeamCreated e TeamDeleted. Adição e remoção de canal geram ChannelAdded e ChannelDeleted. Alteração de configuração de canal (nome, descrição) aparece como ChannelSettingChanged. Tudo isso é auditado inclusive para canais privados, que se comportam como canais comuns do ponto de vista do log.

MembrosLink para esta seção

Adição e remoção de membros geram MemberAdded e MemberRemoved. A alteração de papel (de membro para proprietário, por exemplo) aparece como MemberRoleChanged. Tem uma pegadinha importante aqui: quando a alteração de membro é feita pelo Entra ID, pelo portal de administração Microsoft 365 ou pela API de Grupos Microsoft 365, o log do Teams mostra um proprietário existente como iniciador, não quem realmente fez a ação. Para esses casos, a documentação recomenda consultar o audit log do Entra ID ou dos Grupos Microsoft 365. Esse comportamento está descrito na seção de attribution in Teams audit logs ((abre em nova aba)).

MensagensLink para esta seção

Envio de mensagem gera MessageSent, edição gera MessageUpdated e exclusão gera MessageDeleted. A leitura de mensagens é auditada como MessageRead, mas apenas quando a operação é feita via Microsoft Graph API, não pelo cliente Teams. O mesmo vale para MessagesExported, MessagesListed e ChatRetrieved, só aparecem no log se a chamada veio da API.

A exclusão de mensagem (MessageDeleted) é um evento que exige licença Audit Premium. Sem ela, esse evento simplesmente não é registrado.

Reuniões e chamadasLink para esta seção

Dados de reunião aparecem em MeetingDetail (início, fim, URL de entrada, gravação) e MeetingParticipantDetail (quem entrou, quem saiu, quando houve compartilhamento de tela, quem controlou o compartilhamento). Para chamadas, o evento equivalente é CallParticipantDetail. Esses eventos têm notas importantes: MeetingParticipantDetail agora é compartilhado com todos os tenants participantes, não apenas o tenant organizador. E chamadas gravadas ou transcritas são incluídas nesse mesmo evento.

AppsLink para esta seção

Instalação, atualização e remoção de app geram AppInstalled, AppUpgraded e AppUninstalled. Publicação e exclusão do catálogo geram AppPublishedToCatalog e AppDeletedFromCatalog. A documentação específica para apps está em Search audit logs for app management activities ((abre em nova aba)).

Configurações do locatárioLink para esta seção

Alterações feitas por administrador global nas configurações gerais do Teams aparecem como TeamsTenantSettingChanged. Isso inclui ativar ou desativar o Teams para a organização, configurar interoperabilidade com Skype for Business, permitir ou bloquear reunião privada, videoconferência, compartilhamento de tela, Giphy, stickers e muito mais. Cada configuração alterada aparece descrita na coluna Item do resultado da busca.

O que NÃO aparece no audit logLink para esta seção

Algumas operações importantes não geram registro de auditoria, e é bom saber disso para não perder tempo procurando:

• Atividades de bots e agentes: um registro de auditoria não é gerado para atividades com Agents ou Bots. A Microsoft informa que essa capacidade está em desenvolvimento.
• Operações feitas exclusivamente no cliente Teams e que dependem de Graph API para gerar log: ChatCreated, ChatRetrieved, ChatUpdated, MessageRead, MessagesExported, MessagesListed, RecordingsExported, TranscriptsExported e MessageHostedContentRead só são auditadas quando a operação vem da API. Se o usuário fez a ação pelo aplicativo Teams, o evento não aparece.
• Eventos de login: TeamsSessionStarted registra quando um usuário faz login no cliente Teams, mas não captura renovações de token. Ou seja, uma sessão que continua ativa por dias gera um único evento de entrada.

Quanto tempo o registro fica disponívelLink para esta seção

No Audit Standard, que vem incluído nas assinaturas Microsoft 365 elegíveis, os registros são retidos por 90 dias. Isso significa que você consegue pesquisar atividades dos últimos três meses. Para prazos maiores, existe o Audit Premium, que estende a retenção e adiciona eventos que não estão disponíveis no plano básico, como a exclusão de mensagem. Os requisitos de licença para Audit Premium estão detalhados em Auditing solutions in Microsoft 365 ((abre em nova aba)).

Um atalho para monitoramento contínuoLink para esta seção

Se você precisa ficar de olho em atividades específicas (como adição de usuários externos ou exclusão em massa de equipes) pode usar o Microsoft Defender for Cloud Apps para criar activity policies. Elas geram alertas e, dependendo da configuração, ações automáticas como suspender um usuário ou forçá-lo a fazer login novamente. A documentação mostra exemplos práticos de activity policies para Teams ((abre em nova aba)), incluindo cenário de usuário externo e de massa de exclusão.

É quando a API é o caminho certo?Link para esta seção

Para quem precisa integrar a auditoria com ferramentas internas ou automatizar consultas, existe a Office 365 Management Activity API. O schema específico para eventos do Teams está documentado em Teams schema ((abre em nova aba)). É uma saída viável quando o portal atinge o limite do que oferece em filtragem e exportação.

Resumo práticoLink para esta seção

No seu tenant, antes de qualquer investigação, confirme que a auditoria está ligada. Depois, vá ao Purview > Audit, escolha o intervalo de datas e procure pelo nome da atividade. Se a operação que você busca não estiver na lista de atividades do Teams, talvez ela só seja auditada via Graph API, ou talvez exija licença Audit Premium, ou talvez simplesmente não seja auditada, como é o caso de atividades de bots. Saber onde cada coisa aparece (e onde não aparece) é o que faz a diferença entre encontrar a resposta em cinco minutos ou perder uma tarde procurando no lugar errado.