Consultas para la tabla EmailAttachmentInfo

Para obtener información sobre el uso de estas consultas en el portal de Azure, consulte el tutorial de Log Analytics. Para obtener la API REST, consulte Consulta.

Archivos de remitente malicioso

Encuentra la primera aparición de archivos enviados por un remitente malicioso en tu organización dentro del período de tiempo seleccionado. Para ver apariciones anteriores, por favor aumente el rango de tiempo seleccionado.

let MaliciousSender = "<insert the sender email address>";
EmailAttachmentInfo
| where SenderFromAddress =~ MaliciousSender
| project SHA256 = tolower(SHA256)
| join (
DeviceFileEvents
) on SHA256
| summarize FirstAppearance = min(Timestamp) by DeviceName, SHA256, FileName 
| take 100

Correos electrónicos a dominios externos con archivos adjuntos

Correos electrónicos enviados a un dominio externo que incluyen datos adjuntos.

EmailEvents
| where EmailDirection == "Outbound" and AttachmentCount > 0
| join EmailAttachmentInfo on NetworkMessageId 
| project Timestamp, Subject, SenderFromAddress, RecipientEmailAddress, NetworkMessageId, FileName, AttachmentCount 
| take 1000