THAI DATA CLOUD
Manual Microsoft 365

Content Search: ค้นอีเมลทั้งองค์กรเพื่อตรวจสอบเหตุการณ์

ใช้ Content Search ใน Microsoft Purview eDiscovery ค้นอีเมลทุกกล่องด้วย KeyQL ตรวจ Statistics และ Sample ก่อน Export และลบอีเมลอันตรายด้วย Search and Purge

โดย ทีมงาน THAI DATA CLOUD อ่าน 14 นาที

แชร์FacebookXLINELinkedIn
Content Search — Content Search: ค้นอีเมลทั้งองค์กรเพื่อตรวจสอบเหตุการณ์
Content Search: ค้นอีเมลทั้งองค์กรเพื่อตรวจสอบเหตุการณ์

คำตอบสั้น ๆ: ใช้ Content Search ใน Microsoft Purview eDiscovery ค้นอีเมลทุกกล่องด้วย KeyQL ตรวจ Statistics และ Sample ก่อน Export และลบอีเมลอันตรายด้วย Search and Purge

คู่มือนี้อธิบาย Content Search ทีละขั้นตอน พร้อมคำสั่งที่ใช้ได้จริงและปัญหาที่พบบ่อย

Content Search คือเครื่องมือค้นอีเมลในทุกกล่องจดหมายขององค์กรพร้อมกันจากพอร์ทัล Microsoft Purview ค้นได้ทั้งกล่องหลัก กล่อง Archive รายการที่ผู้ใช้ลบแต่ยังถูกเก็บไว้ และกล่องของพนักงานที่ลาออกแล้วแต่ถูกเก็บเป็น Inactive mailbox โดยใช้เงื่อนไขอย่างผู้ส่ง หัวเรื่อง ช่วงวันที่ หรือคำในเนื้อหา ตั้งแต่ 31 สิงหาคม 2025 Microsoft ปิดหน้า Content Search แบบเดิมและย้ายความสามารถทั้งหมดเข้าไปอยู่ใน eDiscovery ในรูปแบบ case ชื่อ Content Search

คู่มือนี้เขียนให้ผู้ดูแลระบบที่ต้องตอบคำถามแบบ "อีเมลหลอกฉบับนี้ไปถึงใครบ้าง" "ใครส่งไฟล์สัญญาออกไปนอกบริษัท" หรือ "ขอสำเนาอีเมลทั้งหมดที่คุยกับคู่ค้ารายนี้" เมื่อทำครบ คุณจะมอบสิทธิ์ให้ถูกคน สร้างการค้นด้วย Content Search ที่แคบพอจะเชื่อถือได้ ตรวจผลก่อนใช้ Export ผลออกมาเป็นไฟล์ และลบอีเมลอันตรายออกจากทุกกล่องด้วยคำสั่ง Search and Purge อย่างระมัดระวัง

สิ่งที่ต้องเตรียม

  • สิทธิ์ค้นและ Export: เป็นสมาชิก role group eDiscovery Manager ในพอร์ทัล Purview แม้จะเป็น Global Administrator ก็ควรเพิ่มตัวเองเข้า role group นี้ให้ชัดเจน
  • สิทธิ์ลบอีเมล: role Search And Purge ซึ่งอยู่ใน role group Organization Management ของพอร์ทัล Purview ไม่ใช่ Organization Management ของ Exchange Online ซึ่งเป็นคนละกลุ่มกัน
  • ไลเซนส์: Content Search สำหรับอีเมลมีในแผน Exchange Online ทั่วไป แต่ Microsoft ระบุว่าผู้ทำงานกับ eDiscovery case และการ Export ควรมีไลเซนส์ Microsoft 365 E3 หรือ E5 ถ้าองค์กรใช้แผน Business ให้ทดสอบหรือยืนยันกับผู้ขายไลเซนส์ก่อนถึงวันที่ต้องใช้จริง ฟีเจอร์ Review set และการวิเคราะห์ขั้นสูงต้องใช้ระดับ E5
  • การอนุมัติ: การค้นอีเมลของพนักงานกระทบความเป็นส่วนตัว ควรมีคำขอเป็นลายลักษณ์อักษรระบุเหตุผล ขอบเขต และผู้อนุมัติ ตามนโยบายภายในและ PDPA
  • ข้อมูลเหตุการณ์: ผู้ส่ง หัวเรื่อง และช่วงเวลา ถ้ามีจาก Message Trace จะช่วยให้ค้นแคบลงมาก ระวังว่าเวลาใน Content Search และ eDiscovery เป็น UTC เสมอ ซึ่งช้ากว่าเวลาไทย 7 ชั่วโมง
  • สำหรับการลบ: โมดูล ExchangeOnlineManagement เวอร์ชัน 3.9.0 ขึ้นไป
ลำดับขั้นการใช้ Content Search ตั้งแต่มอบสิทธิ์ สร้างการค้น เลือกแหล่งข้อมูล เขียน KeyQL ตรวจผล จนถึง Export หรือลบอีเมล
ตรวจ Statistics และ Sample ให้ตรงกับข้อมูลเหตุการณ์ก่อน Export หรือลบทุกครั้ง

ขั้นตอนที่ 1: มอบสิทธิ์ใช้ Content Search ให้ผู้ที่จะค้น

ลงชื่อเข้าใช้ https://purview.microsoft.com ไปที่ Settings > Role groups ในรายการ Role groups for Microsoft Purview solutions เลือก eDiscovery Manager คลิก Edit แล้วใช้ Choose users เพิ่มบัญชีเป็น eDiscovery Manager (เห็นเฉพาะ case ที่ตัวเองเป็นสมาชิก) หรือ eDiscovery Administrator (เห็นทุก case) ถ้าต้องลบอีเมลด้วย ให้สร้าง role group ใหม่ที่มีเฉพาะ role Search And Purge แล้วเพิ่มเฉพาะคนที่จำเป็น การแยกคนค้นกับคนลบเป็นการถ่วงดุลที่ Microsoft ออกแบบไว้โดยตั้งใจ

หลังเพิ่มสิทธิ์ ให้ออกจากระบบแล้วลงชื่อเข้าใช้ใหม่ เมนูบางส่วนอาจใช้เวลาสักพักกว่าจะปรากฏ

ขั้นตอนที่ 2: เปิด Content Search case และสร้างการค้น

  1. ในพอร์ทัล Purview ไปที่ Solutions > eDiscovery แล้วเลือก Content search ระบบจะเปิด case ที่รวมการค้นทั้งหมดของ Content Search ไว้ที่เดียว ทุกการค้นที่สร้างในหน้านี้จะอยู่ใน case เดียวกัน
  2. คลิก Create a search
  3. ช่อง Search name ใส่ชื่อที่ไม่ซ้ำในองค์กร เช่น INC-2026-1112-Phish ช่อง Search description ใส่เลขที่คำขอและผู้อนุมัติ แล้วคลิก Create

ถ้าการตรวจสอบเป็นเรื่องอ่อนไหว เช่น เรื่องของผู้บริหาร ให้สร้าง case แยกจาก Cases แทน แล้วกำหนดสมาชิกเฉพาะคนที่เกี่ยวข้อง เพราะ case Content Search เปิดให้ทุกคนใน eDiscovery Manager และ Administrator เห็นโดยค่าเริ่มต้น

ขั้นตอนที่ 3: เลือกแหล่งข้อมูลที่ Content Search จะค้น

ในแท็บ Query ส่วน Data sources คลิกไอคอน + (Search and add) เพื่อเพิ่มผู้ใช้ กลุ่ม หรือแหล่งข้อมูลทั้งองค์กร

  • ค้นเฉพาะบางคน: พิมพ์ชื่อผู้ใช้ ระบบจะดึงทั้งกล่องจดหมายและ OneDrive ของคนนั้นมา ถ้าสนใจแค่อีเมล ให้คลิกเมนู … ของแหล่งข้อมูลแล้วเลือก Disable sites
  • ค้นทั้งองค์กร: เลือกแหล่งข้อมูล All people and groups และถ้าต้องรวมพนักงานที่ลาออกแล้ว ให้เปิดตัวเลือก "All people and groups" should include departed users ใน Tenant-wide source configuration

Content Search ทั้งองค์กรใช้เวลานานในองค์กรใหญ่ และ Microsoft แนะนำให้กด Generate statistics ก่อนเพื่อดูขนาด ถ้ารู้ว่าเกี่ยวกับแผนกเดียว ให้จำกัดแหล่งข้อมูลตั้งแต่แรก ผลจะเร็วและน่าเชื่อถือกว่า

ขั้นตอนที่ 4: เขียนเงื่อนไขค้นด้วย Condition builder หรือ KeyQL

ในส่วน Query ใช้ Condition builder เลือกเงื่อนไขทีละข้อ หรือวางคำค้นแบบ Keyword Query Language (KeyQL) ตัวอย่างที่ใช้บ่อย

from:[email protected] AND received>=2026-11-10
subject:"แจ้งเปลี่ยนเลขบัญชี" AND received:2026-11-10..2026-11-12
participants:partner.example.net AND hasattachment:true AND kind:email
to:[email protected] AND attachmentnames:contract*

กติกาที่ทำให้ผลผิดบ่อยที่สุด

  • ตัวเชื่อม AND, OR, NOT ต้องเป็นตัวพิมพ์ใหญ่ และใช้ได้ในช่อง KeyQL ไม่ใช่ช่อง Keyword ธรรมดา
  • ช่องว่างระหว่างสองเงื่อนไขมีความหมายเท่ากับ OR ไม่ใช่ AND
  • ห้ามมีช่องว่างหลังเครื่องหมาย : เช่น to: somchai จะกลายเป็นการค้นคำว่า somchai ทั้งข้อความ
  • ถ้าไม่ใส่เงื่อนไขเลย ระบบจะคืนทุกรายการในแหล่งข้อมูลที่เลือก ไม่ใช่คืนศูนย์รายการ
  • คำค้นภาษาไทยที่ไม่มีช่องว่างอาจตัดคำไม่ตรงกับที่ตั้งใจ ให้ใช้ผู้ส่ง หัวเรื่องแบบอยู่ในเครื่องหมายคำพูด และช่วงวันที่เป็นตัวหลัก แล้วตรวจจาก Sample
หน้าจอจำลองการสร้าง Content Search ในพอร์ทัล Microsoft Purview ใส่เงื่อนไข KeyQL ค้นอีเมลหลอกลวงจากผู้ส่งรายเดียวทั้งองค์กร
จำนวนรายการและกล่องที่พบช่วยบอกว่าเงื่อนไขแคบพอหรือยัง (ภาพจำลอง)

ขั้นตอนที่ 5: รัน Content Search แล้วตรวจ Statistics และ Sample

คลิก Run query ใน flyout Choose search results เลือก Statistics เพื่อดูจำนวนรายการ ขนาด และกล่องที่พบมากที่สุด หรือเลือก Sample เพื่อดูตัวอย่างเนื้อหา กำหนดจำนวนตัวอย่างต่อแหล่งข้อมูลได้ 1, 10 หรือ 100 รายการ

อ่านผล Content Search อย่างสงสัย ถ้าค้นอีเมลหลอกฉบับเดียวแต่ได้หลายพันรายการ แปลว่าเงื่อนไขกว้างเกินไป ให้แก้แล้วรันใหม่ อย่าไปต่อขั้นตอน Export หรือลบจนกว่าจำนวนที่ได้จะสอดคล้องกับที่ Message Trace บอก Content Search จะค้นรายการที่ผู้ใช้ลบแล้วแต่ยังอยู่ใน Recoverable Items ด้วย จึงอาจเจอมากกว่าที่ผู้ใช้เห็นในกล่องของตัวเอง

ขั้นตอนที่ 6: Export ผล Content Search ออกมาเป็นไฟล์

  1. ในหน้า Content Search ที่ตรวจผลแล้ว คลิก Export แล้วใส่ Export name
  2. ในส่วน Export type เลือก Export items report only ถ้าต้องการแค่รายการสรุปเป็น CSV เพื่อทบทวนก่อน หรือ Export items with items report ถ้าต้องการตัวอีเมลด้วย
  3. ในส่วน Export format เลือก Create PSTs for messages สำหรับเปิดใน Outlook หรือ Create .msg files for messages สำหรับส่งทีละฉบับ
  4. คลิก Export แล้วติดตามความคืบหน้าที่ Process manager เมื่อเสร็จ เลือกแพ็กเกจแล้วคลิก Download packages

แพ็กเกจ Export ถูกลบอัตโนมัติหลัง 14 วัน ต้องดาวน์โหลดก่อน ไม่ต้องติดตั้ง eDiscovery Export Tool แบบเดิมแล้ว ดาวน์โหลดผ่านเบราว์เซอร์ได้เลย ใช้ Microsoft Edge รุ่นล่าสุด อนุญาต pop-up ของพอร์ทัล Purview และแตกไฟล์ด้วย 7-Zip แทนตัวแตกไฟล์ของ Windows เก็บไฟล์ที่ได้ในที่ที่จำกัดสิทธิ์ เพราะเป็นข้อมูลส่วนบุคคลของพนักงาน

ตารางตัวอย่างคำค้น KeyQL สำหรับ Content Search เช่น from, received, subject, participants และ hasattachment พร้อมความหมาย
ช่องว่างระหว่างเงื่อนไขเท่ากับ OR ถ้าต้องการให้ตรงทุกข้อต้องเขียน AND ตัวพิมพ์ใหญ่

ขั้นตอนที่ 7: ลบอีเมลอันตรายออกจากทุกกล่อง (Search and Purge)

คำเตือน: การลบด้วย Search and Purge กระทบกล่องจดหมายทุกกล่องที่ตรงเงื่อนไขพร้อมกัน ถ้าเงื่อนไขของ Content Search กว้างเกินจะลบอีเมลงานจริงทิ้ง ก่อนลบให้ Export แบบ report only เก็บไว้เป็นหลักฐาน และเริ่มจาก SoftDelete ซึ่งผู้ใช้ยังกู้คืนได้ ส่วน HardDelete ผู้ใช้กู้เองไม่ได้

การลบทำได้ด้วย Security & Compliance PowerShell เท่านั้น และ Content Search ที่ใช้ลบต้องรันจาก PowerShell ด้วย (Content Search ที่รันจากพอร์ทัลจะมี Items เป็น 0 เมื่อดูจากคำสั่ง)

Connect-IPPSSession -UserPrincipalName [email protected] -EnableSearchOnlySession
$s = New-ComplianceSearch -Name "INC-2026-1112-Purge" -ExchangeLocation All `
  -ContentMatchQuery '(From:[email protected]) AND (Received:2026-11-10..2026-11-12)'
Start-ComplianceSearch -Identity $s.Identity
Get-ComplianceSearch -Identity "INC-2026-1112-Purge" | Format-List Name,Status,Items
# เมื่อ Status เป็น Completed และ Items ตรงกับที่คาด
New-ComplianceSearchAction -SearchName "INC-2026-1112-Purge" -Purge -PurgeType SoftDelete
Get-ComplianceSearchAction -Identity "INC-2026-1112-Purge_Purge"

ข้อจำกัดที่ต้องรู้: คำสั่งหนึ่งครั้งลบได้สูงสุด 10 รายการต่อกล่อง ถ้ากล่องหนึ่งมีมากกว่านั้นต้องรันซ้ำ Content Search ที่จะใช้ลบต้องครอบคลุมไม่เกิน 50,000 กล่อง ใช้กับไซต์ SharePoint หรือ OneDrive ไม่ได้ ไม่ลบข้อความใน Teams และถ้ากล่องอยู่ภายใต้ Litigation Hold หรือ Retention Policy อีเมลจะหายจากมุมมองของผู้ใช้แต่ยังถูกเก็บใน Recoverable Items ซึ่งเป็นพฤติกรรมที่ถูกต้อง ถ้าองค์กรมี Defender for Office 365 Plan 2 Microsoft แนะนำให้ใช้การแก้ไขผ่าน Threat Explorer แทน ส่วนอีเมลที่ยังค้างใน Quarantine ให้จัดการตามคู่มือ Quarantine ใน Microsoft Defender ขั้นตอนเต็มอยู่ในเอกสาร Find and delete email messages in eDiscovery

ผลคำสั่ง Security & Compliance PowerShell สร้าง Content Search ทั้งองค์กร ตรวจจำนวนรายการ และลบอีเมลหลอกลวงแบบ SoftDelete
ลบได้ครั้งละไม่เกิน 10 รายการต่อกล่อง เริ่มจาก SoftDelete เสมอ

คำถามที่พบบ่อยเกี่ยวกับ Content Search

Content Search หาอีเมลที่ผู้ใช้ลบไปแล้วได้ไหม?

Content Search ค้นได้ ถ้าอีเมลยังอยู่ใน Recoverable Items หรือกล่องอยู่ภายใต้ Retention Policy หรือ Litigation Hold แต่ถ้าอีเมลถูกล้างไปแล้วและพ้นระยะเก็บของรายการที่ถูกลบโดยไม่มีการเก็บใด ๆ อีเมลนั้นค้นไม่เจออีกแล้ว

รู้แน่ว่ามีอีเมลฉบับนี้ แต่ Content Search คืนผลเป็นศูนย์ ควรตรวจอะไร?

ตรวจช่วงวันที่ก่อน เพราะ Content Search ใช้เวลา UTC อีเมลที่ได้รับตอนเช้าตามเวลาไทยอาจอยู่ในวันก่อนหน้า จากนั้นดูว่ามีช่องว่างหลังเครื่องหมาย : หรือใช้ and ตัวพิมพ์เล็กหรือไม่ และถ้าค้นจากโฟลเดอร์ Sent Items ด้วยที่อยู่อีเมลผู้ส่ง ระบบเก็บไว้เป็นชื่อที่แสดงเท่านั้น ให้ค้นด้วยชื่อแทน

ค้นอีเมลของพนักงานที่ลาออกไปแล้วได้หรือไม่?

Content Search ค้นได้ถ้ากล่องนั้นถูกเก็บเป็น Inactive mailbox หรือแปลงเป็น Shared mailbox ไว้ ให้เปิดตัวเลือก include departed users ใน Tenant-wide source configuration ถ้าลบบัญชีไปโดยไม่ได้วาง Hold และพ้น 30 วันแล้ว ข้อมูลจะไม่เหลือให้ค้น

รันคำสั่งลบแล้วขึ้นว่าไม่พบพารามิเตอร์ Purge ทำไม?

บัญชีที่ใช้ไม่มี role Search And Purge ในพอร์ทัล Purview หรือเชื่อมต่อโดยไม่ใส่ -EnableSearchOnlySession ให้ตรวจ role group แล้วปิดหน้าต่าง PowerShell เปิดใหม่และเชื่อมต่อด้วยสวิตช์นี้

ถ้าองค์กรกำลังรับมือเหตุการณ์อีเมลหลอกลวงหรือข้อมูลรั่ว และต้องการทีมที่ช่วยค้น เก็บหลักฐาน และลบอีเมลอันตรายอย่างเป็นขั้นตอน ติดต่อทีมงาน THAI DATA CLOUD ได้ทันที และดูบริการเฝ้าระวังและรับมือภัยคุกคามได้ที่ Managed Security Services

อ่านเพิ่มเติมเกี่ยวกับ Content Search

แชร์FacebookXLINELinkedIn

มีคำถามเรื่องบริการ? ติดต่อทีมงาน