Updated October 6, 2025: We have updated the content. Thank you for your patience. 

Coming soon for Microsoft Defender for Office 365: We are excited to announce the new CampaignInfo and FileMaliciousContentInfo data tables in Advanced hunting under Email & collaboration schema.

[When this will happen:]

Public Preview: We will begin rolling out early June 2025 and expect to complete by late June 2025.

General Availability (Worldwide, GCC, GCC High, DoD): General Availability: We will begin rolling out early July 2025 and expect to complete by late November 2025, covering both Advanced Hunting and Sentinel availability.

[How this will affect your organization:]

The new tables will be available by default. SOC teams will be able to see two new data tables in Defender > Advanced hunting > Email & collaboration schema.

1. CampaignInfo

The CampaignInfo table in the Advanced hunting schema contains information about email campaigns identified by Defender for Office 365. The table will have this schema to help the security teams to investigate threats targeting their users and organization:

2. FileMaliciousContentInfo

The FileMaliciousContentInfo table in the Advanced hunting schema contains information about files that were processed by Defender for Office 365 in Microsoft SharePoint Online, Microsoft OneDrive, and Microsoft Teams. The table will have this schema to help the security teams to investigate threats targeting their users and organization:

Here are a few sample queries to get you started:

//Emails sent as part of phishing campaigns


CampaignInfo


| where Timestamp > ago(7d)


| where CampaignType has "Phish"


| project NetworkMessageId, RecipientEmailAddress, CampaignName, CampaignId, CampaignType


| join (EmailEvents | where Timestamp > ago(7d)) on NetworkMessageId, RecipientEmailAddress


| project Timestamp, NetworkMessageId, Subject, SenderMailFromAddress, RecipientEmailAddress, LatestDeliveryLocation, LatestDeliveryAction, CampaignId, CampaignName, CampaignType

//Files identified as Malware modified in last 1 day


FileMaliciousContentInfo

| where ThreatTypes == "Malware"


| where LastModifiedTime > ago(1d)

[What you need to do to prepare:]

This rollout will happen automatically by the specified dates with no admin action required before the rollout. Review your current configuration to assess the impact on your organization. You may want to notify your users about this change and update your relevant documentation.

After the Public Preview rollout, we will update this post with new documentation.

2025年10月6日更新:内容を更新しました。お待ちいただきありがとうございます。 

Microsoft Defender for Office 365 の近日公開予定: [電子メールとコラボレーション スキーマ] の [高度なハンティング] で、新しい CampaignInfo データ テーブルと FileMaliciousContentInfo データ テーブルを発表できることを嬉しく思います。

[これがいつ起こるか:]

パブリック プレビュー: 2025 年 6 月初旬にロールアウトを開始し、2025 年 6 月下旬までに完了する予定です。

一般提供 (全世界、GCC、GCC High、DoD): 一般提供: 2025 年 7 月初旬にロールアウトを開始し、2025 年 11 月下旬までに完了する予定で、Advanced Hunting と Sentinel の両方の可用性をカバーします。

[これが組織にどのような影響を与えるか:]

新しいテーブルはデフォルトで使用できます。SOC チームは、Defender > Advanced ハンティング > 電子メールとコラボレーション スキーマの 2 つの新しいデータ テーブルを表示できるようになります。

1. キャンペーン情報

高度なハンティング スキーマの CampaignInfo テーブルには、Defender for Office 365によって識別される電子メール キャンペーンに関する情報が含まれています。この表には、セキュリティチームがユーザーや組織を標的とする脅威を調査するのに役立つ次のスキーマがあります。

2. ファイル悪意コンテンツ情報

高度なハンティング スキーマの FileMaliciousContentInfo テーブルには、Microsoft SharePoint Online、Microsoft OneDrive、Microsoft Teams の Defender for Office 365 によって処理されたファイルに関する情報が含まれています。この表には、セキュリティチームがユーザーや組織を標的とする脅威を調査するのに役立つ次のスキーマがあります。

開始するためのサンプルクエリをいくつか示します。

//Emails sent as part of phishing campaigns


CampaignInfo


| where Timestamp > ago(7d)


| where CampaignType has "Phish"


| project NetworkMessageId, RecipientEmailAddress, CampaignName, CampaignId, CampaignType


| join (EmailEvents | where Timestamp > ago(7d)) on NetworkMessageId, RecipientEmailAddress


| project Timestamp, NetworkMessageId, Subject, SenderMailFromAddress, RecipientEmailAddress, LatestDeliveryLocation, LatestDeliveryAction, CampaignId, CampaignName, CampaignType

//Files identified as Malware modified in last 1 day


FileMaliciousContentInfo

| where ThreatTypes == "Malware"


| where LastModifiedTime > ago(1d)

[準備に必要なこと:]

このロールアウトは、指定された日付までに自動的に行われ、ロールアウト前に管理者のアクションは必要ありません。現在の構成を確認して、組織への影響を評価します。この変更についてユーザーに通知し、関連するドキュメントを更新することをお勧めします。

パブリック プレビューのロールアウト後、この投稿を新しいドキュメントで更新します。