Registro de auditoría de buzones en Exchange y Microsoft 365

Puede usar el registro de auditoría en Exchange Server local y Exchange Online basado en la nube (Microsoft 365) para realizar un seguimiento de todas las acciones del usuario en cualquier elemento de un buzón. Mediante el uso de la auditoría de la actividad del buzón, un administrador de Exchange puede responder fácilmente a la pregunta popular "¿Cómo encontrar un usuario que eliminó un correo electrónico de un buzón compartido?"

En este artículo, le mostraremos cómo habilitar y configurar el registro de auditoría en Exchange Server y el buzón de correo de Microsoft 365 y cómo revisar los registros de auditoría.

Habilitar registro de auditoría en buzones de correo de Office 365 (Microsoft 365)

En primer lugar, veamos las funciones de auditoría en los buzones de correo de inquilinos de Microsoft 365. Están disponibles solo para suscriptores de nivel E3 y E5.

Abra PowerShell y conéctese a su Exchange en línea usando el módulo EXOv2:

Connect-ExchangeOnline -UserPrincipalName maxbak@a-d.onmicrosoft.com -ShowProgress $true

El registro de auditoría está habilitado de forma predeterminada en Exchange Online (Office 365) para todos los inquilinos desde finales de 2018.

Get-OrganizationConfig | Format-List AuditDisabled

Puede habilitar/deshabilitar la auditoría en la configuración de cada buzón. Vamos a mostrar la configuración de auditoría actual para todos los buzones:

Get-Mailbox -ResultSize Unlimited -Filter {RecipientTypeDetails -eq "UserMailbox"} | Select UserPrincipalName,AuditEnabled

Como puede ver, la auditoría está habilitada. Puede deshabilitar la auditoría para un buzón específico:

Set-Mailbox maxbak -AuditEnabled $false

Exchange permite usar los siguientes niveles de auditoría de actividad de buzón

• AuditOwner: acciones del propietario de la auditoría;

• AuditAdmin: acciones del administrador de auditoría;

• AuditDelegate: acciones de auditoría de otros usuarios a los que se les ha otorgado acceso al buzón.

Los siguientes eventos pueden registrarse en el registro de auditoría:

Copy
Create
FolderBind
HardDelete
MailboxLogin
MessageBind
Move
MoveToDeletedItems
SendAs
SendOnBehalf
SoftDelete
Update
UpdateCalendarDelegation
UpdateFolderPermissions

Para cada nivel de auditoría, puede configurar los eventos que deben registrarse. Puede obtener la configuración de auditoría actual con estos comandos:

Get-Mailbox maxbak| Select-Object -ExpandProperty AuditOwner
Get-Mailbox maxbak| Select-Object -ExpandProperty AuditDelegate
Get-Mailbox maxbak| Select-Object -ExpandProperty AuditAdmin

Puede configurar solo ciertos tipos de eventos para que se registren en el registro. Por ejemplo, para auditar eventos de eliminación de elementos:

Set-Mailbox maxbak -AuditOwner HardDelete,SoftDelete

Si solo desea agregar otros eventos de auditoría a los existentes:

Set-Mailbox maxbak -AuditOwner @{Add=”MailboxLogin”,”HardDelete”}

Los registros de auditoría se almacenan directamente en la carpeta Auditorías de cada buzón. La carpeta no está disponible desde Outlook u OWA.

Puede obtener el tamaño actual del registro de auditoría en un buzón usando el siguiente comando:

Get-MailboxFolderStatistics -Identity MarinaD@a-d.onmicrosoft.com | where {$_.FolderType -eq 'Audits'} | ft Identity, ItemsInFolder, FolderSize -auto

¿Cómo habilitar el registro de auditoría de buzón en Exchange Server?

En Exchange Server local, la auditoría de buzón está disponible en 2010 SP1+. De forma predeterminada, la auditoría de buzón está deshabilitada.

Conéctese a su Exchange Server local mediante PowerShell:

$Session = New-PSSession -ConfigurationName Microsoft.Exchange -ConnectionUri http://mun-mbx01.a-d.site/PowerShell/ -Authentication Kerberos -Credential $UserCredential
Import-PSSession $Session

Puede habilitar el registro de auditoría para un solo buzón:

Set-Mailbox maxbak -AuditEnabled $true

O para todos los buzones de su organización de Exchange:

Get-Mailbox -ResultSize Unlimited -Filter {RecipientTypeDetails -eq "UserMailbox"} | Set-Mailbox -AuditEnabled $true

En los buzones de Exchange Server, se auditan las acciones de administrador y delegado (la configuración predeterminada difiere de la de Exchange Online). La auditoría de actividad del propietario está deshabilitada. Si habilita una auditoría de todos los eventos del propietario de un buzón, el tamaño del registro crecerá mucho más rápido. Es mejor habilitar la auditoría selectiva de algunas acciones (por ejemplo, eliminar o mover):

Set-Mailbox maxbak -AuditOwner SoftDelete,HardDelete,MoveToDeletedItems,Move

Los eventos de auditoría se almacenan durante 90 días y luego se eliminan. Puede administrar la profundidad (y el tamaño) del registro de auditoría. Por ejemplo, puede reducir el período de retención de eventos en un buzón de 90 a 30 días:

Get-Mailbox maxbak |select AuditLogAgeLimit
Set-Mailbox maxbak -AuditLogAgeLimit 30 -Force

Averigüe quién eliminó un correo electrónico de un buzón de Exchange compartido

Supongamos que hay un buzón de correo compartido en su organización/inquilino de Exchange al que pueden acceder otros usuarios. Uno de los usuarios eliminó un correo electrónico importante y necesita averiguar quién lo hizo.

Para buscar registros de auditoría de buzones, el

Search-MailboxAuditLog

se utiliza el cmdlet. El cmdlet está disponible tanto en Exchange Server local como en Exchange Online en la nube (algunas opciones pueden diferir).

El siguiente comando muestra toda la actividad del elemento (registro de auditoría) en un buzón compartido específico desde el 1 de febrero:

Search-MailboxAuditLog -Identity support@a-d.onmicrosoft.com -StartDate 2/1/2022 -ShowDetails| ft MailboxOwnerUPN, LogonType, LogonUserDisplayName, Operation,OperationResult, SourceItemSubjectsList,FolderPathName, DestFolderPathName,LastAccessed|ft

La búsqueda puede llevar bastante tiempo dependiendo del número de eventos de auditoría. La imagen muestra quién ha eliminado un correo electrónico con el asunto especificado (la acción de usuario MoveToDeleteItems).

Puede aplicar filtros detallados a sus registros de auditoría. Por ejemplo, desea seleccionar eliminar solo eventos (

HardDelete

,

SoftDelete

,

MoveToDeletedItems

) relacionados con usuarios no propietarios:

Search-MailboxAuditLog -Identity support support@a-d.onmicrosoft.com -StartDate 2/2/2022 -EndDate 2/8/2022 -LogonTypes Delegate,Admin -ShowDetails| Where-Object {$_.Operation -like "*Delete*"}|ft MailboxOwnerUPN, LogonType,LogonUserDisplayName,Operation, OperationResult,SourceItemSubjectsList,FolderPathName, DestFolderPathName,LastAccessed|ft

Para realizar una búsqueda asíncrona de eventos de auditoría, el

New-MailboxAuditLogSearch

se utiliza el cmdlet. Causa menos carga en el servidor de buzón, se ejecuta en segundo plano, le permite encontrar la información que desea entre miles de eventos de manera efectiva y envía los resultados al buzón especificado.

También puede buscar registros de auditoría en Gestión de cumplimiento -> Auditoría del Centro de administración de Exchange (EAC). Puede usar las opciones "Ejecutar un informe de acceso al buzón de correo de no propietario" o "Exportar registros de auditoría de buzón".

En Exchange Online, puede usar el EAC (una forma heredada) o el Centro de cumplimiento de Microsoft 365 (https://compliance.microsoft.com/homepage) para buscar los registros de auditoría. Para buscar un evento, vaya a Soluciones -> Auditoría -> Buscar. Seleccione un período de tiempo, elija "Mensajes movidos a la carpeta Elementos eliminados", "Mensajes eliminados de la carpeta Elementos eliminados".

Search-UnifiedAuditLog

Además, puede usar los eventos de auditoría de Exchange para comprobar si el destinatario ha leído un correo electrónico.