Administrar la auditoría del buzón mediante PowerShell | Oficina 365

En el artículo actual, revisamos los diversos aspectos de la "opción de auditoría de Exchange Online" mediante comandos de PowerShell.

Conéctese a Exchange Online Protection

Para poder ejecutar los comandos de PowerShell especificados en el artículo actual, deberá conectarse a Exchange Online PowerShell.

Inicie Windows PowerShell como administrador y ejecute el cmdlet Connect-ExchangeOnline.

Connect-ExchangeOnline

Información básica sobre la opción Auditoría Exchange

La función Exchange Online Audit es una herramienta muy poderosa que nos permite obtener información detallada sobre cada una de las "acciones" que se realizaron en un buzón de Exchange específico.

La información de auditoría guardada en un archivo de registro dedicado, que se almacena en el buzón (el archivo de registro oculto al propietario del buzón).

La opción de buzón de auditoría de Exchange no está "activada" de forma predeterminada.
El uso más común de la opción de auditoría en línea de Exchange es en un escenario en el que "algo extraño" le está sucediendo al buzón de un usuario en particular. . Por ejemplo, reuniones de correo o calendario que se eliminaron sin el conocimiento del usuario (propietario del buzón), elementos de correo que se reubicaron en una carpeta diferente, etc.

En este tipo de escenario, para poder comprender lo que sucede "detrás de escena", necesitamos monitorear cada uno de los "eventos" relacionados con el buzón de Exchange específico. El uso de la información almacenada en el registro de Auditoría de Exchange nos permitirá ver cuáles son las acciones exactas que se realizaron cuando se llevaron a cabo las acciones anteriores y por quién.

Exchange Online admite cuatro tipos de opciones de auditoría:

1.Auditoría del propietario del buzón (AuditOwner)

Este tipo de auditoría "registrará" las diferentes operaciones que realiza el propietario del buzón, como la eliminación de elementos de correo y los diferentes tipos de eliminación de elementos de correo: Eliminación suave y Eliminación completa. , creación de envíos de correo, movimiento de envíos de correo, actualización de envíos de correo existentes y más.

2. Auditoría de no propietario (delegada) (AuditDelegate)

Este tipo de auditoría es relevante en un escenario en el que "otros usuarios" tienen permisos para un buzón de usuario específico. Los "otros" usuarios definidos como un delegado.

La información de auditoría incluirá la misma operación que AuditOwner y además incluirá otras operaciones como un evento en el que el delegado realiza la acción en - SendAs

3. Auditoría de administración (AuditAdmin)

Este tipo de auditoría registrará las "acciones" realizadas por el administrador de Exchange Online. Este tipo de auditoría se relacionará con las acciones que el administrador de Exchange Online realiza directamente en el buzón del usuario en particular. Por ejemplo, un escenario en el que el administrador de Exchange utiliza comandos de PowerShell que buscan y eliminan elementos de correo electrónico del buzón del usuario.

4. Auditoría de administración de Office 365 (Search-AdminAuditLog)

Este es un registro de auditoría especial que está habilitado de forma predeterminada para los clientes de Office 365. El propósito de esta Auditoría es registrar cada una de las “Acciones Administrativas” que realiza el Administrador de Exchange Online. Por ejemplo, una acción como asignar permisos de acceso completo a “otros usuarios” o como un buzón de usuario específico, las acciones de asignar permiso Enviar como, agregar o eliminar una dirección de correo electrónico, etc.

Usando la opción de auditoría en línea de Exchange

El uso de Exchange Online Audit puede resultar un poco confuso. Por esta razón, es importante que comprendamos ese “flujo” exacto de acciones que debemos utilizar para activar y utilizar la información de Auditoría.

• Fase 1#3: en esta fase, "activamos" el "indicador de auditoría" de Exchange para un buzón de correo en particular.
• Fase 2#3: en esta fase, definimos las "acciones" específicas que queremos auditar, como la eliminación de elementos de correo, etc. Si necesita más información sobre las "acciones" específicas que podemos definir para cada uno de los diferentes tipos de auditoría, puede utilizar la tabla que agregué al final del artículo actual.
• Fase 3#3: en esta fase, "leemos" el registro de auditoría de Exchange. Técnicamente, utilizamos un comando de PowerShell que muestra el contenido del registro de auditoría en la consola de PowerShell, pero según mi experiencia, no es tan fácil leer la información.

La recomendación es exportar la información del registro de auditoría a un archivo en un formato como CSV o HTML que nos permitirá comprender mejor la información del registro de auditoría de Exchange, ordenar la información filtrando "acciones" específicas, etc.

Más adelante en el artículo, proporcionaré un ejemplo de cómo exportar información del registro de auditoría a un archivo CSV y a un formato de archivo HTML usando el estilo CSS, lo que mostrará la información de una manera más bonita.

Habilitar auditoría en el buzón de Exchange + activar la opción de auditoría específica

Habilitar auditoría en el buzón de Exchange

Sintaxis del comando de PowerShell:

Set-Mailbox <Identity> -AuditEnabled $True

Ejemplo de comando de PowerShell:

Set-Mailbox "Bob" -AuditEnabled $True

Habilite la auditoría en TODOS los buzones (modo masivo)

Ejemplo de comando de PowerShell:

Get-Mailbox -ResultSize Unlimited | ForEach {Set-Mailbox $_.UserPrincipalName -AuditEnabled $True}

Habilitar auditoría de propietario en el buzón de Exchange

Sintaxis del comando de PowerShell:

Set-Mailbox <Identity> -AuditOwner <required parameters>

Ejemplo de comando de PowerShell:

Set-Mailbox "Bob" -AuditOwner Create,HardDelete,MailboxLogin,Move,MoveToDeletedItems,SoftDelete,Update

Habilitar auditoría de no propietario (delegada) en el buzón de Exchange

Sintaxis del comando de PowerShell:

Set-Mailbox <Identity> -AuditDelegate <required parameters>

Ejemplo de comando de PowerShell:

Set-Mailbox "Bob" -AuditDelegate Create,FolderBind,HardDelete,Move,MoveToDeletedItems,SoftDelete,Update

Habilitar auditoría de administrador en el buzón de Exchange

Sintaxis del comando de PowerShell:

Set-Mailbox <Identity> -AuditAdmin <required parameters>

Ejemplo de comando de PowerShell:

Set-Mailbox "Bob" -AuditAdmin Copy,Create,FolderBind,HardDelete,MessageBind,Move,MoveToDeletedItems,SendAs,SendOnBehalf,SoftDelete,Update

Ver la configuración de auditoría del buzón de Exchange

Ver la configuración de auditoría del buzón de Exchange

Sintaxis del comando de PowerShell:

Get-Mailbox <Identity> | FL Audit*

Ejemplo de comando de PowerShell:

Get-Mailbox "Bob" | FL Audit*

Ejemplo de salida de la consola PowerShell:

PS C:\script> Get-Mailbox "Bob" | FL Audit*

AuditEnabled : True
AuditLogAgeLimit : 90.00:00:00
AuditAdmin : {Update, Copy, Move, MoveToDeletedItems...}
AuditDelegate : {Update, Move, MoveToDeletedItems, SoftDelete...}
AuditOwner : {Update, Move, MoveToDeletedItems, SoftDelete...}

Ver parámetros de auditoría de - AuditOwner (ampliar)

Ejemplo de comando de PowerShell:

Get-Mailbox "Bob" | Select-Object -ExpandProperty AuditOwner

Ejemplo de salida de la consola PowerShell:

Get-Mailbox "Bob" | Select-Object -ExpandProperty AuditOwner

Update
Move
MoveToDeletedItems
SoftDelete
HardDelete
Create
MailboxLogin

Ver parámetros de auditoría de - AuditAdmin (ampliar)

Ejemplo de comando de PowerShell:

Get-Mailbox "Bob" | Select-Object -ExpandProperty AuditAdmin

Ejemplo de salida de la consola PowerShell:

Get-Mailbox "Bob" | Select-Object -ExpandProperty AuditAdmin

Update
Copy
Move
MoveToDeletedItems
SoftDelete
HardDelete
FolderBind
SendAs
SendOnBehalf
MessageBind
Create

Ver información del registro de auditoría

Ver información del registro de auditoría | Todos los tipos de auditoría

Sintaxis del comando de PowerShell:

Search-MailboxAuditLog <Identity> -LogonTypes <Audit type>, <Audit type> -ShowDetails

Ejemplo de comando de PowerShell:

Search-MailboxAuditLog "Bob" -LogonTypes Admin, Owner,Delegate -ShowDetails

Ejemplo de salida de la consola PowerShell:

Search-MailboxAuditLog "Bob" -LogonTypes Admin, Owner,Delegate -ShowDetails

RunspaceId : 9c1c9ae6-1c61-4a9e-8d2c-5f67c0142d9f
Operation : FolderBind
OperationResult : Succeeded
LogonType : Delegate
ExternalAccess : False
DestFolderId :
DestFolderPathName :
FolderId : LgAAAABEWzQUHcpBSYfBaz2R78jhAQDK7xgSkvxcTrNBen7hewMRAAAAAAFRAAAB
FolderPathName : \Sync Issues\Conflicts
ClientInfoString : Client=MSExchangeRPC
ClientIPAddress : 93.172.209.9
ClientMachineName :
ClientProcessName : OUTLOOK.EXE
ClientVersion : 16.0.7369.6540
InternalLogonType : Owner
MailboxOwnerUPN : bob@o365info.com
MailboxOwnerSid : S-1-5-21-2103643036-1067027473-1901050440-16161243
DestMailboxOwnerUPN :
DestMailboxOwnerSid :
DestMailboxGuid :
CrossMailboxOperation :
LogonUserDisplayName : Angelina Jolie
LogonUserSid : S-1-5-21-2103643036-1067027473-1901050440-14666822
SourceItems : {}
SourceFolders : {}
SourceItemIdsList :
SourceItemSubjectsList :
SourceItemAttachmentsList :
SourceItemFolderPathNamesList :
SourceFolderPathNamesList :
ItemId :
ItemSubject :
ItemAttachments :
DirtyProperties :
OriginatingServer : DB5PR05MB1384 (15.01.0761.009)
MailboxGuid : 6cfec3d7-878b-4393-aa96-cbb6e8fd008c
MailboxResolvedOwnerName : Bob marley
LastAccessed : 12/06/2016 4:01:14 AM
Identity : AAMkAGNjYmNkN2Q3LTc2ZGQtNDMwOC05ZmVlLTI3OTY5Njg0ZTEzZgBGAAAAAABEWzQUHcpBSYfBaz2R78jhBwDK7xgSkvxcTrNBen7hewMRAAAJziBGAADK7xgSkvxcTrNBen7hewMRAAAJziRMAAA=
IsValid : True
ObjectState : NewRunspaceId : 9c1c9ae6-1c61-4a9e-8d2c-5f67c0142d9f
Operation : FolderBind
OperationResult : Succeeded
LogonType : Delegate
ExternalAccess : False
DestFolderId :
DestFolderPathName :
FolderId : LgAAAABEWzQUHcpBSYfBaz2R78jhAQDK7xgSkvxcTrNBen7hewMRAAAAAAFQAAAB
FolderPathName : \Sync Issues
ClientInfoString : Client=MSExchangeRPC
ClientIPAddress : 93.172.209.9
ClientMachineName :
ClientProcessName : OUTLOOK.EXE
ClientVersion : 16.0.7369.6540
InternalLogonType : Owner
MailboxOwnerUPN : bob@o365info.com
MailboxOwnerSid : S-1-5-21-2103643036-1067027473-1901050440-16161243

Mostrar buzones que tienen habilitada la auditoría

Ejemplo de comando de PowerShell:

Get-Mailbox -ResultSize Unlimited | Where {$_.AuditEnabled -eq "$True"} | FL Alias ,Audit*

Ejemplo de salida de la consola PowerShell:

PS C:\script> Get-Mailbox | Where {$_.AuditEnabled -eq "$True"} |FL Alias ,Audit*

Alias : Adele
AuditEnabled : True
AuditLogAgeLimit : 90.00:00:00
AuditAdmin : {Update, Move, MoveToDeletedItems, SoftDelete...}
AuditDelegate : {Update, SoftDelete, HardDelete, SendAs...}
AuditOwner : {}Alias : admin
AuditEnabled : True
AuditLogAgeLimit : 90.00:00:00
AuditAdmin : {Update, Move, MoveToDeletedItems, SoftDelete...}
AuditDelegate : {Update, SoftDelete, HardDelete, SendAs...}
AuditOwner : {}Alias : Alicia
AuditEnabled : True
AuditLogAgeLimit : 90.00:00:00
AuditAdmin : {Update, Move, MoveToDeletedItems, SoftDelete...}
AuditDelegate : {Update, SoftDelete, HardDelete, SendAs...}
AuditOwner : {}

Exportar información del registro de auditoría a un archivo CSV

Exportar todos los registros de tipos de auditoría a un archivo CSV

Sintaxis del comando de PowerShell:

Search-MailboxAuditLog <Identity> -LogonTypes <Audit type>, <Audit type> -ShowDetails | Export-CSV <Path>" -NoTypeInformation -Encoding UTF8

Ejemplo de comando de PowerShell:

Search-MailboxAuditLog "Bob" -LogonTypes Owner,Delegate,Admin -ShowDetails | Export-CSV c:\temp\"Audit Log.CSV" -NoTypeInformation -Encoding UTF8

Exportar información de auditoría sobre un evento específico | Evento de eliminación

Sintaxis del comando de PowerShell:

Search-MailboxAuditLog <Identity> -operations HardDelete,SoftDelete,MoveToDeletedItems -LogonTypes <Audit type>, <Audit type> -ShowDetails | Export-CSV <Path>" -NoTypeInformation -Encoding UTF8

Ejemplo de comando de PowerShell:

Search-MailboxAuditLog "Bob" -operations HardDelete,SoftDelete,MoveToDeletedItems -LogonTypes Owner,Delegate,Admin -ShowDetails | Export-CSV c:\temp\"Audit Log.CSV" -NoTypeInformation -Encoding UTF8

Exportar registro de Delegado + Propietario + Administrador a un archivo filtrar el resultado por un rango de fechas específico | últimos 30 días

Ejemplo de comando de PowerShell:

Search-MailboxAuditLog "Bob" -LogonTypes Admin, Owner,Delegate -ShowDetails -StartDate (Get-Date).AddDays(-30)| Export-CSV c:\temp\"Audit Log.CSV" -NoTypeInformation -Encoding UTF8

Exportar registro de auditoría del administrador del portal de Office 365

Ejemplo de comando de PowerShell:

Search-AdminAuditLog | Export-CSV c:\temp\"Search-AdminAuditLog.CSV" -NoTypeInformation -Encoding UTF8

Exportar el registro de auditoría del administrador de Office 365 para un cmdlet de PowerShell específico

Ejemplo de comando de PowerShell:

Search-AdminAuditLog -Cmdlets Enable-AddressListPaging| Export-CSV c:\temp\"Search-AdminAuditLog.CSV" -NoTypeInformation -Encoding UTF8

Exportar el registro de auditoría del administrador del portal de Office 365 para "acciones de administrador" que se realizaron en un buzón específico

Ejemplo de comando de PowerShell:

Search-AdminAuditLog -ObjectIds "Bob" | Export-CSV c:\temp\"Search-AdminAuditLog.CSV" -NoTypeInformation -Encoding UTF8

Deshabilitar auditoría

Deshabilitar auditoría en el buzón de Exchange

Sintaxis del comando de PowerShell:

Set-Mailbox -Identity <Identity> -AuditEnabled $False

Ejemplo de comando de PowerShell:

Set-Mailbox -Identity "Bob" -AuditEnabled $False

Deshabilite la auditoría en TODOS los buzones (modo masivo)

Ejemplo de comando de PowerShell:

Get-Mailbox -ResultSize Unlimited | ForEach {Set-Mailbox $_.UserPrincipalName -AuditEnabled $False}

Opciones adicionales de auditoría cambiaria

Ver información sobre la “carpeta de auditoría” (el almacén de registros de auditoría)

Ejemplo de comando de PowerShell:

Get-MailboxFolderStatistics "Bob" | Where{$_.name eq "Audits"} | Format-Table Identity, ItemsInFolder, FolderSize -AutoSize

Habilitar asociación de omisión de auditoría de buzón

Ejemplo de comando de PowerShell:

Set-MailboxAuditBypassAssociation -Identity "Bob" -AuditBypassEnabled $True

Establecer retención de auditoría: número de días

Sintaxis del comando de PowerShell:

Set-Mailbox <Identity> -AuditLogAgeLimit <Days>

Ejemplo de comando de PowerShell:

Set-Mailbox "John" -AuditLogAgeLimit 30

Exportar información del registro de auditoría a un archivo HTML usando estilo CSS

Acciones de buzón registradas mediante el registro de auditoría de buzón.