Informes administrativos de Microsoft 365 | Desbloqueo de análisis enriquecidos con scripts de PowerShell personalizados e información integrada
Los administradores de Microsoft 365 son quienes tienen un gran poder y responsabilidad para la adecuada gestión de la organización. De esta manera, a los usuarios se les asignan diferentes roles de administrador para liderar la organización de la manera correcta. Sin embargo, vigilar atentamente a sus administradores es fundamental para protegerse contra posibles amenazas a la seguridad y garantizar que las personas adecuadas posean los niveles adecuados de autorización. Pero, ¿cómo puedes rastrear a los administradores? Para realizar un seguimiento de las actividades de los administradores y garantizar una gobernanza adecuada, puede utilizar los informes de administración de Microsoft 365, identificando y eliminando comportamientos sospechosos de los administradores.
¡No permita que su organización sea víctima de peligros ocultos!
¿Por qué es necesario supervisar a los administradores de M365?
Para una administración adecuada de los usuarios, las aplicaciones y los recursos de Office 365, puede asignar roles como administrador de la empresa, administrador de Exchange, etc. a los usuarios. Sin embargo, se debe realizar un seguimiento de los usuarios con función de administrador asignada. ¿Pero por qué? Estas son algunas de las razones para monitorear a los administradores de M365.
Amenazas internas: en ocasiones, al ser administrador, puede verse involucrado en filtraciones de datos o incidentes de fuga de datos. Sin embargo, una estrecha supervisión de los administradores puede evitar que estas actividades se lleven a cabo dentro de su organización.
Revisión de funciones: es esencial revisar periódicamente las funciones de administrador asignadas para garantizar que los usuarios reciban los niveles de autorización adecuados.
Ponerse al día con actividades sospechosas: al monitorear activamente a los usuarios con funciones de administrador, puede garantizar su cumplimiento de las responsabilidades e identificar rápidamente cualquier posible actividad maliciosa en la que puedan participar. También es útil identificar cuentas comprometidas.
Índice
- Obtenga todos los administradores y sus roles administrativos
- Encuentre todas las membresías grupales de los administradores de Office 365
- Supervisar los registros de inicio de sesión de los administradores de Microsoft 365
- Realice un seguimiento de las actividades de Azure AD del administrador en el centro de administración de Microsoft Entra
- Supervisar las actividades de Microsoft 365 del administrador
Profundicemos en este blog para obtener informes administrativos de Microsoft 365 para una gestión eficiente de O365.
Obtenga todos los administradores de Microsoft 365 y sus funciones administrativas
Tener un informe que incluya a todos los administradores y sus roles administrativos asignados es esencial para una gestión eficiente de O365.
Puede ver todos los administradores y sus roles de administrador desde Azure AD o el centro de administración de Microsoft 365. Pero es necesario examinar cada uno de los perfiles de los usuarios para obtener los detalles necesarios, lo cual es un proceso que requiere mucho tiempo. Pero, ¿cómo podría ser si obtienes todos los detalles de los administradores, incluido el estado de la licencia y el estado de inicio de sesión, en un único informe completo? Es posible con el script de PowerShell.
En lugar de ejecutar cmdlets como “Get-MgUserLicenseDetail”, “Get-MgDirectoryRole ” individualmente para obtener los detalles de los administradores de Office 365, simplemente puede descargar el script de PowerShell que se proporciona a continuación para recuperar toda la información necesaria, como a<. i>nombre del administrador, dirección de correo electrónico, funciones asignadas, estado de la licencia, estado de inicio de sesión en un solo informe.
https://o365reports.com/2021/03/02/export-office-365-admin-role-report-powershell/
Con este script puedes,
- Exportar informe de administración de Microsoft 365
- Obtener roles de Azure AD para un usuario
- Obtenga roles de administrador de Office 365 y los miembros
- Enumerar todos los administradores de un rol específico
- Enumerar todos los administradores globales en el inquilino de Office 365
Este script será la mejor solución para todas las tareas repetidas, interminables y que requieren mucho esfuerzo de la administración de Microsoft 365.
Informe de muestra:
Como el script le ofrece varios informes personalizados, cada uno de los informes de administración de Microsoft 365 generados tendrá un formato diferente. A continuación se muestra un ejemplo de un informe generado al ejecutar el script.
Buscar todas las membresías de grupo de administradores de Office 365
Monitorear las membresías de los administradores ayuda a mantener una postura de seguridad sólida al garantizar que los administradores solo tengan acceso a los grupos necesarios para realizar sus funciones laborales, lo que reduce el riesgo de uso indebido de privilegios o acciones no autorizadas.
Puede obtener un informe completo con detalles de pertenencia al grupo de los administradores utilizando el script de PowerShell a continuación.
Antes de eso, asegúrese de conectarse a Microsoft Graph PowerShell.
Select-MgProfile -Name beta
$UserNames = @()
$results=Get-MgDirectoryRole -All | ForEach-Object {
Get-MgDirectoryRoleMemberAsUser -DirectoryRoleId $_.Id|ForEach-Object{
if($UserNames -notcontains $_.DisplayName)
{
$UserNames+=$_.DisplayName
$groupNames = (Get-MgUserMemberOf -UserId $_.UserPrincipalName | Select-Object -ExpandProperty AdditionalProperties| Where-Object {$_.'@odata.type' -eq '#microsoft.graph.group'}).displayName
if($groupNames)
{
[PSCustomObject]@{
'Admin Name' = $_.DisplayName
'Groups' = $groupNames -join ','
}
}
}
}
}
$results |Export-Csv -Path '<file path>' -NoTypeInformationInforme de muestra:
El script anterior le brindará un informe como la captura de pantalla que se agrega a continuación.
Supervisar los registros de inicio de sesión de los administradores de Microsoft 365
La supervisión de los registros de inicio de sesión de los administradores de Office 365 le ayuda a identificar y realizar un seguimiento de los intentos de acceso no autorizados y las credenciales comprometidas. Además, puede tomar las medidas correctivas adecuadas contra las actividades maliciosas del administrador.
Por cierto, puede realizar un seguimiento eficaz de las actividades de inicio de sesión del administrador mediante informes de registro de inicio de sesión de Azure AD integrados. . Para obtener ese informe, siga la navegación a continuación.
- Primero, inicie sesión en el centro de administración de Microsoft Entra.
- Luego, seleccione 'Todos los usuarios' en la hoja Usuarios.
- Ahora, haga clic en "Registros de inicio de sesión" en el lado izquierdo de la página.
- Seleccione "Usuario" en el filtro y proporcione el nombre del administrador que desea ver en los registros de inicio de sesión.
- Luego, haga clic en "Descargar" en la parte superior de la página.
- Ahora, seleccione el formato (JSON o CSV) según sus necesidades y proporcione un nombre adecuado para el informe.
- Finalmente, haga clic en 'Descargar'.
Informe de muestra:
El informe descargado es similar a la captura de pantalla siguiente.
Por cierto, los registros de inicio de sesión de Azure AD están limitados a los últimos 30 días.
¿Cómo obtener registros de inicio de sesión de más de 30 días?
Puede descargar el script de PowerShell a continuación para generar un informe de las actividades de inicio de sesión de los administradores durante los últimos 90 días. Además, este script le brinda opciones de filtrado para obtener intentos de inicio de sesión exitosos o fallidos.
https://o365reports.com/2019/12/23/export-office-365-users-logon-history-report/
El script le proporcionará las actividades de inicio de sesión de todos los usuarios de Office 365. Para obtener la actividad de inicio de sesión de un administrador específico, ejecute el script pasando el nombre del administrador en el parámetro '-Nombre de usuario'.
Como el script anterior admite la programación, puede programarlo para que tenga un historial de registros para un mejor análisis.
Informe de muestra:
El informe generado es similar a la captura de pantalla siguiente.
Seguimiento de las actividades de Azure AD del administrador de M365 en el Centro de administración de Microsoft Entra
Antes de entrar en materia, aclaremos una cosa. El registro de auditoría de Azure AD y la búsqueda de registros de auditoría son diferentes entre sí. El registro de auditoría de Azure AD le permite realizar un seguimiento específico de las actividades de Azure AD de los usuarios, mientras que la búsqueda del registro de auditoría proporciona información sobre las actividades de los usuarios en todas las cargas de trabajo.
Los registros de auditoría de Azure AD proporcionan un registro detallado de todas las actividades realizadas por los administradores de O365 en Azure AD, incluida la adición de usuarios, restablecimientos de contraseñas, actualizaciones de políticas y adición de miembros a grupos. , cambios de licencia, etc. Al monitorear estos registros, puede detectar e investigar actividades sospechosas en las que participan.
Para obtener un informe de auditoría del administrador de Office 365, siga los pasos a continuación.
- Primero, navegue hasta el centro de administración de Microsoft Entra> Usuarios>Todos los usuarios.
- Ahora, haga clic en "Registros de auditoría" en el lado izquierdo de la página.
- Luego, seleccione "Usuario" en el filtro y proporcione el nombre del administrador que desea ver en los registros de auditoría.
- Haga clic en 'Descargar' y seleccione el formato (JSON o CSV).
- Finalmente, proporcione un nombre adecuado para el informe y haga clic en "Descargar".
Informe de muestra:
El informe descargado es similar a la imagen siguiente.
Supervisar las actividades de Microsoft 365 del administrador
De lo anterior, puede obtener las actividades de Azure AD de los administradores. Sin embargo, no basta con identificar comportamientos sospechosos de los administradores. Debe monitorear las actividades de los administradores en todos los servicios como Exchange Online, SharePoint Online, MS Teams, etc.
Por cierto, puede monitorear las actividades administrativas usando “Registros de auditoría ” disponible en el portal de cumplimiento de Microsoft Purview. Desde allí, puede utilizar filtros para obtener actividades específicas del administrador de O365.
Puede seguir los pasos a continuación para obtener registros de auditoría de los administradores de Microsoft 365.
- Primero, navegue hasta el portal de cumplimiento de Microsoft Purview.
- Luego, haga clic en la opción "Auditoría" que se encuentra en el lado izquierdo de la página.
- Especifique la hora de inicio/finalización, las actividades, el nombre de usuario del administrador en los filtros respectivos y haga clic en "Buscar".
- Desde el botón "Exportar", haga clic en "Descargar todos los resultados".
Aunque es fácil monitorear las actividades administrativas a través del registro de auditoría unificado, no es posible comprender detalles como el estado de la operación (si la acción fue exitosa o no) y la carga de trabajo en una sola vista. Porque estos atributos están formateados como objetos JSON, que deben analizarse para una mejor comprensión.
Además, puede usar un cmdlet de PowerShell “Search-UnifiedAuditLog” para recuperar las actividades de los administradores en los recursos de Microsoft 365. Pero no es una tarea fácil. Debe filtrar para obtener el informe deseado. Además, si no pudo recuperar los datos correctamente, terminará con la pérdida de datos.
Para simplificar el proceso y obtener información completa sobre las actividades administrativas en Microsoft 365, puede descargar un script de PowerShell prediseñado. Este script está diseñado específicamente para exportar detalles como tiempo de actividad, nombre de usuario, operación, resultado y carga de trabajo en un formato fácil de usar.
https://o365reports.com/2021/01/06/export-office-365-user-activity-report-to-csv-using-powershell/
Para obtener una actividad de administrador específica, ejecute el script pasando el ID del administrador en el parámetro '-UserID'.
Además, el script anterior admite la programación, lo que le ayuda a almacenar registros de auditoría antiguos para análisis futuros.
Informe de muestra:
El informe exportado se parece a la captura de pantalla siguiente.
Obtenga detalles básicos de los administradores de Microsoft 365 con AdminDroid
Los detalles de informes nativos le brindan información sobre los administradores, pero eso es insuficiente para defenderse de los riesgos de seguridad en Office 365. Necesita una supervisión completa de los administradores de Office 365, desde los cambios de funciones de administrador hasta las operaciones de archivos SPO. Ahí es donde entra AdminDroid, que le brinda información detallada sobre toda la información esencial para los administradores de Office 365.
AdminDroid Microsoft 365 reporter le ofrece un panel de administradores llamativo, con un diseño elegante para mostrarle toda la información necesaria de los administradores, como estado de MFA, estado de licencia, estado de inicio de sesión y administradores creados recientemente>b> y más. Esto eliminará su dependencia de PowerShell y del centro de administración, ya que obtendrá toda la información necesaria bajo un mismo techo.
El “Admin ReportBoard” de AdminDroid le proporciona más de 80 informes administrativos, lo que le permite realizar un seguimiento de los administradores de Microsoft 365 en una manera más conveniente.
A continuación se muestran algunos de los informes administrativos que ofrece AdminDroid.
Informes de administración de Office 365
- Todos los administradores
- Todos los administradores globales
- Administradores con licencia
- Administradores con licencias de prueba vencidas
- Administradores con licencias compradas caducadas
- Actividades de inicio de sesión de los administradores.
- Fallos de inicio de sesión del administrador
- Todos los buzones de administrador
- Buzones de correo de administrador inactivos
Informes de cambios de funciones administrativas
- Usuario agregado como administrador
- Acceso de administrador a usuarios eliminados
Informes de configuración de seguridad de los administradores
- Restablecimiento de contraseña por parte de los administradores
- Administradores con contraseñas caducadas
- Administradores aplicados por MFA
- Información de reenvío del buzón de correo de los administradores
Informes de auditoría de actividad de los administradores
- Acceso de administrador a otros buzones de correo
- Archivos SPO descargados por administradores
- Todas las actividades de los administradores en archivos SPO
¡La seguridad es la primera prioridad de AdminDroid!
¡Los atacantes no están lejos! Descargue rápidamente la herramienta de administración AdminDroid Microsoft 365 para tener un mejor control sobre los administradores de Office 365.
Esperamos que este blog le brinde formas de obtener informes administrativos de Microsoft 365. Además, no dude en comunicarse con nosotros en la sección de comentarios si necesita ayuda.