15 scripts de PowerShell útiles para auditar las actividades de Office 365

La auditoría juega un papel vital en el seguimiento de las actividades realizadas en la organización de Microsoft 365. Los informes de auditoría de Office 365 serán útiles para identificar eventos de seguridad, monitorear las actividades de los usuarios, rastrear el intercambio de archivos, investigar eventos forenses, etc.

La mayoría de los administradores prefieren PowerShell a la búsqueda de registros de auditoría debido a su velocidad y personalización. Si usted es uno de ellos, este blog le ayudará a monitorear su entorno de Office 365 de manera eficiente usando PowerShell.

El cmdlet 'Search-UnifiedAuditLog' se utiliza para recuperar registros de auditoría, pero es posible que enfrente algunos desafíos al usarlo.

El cmdlet enumerará una gran cantidad de resultados. Si es un novato, será difícil obtener el resultado requerido.
Puede obtener un máximo de 5000 registros de auditoría para cada llamada Search-UnifiedAuditLog. Se puede lograr utilizando el parámetro 'ResultSize'. Si el rango de tiempo específico tiene más de 5000 datos, debe llamar a Search-UnifiedAuditLog una y otra vez con 'SessionId' hasta que obtenga todos registros.
Incluso si utiliza "SessionId", puede obtener 50.000 registros para un período determinado. Si excede el límite, no podrá recuperar todos los registros. Esto da como resultado una recuperación parcial de datos.
Los datos recuperados están en formato JSON. Debes convertirlos para continuar.

Al considerar estos desafíos, hemos creado los 15 scripts más necesarios para que los administradores de Office 365 supervisen su organización. Veámoslos en detalle.

Supervisar las actividades del usuario:

Informe del historial de inicio de sesión de los usuarios de Office 365: ayuda a monitorear las actividades de inicio de sesión de los usuarios de Office 365 e identificar patrones de inicio de sesión inusuales.
Informe de actividad del usuario: enumera todas las actividades realizadas por un usuario o administrador específico para rastrear cualquier actividad sospechosa.
Informe de auditoría de actividades de usuarios externos: ayuda a inspeccionar las actividades de los usuarios externos para evitar amenazas a la seguridad y fugas de datos.
Informe de asistencia a reuniones de Teams: exporta todas las reuniones de equipo y las listas de participantes a un archivo CSV

Auditar las actividades del buzón y del correo electrónico:

Informe de acceso al buzón de correo de no propietario: ayuda a realizar un seguimiento de quién accedió al buzón de otro usuario y cuándo.
Informe de tráfico de correo: muestra la cantidad de correos electrónicos enviados y recibidos por los usuarios durante un día.
Informe de auditoría de eliminación de correo electrónico: exporta quién eliminó qué correo y cuándo. Ayuda a realizar un seguimiento de las eliminaciones de correo electrónico accidentales e intencionales.
Auditar correos electrónicos de SendAs: ayuda a realizar un seguimiento de los correos electrónicos enviados por los delegados utilizando el privilegio SendAs.
Auditar quién envió correos electrónicos desde un buzón compartido: identifica quién envió correos electrónicos desde buzones compartidos utilizando los permisos SendAs y SendOnBehalf .
Auditar los cambios de permisos del buzón: detecta quién modificó los cambios de permisos del buzón y cuándo.

Seguimiento del acceso y uso compartido de archivos de SharePoint:

Informe de acceso a archivos de usuarios externos: muestra una lista de archivos a los que accedieron usuarios externos y cuándo accedieron a ellos.
Informe de auditoría de uso compartido externo: ayuda a obtener una lista de archivos y carpetas compartidos con usuarios externos para monitorear la fuga de información confidencial.
Informe de acceso y uso compartido de enlaces anónimos: audita la creación, modificación, eliminación y acceso a enlaces anónimos en SharePoint Online y OneDrive.
Informe de eliminación de archivos de auditoría: exporta quién eliminó qué archivo y cuándo desde SharePoint Online y OneDrive
Auditar los cambios de membresía del grupo SPO: supervisa la adición y eliminación de miembros en grupos de SharePoint Online.

Cómo programar informes de auditoría:

Con la licencia básica de Office 365, solo puede recuperar registros de auditoría de los últimos 90 días. Para obtener datos de auditoría durante más de 90 días, necesitará una licencia de auditoría avanzada como E5, A5, G5, etc. Hace unos meses, los administradores podían recuperar datos de auditoría durante un año para todos los tipos de licencia. No estamos seguros de si se trata de una característica de Microsoft o de un error. Aún así, funciona en algunos inquilinos (¡afortunadamente, el mío es uno de ellos!). También puede consultar por su inquilino.

Si no funciona en su inquilino, puede programar los scripts de PowerShell para que se ejecuten periódicamente para conservar los datos más antiguos. Todos nuestros scripts son fáciles de programar, lo que ayuda a almacenar los datos de auditoría durante más de 90 días.

Mantenga el registro de auditoría de Office 365 durante un período más largo con AdminDroid:

Los registros de auditoría de Office 365 generan una gran cantidad de datos de auditoría, que pueden ser difíciles de analizar manualmente y un proceso que requiere mucho tiempo. Aquí es donde entra en juego una herramienta de auditoría. AdminDroid ofrece una herramienta de auditoría de Office 365 que simplifica el proceso de auditoría y le brinda información valiosa sobre las actividades de su organización.

AdminDroid proporciona más de 800 informes de auditoría sobre varios servicios de Office 365 que incluyen,

Informes de auditoría de Azure AD: con estos informes, los administradores pueden monitorear los inicios de sesión de los usuarios, las actividades de los usuarios, las actividades del grupo, los cambios de licencia, los cambios de contraseña, las actividades de las aplicaciones, etc. y hay más de 120 informes disponibles de forma gratuita.
Informes de auditoría de Exchange Online: estos informes ayudan a monitorear las actividades del buzón de correo de Office 365, los permisos de acceso, las operaciones de administración y los cambios de configuración.
Informes de monitoreo de correo electrónico: los informes de correo electrónico ayudan a rastrear las actividades del correo electrónico, el tráfico de correo electrónico, los usuarios inactivos, los períodos pico, los períodos de inactividad, el spam, el malware, los correos electrónicos de phishing y más para mitigar las amenazas del correo electrónico en la organización.
Informes de auditoría de SharePoint: los informes de auditoría de SPO brindan información detallada sobre los permisos de los usuarios para los contenidos del sitio, el uso compartido y el acceso, las actividades de archivos, el uso compartido y el acceso externos y las acciones de DLP para proteger los datos de la organización.
Informes de auditoría de OneDrive: estos informes ayudan a auditar cuándo, cómo y quién realizó las actividades de archivos/carpetas, las creaciones y eliminaciones de enlaces de OneDrive y el uso compartido externo con evitar que se filtre información confidencial de los usuarios.
Informes de auditoría de MS Teams: los informes de Teams ofrecen información sobre varios aspectos del uso de Teams, incluidas las actividades de inicio de sesión, cambios de membresía y canal privado, cambios de configuración y transferencias de archivos de Teams para ayudar a las organizaciones a comprender mejor su uso de Teams.
Informes de auditoría de Yammer: proporcione informes sobre usuarios inactivos, grupos inactivos, uso de dispositivos y actividades diarias de Yammer.
Informes de auditoría de Power BI: ayude a controlar las actividades en los paneles, informes, aplicaciones, conjuntos de datos y flujos de datos de Power BI para regular el uso de Power BI.
Informes de auditoría de transmisión: permite a los administradores realizar un seguimiento de diversas actividades de vídeo, como creación, modificación, eliminación, restauración y carga.

Además, los administradores pueden configurar alertas de Microsoft 365 para realizar un seguimiento de las actividades críticas que ocurren en el inquilino de Microsoft 365 en tiempo real a través de alertas por correo electrónico. Con AdminDroid, los administradores pueden recibir alertas por correo electrónico sobre más de 1400 actividades. Esto les permite responder rápidamente a posibles amenazas a la seguridad y tomar las medidas necesarias para evitarlas. cualquier violación de datos.

Obtenga información valiosa para garantizar la seguridad y el cumplimiento de su organización utilizando AdminDroid Microsoft 365 Reporter. Pruébelo ahora y descubra los beneficios de la visualización y el análisis de datos.