Auditar cambios de permisos de buzón en Office 365 usando PowerShell
Los administradores de Office 365 pueden configurar permisos para delegar el acceso a otros buzones de correo. Dado que los buzones contienen datos confidenciales, es necesario monitorear los cambios en los permisos de los buzones para garantizar la seguridad y evitar la fuga de datos.
Cómo auditar los cambios de permisos del buzón en Exchange Online:
El permiso del buzón se puede otorgar de las siguientes maneras.
- Acceso completo: el delegado puede leer, modificar y eliminar contenido del buzón delegado.
- Enviar como: los delegados pueden enviar correos electrónicos desde el buzón delegado, que parece ser enviado por el propietario del buzón.
- Enviar en nombre: los delegados pueden enviar correos electrónicos desde un buzón delegado en nombre del propietario del buzón.
Para detectar cambios en los permisos del buzón, puede utilizar 'Búsqueda de registro de auditoría' o el cmdlet de PowerShell 'Search-UnifiedAuditLog". Dado que se debe realizar un seguimiento de cada permiso del buzón de forma individual, es un desafío realizar a través de la interfaz de usuario. Además, no puede filtrar los cambios en los permisos de envío en nombre a través de la búsqueda del registro de auditoría.
Cómo realizar un seguimiento de los cambios de permisos del buzón mediante PowerShell:
Con PowerShell, los administradores pueden realizar un seguimiento de los cambios en los permisos del buzón de Exchange fácilmente. Sin embargo, es difícil filtrar los cambios en los permisos de envío en nombre, ya que vienen con otros cambios de propiedad. ¡No te preocupes! Hemos creado un script de PowerShell para monitorear fácilmente los cambios de permisos. El script le permite generar un informe de auditoría sobre todos los cambios de permisos o cambios de permisos específicos. ¡Vamos a sumergirnos!
Limitación conocida: para la eliminación del permiso "enviar en nombre", Microsoft no proporciona el nombre del delegado cuyo acceso se elimina. En cambio, mostrará los delegados actuales después de la última modificación. Hemos manejado este caso especial en nuestro script.
Además, los administradores pueden configurar la política de alertas para recibir notificaciones cuando los administradores asignan permisos de buzón.
Descarga de script: AuditMailboxPermissionChanges.ps1
Guiones destacados:
- La secuencia de comandos utiliza autenticación moderna para recuperar registros de auditoría.
- El script también se puede ejecutar con una cuenta habilitada para MFA .
- Exporta los resultados del informe a un archivo CSV .
- Excluye los cambios de permisos generados por el sistema de forma predeterminada.
- Ayuda a detectar quién modificó los permisos del buzón.
- Realiza un seguimiento de quién concedió permisos de acceso completo, enviar como y enviar en nombre por separado.
- Le permite generar un informe de auditoría de cambios de permisos de buzón para un período personalizado.
- Automáticamente instala el módulo EXO V2 (si aún no está instalado) tras su confirmación.
- El script es apto para programadores. es decir, la credencial se puede pasar como parámetro en lugar de guardarla dentro del script.
Resultado de muestra:
El informe exportado contendrá los siguientes atributos: hora del evento, operación, realizado por, nombre del buzón, nombre del delegado y datos de auditoría adicionales.
Métodos de ejecución de scripts:
Para ejecutar el script, puede elegir cualquiera de los métodos siguientes.
Método 1: ejecutar script con cuenta MFA y no MFA
.\ AuditMailboxPermissionChanges.ps1El informe de auditoría exportado contiene todos los cambios en los permisos del buzón de los últimos 90 días.
Método 2: Ejecute el script mencionando explícitamente las credenciales (compatible con el Programador).
.\ AuditMailboxPermissionChanges.ps1 -UserName admin@o365reports.com -Password XXXSi la cuenta de administrador tiene MFA, deberá desactivar MFA según la política de acceso condicional para que funcione.
Más casos de uso del 'Script de auditoría de cambios de permisos del buzón':
Nuestro script admite parámetros de filtrado integrados para generar informes de auditoría más granulares según sus requisitos. A continuación enumeramos algunos casos de uso.
- Seguimiento de cambios en los permisos del buzón
- Auditoría de permisos de buzón durante un período personalizado
- Detectar quién otorgó permiso de acceso total
- Detectar el envío de buzones de correo como cambios de permiso
- Buscar cambios en el permiso de enviar en nombre
- Obtenga un informe mensual sobre la modificación de permisos del buzón
- Programar informe de auditoría de permisos de buzón
- Seguimiento de la delegación de buzones de correo a usuarios externos
Seguimiento de los cambios en los permisos del buzón:
La secuencia de comandos enumerará todos los cambios en los permisos del buzón, como agregar y eliminar permisos de acceso completo, permisos de envío como permisos y permisos de envío en nombre de los últimos 90 días.
.\ AuditMailboxPermissionChanges.ps1Auditoría de permisos de buzón para un período personalizado:
Al utilizar los parámetros -StartDate y -EndDate, los administradores pueden generar un informe de auditoría de permisos de buzón para un período personalizado, como los últimos 7 días, 30 días o cualquier período personalizado.
.\ AuditMailboxPermissionChanges.ps1 -StartDate 6/15/22 -EndDate 6/30/22El ejemplo anterior recupera todos los cambios en los permisos del buzón entre el 15 de junio de 2022 y el 30 de junio de 2022.
Detectar quién otorgó permiso de acceso total:
Para detectar quién otorgó permiso de acceso total para editar, modificar y eliminar contenido del buzón de correo de otras personas, puede ejecutar el script con el parámetro -FullAccessOnly. También realizará un seguimiento de la eliminación del permiso de acceso completo.
.\ AuditMailboxPermissionChanges.ps1 -FullAccessOnlyEl informe exportado contendrá todos los cambios en los permisos de acceso que ocurrieron en los últimos 90 días. También puede utilizar los parámetros -StartDate y -EndDate para generar un informe para un período personalizado.
Supervisar los cambios de permiso de envío como permiso de los buzones de correo:
Cuando a un usuario se le concede permiso para enviar, puede enviar correo electrónico como buzón delegado, incluso sin el conocimiento del propietario del buzón. Por lo tanto, es un desafío realizar un seguimiento de los envíos como correos electrónicos. Por lo tanto, los administradores deben estar atentos al envío a medida que cambian los permisos. Para saber quién otorgó y eliminó permisos de envío como, ejecute el script con el parámetro de cambio -SendAsOnly.
.\ AuditMailboxPermissionChanges.ps1 -SendAsOnlyBuscar cambios en los permisos de Enviar en nombre:
Los cambios en el permiso "Enviar en nombre" deben rastrearse de una manera diferente. Además, en este caso Microsoft no proporciona nombres de delegados directamente. Mostrará todos los nombres de los delegados que tienen permiso para "enviar en nombre" después del último cambio de permiso.
Nuestro script procesa algunos filtros y recupera el nombre del delegado a quien se le asignó el permiso. Pero no hay forma de recuperar el nombre del delegado durante la eliminación del envío en nombre.
Para realizar un seguimiento de los cambios en los permisos de envío en nombre, ejecute el script con el parámetro de cambio -SendOnBehalfOnly.
.\ AuditMailboxPermissionChanges.ps1 -SendOnBehalfOnlyProgramar informe de auditoría de permisos de buzón:
Dado que 'Search-UnifiedAuditLog' puede mantener un registro de auditoría durante 90 días (para la licencia E3), es posible que necesite datos antiguos para el análisis. En ese caso, la programación le ayudará a mantener el registro de auditoría durante un período más largo.
Para automatizar la secuencia de comandos de PowerShell, puede utilizar el siguiente formato en el Programador de tareas de Windows.
.\ AuditMailboxPermissionChanges.ps1 -UserName admin@o365reports.com -Password XXXSi la cuenta de administrador tiene MFA, debe desactivar MFA según la política de acceso condicional para que funcione.
Obtenga un informe mensual sobre los cambios en los permisos del buzón:
Para obtener un informe mensual sobre los correos electrónicos eliminados, ejecute el script de la siguiente manera:
.\ AuditMailboxPermissionChanges.ps1 -StartDate ((Get-Date).AddDays(-30)) -EndDate (Get-Date) -UserName admin@o365reports.com -Password XXXTambién puede utilizar el formato anterior para obtener informes mensuales programados.
Seguimiento de delegaciones de buzones de correo a usuarios externos:
En algunas situaciones, los administradores deben dar acceso al buzón a usuarios externos. Por lo tanto, es una tarea crítica identificar quién delegó el acceso al buzón a quién. Para realizar un seguimiento de los cambios en los permisos del buzón de correo de usuarios externos, abra el informe con Excel y filtre la columna "Nombre del delegado" que contiene "#EXT#".
Audite los cambios de permisos del buzón de forma eficiente con AdminDroid
Otorgar permisos al buzón de correo es una situación inevitable, pero a veces puede generar privilegios elevados, errores de configuración, etc. Si bien auditar estos permisos usando PowerShell puede proporcionar información valiosa, ¡puede que no siempre sea la más eficiente! Por ejemplo, auditar los cambios de permisos del buzón mediante PowerShell a menudo requiere comandos complejos y largos, lo que hace que lleve mucho tiempo. Además, el proceso puede consumir muchos recursos al auditar una gran cantidad de buzones de correo.
Entonces, si está buscando mejorar la administración de permisos de su buzón de correo, consulte los informes de permisos de buzón de Exchange Online de AdminDroid, ¡seguro que se sorprenderá! Los informes completos brindan información y métricas valiosas para ayudar a optimizar los procesos de auditoría y monitoreo de permisos de su buzón.
¿Se pregunta por qué AdminDroid es la mejor opción para la administración de Exchange Online?
- ¡Exporta a cualquier lugar y en cualquier formato! Puedes exportar todos los informes de Exchange Online en varios formatos, como CSV, HTML y PDF, con solo un clic para analizarlos con mayor flexibilidad.
- Programe y siéntese: Configure sin esfuerzo programas automatizados para informes de monitoreo diarios, como el uso del buzón de correo, detecciones de spam y malware, y reciba Informes en tiempo real directamente a su bandeja de entrada. ¡Ya no tendrás que comprobar los informes manualmente!
- Refine los datos de forma inteligente: Ahora puede combinar varios informes y aplicar filtros, clasificaciones y columnas adicionales para obtener un buzón de correo más eficaz. análisis de tráfico.
- Delegue y comparta la carga:Delegue el acceso a informes, paneles, inquilinos, etc., y trabaje en colaboración. Para que varios miembros del equipo puedan compartir la carga de administrar su entorno Exchange Online.
- No se limite a procesar datos en tablas; ¡visualice en gráficos! Visualice informes más allá de los números y tablas con nuestros gráficos gráficos de IA. (Visualización de mapas geográficos y mapas de calor). Esto hace que sea más fácil que nunca identificar patrones y tendencias de uso de buzones dentro de una organización.
- Administración de inquilinos simplificada: Administre varios inquilinos de M365 y obtenga una vista panorámica de todo en un solo portal.
La herramienta de informes AdminDroid Exchange Online cubre más de más de 170 informes de Exchange Online que ayudan a realizar un seguimiento de los cambios en los permisos de los buzones, los buzones con acceso delegado, el acceso de invitados a los buzones y más. Con estos informes, los administradores pueden identificar rápidamente quién tiene acceso a información confidencial y tomar medidas al instante. Eche un vistazo rápido a los diferentes informes de permisos delegados de buzones de correo de AdminDroid:
Informe de permisos del buzón.
- Resumen de permisos de buzón
- Buzón con permiso de envío
- Buzón con permiso de enviar en nombre
- Buzón con permiso total
- Buzón con permiso de lectura
- Acceso a otros informes de buzones
Cambios en los permisos del buzón
- Cambios en los permisos del buzón
- Cambios en los permisos de la carpeta del buzón
- Cambios en los permisos de las carpetas públicas
- Enviar como cambios de permiso
Acceso al buzón de administradores
- Acceso de buzones de administrador a otros buzones
- Buzones de administrador con permiso Enviar como
- Buzones de administrador con permiso Enviar en nombre
- Buzones de administradores con permiso de acceso total
Permisos del buzón de invitados
- Resumen de permisos del buzón de invitados
- Acceso de invitados a otros buzones de correo
En general, la herramienta de administración AdminDroid Exchange Online es una poderosa solución de informes que brinda a las organizaciones información detallada sobre su entorno Exchange Online. Además, la herramienta gratuita de informes de Azure AD contiene más de 120 informes que proporcionan una vista completa de los grupos de la organización, cambios de membresía de grupo, usuarios, licencias, inicios de sesión de usuarios, cambios de contraseña, etc. Cuando se trata de auditorías e informes, puede estar seguro de que AdminDroid lo tiene cubierto.
¿Quieres experimentar el poder de AdminDroid en tiempo real? ¡Prueba AdminDroid ahora con una prueba gratuita de 15 días!
Conclusión:
Identificar quién puede acceder a otros buzones es una de las tareas vitales en la gestión de permisos de buzones. Para obtener permisos de buzón para todos los buzones, puede generar un informe de permisos de buzón. Alternativamente, puede obtener una lista de buzones de correo a los que tiene acceso un usuario utilizando nuestro script dedicado.
Espero que este blog sea útil para administrar los permisos de los buzones de correo en Exchange Online. Si tiene alguna consulta, comuníquese con nosotros a través de la sección de comentarios.