Identificar actividades de buzones de correo no auditadas y tomar las medidas necesarias

Como una forma de garantizar que su organización se mantenga al tanto de la seguridad, Microsoft presentó el Registro de auditoría de Office 365. Con el registro de auditoría, puede realizar un seguimiento, registrar y conservar las actividades realizadas en el inquilino. La auditoría de buzones de correo de Office 365 forma parte de los registros de auditoría porque los buzones contienen la mayor cantidad de tipos de información confidencial. El seguimiento de las acciones de auditoría del buzón ayuda a realizar un seguimiento del acceso al buzón y de las acciones realizadas por los propietarios, delegados y administradores. Por lo tanto, las organizaciones pueden monitorear las actividades de los buzones de correo con registros de auditoría detallados y estar al tanto de posibles violaciones de seguridad.

Enumere todas las acciones del buzón no auditadas:

Microsoft ha habilitado la auditoría de buzones de correo de forma predeterminada, pero esto no es cien por ciento cierto. De forma predeterminada, solo se habilitan acciones de buzón específicas. Debido a esto, es difícil para los administradores diferenciar qué acciones de buzón están auditadas y cuáles no, para cada tipo de inicio de sesión (Administrador de auditoría, Propietario de auditoría, Delegado de auditoría).

Entonces, ¿cómo se asegurará de que todas las actividades del buzón sean auditadas o no? ¡¡No entrar en pánico!! Te tenemos cubierto.

Para superar esta dificultad, hemos preparado un script de PowerShell que le permite ver qué acciones del buzón no están siendo auditadas. De este modo, se reduce una de las tareas complejas a una mucho más sencilla. ¡Asegúrate de que nada pase desapercibido con nuestro script de PowerShell!

Descargar ahora: GetMB_NonAuditedActions.ps1

Guiones destacados:

• El script utiliza autenticación moderna para conectarse a Exchange Online.
• El script se puede ejecutar conuna cuenta habilitada para MFA.
• Exporta el resultado del informe a un archivo CSV.
• Enumera las acciones de buzón no auditadas para cada tipo de inicio de sesión (administrador, propietario, delegado).
• Ayuda a identificar buzones de correo omitidos por auditoría.
• Instala automáticamente el módulo EXO V2 (si aún no está instalado) tras su confirmación.
• Las credenciales se pasan como parámetros (compatibles con el programador), ¡así que no se preocupe! es decir, las credenciales se pueden pasar como parámetros en lugar de guardarse dentro del script.

Enumere todas las acciones del buzón no auditadas: ejecución de secuencias de comandos:

Para ejecutar este script, puede elegir cualquiera de los métodos siguientes.

Método 1: puede utilizar el método siguiente para ejecutar el script con cuentas MFA y no MFA.

.\GetMB_NonAuditedActions.ps1

Método 2: para ejecutar un script de forma no interactiva, puede utilizar el siguiente formato.

.\GetMB_NonAuditedActions.ps1 -UserName admin@contoso.com -Password XXX

También puede utilizar este formato para automatizar el script de PowerShell en el Programador de tareas de Windows.

Exportar informe de acciones de buzón no auditados: resultado de muestra:

Una vez que ejecute este script, exportará un archivo CSV que contiene las acciones del buzón no auditadas en cada tipo de inicio de sesión. El archivo de salida se almacenará en el directorio de trabajo actual.

Vista detallada de los atributos CSV:

1. Nombre para mostrar: muestra el nombre del buzón.
2. Omisión de auditoría habilitada: muestra si el buzón está configurado para omitir el registro de auditoría del buzón. Si una cuenta está configurada para omitir el registro de auditoría del buzón, las acciones realizadas por las cuentas para cualquier buzón no se registrarán.
3. Tipo de inicio de sesión con conjunto de auditoría predeterminado: La auditoría de buzones de correo activada de forma predeterminada incluía una propiedad DefaultAuditSet. Esto indica si las acciones predeterminadas del buzón se están auditando en todos los buzones o no.
4. El valor de la propiedad DefaultAuditSet se establece inicialmente en Administrador, Delegado o Propietario cuando la auditoría de buzones de correo está habilitada de forma predeterminada. Si el valor está en blanco, muestra que el administrador cambió las acciones de auditoría del buzón para los tres tipos de inicio de sesión.
5. Propietario, administrador, delegado.

• • Auditoría del propietario: enumera las acciones del propietario del buzón no auditadas en los buzones.
  • Auditoría delegada: muestra las acciones de delegado no auditadas.
  • Auditoría administrativa: las acciones administrativas no auditadas se muestran aquí.

¿Por qué habilitar la auditoría de buzones de correo en Office 365?

¡Bueno! Después de conocer las acciones no auditadas, ¿qué harías?

La mejor práctica es habilitar las acciones de auditoría del buzón que previamente estaban desactivadas o ni siquiera habilitadas desde el principio según sus requisitos de auditoría. Porque los buzones de correo contienen información confidencial e información con alto impacto comercial. Por lo tanto, es imperativo auditar los buzones y mantenerse informado sobre las acciones realizadas en los buzones.

Puede utilizar el script de PowerShell prediseñado para habilitar la auditoría de buzones según sus requisitos.

Guiones destacados:

• Puede habilitar el registro de auditoría de buzones para todos los buzones mediante un único cmdlet.
• Este script le permite habilitar la auditoría de buzones para todas las acciones del buzón o conjuntos de acciones.
• Este script también admite cuentas habilitadas para MFA.
• Este script instala automáticamente el Módulo PowerShell de Exchange Online tras su confirmación.

Terminando:

Con estos scripts, puede administrar eficazmente la auditoría de Exchange Online y monitorear las actividades realizadas por todos los buzones. Sin embargo, la búsqueda de registros de auditoría es un desafío para encontrar actividades sospechosas o accesos que no son de propietarios, ya que contiene miles de registros de auditoría por día. Además, el registro de auditoría nativo tiene muchas limitaciones, como un período de retención de 90 días, falta de informes integrados, capacidad de filtrado deficiente, etc. Para superar esta dificultad, puede utilizar la herramienta de auditoría Exchange Online. La herramienta proporciona una interfaz web fácil de entender que muestra información estadística a través de cuadros, gráficos y una vista de lista de informes predefinidos y personalizados.

Con este blog, espero haber ayudado a los administradores a identificar las acciones del buzón no auditadas en su buzón. Si necesita más ayuda, deje sus consultas en los comentarios. ¡Nos encantaría resolverlo por ti!