Encuentre quién envió el correo electrónico desde el buzón compartido en Office 365 usando PowerShell

Los delegados del buzón de correo compartido pueden enviar correos electrónicos desde el buzón de correo compartido según permisos como "Enviar como" y "Enviar en nombre".

Enviar como : el destinatario no recibirá ninguna pista sobre quién envió los correos electrónicos. Parece enviado desde el buzón compartido.

Enviar en nombre: el destinatario puede identificar al remitente real al ver la dirección de correo electrónico "De". Por ejemplo, en nombre de .

Pero en ambos métodos, los correos electrónicos enviados no se guardan en la carpeta de elementos enviados del buzón compartido de forma predeterminada. En cambio, se almacenará en el buzón de correo de los remitentes. Si varios usuarios acceden a un buzón compartido, es difícil identificar quién envió qué correo electrónico desde el buzón compartido.

Cómo realizar un seguimiento de quién envió correos electrónicos desde un buzón compartido

Supervisar los correos electrónicos enviados desde buzones de correo compartidos es un requisito empresarial importante. Para encontrar el remitente de un correo electrónico, los administradores pueden buscar las actividades "SendAs" y "SendOnBehalf" en la búsqueda del registro de auditoría de Office 365. Se puede realizar a través del centro de cumplimiento de Microsoft 365 o del cmdlet Search-UnifiedAuditLog PowerShell. Enumerará todas las actividades 'SendAs' y 'SendOnBehalf'. Pero no podemos filtrar los correos electrónicos enviados desde buzones de correo compartidos.

Para rastrear los correos electrónicos enviados desde un buzón compartido, necesitamos usar múltiples filtros en PowerShell. Para simplificar las tareas de los administradores, hemos escrito un script de PowerShell para identificar al remitente de un correo electrónico.

Descarga de secuencia de comandos: FindWhoSentEmailFromSharedMailbox.ps1

Guiones destacados:

• El script utiliza autenticación moderna para recuperar registros de auditoría.
• El script también se puede ejecutar con una cuenta habilitada para MFA .
• Exporta los resultados del informe a un archivo CSV .
• Ayuda a generar informes de auditoría para períodos personalizados.
• Realiza un seguimiento de las actividades enviadas por correo electrónico desde un buzón compartido específico.
• Permite auditar las actividades de envío como por separado.
• Permite realizar un seguimiento de las actividades de envío en nombre por separado.
• Automáticamente instala EXO V2 (si aún no está instalado) tras su confirmación.
• El script es compatible con el programador, es decir, las credenciales se pueden pasar como parámetro.

Resultado de muestra:

El archivo de salida exportado contiene los siguientes atributos: hora de envío del correo, enviado por, enviado desde el buzón compartido, asunto del correo electrónico, operación, resultado e información de auditoría más detallada.

Auditar quién envió correos electrónicos desde el buzón compartido: pasos de ejecución del script:

Puede elegir cualquiera de los siguientes métodos según sus necesidades.

Método 1: Ejecute el script con una cuenta MFA o no MFA.

.\FindWhoSentEmailFromSharedMailbox.ps1

Método 2: Ejecute el script mencionando explícitamente la credencial (compatible con el Programador).

.\FindWhoSentEmailFromSharedMailbox.ps1 -UserName admin@contoso.com -Password XXX

Si la cuenta de administrador tiene MFA, debe desactivar MFA mediante la política de acceso condicional para que este método funcione.

¿Quién envió qué correo electrónico? - Libere todo el potencial del guión:

Nuestro script admite parámetros de filtrado avanzados para obtener rápidamente el resultado deseado. Los parámetros admitidos se enumeran a continuación,

• SharedMBIdentity : identifica los usuarios que enviaron correos electrónicos desde un buzón compartido específico.
• StartDate y EndDate : ayuda a generar informes de auditoría para un período personalizado
• SendAsOnly : identifica el remitente del correo electrónico que envió correos electrónicos desde un buzón compartido mediante la delegación "SendAs".
• SendOnBehalfOnly : realiza un seguimiento de quién envió correos electrónicos utilizando el permiso 'SendOnBehalf' desde los buzones de correo compartidos.
• Nombre de usuario y Contraseña : programa el script de PowerShell sin inicio de sesión interactivo.

Seguimiento de quién envió correos electrónicos desde los buzones compartidos:

Puede auditar todos los correos electrónicos enviados desde buzones de correo compartidos a través de los permisos SendAs y SendOnBehalf en los últimos 90 días. Para obtener un informe detallado, ejecute el script de la siguiente manera.

.\FindWhoSentEmailFromSharedMailbox.ps1

Detectar quién accedió y envió correo electrónico desde un buzón compartido específico:

Para saber quién accedió a un buzón compartido específico para enviar correos electrónicos, puede ejecutar el script utilizando el parámetro -SharedMBIdentity.

.\FindWhoSentEmailFromSharedMailbox.ps1 -SharedMBIdentity support@contoso.com

Este ejemplo recuperará todos los correos electrónicos enviados desde support@contoso.com y los detalles del remitente durante los últimos 90 días.

Generar informe de auditoría para un período personalizado:

De forma predeterminada, el script recuperará los datos de auditoría de correo electrónico de los últimos 90 días. Si desea auditar el remitente del correo electrónico del buzón compartido para un rango de fechas específico, puede usar -StartDate y -EndDate parámetro.

.\FindWhoSentEmailFromSharedMailbox.ps1 -StartDate 04/25/22 -EndDate 05/10/22

El informe contendrá todos los correos electrónicos enviados desde los buzones compartidos entre el 25 de abril y el 10 de mayo.

También puede combinar el parámetro -SharedMBIdentity para realizar un seguimiento de un buzón compartido en particular. Por ejemplo,

.\FindWhoSentEmailFromSharedMailbox.ps1 -StartDate 04/25/22 -EndDate 05/10/22 -SharedMBIdentity support@contoso.com

Buscar registros de auditoría de SendAs para los buzones de correo compartidos:

Para auditar todos los correos electrónicos enviados desde un buzón compartido usando el permiso SendAs, ejecute el script con -SendAsOnly parámetro.

.\FindWhoSentEmailFromSharedMailbox.ps1 -SendAsOnly

Al combinar varios parámetros como StartDate, EndDate y SharedMBIdentity, puede generar un informe de auditoría de correo electrónico de buzón compartido más granular.

Auditar todos los correos electrónicos enviados mediante el permiso Enviar en nombre:

Para recuperar todos los correos electrónicos del buzón compartido enviados con el permiso SendOnBehalf, ejecute el script usando el parámetro -SendOnBehalfOnly .

.\FindWhoSentEmailFromSharedMailbox.ps1 -SendOnBehalfOnly

Exportará todos los correos electrónicos del buzón compartido que se envíen utilizando el permiso SendOnBehalf en los últimos 90 días.

Programe el script "Buscar quién envió el correo electrónico desde el buzón compartido":

Dado que Search-UnifiedAuditLog puede recuperar las actividades SendAs y SendOnBehalf de los buzones de correo compartidos durante los últimos 90 días, es posible que necesite datos antiguos para el análisis. Al automatizar la ejecución del script, puede conservar el registro de auditoría durante el período deseado.

Para programar una secuencia de comandos de PowerShell en el Programador de tareas, puede seguir el siguiente formato.

.\FindWhoSentEmailFromSharedMailbox.ps1 -UserName admin@contoso.com -Password XXX

También puede utilizar cualquier parámetro admitido para obtener el informe granular. Si la cuenta de administrador tiene MFA, no puede usarla directamente para programar. Debe deshabilitar MFA a través de la política de acceso condicional para que funcione.

Aprovechando el poder del análisis de correo electrónico de buzones compartidos con AdminDroid:

Analizar manualmente el tráfico de correo electrónico e interpretar los datos puede llevar mucho tiempo y ser un desafío. Ahí es donde entra en juego AdminDroid: una herramienta avanzada de análisis e informes de correo electrónico de Microsoft 365 que simplifica el análisis de correo electrónico y proporciona información valiosa sobre el uso y la administración del correo electrónico.

Exploremos cómo AdminDroid puede ayudar a las organizaciones a aprovechar mejor la administración de buzones de correo compartido y el análisis de correo electrónico al proporcionar una interfaz intuitiva y fácil de usar que facilita el análisis de datos, agiliza los informes y ofrece información útil. Los informes incluyen,

• Informes de correo electrónico del buzón compartido: proporciona informes sobre todos los correos electrónicos enviados desde el buzón compartido, correos electrónicos enviados y recibidos desde dominios externos.
• Estadísticas de tráfico de correo electrónico del buzón compartido: estos informes proporcionan datos de tráfico de correo electrónico por hora, día o mes.
• Resumen de correo electrónico del buzón compartido: proporciona un recuento de los correos electrónicos enviados y recibidos por hora del día, día por semana, etc.
• Análisis de los períodos pico y de inactividad del correo electrónico: proporciona informes de tráfico de correo electrónico sobre las horas y días pico/inactivos de los buzones de correo compartidos.
• Análisis de la duración activa del buzón compartido: proporciona informes sobre el informe de análisis activo e inactivo de los buzones compartidos en función de los correos electrónicos enviados y recibidos, los correos electrónicos internos enviados y recibidos, y los correos electrónicos externos enviados y recibidos.
• Informes de buzones de correo compartido: estos informes proporcionan información detallada sobre los permisos, el tamaño, las configuraciones de reenvío de buzones de correo compartido y los detalles de retención.

Además de los informes de correo electrónico de buzones compartidos, la herramienta de análisis de correo electrónico AdminDroid Microsoft 365 ofrece más de 440 informes de correo electrónico que ayudan a los administradores a rastrear correos electrónicos sospechosos (como spam, malware y suplantación de identidad), identificar posibles amenazas a la seguridad y monitorear el correo electrónico. uso y configuraciones.

Descargue la herramienta de informes AdminDroid Microsoft 365 para explorar más de 1800 informes prediseñados y más de 30 paneles para maximizar la seguridad y administrar el entorno de Microsoft 365 de manera eficiente.

Espero que este blog le ayude a identificar los miembros del buzón de correo compartido que enviaron correos electrónicos desde él.