Papel de la auditoría de Office 365 en el seguimiento de las actividades inusuales de la organización

¿Le preocupan las fugas de datos confidenciales, las cargas de archivos sospechosos y los cambios de permisos en sus inquilinos de O365? Si es así, la auditoría de Office 365 es la solución que está buscando y los registros de auditoría de Office 365 pueden ayudarle a vigilar las actividades de sus empleados, investigar violaciones de seguridad y cumplir con los estándares de cumplimiento.

¿Qué hace el registro de auditoría unificado de O365?

Un registro de auditoría unificado de O365 es como un cuaderno autónomo que registra todas las actividades del inquilino de Office 365 y anota cada vez que ocurre un nuevo evento.

Con la ayuda de la herramienta de búsqueda de registros de auditoría, puede buscar, ver y exportar registros de auditoría para los eventos o actividades requeridos. Registra las actividades de los usuarios y administradores en varios servicios de Microsoft 365 y las retiene según el período de retención de la auditoría.

¿Cómo habilitar la auditoría de Office 365?

La auditoría está habilitada de forma predeterminada si su organización usa suscripciones a Microsoft 365 y Office 365 Enterprise. Si no está habilitado, siga las siguientes formas de habilitar la auditoría de Microsoft 365.

1. Uso del Portal de cumplimiento de Microsoft Purview.
2. Utilizando PowerShell.

1. Active la auditoría a través del portal de cumplimiento de Office 365:

Paso 1: Vaya al Portal de cumplimiento de Microsoft Purview y luego haga clic en "Auditoría" en "Soluciones" en el lado izquierdo del portal.

Paso 2: En la pestaña Buscar, presione el botón “Iniciar grabación de actividad de usuario y administrador”.

2. Habilite la auditoría en Office 365 mediante PowerShell:

También puede activar la auditoría mediante PowerShell. Esto puede hacerse de la siguiente manera:

1. En primer lugar, conéctese a Exchange Online PowerShell.
2. Luego ejecute el siguiente cmdlet para activar la auditoría:

 Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true

¿Cómo buscar registros de auditoría de Office 365?

Puede buscar y ver las actividades de los administradores y usuarios de Office 365 con la ayuda de la búsqueda de registros de auditoría de las siguientes formas.

1. Portal de cumplimiento de Microsoft Purview.
2. PowerShell/Shell de administración de Exchange
3. API de actividad de administración de Office 365

Método 1: búsqueda de registros de auditoría de Office 365 mediante el Centro de cumplimiento:

1. Vaya al Portal de cumplimiento de Microsoft Purview. Luego seleccione 'Auditoría' en el menú 'Soluciones'.
2. Debajo de la pestaña "Buscar", especifique los filtros necesarios para buscar registros de auditoría unificados, como fecha, hora, usuarios y actividad, según sus requisitos. Luego presione 'Buscar'.
3. Si lo desea, puede descargar los resultados en formato CSV para documentación y otros fines.

Es un gran desafío para los administradores analizar y administrar el entorno O365, ya que los archivos CSV descargables son engorrosos y desconocidos.

Método 2: Búsqueda de registros de auditoría mediante PowerShell:

Puede buscar registros de auditoría de Office 365 utilizando el cmdlet Search-UnifiedAuditLog en Exchange Online PowerShell.

Este cmdlet generará informes sobre actividades en aplicaciones y servicios como Exchange Online, SharePoint, Teams, etc.

Ejemplo :

Search-UnifiedAuditLog -StartDate 4/27/2022 -EndDate 5/4/2022

Recupera todos los registros de auditoría unificados desde la fecha de inicio (27th de abril de 2022) hasta la fecha de finalización (4th mayo de 2022).

La búsqueda de registros de auditoría a través de PowerShell es más compleja a menos que tenga conocimientos básicos de los cmdlets de PowerShell. Además, los complicados scripts de PowerShell consumirán su tiempo y su tranquilidad.

Método 3: búsqueda de registros de auditoría mediante la API de administración de actividades de Office 365:

La API de actividad de administración de Office 365 ayuda a obtener información sobre usuarios, administradores, sistemas y acciones y eventos de políticas en Office 365 y Azure AD. Además, puedes descargar todos estos informes en formato JSON. Además de eso, los administradores pueden visualizar los datos de auditoría y analizar las tendencias de uso con la ayuda de esta herramienta.

El principal inconveniente de utilizar la API de administración de actividades de Office 365 es que obtendrá datos solo de los últimos 7 días, mientras que otros recuperan los últimos 90 días de datos de auditoría de Office 365.

Limitaciones de los registros de auditoría nativos de Office 365:

Aunque la auditoría nativa de Office 365 proporciona registros de todas las actividades de Microsoft 365, existen algunas desventajas de los registros de auditoría de Office 365. Algunos de ellos son:

• Complejo de analizar: los registros de auditoría nativos son extremadamente difíciles de entender para las personas que no están familiarizadas con ellos. Están listados al azar.

• Las opciones de filtrado de búsqueda son limitadas: las opciones de filtrado disponibles para la búsqueda de registros de auditoría son limitadas. Por lo tanto, es difícil encontrar los informes relevantes que busca. Además, la búsqueda manual de los datos deseados en el registro de auditoría unificado consume más tiempo.
• Contiene solo unos pocos informes predefinidos: los administradores deben crear el informe con los requisitos deseados, ya que solo hay unos pocos informes predefinidos. Además, no es posible crear ni guardar filtros personalizados.
• El período de retención predeterminado es bajo: de forma predeterminada, los datos de auditoría de O365 se reservan solo durante 90 días. Para retener por un período más largo, debe crear políticas de retención de auditoría. Hacer esto es una gran molestia ya que existen muchas categorías de actividades de O365. Con la capacidad ampliada de registro de auditoría, los clientes de Microsoft Purview (estándar) pueden mantener el registro de auditoría por hasta 180 días.

Una alternativa a los registros de auditoría nativos de Office 365:

La auditoría nativa de Office 365 se está quedando obsoleta. Una de las mejores herramientas alternativas para la auditoría de Office 365 es la herramienta de auditoría AdminDroid Office 365. Tiene más de 800 informes de auditoría y análisis predefinidos con vistas y opciones de filtrado avanzadas. Los análisis gráficos basados en IA y los paneles de auditoría ayudan enormemente a los administradores a visualizar las actividades de O365 y obtener información valiosa.

AdminDroid acumula todos los datos de auditoría de Office 365 y los almacena indefinidamente. Puede acceder a los datos en cualquier momento según los intervalos de tiempo que desee.

Conclusión:

A pesar de sus limitaciones, la auditoría de Office 365 es una característica extremadamente útil que le ayudará a monitorear todas las actividades de su inquilino y, con la ayuda de los registros de auditoría de Office 365, podrá reaccionar en consecuencia ante cualquier actividad sospechosa de manera eficiente. Puede decir que ayuda a agregar una capa de transparencia a su inquilino y obtiene una imagen adecuada de lo que está sucediendo. Por lo tanto, si desea que su entorno de Office 365 se supervise correctamente, puede intentar utilizar la auditoría y los registros de auditoría de Office 365.