Auditar la eliminación de archivos en SharePoint Online: descubra quién eliminó archivos de Office 365

A menudo me preguntan cómo auditar archivos eliminados en SharePoint Online y OneDrive. Es bastante fácil con el registro de auditoría de Office 365. Si aún no estás seguro de cómo realizar un seguimiento de las eliminaciones de archivos y de quién eliminó un archivo, estás en el lugar correcto.

¿Cómo auditar archivos eliminados en Office 365?

Los archivos se pueden eliminar de forma deliberada o accidental. Por lo tanto, auditar la eliminación de archivos es crucial para garantizar la seguridad de los datos. Puede utilizar la búsqueda de registros de auditoría de Office 365 o PowerShell para encontrar archivos eliminados.

Búsqueda de registros de auditoría: al filtrar la operación 'Archivo eliminado', puede ver los archivos eliminados junto con la hora de eliminación y el usuario que eliminó un archivo. Sin embargo, el resultado combina SharePoint Online y OneDrive. No puede filtrar ni ver la operación eliminada realizada en una carga de trabajo específica.

PowerShell: dado que PowerShell tiene más ventajas, como recuperación rápida de datos, interfaz de usuario sencilla, etc., la mayoría de los administradores lo prefieren. El cmdlet Search-UnifiedAuditLog le ayuda a detectar los archivos eliminados en su entorno de Office 365. Sin embargo, es necesario utilizar varios filtros y cmdlets para obtener el resultado deseado.

Para simplificar su trabajo, hemos escrito un script de PowerShell para auditar la eliminación de correos electrónicos. Con los parámetros de filtrado integrados, puede generar un informe de auditoría más granular.

Descarga del guión: AuditFileDeletion.ps1

Guiones destacados:

• La secuencia de comandos utiliza autenticación moderna para conectarse a Exchange Online.
• El script también se puede ejecutar con cuenta habilitada para MFA .
• Exporta los resultados del informe a un archivo CSV .
• Ayuda a generar informes de auditoría para períodos personalizados.
• Automáticamente instala EXO V2 (si aún no está instalado) tras su confirmación.
• El script es compatible con el programador. Es decir, la credencial se puede pasar como parámetro en lugar de guardarla dentro del script.

Informe de auditoría de eliminación de archivos: resultado de muestra:

El informe exportado contiene los siguientes atributos: hora de eliminación, tipo de eliminación, nombre del archivo eliminado, eliminado por, extensión del archivo eliminado, URL del archivo, URL del sitio, carga de trabajo

Auditar la eliminación de archivos Script de PowerShell - Métodos de ejecución:

Puede elegir cualquiera de los siguientes métodos según sus necesidades.

Método 1: Ejecute el script con una cuenta MFA o no MFA.

.\AuditFileDeletion.ps1

Método 2: ejecute el script mencionando explícitamente la credencial (compatible con el programador).

.\AuditFileDeletion.ps1 -UserName admin@contoso.com -Password XX

Si la cuenta de administrador tiene MFA, debe desactivar MFA mediante la política de acceso condicional para que este método funcione.

Libere todo el potencial del 'Script de eliminación de archivos de auditoría':

Como se dijo anteriormente, nuestro script admite parámetros de filtrado avanzados para obtener rápidamente el resultado deseado. Los parámetros admitidos se enumeran a continuación,

• FilesDeletedBy : identifica archivos que fueron eliminados por un usuario específico.
• StartDate y EndDate : ayuda a generar informes de auditoría para un período personalizado
• SharePointOnline : audita la eliminación de archivos en SharePoint Online
• OneDrive : para auditar archivos eliminados en OneDrive para la Empresa
• Nombre de usuario y Contraseña : programa el script de PowerShell sin inicio de sesión interactivo.

Identificar archivos eliminados por un usuario específico:

Para descubrir los archivos eliminados por una persona en particular, puede ejecutar el script con el parámetro -FilesDeletedBy junto con su UPN.

.\AuditFileDeletion.ps1 -FilesDeletedBy John@contoso.com

El informe exportado muestra todos los archivos eliminados por John en los últimos 90 días.

Detectar quién eliminó archivos de SharePoint Online:

Para realizar un seguimiento de quién eliminó los archivos de SharePoint, puede utilizar -SharePointOnline como se muestra a continuación.

.\AuditFileDeletion.ps1 -SharePointOnline

Al consultar este informe, los administradores pueden restaurar los archivos eliminados si es necesario.

Descubra quién eliminó archivos de Microsoft OneDrive:

Para auditar la eliminación de archivos en OneDrive para empresas, puede ejecutar el script con -OneDrive parámetro de cambio. Por ejemplo,

.\AuditFileDeletion.ps1 -OneDrive

El informe exportado ayuda a ver quién eliminó archivos de OneDrive y cuándo. Puede recuperar archivos eliminados de la papelera de reciclaje según sus necesidades.

Seguimiento de archivos eliminados durante un período personalizado:

De forma predeterminada, la secuencia de comandos recuperará los archivos eliminados de los últimos 90 días. Si desea auditar la eliminación de archivos en un rango de fechas específico, ejecute la secuencia de comandos con -StartDate y -EndDate parámetros.

.\AuditFileDeletion.ps1 -StartDate 11/25/21 -EndDate 12/01/21

El ejemplo anterior muestra la lista de archivos eliminados desde el 25 de noviembre de 2021 hasta el 1 de diciembre de 2021.

Programar el "Informe de eliminación de archivos de auditoría":

Dado que Search-UnifiedAuditLog puede recuperar las actividades de eliminación de archivos realizadas durante los últimos 90 días, es posible que necesite datos antiguos para el análisis. Al automatizar la ejecución del script, puede conservar el registro de auditoría durante el período deseado.

Para programar una secuencia de comandos de PowerShell en el Programador de tareas, puede seguir el siguiente formato.

.\AuditFileDeletion.ps1 -Username Admin@constoso.com -Password XXX

También puede utilizar cualquiera de los parámetros admitidos para obtener el informe granular. Si la cuenta de administrador tiene MFA, no puede usarla directamente para programar. Debe deshabilitar MFA a través de la política de acceso condicional para que funcione.

Obtenga un informe mensual sobre la eliminación de archivos:

A veces, los archivos importantes se eliminan sin saberlo. En tal caso, monitorear periódicamente la eliminación del archivo lo ayudará a recuperarlo antes de que se elimine permanentemente de la papelera de reciclaje.

Para obtener un informe mensual, ejecute el script de la siguiente manera.

.\AuditFileDeletion.ps1 -StartDate ((Get-Date).AddDays(-30)) -EndDate (Get-Date)

El informe exportado contiene registros de auditoría de archivos eliminados de los últimos 30 días.

Obtenga un informe de auditoría más granular:

Puede combinar uno o más parámetros para obtener un informe de auditoría más granular. Por ejemplo,

• Para buscar archivos eliminados en SharePoint Online en los últimos 30 días, ejecute el script de la siguiente manera

.\AuditFileDeletion.ps1 -StartDate ((Get-Date).AddDays(-30)) -EndDate (Get-Date) -SharePointOnline

• Para obtener una lista de archivos de OneDrive eliminados por una persona específica en los últimos 90 días, ejecute el script como se muestra a continuación:

.\AuditFileDeletion.ps1 -FilesDeletedBy John@contoso.com -OneDrive

Espero que este blog le ayude a monitorear la eliminación de archivos en su entorno de Microsoft 365. Si tiene alguna consulta o requisito, puede comunicarse con nosotros a través de la sección de comentarios.

Realice un seguimiento eficiente de las eliminaciones de archivos de SharePoint Online con los informes de AdminDroid

Tanto los registros de auditoría como los scripts de PowerShell proporcionan datos sin procesar, que pueden requerir procesamiento o análisis adicionales para generar información procesable. El informe de eliminación de archivos de SharePoint Online de AdminDroid proporciona información más completa y fácil de usar sobre la eliminación de archivos, como extensiones de archivo, estado de los resultados, etc. Esta descripción general completa puede ayudar a los administradores a comprender y administrar mejor las eliminaciones de archivos, garantizando la seguridad. e integridad de su entorno SharePoint Online.

AdminDroid ofrece las siguientes características únicas que le permiten proporcionar informes completos sobre la eliminación de archivos.

• Visualización mediante gráficos : los gráficos gráficos de IA de AdminDroid ofrecen representaciones visuales de patrones y tendencias de actividad, incluidos mapas geográficos y mapas de calor, para una toma de decisiones informada.
• Automatización de la programación de informes: automatice el seguimiento diario de los informes y reciba actualizaciones en tiempo real por correo electrónico.
• Delegar acceso a informes: delegue el acceso a informes, paneles e inquilinos entre los miembros del equipo.
• Exportar en cualquier formato : exporte informes en varios formatos como CSV, HTML y PDF, etc.

La herramienta de auditoría de SharePoint Online de AdminDroid ofrece amplia información sobre las operaciones de SPO, incluida la supervisión de membresías de grupos, uso compartido externo, membresías de colecciones de sitios y actividades relacionadas con el acceso. La herramienta de administración SharePoint Online de AdminDroid ofrece más de más de 180 informes sobre colecciones de sitios, sitios SPO inactivos, listas, bibliotecas y uso de sitios SPO en la organización, lo que permite a los administradores administrar entornos SPO de manera más eficiente.

¿Por qué AdminDroid?

• Explora todas las características y funcionalidades de AdminDroid con la edición premium gratuita de 15 días.
• Obtenga acceso a capacidades avanzadas de generación de informes que proporcionan información completa.
• Identifique problemas potenciales con las alertas de AdminDroid y tome medidas correctivas con facilidad.
• Tome decisiones informadas basadas en datos y análisis precisos.

¡Comience hoy su prueba gratuita de 15 días de AdminDroid y experimente la diferencia!