Exportar el informe de actividad del usuario de Office 365 a CSV mediante PowerShell

La supervisión de la actividad de los usuarios de Office 365 ayuda a identificar actividades maliciosas y no autorizadas realizadas en los inquilinos de Office 365. Como administrador, a menudo puede encontrarse con una situación en la que debe realizar un seguimiento de la actividad de un usuario o de un administrador en particular. En tal caso, los informes de actividad del centro de administración de Microsoft 365 no pueden proporcionar suficientes detalles.

¿Cómo crear un informe de actividad para un usuario?

Para realizar un seguimiento de la actividad del usuario, puede utilizar una búsqueda de registro de auditoría o PowerShell.

Busque el registro de auditoría en el centro de cumplimiento: el registro de auditoría unificado ayuda a ver la actividad de los usuarios en Office 365. Además, puede descargar los resultados de la búsqueda del registro de auditoría en un archivo CSV. Sin embargo, no puede ver los datos requeridos, como el estado de la operación (si la acción se realizó correctamente o falló), y la carga de trabajo de un vistazo. Esos atributos tienen el formato del objeto JSON, que debe analizarse para obtener más información.

Seguimiento de la actividad del usuario con PowerShell: Con los portales de administración y la interfaz de usuario de Microsoft 365 en constante cambio, la mayoría de los administradores prefieren trabajar con PowerShell. El cmdlet Search-UnifiedAuditLog ayuda a buscar en el registro de auditoría unificado. Este registro contiene eventos de múltiples cargas de trabajo de Office 365, como Exchange Online, SharePoint Online, Azure Active Directory, OneDrive for Business, Microsoft Teams y otros servicios de Microsoft 365.

Auditar el informe de actividad del usuario de Office 365 con PowerShell:

Obtener registros de auditoría mediante Search-UnifiedAuditLog no es una tarea fácil. Si no recupera los datos correctamente, terminará con la pérdida de datos.

Considerando todos los casos, hemos creado un script de PowerShell que exportará el informe de actividad del usuario de Office 365 a un archivo CSV.

Descargar script: UserActivityReport.ps1

Guiones destacados:

• La secuencia de comandos utiliza autenticación moderna para conectarse a Exchange Online.
• El script también se puede ejecutar con cuenta habilitada para MFA .
• Exporta los resultados del informe a un archivo CSV .
• Le permite generar un informe de actividad del usuario para un período personalizado.
• Automáticamente instala el módulo EXO V2 (si aún no está instalado) tras su confirmación.
• El script es compatible con el programador. Es decir, la credencial se puede pasar como parámetro en lugar de guardarla dentro del script.

Informe de actividad del usuario de Office 365: resultado de muestra:

El informe de actividad del usuario exportado contiene los siguientes atributos: tiempo de actividad, nombre de usuario, operación, resultado, carga de trabajo y datos de auditoría detallados.

Nota: Dado que algunas cargas de trabajo no tienen la columna Estado del resultado, se muestran vacías.

Informe de actividad del usuario de Microsoft 365: pasos de ejecución del script:

Paso 1: descarga el script.

Paso 2: inicie Windows PowerShell como administrador.

Paso 3: Para ejecutar este script, puede elegir cualquiera de los métodos siguientes.

Método 1: Ejecutar el script con una cuenta que no sea MFA

./UserActivityReport.ps1 -UserID John@Contoso.com -Default

Método 2: ejecutar el script utilizando una cuenta MFA

./UserActivityReport.ps1 -UserID John@Contoso.com -MFA -Default

Para saber más sobre cómo conectar Exchange Online PowerShell con MFA, consulte nuestro blog Conectar Exchange Online PowerShell con MFA.

Método 3: ejecutar el script mencionando explícitamente las credenciales (compatible con el programador).

./UserActivityReport.ps1 -UserID John@Contoso.com -AdminName Admin@Contoso.com -Password XXX -Default

Desbloquee todo el potencial de “O365 User Activity PowerShell Script”:

• Exportar el historial de actividad del usuario de Office 365 durante los últimos 90 días
• Auditar la actividad de los usuarios de Office 365 dentro de un intervalo particular
• Obtenga un informe mensual de actividad del usuario
• Programar informe de actividad del usuario

Exportar el historial de actividad del usuario de Office 365 durante los últimos 90 días:

Dado que Search-UnifiedAuditLog tiene datos de los últimos 90 días, podemos obtener un máximo de la actividad del usuario de los últimos 90 días utilizando nuestro script. Para exportar la actividad del usuario de Office 365 durante los últimos 90 días, ejecute el script como se menciona a continuación.

./UserActivityReport.ps1 -UserID John@Contoso.com -Default

Nota: Si un usuario tiene asignada una licencia complementaria de Office 365 E5 o Microsoft 365 E5 o Cumplimiento de Microsoft 365 o E5 Discovery and Audit, puede generar un registro de auditoría durante más de 90 días. En ese caso, puede utilizar los parámetros -StartDate y -EndDate para especificar el rango de tiempo.

Auditar la actividad del usuario de Office 365 dentro de un intervalo particular

Puede generar un informe de actividad para un período personalizado mencionando -StartDate y -EndDate parámetros.

Con estos parámetros, puede generar un informe de auditoría de usuario de Office 365 durante los últimos 7 días, 30 días, 90 días o cualquier otro período requerido.

./UserActivityReport.ps1 -UserID John@Contoso.com -StartDate 07/24/20 -EndDate 07/31/20

Supervise la actividad administrativa con PowerShell:

Cuando se encuentra una cuenta sospechosa, es necesario identificar quién creó esa cuenta de usuario. Si descubre que la cuenta de administrador ha sido comprometida, es esencial realizar un seguimiento de la actividad del administrador y monitorear todas las acciones realizadas por él. Puede auditar la actividad del administrador pasando la identidad del administrador en -ID de usuario param.

./UserActivityReport.ps1 -UserID Admin@contoso.com -Default

El informe exportado contiene la actividad del administrador durante los últimos 90 días.

Seguimiento de la actividad de los usuarios externos con PowerShell:

Puede auditar las actividades de los usuarios externos pasando la identidad del usuario externo en el parámetro -UserID.

./UserActivityReport.ps1 -UserID Emma_fabrikam.com#ext#@contoso.com -Default

El informe de actividad del usuario externo exportado contiene las actividades de Emma de los últimos 90 días.

Programar informe de actividad del usuario:

Dado que este Search-UnifiedAuditLog puede tomar datos de auditoría del usuario durante los últimos 90 días, es posible que necesite datos de auditoría antiguos para su análisis. En ese caso, la programación le ayudará a mantener el registro de auditoría durante más de 90 días.

Para ejecutar una tarea de secuencia de comandos de PowerShell desde el programador, puede utilizar el siguiente formato.

./UserActivityReport.ps1 -UserID John@Contoso.com -AdminName admin@contoso.com -Password XXX -Default

Obtenga un informe mensual de actividad del usuario:

Para obtener un informe mensual de la actividad del usuario, puede ejecutar el script de la siguiente manera.

./UserActivityReport.ps1 -StartDate ((Get-Date).AddDays(-30)) -EndDate (Get-Date) -UserID John@contoso.com

El método anterior sería útil en la programación.

También puede consultar nuestro script dedicado a la actividad de correo electrónico de los usuarios de Office 365 y al informe del historial de inicio de sesión de los usuarios de Office 365 para un análisis más detallado.

Supervise las actividades de los usuarios de Office 365 con unos pocos clics del ratón:

Para obtener un informe más detallado sobre los usuarios

• Iniciar sesión actividades
• Recuento y detalles de correos electrónicos enviados y recibidos
• Actividades del buzón de correo, como eliminación de correos electrónicos, acceso al buzón de otro usuario, etc.
• Accesos a archivos y carpetas de SharePoint
• Compartir archivos con usuarios internos y externos.
• OneDrive Acceso y uso compartido de archivos
• Uso de reuniones y chat de Teams y mucho más

puedes echar un vistazo al software de informes AdminDroid Microsoft 365.

Además, AdminDroid proporciona más de 1600 informes prediseñados y 20 paneles de control inteligentes y visualmente atractivos para conocer su entorno de Office 365 de un vistazo. Esta herramienta proporciona informes sobre informes, auditorías, análisis, estadísticas de uso, seguridad y cumplimiento de Office 365, etc.

Además, AdminDroid ofrece más de 100 informes y varios paneles de control completamente gratuitos. Incluye informes sobre usuarios, licencias, grupos, miembros de grupos, dispositivos, actividades de inicio de sesión, cambios de contraseña, cambios de licencia, uso de suscripciones y más. La versión gratuita de la herramienta ofrece funcionalidad completa de informes y auditoría, sin limitaciones de personalización, programación o exportación. Puede probar la herramienta gratuita de informes de Office 365 de AdminDroid para ver cómo puede beneficiarle.

Espero que este blog sea útil para auditar las actividades de los usuarios de Office 365 en su organización. Si tiene alguna consulta, puede comunicarse con nosotros a través de la sección de comentarios.