Exportar informe de acceso al buzón de correo de no propietario a CSV mediante PowerShell
Dado que los buzones de correo contienen datos confidenciales, conceder permiso de acceso a varios usuarios aumenta el riesgo de que se produzca una violación de la seguridad. Puede utilizar el registro de auditoría para detectar y prevenir dichas vulnerabilidades de seguridad. Con el registro de auditoría, puede realizar un seguimiento de quién ha accedido al buzón y qué acciones realiza.
En algunas organizaciones/inquilinos, la auditoría de buzones de correo no está habilitada de forma predeterminada. Por lo tanto, debe habilitar la auditoría de buzones de correo. De lo contrario, terminará con registros de auditoría vacíos.
Nota: Las acciones auditadas predeterminadas son suficientes para la mayoría de las organizaciones. Pero, si determinas que no es así, deberás configurarlo manualmente. Puede utilizar la secuencia de comandos de PowerShell para habilitar la auditoría de buzones para todas las acciones del buzón.
¿Cómo detectar quién accedió al buzón de otro usuario?
El informe de acceso al buzón de no propietario de Office 365 enumera los buzones a los que ha accedido alguien que no es propietario del buzón. Puedes saber quién tiene permisos en los buzones de correo de otras personas mediante un informe de permisos de buzones que no son propietarios.
Puede utilizar el Centro de administración de Exchange (EAC) para ejecutar un informe de acceso a buzones de correo de no propietarios, pero no puede exportarlos y debe hacer clic en cada buzón para ver su acceso de no propietario. Aquí es donde PowerShell entra en juego. Pero obtener todos los registros de auditoría y analizarlos es una tarea difícil. ¡No te preocupes! ¡Deja que te ayude!
Creé un script de PowerShell para exportar el informe del buzón de correo de no propietario de Office 365 a CSV.
Exportar informe de acceso al buzón de correo de no propietarios mediante PowerShell:
El informe de acceso de no propietarios muestra las acciones realizadas por administradores y delegados. El informe proporciona la siguiente información.
- Lista de buzones a los que accede el no propietario,
- Quién accedió al buzón y cuándo,
- Acciones realizadas por el no propietario,
- Resultado de si la acción tuvo éxito o fracasó.
Descargar script: NonOwnerMBAccessReport.ps1
Guiones destacados:
- Le permite filtrar el acceso de usuarios externos.
- El script también se puede ejecutar con cuenta habilitada para MFA .
- Exporta el informe a CSV
- Este script es compatible con el programador. Es decir, las credenciales se pueden pasar como parámetro en lugar de guardarlas dentro del script.
- Puede limitar la búsqueda de auditoría para un intervalo de fechas específico.
Resultado de muestra: informe de acceso al buzón de correo de no propietarios de Office 365:
El informe exportado contiene los siguientes atributos: hora de acceso, tipo de inicio de sesión, accedido por (no propietario), operación realizada, buzón accedido (buzón delegado), resultado y acceso externo.
Ejecución de script:
El script se puede ejecutar tanto con una cuenta habilitada para MFA como con una cuenta que no sea MFA. Puede elegir cualquiera de los siguientes métodos según el tipo de cuenta.
Exportar informe de acceso al buzón de correo de no propietarios:
Para cuentas que no sean MFA, ejecute el script de la siguiente manera.
./NonOwnerMBAccessReport.ps1De forma predeterminada, el script excluye el acceso de usuarios externos. Es decir, eventos generados por el sistema.
Exportar informe de acceso al buzón de correo de no propietarios con MFA:
Para auditar los accesos a buzones de correo de no propietarios con una cuenta habilitada para MFA, ejecute el script con el modificador -MFA.
./NonOwnerMBAccessReport.ps1 -MFAPara saber más sobre cómo conectar Exchange Online PowerShell con MFA, consulte nuestro blog: Conéctese a Exchange Online PowerShell con MFA.
Más casos de uso del script 'Informe de acceso al buzón de correo de no propietarios':
Auditar el informe de acceso al buzón de correo de no propietarios durante los últimos 90 días:
De forma predeterminada, el script audita el acceso a buzones de correo de no propietarios durante los últimos 90 días. Para exportar el informe de auditoría de buzones de correo de no propietarios de Office 365 de los últimos 90 días, ejecute el script de la siguiente manera.
./NonOwnerMBAccessReport.ps1Exportar informe de acceso al buzón de correo de no propietarios dentro de un intervalo determinado:
Para exportar el informe de acceso delegado de Office 365 para un período específico, ejecute el script con -StartDate y -EndDate params.
./NonOwnerMBAccessreport.ps1 -StartDate 01/15/20 -EndDate 1/30/20La fecha debe formarse como MM/DD/AA. El script anterior exportará el acceso al buzón de correo de no propietarios desde el 15 de enero de 2020 hasta el 30 de enero de 2020.
Auditar el acceso al buzón por parte de delegados y administradores:
En general, el acceso al buzón de correo de no propietario incluye administradores, delegados y usuarios externos. En Exchange Online, los usuarios externos refieren el acceso al administrador del centro de datos de Microsoft.
Para exportar el acceso al buzón por parte de delegados y administradores (excluye a los usuarios externos), ejecute el script de la siguiente manera.
./NonOwnerMBAccessreport.ps1Exportar informe de actividad del buzón de correo de no propietario, incluido el acceso externo:
Puede exportar todos los accesos que no sean propietarios realizados por administradores y usuarios delegados dentro de la organización y el acceso por usuarios externos (administrador del centro de datos de Microsoft en Exchange Online).
Para auditar el acceso al buzón de correo de no propietarios con la actividad de usuarios externos, ejecute el script con -IncludeExternalAccess parámetro establecido en $True.
./NonOwnerMBAccessReport.ps1 -IncludeExternalAccess $TrueProgramar informe de actividad del buzón de correo de no propietarios:
Dado que Search-UnifiedAuditLog tiene datos de los últimos 90 días, es posible que necesite registros de auditoría antiguos para realizar el análisis. En ese caso, la programación le ayudará a mantener el registro de auditoría durante más de 90 días.
Puede programar un informe de acción del buzón de correo que no sea del propietario en el Programador de tareas. Si programa el script para que se ejecute una vez cada 90 días, puede auditar el acceso al buzón de correo de no propietarios en cualquier momento que desee. Por lo tanto, puede almacenar años de registros de auditoría para un mayor análisis.
./NonOwnerMBAccessReport.ps1 -UserName admin@contoso.com -Password XXXXPuede utilizar el Programador de tareas para ejecutar el script de PowerShell.
Supere los problemas de seguridad sin esfuerzo con AdminDroid
Los informes anteriores proporcionan información sobre el acceso a buzones de correo de no propietarios por parte de delegados, administradores y usuarios externos e incluso extraen datos para intervalos específicos. Pero ¿necesitamos sólo estos informes? No, debes vigilar de cerca más que solo esto, y algunos de ellos son:
- Acceso mediante IP sospechosas: Si el acceso al buzón de correo de un no propietario proviene de una dirección IP desconocida o sospechosa, podría ser una señal de actividad maliciosa.
- Acceso múltiple desde el mismo usuario: Si un solo usuario accede a un buzón que no es del propietario varias veces en un período corto, podría ser una señal de una posible violación de datos o acceso no autorizado.
La lista sigue y sigue, como monitorear el acceso fuera del horario comercial, auditar solo un buzón de correo específico, etc. Por lo tanto, si prefiere tener todo en un solo panel, < b>La herramienta de monitoreo en línea AdminDroid Exchange es la elección correcta.
Acérquese un paso más con el acceso al buzón de correo para no propietarios
El informe de acceso al buzón de no propietario de AdminDroid proporciona a los administradores una descripción general de alto nivel del tiempo de acceso al buzón, intentos fallidos de acceso para cada buzón de no propietario, búsqueda de actividad del usuario fuera del horario laboral, etc. ¡No nos detendremos aquí! Puede analizar más a fondo la información de inicio de sesión de IP y detectar actividades sospechosas al instante sin hacer mucho trabajo.
Además, la herramienta de auditoría AdminDroid Exchange Online viene con la friolera de más de 170 informes de Exchange Online para realizar un seguimiento, programar y recibir alertas sobre cada actividad. Comience ahora y experimente todo el potencial de la herramienta de administración AdminDroid Exchange Online. ¡Y la mejor parte es que AdminDroid Microsoft 365 Reporter proporciona más de 120 informes gratuitos sobre la administración de Azure AD completamente!
No dejes que las complejidades de la administración de Office 365 te depriman: ¡deja que AdminDroid tome el control!
AdminDroid incluye más de más de 1800 informes y más de 30 paneles de control detallados en Exchange Online, SharePoint Online, Microsoft Teams, OneDrive for Business y todos los demás servicios de Office 365 en una interfaz intuitiva y fácil de usar con elegantes paneles gráficos. ¡Descarga AdminDroid ahora y explora las funciones con una prueba gratuita de 15 días!
Espero que este blog le ayude a detectar quién accedió al buzón de otro usuario e identificar operaciones accidentales o maliciosas realizadas por personas que no son el propietario. Este informe le ayudará con los requisitos de cumplimiento y litigios.