Habilite la auditoría de buzones de correo en usuarios de Office 365 mediante PowerShell
La auditoría de las actividades de los buzones de correo desempeña un papel vital en la seguridad y el cumplimiento. La auditoría de buzones de correo le permite realizar un seguimiento de las acciones de los usuarios en su propio buzón y en los de otros. De este modo, puede realizar un seguimiento de quién inicia sesión en el buzón y qué operaciones se realizan.
Cosas que debe saber antes de habilitar el registro de auditoría del buzón:
Debe conocer una lista de verificación para una auditoría eficaz del buzón de correo antes de habilitarla.
- Todo el mundo cree que la auditoría de buzones de correo está habilitada en Office 365 de forma predeterminada. Pero eso no es 100% cierto. De forma predeterminada, solo se auditan acciones específicas.
El registro de auditoría del buzón incluye acciones realizadas por administradores, delegados y propietarios.
- Auditoría del propietario: actividades realizadas por el propietario del buzón
- Auditoría delegada: acciones realizadas por el usuario con acceso completo, enviar como permiso o enviar en nombre del buzón y administrador con permiso de acceso completo a un buzón.
- Auditoría de administración: cuando las herramientas de Microsoft eDiscovery buscan en el buzón.
- Las acciones de auditoría específicas no se aplican a los roles de delegado o administrador.
- De forma predeterminada, las entradas del registro de auditoría del buzón se conservan durante 90 días. Puede cambiar este período utilizando el parámetro 'AuditLogAgeLimit' .
Habilite el registro de auditoría de buzón en Office 365:
No puede utilizar el Centro de administración de Exchange para habilitar o deshabilitar el registro de auditoría de buzones. Tienes que usar los cmdlets de PowerShell.
En este blog, le mostraremos cómo habilitar fácilmente el registro de auditoría de buzones de correo de Office 365. Le mostraremos varios métodos y podrá elegir el que le resulte más fácil.
1. (Recomendado) Método 1: habilite rápidamente la auditoría de buzones de correo para usuarios de Office 365 (script de PowerShell)
2.Método 2: habilitar el registro de auditoría del buzón en Office 365 (basado en buzones)
Habilitar el registro de auditoría de buzones para un buzón específico
Habilite el registro de auditoría de buzones para todos los buzones
3.Método 3: habilitar la auditoría de buzones en Office 365 de forma predeterminada (para todo el inquilino)
Verifique si el registro de auditoría del buzón está habilitado de forma predeterminada
Cómo darse de baja de la auditoría de buzones de correo predeterminado
Omitir una cuenta de usuario del registro de auditoría del buzón
4.Más cmdlets para configurar el registro de auditoría del buzón
5. ¿Qué acciones se registran en el registro de auditoría del buzón?
Método 1: habilitar rápidamente la auditoría de buzones para usuarios de Office 365 (secuencia de comandos de PowerShell)
He escrito un script para cuidar cada matiz al habilitar la auditoría de buzones de Office 365. Puede simplemente ejecutar una secuencia de comandos para habilitar todas las acciones aplicables en todos los buzones de su entorno. Si es necesario, deberá habilitar la auditoría solo para acciones específicas del buzón.
Descargar script: EnableMBAuditLogging.ps1
Guiones destacados:
- Puede habilitar el registro de auditoría de buzones para todos los buzones utilizando un solo cmdlet
- Este script le permite habilitar la auditoría de buzones para todas las acciones del buzón o conjunto de acciones.
- El script también se puede ejecutar con una cuenta habilitada para MFA.
- Este script instala automáticamente el módulo PowerShell de Exchange Online tras su confirmación.
Cómo ejecutar “Habilitar auditoría de buzones en el script de PowerShell de Office 365”
Este script de PowerShell admite múltiples parámetros/modificadores para una configuración más granular. A continuación enumeramos algunos de los casos de uso.
Nota: Pocas acciones son específicas del tipo de suscripción. Por ejemplo,
- MessageBind disponible para usuarios de E3,
- MailItemsAccessed, SearchQueryInitiated, Send están disponibles para usuarios de suscripción complementaria E5 o E5 Compliance.
1.Habilite el registro de auditoría de buzones para todos los buzones de Office 365:
Para activar el registro de auditoría de buzones para todos los buzones con todas las acciones de buzón admitidas, ejecute el script de la siguiente manera:
./EnableMailboxAuditLogging.ps1Ahora, todas las acciones del buzón se auditan para todos los tipos de inicio de sesión.
2.Active el registro de auditoría del buzón para acciones específicas del buzón:
Si no desea habilitar el registro de auditoría del buzón para las acciones del buzón, puede habilitar el registro de auditoría del buzón para un conjunto de acciones del buzón. Para especificar la lista de acciones del buzón, puede utilizar -Parámetro de operaciones.
./EnableMailboxAuditLogging.ps1 -Operations SendAs,ApplyRecord,CopyEl script anterior permite la auditoría de buzones de correo para las acciones Enviar como, Aplicar registro y Copiar. Puede elegir las acciones que necesite auditar.
Nota: La acción Enviar como está disponible para la auditoría de administrador y delegado y la acción Copiar está disponible solo para la auditoría de administrador. Entonces, el cmdlet anterior permite las siguientes acciones.
Auditoría de administración: Enviar como, Aplicar registro, Copiar
Delegar auditoría: SendAs,ApplyRecord
Auditoría del propietario: ApplyRecord.
3. Habilitar auditoría para inicios de sesión en buzones de correo:
Los inicios de sesión son la actividad común en la mayoría de los patrones de ataque. Dado que los inicios de sesión en los buzones de correo no se auditan de forma predeterminada, es necesario configurar el registro de auditoría para capturar los eventos de inicio de sesión en los buzones de correo. Para habilitar la auditoría de inicios de sesión en buzones de correo, ejecute el script como se muestra a continuación.
./EnableMailboxAuditLogging.ps1 -Operations MailboxLogin
4.Secuencia de comandos de PowerShell para habilitar la auditoría de buzones de correo en Office 365
Puede pasar la credencial como parámetro para conectarse a Exchange Online. Entonces, puedes usar este script de PowerShell en el Programador de tareas.
./EnableMailboxAuditLogging.ps1 -UserName Admin@contoso.com -Password XXXMétodo 2: habilitar la auditoría de buzones en Office 365 (basado en buzones de correo)
Cuando habilita el registro de auditoría de buzones para un buzón, las acciones realizadas por los administradores, delegados y propietarios se registran de forma predeterminada. El cmdlet Set-Mailbox se utiliza para habilitar o deshabilitar el registro de auditoría para el buzón.
Nota: Para habilitar el registro de auditoría del buzón, debes conectar Exchange Online PowerShell. Si su cuenta está habilitada para MFA, puede conectar Exchange Online PowerShell a través del módulo EXO.
Habilitar el registro de auditoría de buzones para buzones específicos:
Para habilitar el registro de auditoría del buzón, ejecute el cmdlet Set-Mailbox con el valor AuditEnabled establecido en $True.
Set-Mailbox -Identity Kathy@Contoso.com -AuditEnabled $TrueEl ejemplo anterior habilita el registro de auditoría del buzón de Kathy.
Set-Mailbox -Identity Kathy@Contoso.com -AuditEnabled $FalseEste código deshabilita el registro de auditoría del buzón de Kathy.
Habilitar el registro de auditoría del buzón para todos los usuarios:
Para habilitar el registro de auditoría de buzones para todos los buzones, ejecute el siguiente código:
Get-Mailbox -Resultsize Unlimited | Select PrimarySmtpAddress | Foreach{
Set-Mailbox -Identity $_.PrimarySMTPAddress -AuditEnabled $true }Esto permitirá la auditoría de buzones para cada buzón disponible en el entorno de Office 365.
Método 3: habilitar el registro de auditoría del buzón para Office 365 de forma predeterminada (para todo el inquilino)
En lugar de configuraciones específicas del buzón, Microsoft lanzó la configuración de registro de auditoría para todo el inquilino. Esta característica habilita la auditoría de buzones de correo de forma predeterminada. es decir, Exchange audita automáticamente el conjunto de acciones realizadas por el administrador, el delegado y el propietario para todos los buzones de correo de los usuarios, los buzones de correo de grupo de Office 365 y los buzones de correo compartidos.
Nota:
- Cuando Microsoft lanza una nueva acción, la acción (precisamente, las acciones que le ayudan a proteger su organización) se agrega automáticamente a las acciones que se auditan de forma predeterminada.
- Si había personalizado las acciones del buzón para auditar antes de que se habilitara la "auditoría de buzón activada de forma predeterminada", la configuración personalizada se conserva y las acciones predeterminadas del buzón no se sobrescriben.
Verificar si el registro de auditoría del buzón está habilitado de forma predeterminada
Para comprobar la configuración, ejecute el cmdlet Get-OrganizationConfig .
Get-OrganizationConfig | Select AuditDisabledDe forma predeterminada, el valor AuditDisabled es $False. Es decir, se realiza un seguimiento de las auditorías. Incluso si la configuración AuditEnabled(obtenida de Get-Mailbox) para el buzón es $false, se audita el conjunto predeterminado de acciones.
¿Cómo cancelar la auditoría de buzones de correo predeterminado?
Para dejar de capturar el registro de auditoría de buzones de correo para todo el inquilino, ejecute el cmdlet Set-OrganizationConfig con AuditDisabledla configuración es verdadera. .
Set-OrganizationConfig -AuditDisabled $TrueEl cmdlet anterior deshabilita el registro de auditoría de buzones predeterminado para todos los buzones.
Omitir una cuenta de usuario del registro de auditoría del buzón:
Cuando su organización activó "habilitar el registro de auditoría del buzón de forma predeterminada", las auditorías del buzón se registran incluso cuando la configuración AuditEnabled del buzón era falsa. Aún así, puede desactivar el registro de auditoría de buzones de correo específicos.
Puede configurar un buzón para omitir el registro de auditoría del buzón, de modo que las acciones realizadas por esa cuenta no se registren. Al omitir las cuentas autorizadas/cuentas confiables que necesitan acceso frecuente a los buzones de correo, puede reducir la avalancha de entradas de auditoría.
Utilice el cmdlet Set-MailboxAuditBypassAssociation para configurar la omisión del registro de auditoría del buzón.
Habilite la "omisión del registro de auditoría del buzón" para una cuenta:
Para omitir una cuenta de usuario del registro de auditoría del buzón, ejecute el siguiente cmdlet:
Set-MailboxAuditBypassAssociation -Identity kathy -AuditBypassEnabled $trueEste ejemplo omite la cuenta de Kathy del registro de auditoría del buzón.
Deshabilitar la "omisión del registro de auditoría del buzón" para una cuenta:
Para deshabilitar la "omisión de auditoría de buzón", ejecute el cmdlet Set-MailboxAuditBypassAssociation con la configuración AuditBypassEnabledfalsa.
Set-MailboxAuditBypassAssociation -Identity Kathy -AuditBypassEnabled $falseEste ejemplo elimina la asociación de omisión de la cuenta Kathy.
Comprobación de asociaciones de buzones de correo:
Para verificar las asociaciones de omisión de auditoría de buzones de correo, ejecute el siguiente cmdlet
Get-MailboxAuditBypassAssociation -ResultSize UnlimitedEl cmdlet anterior recuperará todas las cuentas de usuario configuradas para omitir el registro de auditoría del buzón.
Cmdlets adicionales para configurar el registro de auditoría del buzón:
1.Configure los ajustes de registro de auditoría del buzón para un tipo de inicio de sesión específico (propietario, administrador o delegado)
Set-Mailbox -Identity Kathy -AuditDelegate SendAs,SendOnBehalf -AuditEnabled $trueEste ejemplo enumera las acciones SendAs y SendOnBehalf realizadas por usuarios delegados que se registrarán en el buzón de Kathy.
2.Configure el registro de auditoría del buzón para acciones específicas (Copiar, FolderBind, HardDelete, etc.
Set-Mailbox -Identity Kathy -AuditDelegate HardDelete,SoftDelete -AuditAdmin HardDelete,SoftDelete -AuditOwner HardDelete,SoftDelete -AuditEnabled $trueEl cmdlet anterior audita las acciones HardeDelete y SoftDelete realizadas por todos los tipos de inicio de sesión.
3.Configure el registro de auditoría del buzón para agregar acciones, sin sobrescribir la lista existente
Si ejecuta dos cmdlets superiores, sobrescribirá las listas existentes. Si desea agregar acciones a una lista existente, ejecute el siguiente código.
Tenga en cuenta que AuditDelegate ya se ha configurado para auditar HardDelete y SoftDelete para Kathy.
Set-Mailbox -Identity Kathy -AuditDelegate @{Add=SendAs,SendOnBehalf}En este ejemplo se añaden acciones SendAs y SendOnBehalf a acciones HardDelete y SoftDelete existentes.
4. Aumentar el período de retención de los registros de auditoría.
De forma predeterminada, los registros de auditoría de buzones se conservan durante 90 días. Si desea conservar el registro de auditoría durante más de 90 días, debe aumentar "AuditLogAgeLimit".
Set-Mailbox -Identity Kathy -AuditLogAgeLimit 365Este ejemplo aumenta el límite de antigüedad para las entradas del registro de auditoría del buzón de Kathy a 365 días.
5.¿Cómo sabes que esto funcionó?
Para verificar que haya configurado correctamente el registro de auditoría del buzón, utilice el cmdlet Get-Mailbox
Get-Mailbox -Identity Kathy | Format-List Audit*
El resultado muestra AuditEnabled, AuditLogAgeLimit, acciones configuradas para administrador, delegado y propietario.
6.Muestre las acciones del buzón que se están iniciando para cada tipo de inicio de sesión.
Cuando el buzón tiene varias acciones para cada tipo de inicio de sesión, todas las acciones se muestran utilizando el último cmdlet. Se mostrará como la captura de pantalla a continuación.
Para mostrar todas las acciones que se registraron para un tipo de inicio de sesión específico, utilice el parámetro ExpandProperty .
Aquí, el ejemplo enumera las acciones que se auditaron para el tipo de inicio de sesión AuditDelegate.
Get-Mailbox -Identity Kathy | Select-Object -ExpandProperty AuditDelegate
¿Qué acciones se registran en el registro de auditoría del buzón?
Después de habilitar el registro de auditoría del buzón, puede buscar registros de auditoría mediante el cmdlet Search-MailboxAuditLog.
El registro de auditoría proporciona la siguiente información.
- ¿Quién accedió al buzón y cuándo?
- ¿Qué operaciones se realizan?
- El mensaje afectado y su ubicación en la carpeta.
- Estado de operación. Es decir. si la acción tuvo éxito o fracasó
La siguiente imagen describe las acciones de buzón que están disponibles en el registro de auditoría de buzones para buzones de usuario y buzones compartidos.
Una marca de verificación indica las acciones del buzón que se pueden registrar para el tipo de inicio de sesión (algunas acciones solo están disponibles para un tipo de inicio de sesión específico).
Un asterisco (*) después de la marca de verificación indica las acciones del buzón que se registran de forma predeterminada cuando el registro de auditoría predeterminado está habilitado.
AdminDroid: información y detalles perfectos sobre el registro de auditoría de buzones de Exchange
Hemos explorado cómo habilitar la auditoría de buzones de correo mediante PowerShell y los respectivos casos de uso. ¿Cree que puede obtener el estado de auditoría del buzón de correo sin utilizar un script de PowerShell? ¡Por supuesto que sí! Veámoslo en detalle.
¿Cómo mejora AdminDroid la experiencia de informar el registro de auditoría del buzón?
La herramienta de informes AdminDroid Exchange Online proporciona un panel explícito e informes estadísticos para las configuraciones de auditoría de buzones. Veamos cómo las estadísticas le ayudan a mantenerse actualizado sobre los cambios en la configuración del buzón.
Panel de auditoría intuitivo del buzón
El "Desglose de la configuración de auditoría del buzón" muestra información clara sobre las acciones auditables del propietario del buzón, el delegado del buzón y el administrador.
Informes completos de auditoría de buzones de correo
Obtenga informes sobre las configuraciones de auditoría de buzones, incluidos buzones habilitados para auditoría, buzones de correo deshabilitados para auditoría, acciones auditables de administrador, acciones auditables de propietario y acciones auditables delegadas con detalles detallados. Por lo tanto, los administradores pueden encontrar fácilmente las acciones auditables que faltan y habilitarlas para cualquier buzón.
Además, AdminDroid es una herramienta integral para auditar las actividades de los buzones de correo en Microsoft 365, incluido el acceso de no propietarios, el acceso de invitados, operaciones de mensajes masivos, configuraciones de reglas de la bandeja de entrada, cambios de permisos de buzones, ATP, cambios de alcance de funciones y más. La herramienta proporciona informes detallados con gráficos detallados, lo que le permite monitorear y analizar los datos del buzón sin esfuerzo. Puede configurar alertas para actividades cruciales del buzón de correo en tiempo real o programar informes para monitorear los datos en el momento preferido. ¡Empiece a explorar la herramienta de auditoría AdminDroid Exchange Online hoy mismo y mejore la gestión de su buzón de correo de Microsoft 365 sin esfuerzo!
No se limite a la gestión de Exchange Online de AdminDroid. Va más allá y ofrece informes detallados y características interesantes para un conjunto completo de servicios de Microsoft 365. ¡Echa un vistazo a AdminDroid ahora y disfruta de sus numerosas funciones!
En este blog, hemos visto cómo habilitar la auditoría de buzones a través de PowerShell. ¿Cuál es su enfoque preferido cuando se trata de auditoría de buzones de correo? Háganos saber su opinión en la sección de comentarios.