Auditar cambios de membresía del grupo en M365 usando PowerShell

Monitorear los cambios que se están produciendo en Microsoft 365 es esencial para las organizaciones que priorizan una seguridad sólida. Uno de esos aspectos importantes para garantizar la seguridad es el proceso de seguimiento de los cambios de membresía del grupo en Microsoft 365. Auditar los cambios de membresía del grupo ayuda a los administradores a garantizar el cumplimiento , investigue cualquier incidente sospechoso y administre la responsabilidad del usuario en Microsoft 365.

En este blog, exploraremos las opciones disponibles para facilitar el seguimiento de los cambios de membresía del grupo. Además, profundizaremos en un script de PowerShell versátil que le permite generar más de 10 informes para auditar los cambios en la membresía del grupo.

¿Cómo realizar un seguimiento de los cambios en la membresía de grupos en Azure Active Directory?

Al utilizar cualquiera de los siguientes métodos, puede auditar los cambios de membresía del grupo en Microsoft 365:

Registros de auditoría de Microsoft Purview: Los registros de auditoría unificados en Microsoft 365 se pueden usar para realizar un seguimiento de los cambios de membresía del grupo. Al aplicar filtros al campo Actividades como “Miembro agregado al grupo” y “Miembro eliminado del grupo” se pueden encontrar todos los cambios de membresía del grupo realizados en M365. Aunque los registros de auditoría de Microsoft 365 resultantes se pueden exportar, no se pueden programar ni personalizar según sus preferencias.

Registros de auditoría de ID de Entra: Aplicar el filtro “GroupManagement” para el campo Categoría en los registros de auditoría del directorio activo de Azure le permite realizar un seguimiento de las actividades de administración de grupos. realizado en M365. Sin embargo, puede ser necesario aplicar filtros adicionales al campo Actividad para obtener el informe deseado, pero vale la pena señalar que los informes se limitan a los últimos 30 días.

PowerShell: si bien el cmdlet “Search-UnifiedAuditLog” tiene la capacidad de producir el informe deseado superando los desafíos anteriores, también tiene algunos inconvenientes. . Este cmdlet proporciona registros de auditoría en formato JSON, que requieren un procesamiento adicional para extraer la información deseada.

Para mitigar los desafíos mencionados anteriormente, hemos creado un script de PowerShell. Este script simplifica el proceso de seguimiento, capturando las incorporaciones o eliminaciones de miembros y propietarios en todos los grupos. Además, recupera el nombre del grupo, el UPN del miembro agregado o eliminado y la marca de tiempo del evento. ¡Empecemos!

Descargar script: AuditGroupMembershipChanges.ps1

Aspectos destacados del guión

1. El script exporta más de 10 informes de cambios de pertenencia a grupos.
2. El script también se puede ejecutar con cuentas habilitadas para MFA.
3. Exporta los resultados de la auditoría a formato de archivo CSV en el directorio de trabajo.
4. La secuencia de comandos recupera el registro de cambios de membresía del grupo durante 180 días, de forma predeterminada.
5. Le permite obtener los informes de auditoría para unperíodo personalizado.
6. Proporciona detalles sobre miembros y propietarios del grupo agregados o eliminados.
7. El script puede recuperar cambios de membresía de usuarios externos en todos los grupos.
8. Audita las modificaciones de membresía realizadas por un usuario específico.
9. El script rastrea cambios de membresía en grupos sensibles.
10. Instala automáticamente el módulo EXO tras su confirmación.
11. El script es compatible con el programador, es decir, las credenciales se pueden pasar como parámetro.
12. El script también admite la autenticación basada en certificados (CBA).

Resultado de muestra

El script exporta el informe de auditoría de los cambios de membresía del grupo a CSV en el formato especificado:

¿Cómo ejecutar el script "Auditar cambios en la membresía del grupo"?

1. Descargue el script de PowerShell proporcionado y ábralo en Windows PowerShell.
2. Ejecute el script utilizando uno de los siguientes métodos:

Método 1: Puede ejecutar el script para cuentas MFA y no MFA utilizando el siguiente formato.

.\AuditGroupMembershipChanges.ps1

La ejecución del script anterior exporta los cambios de membresía del grupo realizados en los últimos 180 días.

Método 2: Para un enfoque desatendido, ejecute el script con las credenciales explícitas (compatible con el Programador).

.\AuditGroupMembershipChanges.ps1 -UserName <UPN> -Password <Password>

Con este método, puede programar el script utilizando el programador de tareas para cuentas de administrador que no sean MFA. Si la cuenta de administrador utiliza autenticación multifactor, puede desactivar MFA a través de la política de acceso condicional para la ejecución exitosa del script programado.

Método 3: Para la autenticación basada en certificados, ejecute el script utilizando los siguientes parámetros esenciales.

.\AuditGroupMembershipChanges.ps1 -Organization <Domain> -ClientId <AppId> -CertificateThumbprint <CertThumbPrint>

Para ejecutar este script de PowerShell con las credenciales basadas en certificados, registre una aplicación en Entra ID. Puede utilizar un certificado emitido por una autoridad certificadora o crear un certificado SSL autofirmado, que suele ser el preferido por muchos administradores para escenarios internos.

Auditar cambios en la membresía del grupo en Microsoft 365 usando PowerShell

Este script de PowerShell ayuda a realizar un seguimiento de los cambios en la actividad del grupo al habilitar las siguientes operaciones.

1. Cambios de membresía/propiedad del grupo de auditoría en los últimos 180 días
2. Seguimiento de los cambios de membresía del grupo entre un período personalizado
3. Recuperar los cambios de membresía de usuarios de grupos solo
4. Obtenga un historial de cambios de propietario en grupos
5. Buscar usuarios externos agregados o eliminados de grupos
6. Auditar cambios de membresía en grupos sensibles
7. Seguimiento de los cambios de membresía realizados por un usuario
8. Exporte informes de auditoría de membresía de grupo más granulares

1. Auditoría de cambios de propiedad/membresía del grupo en los últimos 180 días

Para generar las actividades de membresía del grupo realizadas en toda la organización, simplemente ejecute el script sin ningún parámetro.

.\AuditGroupMembershipChanges.ps1

Esto exportará cualquier cambio realizado a los miembros y propietarios del grupo dentro de su entorno de Microsoft 365 durante los últimos 180 días.

Si bien la ejecución recupera los cambios de membresía del grupo en todos los grupos de M365, también puede auditar la membresía del grupo en línea de SharePoint mediante PowerShell.

2. Seguimiento de cambios en la membresía del grupo dentro de un período personalizado

Si bien este script tiene la capacidad de exportar datos de los últimos 180 días, puede filtrar y exportar resultados para un período más corto específico. Para lograr esto, utilice los parámetros StartDate y EndDate. En caso de un incidente de seguridad, analizar los cambios en la membresía de los usuarios en el momento del incidente puede ayudar a identificar posibles puntos de entrada.

.\AuditGroupMembershipChanges.ps1 -StartDate 01/31/2024 -EndDate 02/29/2024

La ejecución anterior exportará el registro de auditoría de propiedad y membresía del grupo para el período comprendido entre el 31 de enero de 2024 y el 29 de febrero de 2024.

3. Recuperar los cambios de membresía de los grupos solo

Recuperar cambios de membresía solo en grupos de Microsoft 365, mientras se ignoran los cambios de propietario, puede mejorar el enfoque organizacional al identificar modificaciones específicas del usuario. Esto garantiza un enfoque más específico para eliminar usuarios de los grupos y minimizar el riesgo de acceso no autorizado y violaciones de datos.

.\AuditGroupMembershipChanges.ps1 -MembershipChangesOnly

La ejecución del script con el parámetro “MembershipChangesOnly” como se especifica anteriormente recuperará solo los cambios de membresía en todos los grupos de Microsoft 365.

Al comprender los grupos de Microsoft 365 de los que es miembro un usuario, los administradores pueden asignar permisos con precisión, monitorear la actividad del grupo y garantizar que los datos confidenciales estén protegidos de manera efectiva.

4. Obtener un historial de cambios de propietario en grupos de Microsoft 365

Al igual que el seguimiento de los cambios de membresía en los grupos de Microsoft 365, puede monitorear los propietarios agregados o eliminados de los grupos. La supervisión de los cambios de propietarios de grupos en Microsoft 365 le ayuda a garantizar una transferencia fluida de responsabilidades administrativas.

.\AuditGroupMembershipChanges.ps1 -OwnershipChangesOnly

La ejecución del script con el parámetro “OwnershipChangesOnly” recuperará los cambios de propietario del grupo de Microsoft 365 en los últimos 6 meses.

Nota: Este script no se puede utilizar para realizar un seguimiento de los cambios de propiedad en las listas de distribución.

5. Buscar usuarios externos agregados o eliminados de grupos

La identificación de los invitados y usuarios externos agregados a los grupos permite a los administradores mantener un entorno más vigilante al abordar cualquier posible acceso no autorizado. El uso del parámetro “ExternalUserChangesOnly” enumerará la manipulación del usuario externo en los grupos de M365.

.\AuditGroupMembershipChanges.ps1 -ExternalUserChangesOnly

El formato anterior exportará todos los usuarios externos e invitados agregados o eliminados de todos los grupos en los últimos 6 meses como un archivo CSV.

Además, puede auditar las actividades de los usuarios externos en Microsoft 365 para detectar y responder a cualquier actividad sospechosa.

6. Auditar cambios de membresía en grupos sensibles

En Microsoft 365, auditar los cambios de membresía es especialmente esencial para grupos que contienen datos confidenciales, recursos o acceso privilegiado. Auditar los cambios de membresía en dichos grupos ayuda a rastrear quién agregó o eliminó miembros, garantizando el cumplimiento del grupo e identificando adiciones no autorizadas. Para recuperar los cambios de membresía de un grupo en particular, utilice el parámetro “GroupName” como se describe aquí.

.\AuditGroupMembershipChanges.ps1 -GroupName “Governing Board Members”

La ejecución anterior recuperará las actividades de membresía realizadas en el grupo denominado "Miembros de la Junta Directiva" durante los últimos 180 días.

También puede pasar el GUID del grupo utilizando el parámetro “GroupId”. Por ejemplo,

.\AuditGroupMembershipChanges.ps1 -GroupId “c4b3b726-7790-4557-a400-b3d18973185b"

7. Seguimiento de cambios en la membresía del grupo realizados por un usuario específico

Como administrador de Microsoft 365, puede supervisar los cambios de propiedad y de membresía realizados por cualquier individuo. Esto permite la investigación de posibles problemas de seguridad si se identifica alguna actividad sospechosa.

.\AuditGroupMembershipChanges.ps1 -PerformedBy David@contoso.com

Este formato exportará un archivo CSV que contiene detalles sobre los miembros o propietarios del grupo agregados o eliminados por David.

8. Exporte informes de auditoría de membresía de grupo más granulares

Si bien las ejecuciones anteriores brindan información valiosa sobre las actividades de membresía del grupo para diversos casos de uso, las capacidades del script no están limitadas. Al combinar diferentes parámetros, puede generar informes más detallados que se alinean perfectamente con sus requisitos específicos. A continuación se muestran algunos ejemplos de informes de auditoría granulares que se pueden generar utilizando este script.

• Para monitorear los cambios de membresía del grupo (propietarios y miembros) realizados en un grupo en particular por un usuario específico, utilice la siguiente ejecución.

.\AuditGroupMembershipChanges.ps1 -PerformedBy David@contoso.com -GroupName “Governing Board Members”

Este formato exportará solo los cambios de membresía realizados por David en el grupo "Miembros de la Junta Directiva" en los últimos 180 días.

• Para realizar un seguimiento de los cambios de propiedad realizados por un usuario específico, ejecute el script como se muestra a continuación.

.\AuditGroupMembershipChanges.ps1 -PerformedBy David@contoso.com -OwnershipChangesOnly

La ejecución anterior recuperará los cambios de propiedad realizados por David en todos los grupos.

• Para monitorear los cambios de membresía/propiedad del grupo que tuvieron lugar en un grupo específico dentro de un rango de tiempo personalizado, utilice la ejecución que se proporciona a continuación.

.\AuditGroupMembershipChanges.ps1 -StartDate 02/01/2024 -EndDate 02/29/2024 -GroupName “Governing Board Members”

La ejecución anterior exportará la membresía y propiedad que tuvo lugar en el grupo "Miembros de la Junta Directiva" durante el período comprendido entre el 1 de febrero de 2024 y el 29 de febrero de 2024.

De manera similar, puede combinar varios parámetros para recuperar informes de auditoría más granulares.

AdminDroid: ¡supervise las actividades grupales de Microsoft 365 de forma gratuita!

Sin embargo, el script de PowerShell ayuda a auditar los cambios de membresía del grupo con varios filtros; los administradores pueden buscar herramientas con características y opciones adicionales. Si se encuentra en tal situación, AdminDroid es la mejor opción, ya que ofrece informes generales para Microsoft 365 con personalización y representación gráfica.

AdminDroid ofrece una variedad de informes gratuitos de grupos de Microsoft 365 para administrar y monitorear grupos de manera efectiva en toda su organización.

Informes grupales de Microsoft 365

• Informe de todos los grupos.
• Informe de membresía del grupo
• Informe de grupos anidados
• Informe de membresía y grupos de distribución
• Grupos habilitados para correo y grupos de seguridad
• Grupos en la nube y grupos sincronizados
• Grupos vacíos y tamaño de grupos por número de miembros y más

Informes de auditoría de grupo de Microsoft 365

• Creaciones de grupos de auditoría
• Seguimiento de cambios en las propiedades del grupo
• Supervisar los cambios de membresía del grupo
• Monitorear los cambios de propiedad
• Identificar cambios de licencia de grupo
• Encuentra grupos eliminados y más

El gratuita La herramienta de auditoría de Azure AD ofrece una amplia colección de información que rastrea los cambios que se producen en Microsoft 365. Con esto, puede supervise los inicios de sesión de los usuarios, las actividades de los usuarios, las actividades de los grupos, los cambios de contraseña, las actividades de las aplicaciones, etc. Además, la herramienta de informes de Azure AD le ayuda a visualizar el resumen actual de los usuarios, grupos, administradores, suscripciones y licencias de M365.

Además de la gestión de Entra ID con más de 120 informes GRATIS, AdminDroid amplía sus capacidades para cubrir todos los servicios de Microsoft 365 con más de 1800 informes previos. -Informes creados y más de 30 paneles. La herramienta de informes AdminDroid M365 ofrece una edición premiumGRATUITA durante 15 días, que incluye funciones integrales como informes, auditoría, análisis y seguridad y cumplimiento.

Para sus necesidades de auditoría e informes de Microsoft 365, descargue AdminDroid hoy y sea testigo de cómo puede ayudarle.

Si necesita una aclaración o tiene dudas sobre cómo obtener informes más detallados para auditar los cambios en la membresía del grupo, comuníquese con nosotros a través de la sección de comentarios. ¡Estén atentos a o365reports para obtener guías y blogs administrativos de Microsoft 365 más interesantes!