Auditar el acceso a archivos en SharePoint Online mediante PowerShell

Los archivos de SharePoint son cruciales para la colaboración de Microsoft 365, ya que abarcan documentos, hojas de cálculo, presentaciones y más. A pesar de facilitar el trabajo en equipo, sin una gestión eficaz surgen desafíos como conflictos, problemas de versiones y dificultades de control de acceso. Además, la dinámica de uso compartido en SharePoint Online agrega complejidad, accesible tanto para usuarios internos como externos. Los riesgos incluso aumentan cuando los archivos críticos enfrentan una eliminación o alteración no autorizada. Por lo tanto, auditar el acceso a archivos en SharePoint Online es esencial para proteger datos confidenciales, comprender cómo los usan las personas y detectar cualquier actividad sospechosa.

¿Cómo auditar el acceso a archivos en SharePoint Online?

Para auditar el acceso a un archivo en SharePoint Online, puede usar dos métodos: registros de auditoría de Microsoft 365 o PowerShell.

1. Registros de auditoría de Microsoft 365: los registros de auditoría unificados permiten auditar el acceso a archivos en SharePoint Online a través del filtro "Archivo accedido". Sin embargo, estas búsquedas de registros de auditoría no se pueden personalizar ni programar.
2. PowerShell: al emplear el cmdlet “Search-UnifiedAuditLog” , puede auditar el uso de archivos en SharePoint Online. Sin embargo, tiene limitaciones como registros de alcance inciertos y la necesidad de realizar múltiples llamadas.

Para simplificar este proceso, hemos creado un script de PowerShell que audita e informa sin esfuerzo el acceso a archivos en SharePoint Online y OneDrive para su organización.

Descargar script: AuditFileAccess.ps1

Auditar el acceso a archivos en SharePoint Online: aspectos destacados del script

1. El script emplea una autenticación moderna para recuperar registros de auditoría.
2. El script se puede ejecutar con cuentas habilitadas para autenticación multifactor (MFA) sin problemas.
3. El script recupera el registro de auditoría de acceso a archivos de los últimos 180 días de forma predeterminada.
4. Permite generar un informe de auditoría de acceso a archivos personalizado para cualquier período deseado.
5. Localiza fácilmente los archivos a los que se accedió recientemente en SharePoint Online, como los archivos abiertos en los últimos 30 días.
6. Exporta sin esfuerzo los resultados del informe de auditoría a un archivo CSV.
7. Identifica archivos a los que acceden usuarios externos o invitados para mejorar el conocimiento de la seguridad.
8. Supervisa todos los archivos a los que accede un usuario específico para un seguimiento completo.
9. El script está diseñado para realizar un seguimiento del acceso a archivos dentro de SharePoint Online y OneDrive por separado.
10. Tras la confirmación, el script instala automáticamente el módulo EXO si aún no está instalado.
11. El script es compatible con el programador y permite pasar credenciales como parámetros.
12. Admiteautenticación basada en certificados (CBA) para una capa adicional de seguridad.

Informe de acceso a archivos de SharePoint Online: resultado de muestra

El informe de acceso a archivos de SharePoint Online exportado incluye los siguientes atributos esenciales:

• Hora de acceso al archivo
• Archivo accedido por
• Archivo accedido
• Sitio URL
• Extensión de archivo
• Carga de trabajo

El informe será similar a la captura de pantalla siguiente.

Métodos de ejecución de scripts

1. Descargue el script de PowerShell proporcionado y ábralo en Windows PowerShell.
2. Ejecute el script utilizando uno de los siguientes métodos:

Método 1: Ejecute el script con cuentas MFA y no MFA.

./AuditFileAccess.ps1

Método 2: Ejecute el script con credenciales explícitas para un enfoque desatendido.

./AuditFileAccess.ps1 -UserName <UPN> -Password <Password>

Puede programar el script de PowerShell utilizando el Programador de tareas con el código proporcionado. Tenga en cuenta que este método es exclusivo para cuentas que no son MFA. Si la cuenta de administrador utiliza autenticación multifactor, considere deshabilitar MFA a través de la política de acceso condicional para que el script programado se ejecute correctamente.

Método 3: Para un enfoque desatendido, ejecute el script mediante autenticación basada en certificados (compatible con el programador). Especifique el ID de la aplicación, la huella digital del certificado y la organización.

Tiene la opción de utilizar una autoridad certificadora (CA) o un certificado autofirmado según sus preferencias en este proceso.

./AuditFileAccess.ps1 -AppId <ClientId> -CertificateThumbprint <Certthumbprint> -Organization <Organization>

NOTA: Para implementar este método de autenticación, debe registrar una aplicación en Azure AD.

Auditar el acceso a archivos en SharePoint Online mediante PowerShell Script

Este script de PowerShell facilita la administración eficiente de SharePoint Online al permitir las siguientes operaciones.

1. Seguimiento del acceso a archivos en SPO durante los últimos 180 días
2. Auditar el acceso a archivos SPO durante un período personalizado
3. Encuentre archivos a los que accedió recientemente en SharePoint Online
4. Archivos de SharePoint y OneDrive a los que accede un usuario específico
5. Ver el acceso a archivos de usuarios externos en SharePoint Online
6. Seguimiento de los accesos a archivos de SharePoint Online
7. Identificar el acceso a archivos de OneDrive en Microsoft 365
8. Encuentre archivos de SharePoint Online a los que accedió un usuario específico
9. Ver archivos de OneDrive a los que accede un usuario en particular
10. Enumere los archivos SPO a los que accedió un usuario específico en un período personalizado

1. Seguimiento del acceso a archivos en SPO durante los últimos 180 días

Los administradores suelen utilizar el cmdlet de PowerShell Search-UnifiedAuditLog para generar un informe de 90 días para el acceso a archivos de SharePoint Online. Con la reciente extensión de la retención de registros de auditoría a 180 días, los administradores ahora tienen un plazo más amplio. Esto les permite recuperar y analizar registros de auditoría, mejorando significativamente su capacidad para identificar y responder a posibles amenazas a la seguridad.

Para exportar el historial de acceso a archivos de SharePoint Online durante el período de 180 días, los administradores pueden usar el siguiente script.

./AuditFileAccess.ps1

2. Auditar el acceso a archivos SPO durante un período personalizado

En el ámbito de SharePoint Online, es necesario cumplir con requisitos de cumplimiento específicos. Personalizar el período de auditoría en SharePoint Online se vuelve vital para garantizar que la organización se alinee con estos estándares de cumplimiento de manera efectiva. El uso de parámetros como -StartDate y -EndDate le permite generar un informe de acceso a archivos de SharePoint Online para un cliente personalizado. período.

./AuditFileAccess.ps1 -StartDate 09/25/23 -EndDate 01/21/24

El ejemplo proporcionado exporta datos de uso de archivos de SharePoint Online para el período comprendido entre el 25 de septiembre de 2023 y el 21 de enero de 2024.

3. Buscar archivos a los que se accedió recientemente en SharePoint Online

La supervisión de los archivos a los que se accedió recientemente en SharePoint Online actúa como un sistema de alerta temprana sobre problemas de seguridad. Los patrones de acceso anómalos o inesperados pueden ser indicativos de una amenaza a la seguridad, y una detección rápida es fundamental para mitigar los riesgos asociados.

./AuditFileAccess.ps1 -RecentlyAccessedFiles_In_Days 30

En este ejemplo, el parámetro “RecentlyAccessFiles_In_Days” se establece en 30, lo que indica el período de tiempo deseado para la consulta. Por lo tanto, el script obtiene detalles sobre los archivos de SharePoint a los que se accedió en los últimos 30 días.

4. Archivos de SharePoint y OneDrive a los que accede un usuario específico de Microsoft 365

El seguimiento de las interacciones de los usuarios con archivos en SharePoint y OneDrive es importante. Considere un escenario en el que un usuario accede accidentalmente a un archivo confidencial. Exportar y ordenar todos los archivos a los que se accede en SharePoint Online y OneDrive para identificar un archivo específico al que accede un usuario puede suponer un desafío.

¡Ahí es donde entra en juego el parámetro “AccessedBy” ! Utilice el siguiente script para identificar fácilmente los archivos de SharePoint y OneDrive manejados por un usuario específico.

./AuditFileAccess.ps1 -AccessedBy lisa@contoso.com

Nota: Tan crucial como monitorear el acceso a los archivos, auditar las descargas de archivos en SharePoint también tiene la misma importancia. Más importante aún, es recomendable implementar el control de sesión "Frecuencia de inicio de sesión: cada vez" en el acceso condicional para solicitar la reautenticación de los usuarios que acceden a sitios SPO cruciales.

5. Ver acceso a archivos de usuarios externos en SharePoint Online

Los usuarios de Microsoft 365 frecuentemente comparten contenido con entidades externas como socios, proveedores, clientes o clientes. Sin embargo, es imperativo garantizar que estos usuarios externos solo accedan a los archivos destinados a ellos y que los usuarios compartan solo los archivos necesarios.

Por lo tanto, auditar el acceso a archivos de usuarios externos en SharePoint Online es esencial para evitar la fuga de datos y el acceso no autorizado a contenido confidencial. Ejecute el siguiente cmdlet para auditar los archivos a los que acceden usuarios externos en SharePoint Online y OneDrive.

./AuditFileAccess.ps1 -FileAccessedByExternalUsersOnly

6. Seguimiento de los accesos a archivos de SharePoint Online

Si bien OneDrive sirve como almacenamiento personal y SharePoint como almacenamiento colaborativo, vale la pena señalar que estas cargas de trabajo suelen estar interconectadas. Para exportar con precisión los accesos a archivos de SharePoint Online, utilice el siguiente script con el parámetro “SharePointOnlineOnly” . Esto ayuda a diferenciar y apuntar específicamente a archivos dentro de SharePoint.

./AuditFileAccess.ps1 -SharePointOnlineOnly

7. Buscar archivos de SharePoint Online a los que accede un usuario específico

Sin configurar los niveles de permisos adecuados de SharePoint Online, los usuarios no autorizados pueden obtener acceso a archivos SPO confidenciales. Monitorear los archivos de SharePoint a los que acceden usuarios específicos es esencial para mantener los permisos adecuados y garantizar el acceso autorizado dentro de SharePoint. Para lograr esto, puede utilizar el siguiente cmdlet para exportar una lista de archivos de SharePoint a los que accede un usuario específico en Microsoft 365.

./AuditFileAccess.ps1 -AccessedBy lisa@contoso.com -SharePointOnlineOnly

8. Identificar el acceso a archivos de OneDrive en Microsoft 365

La supervisión de archivos se extiende más allá de SharePoint; También es crucial para OneDrive. Realizar un seguimiento de los archivos de OneDrive a los que se accede ayuda a identificar el contenido compartido, administrar el acceso y evitar la exposición inadvertida de los datos.

Para abordar estas inquietudes, utilice el siguiente script para identificar los archivos de OneDrive a los que accedió en los últimos seis meses, junto con detalles sobre el usuario que accedió a ellos.

./AuditFileAccess.ps1 -OneDriveOnly

9. Ver archivos de OneDrive a los que accedió un usuario concreto

En el contexto de los ataques de ransomware, OneDrive se convierte en el objetivo principal de los atacantes. Dada la prevalencia de las prácticas de traer su propio dispositivo (BYOD), los archivos de OneDrive suelen ser accesibles y descargables en numerosos dispositivos no administrados. Por lo tanto, es imperativo monitorear de cerca los archivos de OneDrive a los que accede un usuario específico.

./AuditFileAccess.ps1 -AccessedBy lisa@contoso.com -OneDriveOnly

El ejemplo anterior recupera los archivos de OneDrive a los que accede lisa@contoso.com.

10. Enumere los archivos SPO a los que accede un usuario específico en un período personalizado

Si la cuenta de un usuario se ve comprometida, monitorear de cerca los archivos a los que accede ayuda a comprender el impacto del compromiso. Este enfoque proactivo brinda a los administradores información sobre las actividades, modificaciones e intentos de filtración de datos de los usuarios comprometidos para una mitigación de amenazas rápida y específica.

Utilice el siguiente script para realizar un seguimiento del acceso a un archivo en SharePoint Online por parte de un usuario específico durante un período personalizado.

./AuditFileAccess.ps1 -AccessedBy lisa@contoso.com -StartDate 08/27/23 -EndDate 01/21/24

El ejemplo proporcionado recupera los archivos a los que accedió lisa@contoso.com dentro del período comprendido entre el 27 de agosto de 2023 y el 21 de enero de 2024.

Hemos cubierto la auditoría del acceso a archivos en SharePoint Online mediante PowerShell. Pero si PowerShell no es lo tuyo o recién estás comenzando, ¡no te preocupes!

Presentamos AdminDroid Microsoft 365 Reporter: ¡la solución sencilla y sin complicaciones para auditar el acceso a archivos en SharePoint Online!

¡Simplifique sus auditorías de archivos de SharePoint Online con AdminDroid!

AdminDroid le permite realizar auditorías de acceso a archivos en SharePoint Online sin esfuerzo. Con AdminDroid, puede obtener información detallada sobre diversas actividades de acceso a archivos, que incluyen:

• Archivos accedidos
• Acceder a archivos extendidos
• Eliminaciones de archivos
• Actividades de gestión de archivos.
• Archivos restaurados
• Archivos modificados
• Archivos registrados
• Archivos retirados

Y la lista no termina ahí: ¡AdminDroid brinda una cobertura aún más completa! Además de la auditoría de acceso a archivos, la herramienta de auditoría de SharePoint Online AdminDroid simplifica la auditoría de varios aspectos de SharePoint, como colecciones de sitios, permisos, grupos y uso compartido de sitios. , acciones DLP, carpetas y actividades de página.

Además, la herramienta de informes de SharePoint Online ofrece informes granulares sobre el uso del sitio de SharePoint, usuarios inactivos, listas de SharePoint, bibliotecas de documentos y mucho más. Estos informes detallados garantizan una gestión eficiente de SharePoint Online.

Sin embargo, AdminDroid va más allá de la gestión de SharePoint Online; ¡Es su solución todo en uno para informes y auditorías de Microsoft 365! Con más de 1800 informes completos y 30+ paneles con tecnología de IA , AdminDroid proporciona una inmersión profunda en servicios como Microsoft Entra ID, Exchange Online, MS Teams, OneDrive, Power BI, Stream y Viva Engage.

Mejore su experiencia de generación de informes y monitoreo con funciones como alertas rápidas, programación, delegación de acceso granular, y filtros de personalización avanzados.

No pierdas la oportunidad de explorar el sofisticado mundo de la administración de Microsoft 365 con una prueba de 15 días. ¡Haga clic en el botón de descarga de AdminDroid ahora y revolucione su experiencia de administración de Microsoft 365!

En conclusión, aprovechar los scripts de PowerShell para auditar el acceso a archivos en SharePoint Online demuestra ser un punto de inflexión para las organizaciones que buscan mayor seguridad y cumplimiento. Al automatizar el proceso de auditoría, los administradores pueden obtener información detallada sobre las actividades de los usuarios, mejorando la seguridad de los archivos confidenciales de SharePoint Online. Además, puede crear alertas SPO para archivos confidenciales o bibliotecas de documentos completas para realizar un seguimiento de los cambios en el contenido del sitio en tiempo real, reduciendo la pérdida de datos.

Confiamos en que este blog le haya permitido auditar eficazmente el acceso a archivos de SharePoint en Microsoft 365. Para consultas o más ayuda, no dude en contactarnos a través de la sección de comentarios a continuación. ¡Manténgase seguro y audite con confianza!