Seguimiento de las actividades de los usuarios externos en Microsoft 365 mediante PowerShell

A medida que las organizaciones dependen cada vez más de Microsoft 365 para sus operaciones diarias, la salida juega un papel importante en el mantenimiento de la seguridad empresarial y el gobierno de los datos. La baja de Microsoft 365 va más allá de simplemente desactivar una cuenta de correo electrónico, ya que implica la eliminación del acceso de los usuarios a varias aplicaciones y servicios de Microsoft 365, como SharePoint, OneDrive, Teams, etc.

Los administradores deben seguir las mejores prácticas de salida de Office 365 y deben utilizar las herramientas de salida de Microsoft 365 para evitar riesgos relacionados con los datos en la organización. También es posible que los administradores automaticen la baja de usuarios de M365 mediante flujos de trabajo del ciclo de vida, lo que agiliza la tarea de administración de usuarios al igual que Power Automate. Una vez que se completa la baja, también es fundamental que los administradores verifiquen que los empleados salientes ya no tengan acceso a los recursos de la empresa. Un método para garantizar esto es auditar minuciosamente los registros de la actividad de los usuarios externos de Microsoft 365.

¿Por qué los administradores deberían auditar la actividad de los usuarios desconectados?

Auditar la actividad de los usuarios externos en Microsoft 365 es crucial por varias razones, incluida la seguridad, el cumplimiento y la protección de datos.

1. Razones de seguridad: La auditoría ayuda a detectar y prevenir intentos de acceso mediante credenciales comprometidas, incluso después de desactivar una cuenta de usuario.
2. Protección de datos: Los administradores pueden realizar un seguimiento de los usuarios desconectados para asegurarse de que no intenten acceder o descargar datos confidenciales, protegiéndolos contra posibles infracciones.
3. Requisitos de cumplimiento: Para cumplir con las regulaciones de la industria, la auditoría proporciona un registro claro del acceso a los datos, lo que ayuda en la verificación del cumplimiento y demuestra el cumplimiento de los estándares.
4. Fines legales y de investigación: En caso de un incidente de seguridad o una violación de datos, monitorear las actividades de los usuarios externos ayuda a comprender el alcance del incidente. Además, el registro de auditoría de los usuarios externos sirve como una copia de seguridad útil para futuras referencias e investigaciones legales.
5. Prevención de amenazas internas: Auditar la actividad de los usuarios externos ayuda a identificar cualquier comportamiento inusual o sospechoso que pueda indicar intenciones maliciosas, evitando posibles daños a la organización.

Auditar la actividad del usuario desconectado con PowerShell

Dada la naturaleza dinámica de los portales de administración y las interfaces de usuario de Microsoft 365, a muchos administradores les resulta más conveniente utilizar PowerShell para sus tareas. Si bien la búsqueda de registros de auditoría de Microsoft Purview y el cmdlet Search-UnifiedAuditLog ofrecen algunas capacidades a este respecto, es posible que no proporcionen una vista completa ni permitan una personalización exhaustiva. Si el proceso de recuperación de datos no se ejecuta con precisión, existe el riesgo de una posible pérdida de datos.

Para abordar este desafío: opte por un script dinámico de PowerShell para auditar sin problemas las actividades de los usuarios externos y superar los desafíos sin esfuerzo.

Aspectos destacados del guión

1. La secuencia de comandos utiliza una autenticación moderna para conectarse a Exchange Online.
2. El script también se puede ejecutar con cuentas habilitadas para MFA.
3. Exporta los resultados del informe a un archivo CSV .
4. El script exporta el registro de auditoría durante 180 días de forma predeterminada.
5. Le permite realizar un seguimiento del informe de registro de auditoría durante un período personalizado.
6. Automáticamente instala el módulo EXO (si aún no está instalado) tras su confirmación.
7. El script es compatible con el programador. Es decir, las credenciales se pueden pasar como parámetro en lugar de guardarlas dentro del script.
8. El script admite la autenticación basada en certificados (CBA).

Descarga de script: TrackOffboardedM365UserActivities.ps1

Informe de actividad de usuarios externos de Microsoft 365: pasos de ejecución del script:

1. Descargue el script e inicie Windows PowerShell.
2. Seleccione cualquiera de los métodos proporcionados para ejecutar el script.

Método 1: Puede ejecutar el script con cuentas MFA y no MFA.

./TrackOffboardedM365UserActivities.ps1 -UserId <OffboardingUserUPN>

Nota: debe ingresar el nombre de usuario del empleado que se retira.

Método 2: Ejecute el script con credenciales explícitas (compatible con el programador).

./TrackOffboardedM365UserActivities.ps1 -UserId <OffboardingUserUPN> -AdminName <ExecutingAdminUPN> -Password <Password>

Si bien el método es compatible con los programadores, es fundamental resaltar que es efectivo exclusivamente para cuentas que no son MFA. Para deshabilitar MFA para un usuario individual y ejecutar el script, aproveche la política de acceso condicional.

Método 3: También tiene la opción de ejecutar el script mediante autenticación basada en certificados, que es compatible con el programador.

./TrackOffboardedM365UserActivities.ps1 -UserId <OffboardingUserUPN> -ClientId <ClientId> -CertificateThumbprint <Certthumbprint> -Organization <Organization>

Nota: según sus requisitos, puede crear un certificado autofirmado. Antes de emplear la autenticación basada en certificados, es fundamental registrar una aplicación en Azure AD.

Informe de usuario externo de Microsoft 365: resultado de muestra

El informe de actividad de usuario externo de Microsoft 365 exportado muestra los siguientes atributos:

• Tiempo de actividad
• Nombre de usuario
• Operación
• Resultado
• Carga de trabajo
• Datos de auditoría detallados

Aquí hay una imagen de salida de muestra generada por el script de PowerShell:

Nota: para determinadas cargas de trabajo que carecen de una columna Estado del resultado, se muestra vacía.

Aproveche al máximo el script de PowerShell de actividades de usuario externo de Microsoft 365

El script proporciona algunos parámetros de filtrado integrados según sus necesidades y sus casos de uso se enumeran a continuación.

• Exportar el historial de actividad de los usuarios externos de Microsoft 365 durante los últimos 180 días
• Auditar la actividad de los usuarios externos de Microsoft 365 dentro de un intervalo particular
• Programar un informe de actividad de usuarios desconectados
• Obtenga un informe mensual de actividad de los usuarios desconectados

Exportar actividades de usuarios externos de Microsoft 365 durante 180 días

Los administradores suelen emplear el cmdlet Search-UnifiedAuditLog de PowerShell para generar un informe que abarca 90 días. En particular, debido a la reciente extensión de la retención de registros de auditoría a 180 días, los administradores ahora tienen la capacidad de extraer registros de auditoría que cubren un período de tiempo prolongado. Utilice el script proporcionado para exportar el registro de auditoría de las actividades de los usuarios externos durante un período prolongado de 180 días.

./TrackOffboardedM365UserActivities.ps1 -UserId lisa@contoso.com

El ejemplo anterior exportará las actividades realizadas por la usuaria eliminada lisa en los últimos 180 días.

Seguimiento de la actividad de los usuarios externos de Microsoft 365 durante un intervalo de tiempo personalizado

Los administradores también pueden crear un informe de actividad personalizado especificando el período de tiempo deseado usando -Fecha de inicio y -Fecha de finalización parámetros. Con estos parámetros, tiene la flexibilidad de generar un informe de auditoría del usuario de Office 365 durante los últimos 7 días, 30 días, 90 días o cualquier otro período específico según sea necesario.

./TrackOffboardedM365UserActivities.ps1 -UserId lisa@contoso.com -StartDate 12/21/23 -EndDate 12/31/23

El ejemplo anterior proporciona un informe sobre las actividades de Lisa despedida durante el período comprendido entre el 21 de diciembre de 2023 y el 31 de diciembre de 2023.

Programar informe de actividad de usuarios desconectados

Programar un informe de actividad de usuario externo en Microsoft 365 garantiza la identificación y mitigación oportuna de posibles riesgos de seguridad. Por ejemplo, si se accede a la cuenta de un ex empleado después de su baja, la programación periódica de informes permite a los administradores revocar rápidamente el acceso y salvaguardar los datos confidenciales, manteniendo la postura de ciberseguridad de la organización. Utilice el formato proporcionado para ejecutar sin problemas el script de PowerShell desde el Programador de tareas.

./TrackOffboardedM365UserActivities.ps1 -UserId lisa@contoso.com -AdminName admin@contoso.com -Password XXX

Obtenga un informe mensual de actividad de usuarios desconectados

Para obtener un resumen mensual de la actividad de los usuarios desconectados, simplemente ejecute el siguiente script:

./TrackOffboardedM365UserActivities.ps1 -StartDate ((Get-Date).AddDays(-30)) -EndDate(Get-Date) -UserId lisa@contoso.com

Por ejemplo, cuando un empleado, como Lisa en este caso, deja la empresa, es fundamental realizar un seguimiento y documentar la actividad del usuario. Sirve como medida proactiva para identificar cualquier actividad anómala o sospechosa, evitando posibles descargas no autorizadas de documentos oficiales por parte del empleado saliente.

Obtenga información y detalles sobre las actividades de los usuarios de Microsoft 365 con AdminDroid

Hemos explorado cómo realizar un seguimiento de la actividad de los usuarios externos utilizando el script de PowerShell y los respectivos casos de uso. Pero, ¿crees que hay una manera mucho más fácil de obtener todas las actividades de los usuarios de Microsoft 365 sin usar PowerShell?

AdminDroid simplifica la supervisión de las actividades de los usuarios de Microsoft 365 con informes dinámicos de actividad de los usuarios. Aquí hay algunas cosas que puede rastrear:

Inicios de sesión de usuario:

• Todos los intentos de inicio de sesión exitosos y fallidos
• Los usuarios no pudieron superar el desafío MFA
• Intentos de inicio de sesión de usuario deshabilitados
• Cambios de contraseña de usuario

Actividades del buzón de usuario:

• Todos los correos electrónicos enviados y recibidos
• Correos electrónicos enviados y recibidos desde dominios externos
• Spam/Phish/Malware enviado y recibido
• Eliminaciones masivas de correos electrónicos
• Creaciones de reglas de bandeja de entrada

Actividades de transferencia de archivos:

• Uso compartido externo de archivos/carpetas/páginas de SharePoint
• Actividades de eliminación y restauración de archivos de SharePoint
• Actividades de acceso a archivos/carpetas de OneDrive
• Actividades de eliminación y restauración de archivos de OneDrive
• Compartir archivos/carpetas en el chat de Teams

AdminDroid proporciona más que sólo informes; Ofrece un panel completo que ofrece una descripción detallada de las actividades de los usuarios dentro de Microsoft 365.

Además, AdminDroid proporciona una amplia gama de funciones, que incluyen más de 1800 informes prediseñados y más de 30 paneles de Office 365. Estos informes brindan información integral que cubre áreas como informes, auditoría, análisis, estadísticas de uso, seguridad y cumplimiento.

Además, AdminDroid ofrece una herramienta gratuita de informes de Azure AD que incluye más de 120 informes y paneles que cubren varias categorías. Estos informes vienen con funciones como exportación, envío de informes por correo electrónico y programación.

Descargue la herramienta de administración AdminDroid Microsoft 365 ahora y experimente el poder de una administración simplificada.

Espero que este blog sea útil para auditar las actividades de los usuarios externos de Microsoft 365 en su organización. Si tiene alguna consulta, puede comunicarse con nosotros a través de la sección de comentarios.