Auditar la actividad administrativa de Microsoft 365 mediante PowerShell

Como administrador de Microsoft 365, ¿alguna vez se ha preguntado cómo sus subadministradores ejercen sus poderes privilegiados? Lo entendemos: gestionar varios administradores no es tarea fácil. Los administradores de Microsoft 365 tienen responsabilidades importantes, como incorporar usuarios, manejar contraseñas, supervisar diversas actividades de los usuarios, exclusión de usuarios y muchas más. Si bien sus funciones son esenciales, la posibilidad de que se hagan uso indebido de poderes tan amplios es una preocupación persistente.

¡No temas, ya que la auditoría de las actividades administrativas de Microsoft 365 viene a tu rescate! Esta práctica le permite monitorear de cerca cada actividad administrativa. En este blog, exploraremos la importancia de la auditoría y los diversos métodos de auditar las actividades administrativas en Microsoft 365. Pero eso no es todo: para que el proceso de auditoría administrativa de Microsoft 365 sea muy sencillo, hemos creado un práctico script de PowerShell y lo analizamos durante su conveniencia.

¿Por qué auditar las actividades administrativas en Microsoft 365?

Auditar las actividades administrativas en Microsoft 365 es imperativo por varias razones clave:

1. Supervisión de seguridad: Las cuentas de administrador en Microsoft 365, con privilegios elevados, exigen una supervisión atenta. Esto es crucial para detectar y responder rápidamente a posibles amenazas de seguridad o acciones no autorizadas que podrían comprometer su seguridad de Microsoft 365.
2. Mitigación de riesgos: Los administradores poseen la autoridad para realizar cambios de configuración, administrar permisos y acceder a información confidencial. Las auditorías periódicas desempeñan un papel fundamental a la hora de reconocer y mitigar riesgos potenciales, garantizando que las cuentas de administrador no se vean comprometidas y que los administradores cumplan con las mejores prácticas de seguridad establecidas.
3. Respuesta a incidentes:En el desafortunado caso de un incidente de seguridad o una violación de datos, la auditoría de los registros de las actividades administrativas ofrece información valiosa para los esfuerzos de respuesta a incidentes. Esta información es crucial para identificar la causa raíz, determinar el alcance y evaluar el impacto del incidente.
4. Requisitos de cumplimiento: Numerosas industrias y organizaciones están sujetas a requisitos y regulaciones de cumplimiento que requieren el monitoreo y la auditoría constantes de las actividades administrativas. Por lo tanto, es importante auditar continuamente las actividades administrativas de Microsoft 365.

¿Cómo auditar la actividad administrativa en Microsoft 365?

Las actividades administrativas en Microsoft 365 se pueden auditar desde dos lugares principales:

1. Centro de administración de Microsoft Entra (registros de auditoría de Azure AD):

Los registros de auditoría de Azure AD dentro del centro de administración de Microsoft Entra ofrecen una forma enfocada de monitorear las actividades de los usuarios y administradores de Microsoft 365. Los registros de auditoría de Microsoft Entra (Azure AD) ayudan específicamente a realizar un seguimiento de las actividades de Azure AD de los administradores de M365, proporcionando registros detallados de acciones como agregaciones de usuarios, restablecimientos de contraseñas, actualizaciones de políticas, adiciones de miembros de grupos y cambios de licencia.

Es posible que monitorear las actividades de los administradores de Azure AD por sí solo no sea suficiente, especialmente considerando la multitud de roles de administrador de Microsoft 365 en diversas cargas de trabajo. Además, si desea investigar la distribución de privilegios de administrador en su organización, puede utilizar este script de PowerShell para exportar administradores de Office 365 y sus funciones.

2. Portal de Microsoft 365 Purview (registros de auditoría unificados):

Más allá de las actividades de Azure AD, los registros de auditoría unificados en el portal Microsoft 365 Purview proporcionan una vista completa de < b>actividades administrativas en todas las cargas de trabajo. Este portal le permite observar la actividad de los administradores en Office 365 e incluso descargar los resultados de la búsqueda del registro de auditoría en un archivo CSV. Sin embargo, es importante tener en cuenta que este enfoque no es fácil de usar, ya que requiere realizar múltiples búsquedas repetidamente para lograr los resultados deseados.

Auditar actividades administrativas en Microsoft 365 mediante PowerShell

Los administradores de Microsoft 365 a menudo recurren a PowerShell por su control granular, capacidades de automatización, control local y acceso sin conexión, así como por su eficiencia en el manejo de operaciones masivas. En este contexto, el cmdlet Search-UnifiedAuditLog desempeña un papel crucial en la captura de actividades en diversas cargas de trabajo, incluidos Exchange Online, Microsoft Teams, SharePoint Online, Microsoft Entra ID (Azure AD ) y otros servicios M365.

Sin embargo, obtener registros de auditoría mediante este cmdlet plantea desafíos y una recuperación inadecuada de datos puede provocar una posible pérdida de datos. Para solucionar este problema, presentamos el script de PowerShell AdminActivityReport diseñado para exportar las actividades administrativas de Office 365 a un CSV. archivo. Puede descargar el script desde aquí y explorar su funcionalidad en las siguientes secciones.

Descargar script: AdminActivityReport.ps1

Aspectos destacados del guión

1. La secuencia de comandos utiliza autenticación moderna para conectarse a Exchange Online.
2. El script se puede ejecutar con cuentas habilitadas para MFA.
3. Exporta los resultados del informe a un archivo CSV.
4. El script exporta un registro de auditoría durante 180 días de forma predeterminada.
5. Puede generar un informe de actividad administrativa para un período personalizado.
6. El script instala el módulo EXO tras la confirmación, si aún no está instalado.
7. El script es apto para programadores; Las credenciales se pueden pasar como parámetros.
8. Por último, el script también admite la autenticación basada en certificados (CBA).

Informe de actividad administrativa de Microsoft 365: resultado de muestra:

El informe de actividad administrativa de Microsoft 365 exportado muestra los siguientes atributos:

• Tiempo de actividad
• Nombre del administrador
• Operación
• Resultado
• Carga de trabajo
• Datos de auditoría detallados

Aquí hay una imagen de salida de muestra generada por el script de PowerShell:

NOTA: Para determinadas cargas de trabajo que carecen de una columna Estado del resultado, se muestra vacía.

¿Cómo ejecutar el script?

1. Descargue el script de PowerShell proporcionado y ábralo en Windows PowerShell.
2. Ejecute el script utilizando uno de los siguientes métodos:

Método 1: Puede ejecutar el script con cuentas MFA y no MFA.

./AdminActivityReport.ps1 -AdminId <AdminUPN>

NOTA: Si no se proporciona el “-AdminId”, el script solicitará al usuario el UPN (nombre principal de usuario) del administrador. con el mensaje “Ingrese admin UPN”.

Método 2: Ejecute el script con credenciales explícitas (compatible con el Programador).

./AdminActivityReport.ps1 -AdminId <TargetAdminUPN> -AdminName <ExecutingAdminUPN> -Password <Password>

NOTA: Si bien el método es compatible con los programadores, es esencial resaltar que es efectivo exclusivamente para cuentas que no son MFA. Para deshabilitar MFA para un usuario individual y ejecutar el script, aproveche el acceso condicional.

Método 3: También puede ejecutar el script con autenticación basada en certificados (compatible con el Programador):

Según sus necesidades, utilice una autoridad certificadora (CA) o cree un certificado autofirmado.

./AdminActivityReport.ps1 -AdminId <AdminUPN> -ClientId <ClientId> -CertificateThumbprint <Certthumbprint> -Organization <Organization>

NOTA: Lo más importante es que antes de utilizar el método de autenticación basado en certificados, debe registrar una aplicación en Azure AD.

Auditar la actividad administrativa de Microsoft 365 mediante el script de PowerShell

Con este script de PowerShell, puede

• Exportar el historial de actividad administrativa de Microsoft 365 durante los últimos 180 días
• Auditar la actividad administrativa de Microsoft 365 dentro de un intervalo particular
• Programar informe de actividad administrativa
• Obtenga un informe mensual de actividad administrativa de Microsoft 365

Seguimiento de las actividades administrativas de Microsoft 365 durante los últimos 180 días

Los administradores suelen utilizar el cmdlet de PowerShell Search-UnifiedAuditLog para exportar un informe de 90 días para los registros de auditoría de Microsoft 365, lo que ayuda en la detección de amenazas, el reconocimiento de patrones y las investigaciones forenses. Sin embargo, con la reciente extensión de la retención de registros de auditoría a 180 días, los administradores ahora pueden recuperar registros de auditoría durante un período de tiempo más largo. Ejecute el script proporcionado para exportar el historial de actividad administrativa durante el período ampliado de 180 días.

./AdminActivityReport.ps1 -AdminId lisa@contoso.com

El ejemplo anterior exportará las actividades realizadas por la administradora lisa en los últimos 180 días.

En el desafortunado caso de que un administrador sea víctima de un ataque de fuerza bruta o de phishing, lo que resulte en un compromiso, exportar las actividades administrativas se convierte en una medida crítica. Si descubre que una cuenta de administrador está comprometida, puede mejorar la seguridad habilitando MFA para cuentas de administrador.

Auditar las actividades administrativas de Microsoft 365 durante un período personalizado

Si bien monitorear la actividad de un administrador durante los últimos 180 días proporciona una descripción general completa, hay casos en los que es necesario identificar específicamente y centrarse en eventos que ocurrieron dentro de un período de tiempo más limitado.

En situaciones en las que un administrador participa en actividades sospechosas, como agregarse como delegado a los buzones de correo de otros y acceder a correos electrónicos de un período específico, recuperar el registro completo de dicha información puede resultar engorroso. Para solucionar este problema, parámetros como -StartDate y -EndDate resultan útiles, lo que le permite generar una actividad específica. informe para períodos personalizados.

./AdminActivityReport.ps1 -AdminId lisa@contoso.com -StartDate 11/25/23 -EndDate 12/13/23

El ejemplo anterior proporciona un informe sobre las actividades de la administradora Lisa durante el período comprendido entre el 25 de noviembre de 2023 y el 13 de diciembre de 2023. Con estos parámetros, puede generar un informe de auditoría del administrador de Office 365 para los últimos 7 días, 30 días, 90 días, 180 días o cualquier otra duración requerida.

Programar informe de actividad administrativa

La programación de informes va más allá del seguimiento y la revisión de rutina; es esencial para preservar los datos históricos de auditoría. Configure la programación periódica para conservar los datos de auditoría durante más tiempo, ya que el cmdlet Search-UnifiedAuditLog recupera datos solo dentro de este período de 180 días. Utilice el formato proporcionado para ejecutar sin problemas el script de PowerShell desde el Programador de tareas.

./AdminActivityReport.ps1 -AdminId lisa@contoso.com -AdminName shan@contoso.com -Password XXX

Además, los registros de actividad del administrador se pueden analizar para identificar cualquier cambio o actualización que pueda haber contribuido a la inestabilidad del sistema. Esto ayuda a resolver rápidamente problemas de rendimiento y a mantener un entorno de TI saludable.

Ver un informe mensual de actividad administrativa de Microsoft 365

Imagine un escenario en el que un usuario pasa a una función de administrador o agrega nuevos usuarios sin los permisos o notificaciones adecuados. El daño potencial resultante de estas actividades administrativas sospechosas a la seguridad de su organización puede ser alarmante. Por lo tanto, es fundamental monitorear periódicamente la actividad administrativa. Ejecute el siguiente script para realizar una auditoría mensual de las actividades administrativas de Microsoft 365.

El siguiente ejemplo recupera datos de auditoría para el administrador lisa@contoso.com durante los últimos 30 días.

./AdminActivityReport.ps1 -StartDate ((Get-Date).AddDays(-30)) -EndDate (Get-Date) -AdminId lisa@contoso.com

Puede utilizar el formato anterior para programar el script para su ejecución mensual el día 1, asegurándose de que recupere los datos de auditoría del mes anterior.

Hasta ahora, nos hemos centrado en explorar métodos para auditar la actividad administrativa de Microsoft 365 a través de PowerShell. Sin embargo, si la perspectiva de luchar con PowerShell lo ha dejado fatigado, es hora de considerar una solución mucho más simple.

Presentamos AdminDroid Microsoft 365 Reporter, su solución sencilla para optimizar la auditoría administrativa de Microsoft 365.

¡Simplifique su auditoría administrativa de Microsoft 365 con informes AdminDroid!

AdminDroid simplifica la supervisión administrativa de Microsoft 365 con más de 80 informes administrativos detallados, que cubren aspectos como actividades administrativas, detalles de inicio de sesión, licencias, cambios de funciones, configuración de contraseña, configuración de MFA y más. Los informes incluyen,

• Informes administrativos

  • Todos los administradores
  • Todos los administradores globales
  • Administradores con roles de gestión
  • Administradores con/sin licencia
  • Administradores creados recientemente

• Cambios en el rol de administrador

  • Usuario agregado como administrador
  • Acceso de administrador eliminado
  • Todas las operaciones de rol

• Configuración de seguridad del administrador

  • Restablecimiento de contraseña por parte de los administradores
  • Administradores con/sin MFA
  • Administradores con contraseña que nunca caduca

• Inicio de sesión de administrador

  • Todas las actividades de inicio de sesión de administrador
  • Errores de inicio de sesión de administrador
  • Resumen diario de inicio de sesión de administradores

AdminDroid va más allá de los informes y ofrece un panel completo para una descripción detallada de las actividades administrativas de Microsoft 365. ¡De modo que garantiza un seguimiento completo de todos sus administradores, sin dejar ningún rastro desapercibido!

Y la herramienta gratuita de informes de Azure AD de AdminDroid proporciona una amplia gama de más de 190 informes gratuitos, que ofrecen una vista de 360 grados de su entorno de Azure, incluidos informes de auditoría de Azure AD para una mejor gestión de Azure AD.

AdminDroid se presenta como una solución dedicada que aborda los desafíos de los administradores de TI con una gran cantidad de más de 1800 informes completos 📊 y 30+ paneles de control visualmente atractivos. Estos recursos cubren varios servicios, incluidos Exchange Online, Microsoft Teams, OneDrive, SharePoint Online, Power BI, Stream y Viva Engage.

Además, AdminDroid presenta características notables que te dejarán asombrado. Ellos son,

1. Alertas de AdminDroid
2. Programación rápida
3. Delegación de acceso granular
4. Filtros de personalización avanzados

¡No lo dudes! Experimente el poder de los informes de Microsoft 365 de primera mano descargando AdminDroid ahora, para disfrutar de una experiencia práctica increíble.

En resumen, audite la actividad administrativa de Microsoft 365 para obtener un entorno seguro y bien administrado. Además, para mejorar la postura de seguridad, Microsoft ha comenzado a implementar políticas de acceso condicional que requieren MFA para que los administradores accedan a los portales de administración. Confiamos en que este blog haya simplificado el proceso de auditoría administrativa de Microsoft 365 para usted. No dude en compartir cualquier inquietud o pregunta en la sección de comentarios. ¡Gracias por leer!