Engedélyezze a postafiók-ellenőrzést az Office 365-felhasználókban a PowerShell használatával

A postafióktevékenységek ellenőrzése létfontosságú szerepet játszik a biztonságban és a megfelelőségben. A postafiók-ellenőrzés lehetővé teszi, hogy nyomon kövesse a felhasználók saját és mások postafiókjában végzett műveleteit. Így nyomon követheti, hogy ki jelentkezik be a postafiókba, és milyen műveleteket hajt végre.

Tudnivalók a postafiók-ellenőrzési napló engedélyezése előtt:

A hatékony postafiók-naplózáshoz ismernie kell egy ellenőrzőlistát, mielőtt engedélyezné.

• Mindenki azt hiszi, hogy a postafiók-naplózás alapértelmezés szerint engedélyezve van az Office 365-ben. De ez nem 100%-ig igaz. Alapértelmezés szerint csak bizonyos műveletek kerülnek ellenőrzésre.

• A postafiók-ellenőrzési napló a rendszergazdák, a megbízottak és a tulajdonosok által végrehajtott műveleteket tartalmazza.

  • Tulajdonos ellenőrzése - A postafiók tulajdonosa által végzett tevékenységek
  • Ellenőrzés delegálása - A felhasználó által végrehajtott műveletek teljes hozzáféréssel, küldés vagy küldés nevében a postafiókban és adminisztrátor teljes hozzáférési engedéllyel egy postafiókhoz.
  • Admin Audit - Amikor a Microsoft eDiscovery eszközei keresnek a postafiókban.

• A konkrét ellenőrzési műveletek nem vonatkoznak a delegált vagy adminisztrátori szerepekre.
• Alapértelmezés szerint a postafiók-naplóbejegyzéseket 90 napig őrzik meg. Ezt az időszakot az ‘AuditLogAgeLimit’ paraméterrel módosíthatja.

Postaláda-naplózás engedélyezése az Office 365-ben:

Az Exchange Felügyeleti Központ nem használható a postafiók-naplózás engedélyezésére vagy letiltására. Használnia kell a PowerShell-parancsmagokat.

Ebben a blogban bemutatjuk, hogyan lehet egyszerűen engedélyezni a postafiók-naplózást az Office 365 postafiókhoz. Több módszert is bemutatunk, és kiválaszthatja az Ön számára könnyebbet.

1. (Ajánlott) 1. módszer: Gyorsan engedélyezze a postafiók-naplózást az Office 365-felhasználók számára (PowerShell-szkript)

2. módszer: Engedélyezze a postafiók-naplózást az Office 365-ben (postafiók alapú)

Engedélyezze a postafiók-naplózást egy adott postafiókhoz

Engedélyezze a postafiók-naplózást az összes postafiókhoz

3. 3. módszer: Alapértelmezés szerint engedélyezze a postafiók-naplózást az Office 365-ben (bérlőre kiterjedően)

Ellenőrizze, hogy a postafiók-naplózás alapértelmezés szerint engedélyezve van-e

Hogyan lehet leiratkozni az alapértelmezett postafiók-ellenőrzésről

Felhasználói fiók megkerülése a postafiók-naplózásból

4.További parancsmagok a postafiók-naplózás konfigurálásához

5.Milyen műveletek kerülnek naplózásra a postafiók naplójában

1. módszer: A postafiók-ellenőrzés gyors engedélyezése az Office 365-felhasználók számára (PowerShell-szkript)

Írtam egy szkriptet, amely minden árnyalatot figyelembe vesz az Office 365 postafiók-ellenőrzésének engedélyezése során. Egyszerűen futtathat egy szkriptet, amely lehetővé teszi az összes vonatkozó műveletet a környezetében lévő összes postafiókban. Ha szükséges, csak bizonyos postafiók-műveleteknél engedélyezze az auditálást.

Szkript letöltése: EnableMBAuditLogging.ps1

Szkript kiemelései:

• Egyetlen parancsmag használatával engedélyezheti a postafiók-naplózást az összes postafiókhoz
• Ez a szkript lehetővé teszi a postafiók-ellenőrzés engedélyezését minden postafiók-művelethez vagy műveletcsoporthoz
• A szkript MFA-engedélyezett fiókkal is végrehajtható.
• Ez a szkript automatikusan telepíti az Exchange Online PowerShell modult az Ön megerősítése után

A „Postaláda-ellenőrzés engedélyezése az Office 365 PowerShell-szkriptben” végrehajtása

Ez a PowerShell-szkript több paramétert/kapcsolót támogat a részletesebb konfiguráció érdekében. Az alábbiakban felsoroltunk néhány használati esetet.

Megjegyzés: Néhány művelet az előfizetés típusára vonatkozik. pl.

• A MessageBind elérhető az E3 felhasználók számára,
• MailItemsAccessed, SearchQueryInitiated, Küldés elérhető az E5 vagy E5 Compliance bővítmény előfizetéssel rendelkező felhasználók számára.

1. Engedélyezze a postafiók-naplózást az összes Office 365-postafiókhoz:

A postafiók-naplózás bekapcsolásához az összes támogatott postafiókműveletet tartalmazó postafiókhoz, hajtsa végre a parancsfájlt a következőképpen:

./EnableMailboxAuditLogging.ps1

Mostantól minden postafiók-művelet minden bejelentkezési típusra auditálva van.

2. Kapcsolja be a postafiók-naplózást bizonyos postafiókműveletekhez:

Ha nem szeretné engedélyezni a postafiók-naplózást a postafiókműveletek számára, akkor engedélyezheti a postafiók-naplózást a postaláda-műveletek halmazához. A postafiók-műveletek listájának megadásához használja az -Operations param.

./EnableMailboxAuditLogging.ps1 -Operations SendAs,ApplyRecord,Copy

A fenti szkript lehetővé teszi a postafiók-naplózást a SendAs, ApplyRecord és Copy műveletekhez. Kiválaszthatja az auditálni kívánt műveleteket.

Megjegyzés: A SendAs művelet az Adminisztrátor és a Felhatalmazott ellenőrzéséhez, a Másolás művelet pedig csak a rendszergazdai ellenőrzéshez érhető el. Tehát a fenti parancsmag a következő műveleteket teszi lehetővé.

Adminisztrációs audit - SendAs, ApplyRecord, Copy

Ellenőrzés delegálása - SendAs,ApplyRecord

Tulajdonosi ellenőrzés - ApplyRecord.

3. Engedélyezze a postafiók-bejelentkezések ellenőrzését:

A legtöbb támadási mintában a bejelentkezés az egyetlen gyakori tevékenység. Mivel a postafiók bejelentkezéseket alapértelmezés szerint nem ellenőrzik, be kell állítania a naplózást a postafiók bejelentkezési események rögzítéséhez. A postafiók-bejelentkezések ellenőrzésének engedélyezéséhez futtassa a szkriptet az alábbiak szerint.

./EnableMailboxAuditLogging.ps1 -Operations MailboxLogin

4. PowerShell-szkript a postafiók-ellenőrzés engedélyezéséhez az Office 365-ben

A hitelesítő adatokat paraméterként adhatja át az Exchange Online csatlakozásához. Tehát ezt a PowerShell-szkriptet használhatja a Feladatütemezőben.

./EnableMailboxAuditLogging.ps1 -UserName Admin@contoso.com -Password XXX

2. módszer: Engedélyezze a postafiók-ellenőrzést az Office 365-ben (postafiók alapú)

Ha engedélyezi a postafiók-naplózást egy postafiókhoz, akkor a rendszergazdák, delegáltak és tulajdonosok által végrehajtott műveletek alapértelmezés szerint naplózásra kerülnek. A Set-Mailboxparancsmag segítségével engedélyezheti vagy letilthatja a postafiók naplózását.

Megjegyzés: A postafiók-naplózás engedélyezéséhez csatlakoznia kell az Exchange Online PowerShellhez. Ha fiókjában engedélyezve van az MFA, az Exchange Online PowerShellhez csatlakozhat az EXO modulon keresztül.

Postaláda-naplózás engedélyezése adott postafiókhoz:

A postafiók-naplózás engedélyezéséhez futtassa a Set-Mailbox parancsmagot, és az AuditEnabled értéket $True értékre állítja.

Set-Mailbox -Identity Kathy@Contoso.com -AuditEnabled $True

A fenti példa lehetővé teszi a postafiók-naplózást Kathy postafiókjához.

Set-Mailbox -Identity Kathy@Contoso.com -AuditEnabled $False

Ez a kód letiltja Kathy postafiókjának postafiók-ellenőrzési naplóját.

Postaláda-naplózás engedélyezése minden felhasználó számára:

Ha engedélyezni szeretné a postafiók-naplózást az összes postafiókhoz, futtassa az alábbi kódot:

Get-Mailbox -Resultsize Unlimited | Select PrimarySmtpAddress | Foreach{ 
Set-Mailbox -Identity $_.PrimarySMTPAddress -AuditEnabled $true }

Ez lehetővé teszi a postafiók-naplózást az Office 365 környezetben elérhető összes postafiók esetében.

3. módszer: Alapértelmezés szerint engedélyezze a postafiók-naplózást az Office 365 számára (a bérlőre kiterjedően)

A postafiók-specifikus beállítások helyett a Microsoft elindította a bérlői szintű audit naplózási konfigurációját. Ez a funkció alapértelmezés szerint engedélyezi a postafiók-naplózást. azaz az Exchange automatikusan ellenőrzi az adminisztrátor, a felhatalmazott és a tulajdonos által végrehajtott műveleteket az összes felhasználói postafiók, Office 365 csoportpostafiók és megosztott postafiók esetében.

Jegyzet:

• Amikor a Microsoft kiad egy új műveletet, a művelet (pontosan a szervezet védelmét segítő műveletek) automatikusan hozzáadódik az alapértelmezés szerint ellenőrzött műveletekhez.
• Ha a postafiók-műveleteket az „alapértelmezés szerint BEkapcsolt postafiók-ellenőrzés engedélyezése” előtt szabta ellenőrzésre, a személyre szabott beállítások megmaradnak, és az alapértelmezett postafiókműveletek nem íródnak felül.

Ellenőrizze, hogy a postafiók-naplózás alapértelmezés szerint engedélyezve van-e

A konfiguráció ellenőrzéséhez futtassa a Get-OrganizationConfig parancsmagot

Get-OrganizationConfig | Select AuditDisabled

Alapértelmezés szerint az AuditDisabled érték $False. Azaz az auditokat nyomon követik. Még akkor is, ha a postaláda AuditEnabled (a Get-Mailbox) -beállítása $false, a műveletek alapértelmezett halmaza ellenőrzésre kerül.

Hogyan lehet letiltani az alapértelmezett postafiók-ellenőrzést?

Ha le szeretné állítani a postaláda-naplók rögzítését a bérlőre kiterjedően, futtassa a Set-OrganizationConfig parancsmagot úgy, hogy az AuditDisabled beállítás igaz. .

Set-OrganizationConfig -AuditDisabled $True

A fenti parancsmag letiltja az alapértelmezett postafiók-naplózást az összes postafióknál.

Felhasználói fiók megkerülése a Postafiók-naplózásból:

Amikor a szervezet bekapcsolta a „postaláda-naplózás alapértelmezés szerinti engedélyezése” funkciót, a postafiók-naplózás akkor is naplózásra kerül, ha a postaláda AuditEnabledbeállítása hamis. Ennek ellenére letilthatja a postafiók-naplózást bizonyos postafiókok esetében.

Beállíthat egy postafiókot úgy, hogy megkerülje a postafiók-naplózást, így a fiók által végrehajtott műveletek nem kerülnek naplózásra. Az engedélyezett fiókok/megbízható fiókok megkerülésével, amelyeknek gyakori hozzáférésre van szükségük a postafiókokhoz, csökkentheti az ellenőrzési bejegyzések özönét.

Használja a Set-MailboxAuditBypassAssociation parancsmagot a postafiók-naplózási megkerülésének konfigurálásához.

A „postaláda-naplózás megkerülésének” engedélyezése egy fiókhoz:

Egy felhasználói fiók postafiók-naplózásból való kikerüléséhez futtassa az alábbi parancsmagot:

Set-MailboxAuditBypassAssociation -Identity kathy -AuditBypassEnabled $true

Ez a példa megkerüli a Kathy-fiókot a postafiók-naplózásból

A postaláda-naplózás megkerülésének letiltása egy fióknál:

A „postaláda-ellenőrzés megkerülésének” letiltásához futtassa a Set-MailboxAuditBypassAssociation parancsmagot az AuditBypassEnabled hamis beállítással.

Set-MailboxAuditBypassAssociation -Identity Kathy -AuditBypassEnabled $false

Ez a példa eltávolítja a Kathy-fiók megkerülési társítását.

Postaláda-társítások ellenőrzése:

A postafiók-naplózás megkerülési társításainak ellenőrzéséhez futtassa az alábbi parancsmagot

Get-MailboxAuditBypassAssociation -ResultSize Unlimited

A fenti parancsmag lekéri az összes olyan felhasználói fiókot, amely a postafiók-naplózás megkerülésére van konfigurálva.

További parancsmagok a postafiók-naplózás konfigurálásához:

1. Konfigurálja a postafiók-naplózási beállításokat adott bejelentkezési típushoz (tulajdonos, rendszergazda vagy megbízott)

Set-Mailbox -Identity Kathy -AuditDelegate SendAs,SendOnBehalf -AuditEnabled $true

Ez a példa felsorolja a SendAs és a SendOnBehalf műveleteket, amelyeket a delegált felhasználók hajtanak végre Kathy postafiókjában.

2. Állítsa be a postafiók-naplózást bizonyos műveletekhez (másolás, FolderBind, HardDelete stb.).

Set-Mailbox -Identity Kathy -AuditDelegate HardDelete,SoftDelete -AuditAdmin HardDelete,SoftDelete -AuditOwner HardDelete,SoftDelete -AuditEnabled $true

A fenti parancsmag auditálja a HardeDelete és a SoftDelete műveleteket, amelyeket minden bejelentkezési típus hajt végre.

3. Állítsa be a postafiók-naplózást a műveletek hozzáfűzéséhez a meglévő lista felülírása nélkül

Ha két parancsmag felett fut, akkor felülírja a meglévő listákat. Ha műveleteket szeretne hozzáfűzni egy meglévő listához, futtassa az alábbi kódot.

Fontolja meg, hogy az AuditDelegate már beállította a HardDelete és a SoftDelete auditálását Kathy számára.

Set-Mailbox -Identity Kathy -AuditDelegate @{Add=SendAs,SendOnBehalf}

Ez a példa a SendAs és a SendOnBehalf műveleteket hozzáfűzi a meglévő HardDelete és SoftDelete műveletekhez.

4. Növelje meg az auditnaplók megőrzési idejét

Alapértelmezés szerint a postafiók-naplókat 90 napig őrzik. Ha több mint 90 napig szeretné megőrizni az auditnaplót, növelnie kell az „AuditLogAgeLimit” értéket.

Set-Mailbox -Identity Kathy -AuditLogAgeLimit 365

Ez a példa 365 napra növeli a Kathy postafiókjában található postafiók-naplóbejegyzések korhatárát.

5. Honnan tudod, hogy ez működött?

A Get-Mailbox parancsmag segítségével ellenőrizze, hogy sikeresen konfigurálta-e a postafiók-naplózást.

Get-Mailbox -Identity Kathy | Format-List Audit*

A kimeneten az AuditEnabled, AuditLogAgeLimit, a rendszergazda, a megbízott és a tulajdonos számára konfigurált műveletek láthatók.

6.Jelenítse meg az egyes bejelentkezési típusokhoz tartozó postafiók-műveleteket

Ha a postafiók több művelettel rendelkezik minden bejelentkezési típushoz, akkor az összes művelet az utolsó parancsmag használatával jelenik meg. Az alábbi képernyőkép szerint fog megjelenni.

Az adott bejelentkezési típushoz naplózott összes művelet megjelenítéséhez használja az ExpandProperty paramétert.

Itt a példa felsorolja az AuditDelegate bejelentkezési típusra auditált műveleteket.

Get-Mailbox -Identity Kathy | Select-Object -ExpandProperty AuditDelegate

Milyen műveletek kerülnek naplózásra a postafiók-ellenőrzési naplóban?

A postafiók-naplózás engedélyezése után a Search-MailboxAuditLog parancsmag segítségével kereshet a naplókban.

Az ellenőrzési napló a következő információkat tartalmazza

1. Ki és mikor lépett be a postafiókba?
2. Milyen műveleteket hajtanak végre?
3. Az érintett üzenet és a mappa helye
4. Működési állapot. Azaz. hogy a művelet sikerült-e vagy sikertelen volt

A következő kép a felhasználói postafiókok és a megosztott postafiókok postafiók-naplózásában elérhető postafiókműveleteket írja le.

A pipa (pipa) jelzi azokat a postafiók-műveleteket, amelyek a bejelentkezési típushoz naplózhatók (egyes műveletek csak adott bejelentkezési típushoz érhetők el)

A pipa után egy csillag (*) jelzi azokat a postafiókműveleteket, amelyek alapértelmezés szerint naplózódnak, ha az alapértelmezett naplózás engedélyezve van.

AdminDroid - Zökkenőmentes betekintés és részletek az Exchange-postaláda-naplózásról

Megvizsgáltuk, hogyan engedélyezhetjük a postafiók-naplózást a PowerShell használatával és a megfelelő használati eseteket. Úgy gondolja, hogy PowerShell-szkript használata nélkül is megkaphatja a postafiók-naplózási állapotot? Természetesen igen! Lássuk részletesen.

Hogyan javíthatja az AdminDroid a postafiók-naplózás élményét?

Az AdminDroid Exchange Online jelentéskészítő eszköz explicit irányítópultot és statisztikai jelentéseket biztosít a postafiók-ellenőrzési konfigurációkhoz. Nézzük meg, hogyan segítenek a statisztikák naprakészen maradni a postafiók-konfiguráció változásaival kapcsolatban.

Intuitív postafiók-ellenőrzési irányítópult

A „Mailbox Audit Configuration Breakdown” világos betekintést nyújt a postaláda tulajdonosának, a postaláda-meghatalmazottnak és a rendszergazdának ellenőrizhető tevékenységeibe.

Mindent magában foglaló postafiók-ellenőrzési jelentések

Jelentéseket kaphat a postafiók-ellenőrzési konfigurációkról, beleértve az ellenőrzést engedélyező postafiókokat, az ellenőrzést letiltott postafiókokat, az adminisztrátor által ellenőrzött műveleteket, a tulajdonos által ellenőrzött műveleteket, valamint az auditálható műveletek delegálását mélyreható részletekkel. Így az adminisztrátorok könnyen megtalálhatják a hiányzó auditálható műveleteket, és bármely postafiókhoz engedélyezhetik azokat.

Ezenkívül az AdminDroid egy átfogó eszköz a Microsoft 365 postafióktevékenységeinek naplózásához, beleértve a nem tulajdonosi hozzáférést, a vendég hozzáférést, a tömeges üzenetműveleteket, a beérkező levelek szabályainak konfigurációit, a postaláda engedélyeinek módosításait, az ATP-t, a szerepkör hatókörének módosításait stb. Az eszköz részletes jelentéseket és áttekintő diagramokat biztosít, lehetővé téve a postafiókadatok könnyed nyomon követését és elemzését. Valós idejű riasztásokat állíthat be a postafiók-tevékenységekre, vagy ütemezheti a jelentéseket az adatok kívánt időpontban történő figyeléséhez. Kezdje el felfedezni az AdminDroid Exchange Online auditáló eszközt még ma, és könnyítse meg a Microsoft 365 postafiók kezelését!

Ne korlátozza magát az AdminDroid Exchange Online kezelésére. Ez túlmutat ezen, és éleslátó jelentéseket és izgalmas funkciókat kínál a Microsoft 365 szolgáltatások teljes csomagjához. Nézze meg az AdminDroidot most, és élvezze a számos funkcióját!

Ebben a blogban láthattuk, hogyan engedélyezhető a postafiók-audit a PowerShell-en keresztül. Melyik megközelítést részesíti előnyben a postafiók-auditálás során? Ossza meg velünk gondolatait a megjegyzések részben.