A Microsoft 365 rendszergazdai tevékenységének ellenőrzése a PowerShell segítségével

Microsoft 365 adminisztrátorként elgondolkodott azon, hogy az alrendszergazdái hogyan gyakorolják kiváltságos jogkörüket? Értjük - több adminisztrátor kezelése nem kis teljesítmény. A Microsoft 365 adminisztrátorok jelentős felelősséget vállalnak, mint például a felhasználók bevonása, jelszavak kezelése, különféle felhasználói tevékenységek felügyelete, felhasználói kilépés és még sok más. Bár szerepük alapvető fontosságú, az ilyen kiterjedt hatáskörökkel való visszaélés lehetősége állandó aggodalomra ad okot.

Ne féljen, mert a Microsoft 365 rendszergazdai tevékenységeinek auditálása segít! Ez a gyakorlat lehetővé teszi minden rendszergazdai tevékenység szoros figyelemmel kísérését. Ebben a blogban megvizsgáljuk az auditálás jelentőségét és a rendszergazdai tevékenységek auditálásának különféle módszereit a Microsoft 365-ben. De ez még nem minden - hogy a Microsoft 365 rendszergazdai ellenőrzési folyamata gyerekjáték legyen, elkészítettünk egy praktikus PowerShell-szkriptet, és megvitattuk azt az Ön kényelmét.

Miért érdemes ellenőrizni a rendszergazdai tevékenységeket a Microsoft 365-ben?

Az adminisztrátori tevékenységek ellenőrzése a Microsoft 365-ben több fő okból is elengedhetetlen:

1. Biztonsági figyelés: Az emelt szintű jogosultságokkal rendelkező Microsoft 365 rendszergazdai fiókok éber figyelést igényelnek. Ez alapvető fontosságú a potenciális biztonsági fenyegetések vagy a Microsoft 365 biztonságát veszélyeztető jogosulatlan műveletek gyors észleléséhez és reagálásához.
2. Kockázatcsökkentés: Az adminisztrátorok jogosultak a konfiguráció módosítására, az engedélyek kezelésére és a bizalmas információkhoz való hozzáférésre. A rendszeres auditok kulcsszerepet játszanak a lehetséges kockázatok felismerésében és csökkentésében, biztosítva, hogy a rendszergazdai fiókok kompromisszumok nélkül maradjanak, és a rendszergazdák betartsák a bevált biztonsági gyakorlatokat.
3. Reagálás az incidensekre:Sajnos biztonsági incidens vagy adatsértés esetén az adminisztrátori tevékenységek naplóinak naplózása értékes betekintést nyújt az incidensek kezeléséhez. Ez az információ alapvető fontosságú a kiváltó ok azonosításához, a terjedelem meghatározásához és az incidens hatásának felméréséhez.
4. Megfelelőségi követelmények: Számos iparágat és szervezetet kötnek megfelelőségi követelmények és előírások, amelyek szükségessé teszik az adminisztrátori tevékenységek folyamatos ellenőrzését és auditálását. Ezért fontos a Microsoft 365 rendszergazdai tevékenységeinek folyamatos ellenőrzése.

Hogyan ellenőrizhető a rendszergazdai tevékenység a Microsoft 365-ben?

A Microsoft 365 rendszergazdai tevékenységei két elsődleges helyről naplózhatók:

1. Microsoft Entra Felügyeleti Központ (Azure AD auditnaplók):

A Microsoft Entra felügyeleti központban található Azure AD-naplók célzott módot kínálnak a Microsoft 365 felhasználói és adminisztrátori tevékenységeinek figyelésére. A Microsoft Entra (Azure AD) naplózása kifejezetten segít nyomon követni az M365-rendszergazdák Azure AD-tevékenységeit, részletes feljegyzéseket biztosítva a műveletekről, például: felhasználói kiegészítések, jelszavak visszaállítása, házirend-frissítések, csoporttagok hozzáadása és licencmódosítások.

Előfordulhat, hogy a rendszergazdák Azure AD-tevékenységeinek figyelése önmagában nem elegendő, különösen, ha figyelembe vesszük a Microsoft 365 rendszergazdai szerepköreinek sokaságát a különböző munkaterhelésekben. Ezenkívül, ha meg szeretné vizsgálni a rendszergazdai jogosultságok elosztását a szervezetben, ezt a PowerShell-szkriptet exportálhatja az Office 365 rendszergazdáival és szerepköreivel.

2. Microsoft 365 Purview Portal (Egységes auditnaplók):

Az Azure AD-tevékenységeken túlmutató egyesített auditnaplók a Microsoft 365 Purview portálon átfogó képet nyújt a < b>rendszergazdai tevékenységek minden munkaterhelésnél. Ez a portál lehetővé teszi az adminisztrátorok tevékenységének megfigyelését az Office 365-ben, és még az ellenőrzési napló keresési eredményeit is letöltheti CSV-fájlba. Fontos azonban megjegyezni, hogy ez a megközelítés nem felhasználóbarát, mivel többszöri keresést igényel a kívánt eredmény elérése érdekében.

A rendszergazdai tevékenységek ellenőrzése a Microsoft 365-ben a PowerShell segítségével

A Microsoft 365 adminisztrátorai gyakran fordulnak a PowerShellhez a részletes vezérlés, az automatizálási képességek, a helyi vezérlés és az offline hozzáférés, valamint a tömeges műveletek kezelésének hatékonysága miatt. Ebben az összefüggésben a Search-UnifiedAuditLog parancsmag döntő szerepet játszik a tevékenységek rögzítésében különböző munkaterheléseken, beleértve az Exchange Online-t, a Microsoft Teams-t, a SharePoint Online-t, a Microsoft Entra ID-t (Azure AD). ), és egyéb M365 szolgáltatások.

Az ellenőrzési naplók beszerzése ezzel a parancsmaggal azonban kihívásokat jelent, és a nem megfelelő adatlekérés potenciális adatvesztéshez vezethet. Ennek megoldására bemutatjuk az AdminActivityReport PowerShell-szkriptet, amely az Office 365 rendszergazdai tevékenységeinek CSV-fájlba való exportálására szolgál. fájlt. Innen letöltheti a szkriptet, és a következő szakaszokban felfedezheti annak funkcióit.

Szkript letöltése: AdminActivityReport.ps1

Kiemelt forgatókönyvre

1. A szkript modern hitelesítést használ az Exchange Online-hoz való csatlakozáshoz.
2. A szkript végrehajtható MFA-képes fiókokkal.
3. A jelentés eredményeit egy CSV-fájlba exportálja.
4. A szkript alapértelmezés szerint egy naplót exportál 180 napra.
5. Létrehozhat egy rendszergazdai tevékenység jelentést egy egyéni időszakra.
6. A szkript telepíti az EXO modult a megerősítést követően, ha még nincs telepítve.
7. A szkript ütemezőbarát; a hitelesítő adatok paraméterként adhatók át.
8. Végül a szkript támogatja a tanúsítvány-alapú hitelesítést (CBA).

Microsoft 365 rendszergazdai tevékenységjelentés - Minta kimenet:

Az exportált Microsoft 365 rendszergazdai tevékenységjelentés a következő attribútumokat mutatja:

• Tevékenység ideje
• Admin név
• Művelet
• Eredmény
• Munkaterhelés
• Részletes ellenőrzési adatok

Íme egy példa a PowerShell-szkript által generált kimeneti képre:

MEGJEGYZÉS: Bizonyos munkaterheléseknél, amelyeknél hiányzik az Eredmény állapota oszlop, az üresen jelenik meg.

Hogyan kell végrehajtani a szkriptet?

1. Töltse le a mellékelt PowerShell-szkriptet, és nyissa meg a Windows PowerShellben.
2. Futtassa a szkriptet az alábbi módszerek egyikével:

1. módszer: Futtathatja a szkriptet MFA- és nem MFA-fiókokkal.

./AdminActivityReport.ps1 -AdminId <AdminUPN>

MEGJEGYZÉS: Ha az „-AdminId” nincs megadva, a szkript felszólítja a felhasználót az adminisztrátor UPN-jének (a felhasználó egyszerű neve) megadásával. a „Adja meg adminisztrátori UPN-t” üzenettel.

2. módszer: Futtassa le a szkriptet explicit hitelesítő adatokkal (ütemezőbarát).

./AdminActivityReport.ps1 -AdminId <TargetAdminUPN> -AdminName <ExecutingAdminUPN> -Password <Password>

MEGJEGYZÉS: Bár a módszer kompatibilis az ütemezőkkel, fontos kiemelni, hogy kizárólag a nem MFA-fiókokra érvényes. Ha szeretné letiltani az MFA-t az egyes felhasználóknál és végrehajtani a szkriptet, használja a feltételes hozzáférést.

3. módszer: A szkriptet tanúsítvány alapú hitelesítéssel is végrehajthatja (ütemezőbarát):

Igényeitől függően használjon hitelesítésszolgáltatót (CA), vagy hozzon létre egy önaláírt tanúsítványt.

./AdminActivityReport.ps1 -AdminId <AdminUPN> -ClientId <ClientId> -CertificateThumbprint <Certthumbprint> -Organization <Organization>

MEGJEGYZÉS: A legfontosabb, hogy a tanúsítványalapú hitelesítési módszer használata előtt regisztráljon egy alkalmazást az Azure AD-ben.

A Microsoft 365 rendszergazdai tevékenységének ellenőrzése a PowerShell Script segítségével

Ezzel a PowerShell-szkripttel megteheti

• Exportálja a Microsoft 365 rendszergazdai tevékenységi előzményeit az elmúlt 180 napra vonatkozóan
• A Microsoft 365 rendszergazdai tevékenységének ellenőrzése egy adott időközön belül
• Rendszergazdai tevékenységi jelentés ütemezése
• Kérjen havi Microsoft 365 rendszergazdai tevékenységjelentést

A Microsoft 365 rendszergazdai tevékenységeinek nyomon követése az elmúlt 180 napban

A rendszergazdák általában a Search-UnifiedAuditLog PowerShell-parancsmagot használják a 90 napos jelentések exportálására a Microsoft 365 auditnaplóihoz, segítve ezzel a fenyegetésészlelést, a mintafelismerést és a törvényszéki vizsgálatokat. Az naplózási megőrzési idő 180 napra nemrégiben történt kiterjesztésével azonban a rendszergazdák hosszabb időn keresztül is lekérhetik a naplókat. Futtassa a megadott szkriptet az adminisztrátori tevékenységi előzmények exportálásához a meghosszabbított 180 napos időszakra.

./AdminActivityReport.ps1 -AdminId lisa@contoso.com

A fenti példa a rendszergazda által az elmúlt 180 napban végzett tevékenységeket exportálja.

Abban a szerencsétlen esetben, ha egy adminisztrátor nyers erő vagy adathalász támadás áldozatává válik, ami kompromisszumot eredményez, az adminisztrátori tevékenységek exportálása kritikus intézkedéssé válik. Ha felfedezi, hogy egy rendszergazdai fiókot feltörtek, növelheti a biztonságot, ha engedélyezi az MFA-t a rendszergazdai fiókokhoz.

A Microsoft 365 rendszergazdai tevékenységeinek ellenőrzése egy egyéni időszakra vonatkozóan

Míg az adminisztrátor elmúlt 180 napos tevékenységének nyomon követése átfogó áttekintést nyújt, vannak olyan esetek, amikor konkrétan azonosítani kell, és azokra összpontosítani kell, amelyek egy szűkebb időkereten belül történtek.

Olyan helyzetekben, amikor egy adminisztrátor gyanús tevékenységet végez, például felveszi magát mások postaládájába, és hozzáfér egy adott időszak e-mailjeihez, az ilyen információk teljes naplójának lekérése nehézkes lehet. Ennek megoldásához hasznosak az olyan paraméterek, mint a -StartDate és a -EndDate, amelyek lehetővé teszik egy célzott tevékenység létrehozását. egyéni időszakokra vonatkozó jelentés.

./AdminActivityReport.ps1 -AdminId lisa@contoso.com -StartDate 11/25/23 -EndDate 12/13/23

A fenti példa a rendszergazda tevékenységeiről ad jelentést a 2023. november 25. és 2023. december 13. közötti időszakban. Ezen paraméterek felhasználásával létrehozhat egy Office 365 rendszergazdai ellenőrzési jelentést az elmúlt 7 napról, 30 napról, 90 nap, 180 nap vagy bármely más szükséges időtartam.

Rendszergazdai tevékenység jelentés ütemezése

A jelentések ütemezése túlmutat a rutin ellenőrzésen és felülvizsgálaton; elengedhetetlen a korábbi könyvvizsgálati adatok megőrzéséhez. Állítsa be az időszakos ütemezést, hogy hosszabb ideig megőrizze a megfigyelési adatokat, mivel a Search-UnifiedAuditLog parancsmag csak ezen a 180 napos időtartamon belül kéri le az adatokat. A megadott formátum használatával zökkenőmentesen futtassa a PowerShell-szkriptet a Feladatütemezőből.

./AdminActivityReport.ps1 -AdminId lisa@contoso.com -AdminName shan@contoso.com -Password XXX

Ezenkívül az adminisztrátori tevékenységnaplók elemezhetők minden olyan változtatás vagy frissítés azonosítására, amelyek hozzájárulhattak a rendszer instabilitásához. Ez segít a teljesítményproblémák gyors megoldásában és az egészséges informatikai környezet fenntartásában.

Havi Microsoft 365 rendszergazdai tevékenységi jelentés megtekintése

Képzeljen el egy olyan forgatókönyvet, amikor egy felhasználó rendszergazdai szerepkörbe lép, vagy új felhasználókat ad hozzá megfelelő engedélyek vagy értesítések nélkül. A gyanús rendszergazdai tevékenységekből adódó potenciális károk a szervezet biztonságára nézve riasztóak lehetnek. Ezért elengedhetetlen az adminisztrátori tevékenység rendszeres ellenőrzése. Futtassa az alábbi szkriptet a Microsoft 365 rendszergazdai tevékenységek havi auditálásához.

A következő példa az admin lisa@contoso.com naplózási adatait kéri le az elmúlt 30 nap során.

./AdminActivityReport.ps1 -StartDate ((Get-Date).AddDays(-30)) -EndDate (Get-Date) -AdminId lisa@contoso.com

A fenti formátum használatával ütemezheti a szkriptet a havi végrehajtásra az 1. napra, biztosítva, hogy lekérje az előző hónap ellenőrzési adatait.

Eddig a Microsoft 365 rendszergazdai tevékenység PowerShell segítségével történő auditálási módszereinek feltárására összpontosítottunk. Ha azonban a PowerShell-lel való birkózás lehetősége kimerítette, ideje egy sokkal egyszerűbb megoldáson gondolkodni.

Bemutatkozik az AdminDroid Microsoft 365 Reporter, az Ön könnyed megoldása a Microsoft 365 rendszergazdai ellenőrzésének egyszerűsítésére.

Egyszerűsítse a Microsoft 365 rendszergazdai ellenőrzését az AdminDroid jelentésekkel!

Az AdminDroid leegyszerűsíti a Microsoft 365 adminisztrátori felügyeletét 80+ részletes rendszergazdai jelentéssel, amely olyan szempontokat foglal magában, mint az adminisztrátori tevékenységek, bejelentkezési adatok, licencek, szerepkör-módosítások, jelszóbeállítások, MFA-beállítások stb. A jelentések között szerepel,

• Adminisztrációs jelentések

  • Minden rendszergazda
  • Minden globális rendszergazda
  • Adminisztrátorok menedzsment szerepkörrel
  • Licenccel/engedéllyel nem rendelkező rendszergazdák
  • Nemrég létrehozott rendszergazdák

• Rendszergazdai szerepkör változásai

  • Felhasználó hozzáadva adminisztrátorként
  • Admin hozzáférés eltávolítva
  • Minden szerepművelet

• Adminisztrátori biztonsági beállítások

  • Jelszó visszaállítása a rendszergazdák által
  • Adminisztrátorok MFA-val vagy anélkül
  • Soha nem jár le jelszóval rendelkező rendszergazdák

• Admin bejelentkezés

  • Minden rendszergazdai bejelentkezési tevékenység
  • Rendszergazdai bejelentkezési hibák
  • Rendszergazdák napi bejelentkezési összefoglalója

Az AdminDroid túlmutat a jelentéseken, és átfogó irányítópultot kínál a Microsoft 365 rendszergazdai tevékenységeinek részletes áttekintéséhez. Olyan, amely biztosítja az összes adminisztrátor teljes felügyeletét, és nem hagy nyomot észrevétlenül!

Az AdminDroid ingyenes Azure AD jelentéskészítő eszköze pedig 190+ ingyenes jelentés széles skáláját kínálja, 360 fokos nézetet kínálva az Azure-környezetről, beleértve az Azure AD auditálási jelentéseket a továbbfejlesztett Azure AD-kezeléshez.

Az AdminDroid egy dedikált megoldás az informatikai rendszergazdák kihívásaira, rengeteg 1800+ átfogó jelentéssel 📊 és 30+ vizuálisan vonzó irányítópult. Ezek az erőforrások különféle szolgáltatásokra vonatkoznak, köztük az Exchange Online-ra, a Microsoft Teamsre, a OneDrive-ra, a SharePoint Online-ra, a Power BI-ra, a Streamre és a Viva Engage-re.

Ezenkívül az AdminDroid figyelemre méltó funkciókat kínál, amelyek lenyűgözik! Ők,

1. AdminDroid figyelmeztetés
2. Gyors ütemezés
3. Részletes hozzáférési delegáció
4. Speciális testreszabási szűrők

Ne habozzon! Tapasztalja meg első kézből a Microsoft 365 jelentéskészítés erejét az AdminDroid letöltésével, hogy lenyűgöző gyakorlati élményben legyen része.

Összefoglalva: ellenőrizze a Microsoft 365 rendszergazdai tevékenységét a biztonságos és jól felügyelt környezet érdekében. Ezenkívül a biztonság fokozása érdekében a Microsoft megkezdte a feltételes hozzáférési szabályzatok bevezetését, amelyek MFA-t igényelnek a rendszergazdák számára a felügyeleti portálok eléréséhez. Bízunk benne, hogy ez a blog leegyszerűsítette a Microsoft 365 rendszergazdai ellenőrzési folyamatát. Nyugodtan ossza meg aggályait vagy kérdéseit a megjegyzések részben. Köszönöm hogy elolvastad!