Технический совет: как включить аудит почтовых ящиков в Office 365

В связи с постоянно растущей потребностью в дополнительной информации о безопасности ваших систем, особенно почты, Microsoft всегда выпускает новые функции, помогающие выявлять угрозы для вашей среды

В связи с постоянно растущей потребностью в дополнительной информации о безопасности ваших систем, особенно почты, Microsoft всегда выпускает новые функции, помогающие выявлять угрозы для вашей среды. Скажем, например, у вас есть пользователь, чей пароль был взломан, и до того, как вы узнали и заблокировали учетную запись, вы полагали, что изменения могли быть внесены. Обычно в этой ситуации большинство людей должны были бы исследовать изменения, которые были сделаны вручную. Глядя на правила почтовых ящиков, переадресацию, SMTP-адреса и тому подобное, чтобы определить, что отличается. К счастью, с добавлением Центра безопасности и соответствия требованиям, а также аудита почтовых ящиков ручные проверки постепенно уходят в прошлое.

Аудит почтовых ящиков - это функция, которая была добавлена ​​в Office 365, когда был выпущен Центр обеспечения безопасности и соответствия требованиям. По умолчанию аудит почтовых ящиков не включен ни в одном из клиентов, что означает, что любое событие, происходящее с почтовым ящиком пользователя, не регистрируется. Чтобы включить это для одного пользователя или всего сайта, вы должны сделать это с помощью команд PowerShell.

Как войти в свой клиент с помощью PowerShell

На локальном компьютере откройте Windows PowerShell и выполните следующую команду.

$ UserCredential = Get-Credential

В диалоговом окне Запрос учетных данных Windows PowerShell введите имя пользователя и пароль для учетной записи глобального администратора Office 365, а затем нажмите кнопку ОК .

Запустите следующую команду.

$ Session = New-PSSession –ConfigurationName Microsoft.Exchange –ConnectionUri https://outlook.office365.com/powershell-liveid/ -Credential $ UserCredential –Authentication Basic -AllowRedirection

Запустите следующую команду.

Import-PSSession $ Session

Как включить ведение журнала аудита почтовых ящиков

После подключения к Exchange Online через PowerShell вы можете использовать одну из следующих двух команд, чтобы включить аудит для одного почтового ящика или аудит для всей организации.

В этом примере включается ведение журнала аудита почтовых ящиков для почтового ящика Джона Смита.

Набор-Почтовый ящик-Идентичность «Пилар Пинилла» -AuditEnabled $ true

В этом примере включается ведение журнала аудита почтовых ящиков для всех пользовательских почтовых ящиков в вашей организации.

Get-Mailbox -ResultSize Unlimited -Filter {RecipientTypeDetails -eq «UserMailbox»} | Set-Mailbox -AuditEnabled $ true

Укажите действия для аудита

Как объясняет Microsoft, при включении аудита для почтового ящика по умолчанию включается только одно действие. Это параметр UpdateFolderPermissions . Чтобы включить различные действия владельца в почтовом ящике, вам нужно будет использовать таблицу ниже, чтобы определить, что требуется.

Действие Описание Admin Delegate *** Owner Copy Сообщение было скопировано в другую папку. Да Нет Нет Создать Элемент создается в папке «Календарь», «Контакты», «Примечания» или «Задачи» в почтовом ящике; например, создается новый запрос на собрание. Обратите внимание, что создание, отправка или получение сообщения не проверяются. Кроме того, создание папки почтового ящика не проверяется. Да * Да * Да FolderBind Доступ к папке почтового ящика. Это действие также регистрируется, когда администратор или делегат открывает почтовый ящик. Да * Да ** Нет HardDelete Сообщение было удалено из папки «Элементы для восстановления». Да * Да * Да MailboxLogin Пользователь вошел в свой почтовый ящик. Нет Нет Да MessageBind Сообщение было просмотрено на панели предварительного просмотра или открыто. Да Нет Нет Переместить Сообщение было перемещено в другую папку. Да * Да Да MoveToDeletedItems Сообщение было удалено и перемещено в папку «Удаленные». Да * Да Да SendAs Сообщение было отправлено с использованием разрешения SendAs. Это означает, что другой пользователь отправил сообщение, как будто оно пришло от владельца почтового ящика. Да * Да * Нет SendOnBehalf Сообщение было отправлено с использованием разрешения SendOnBehalf. Это означает, что другой пользователь отправил сообщение от имени владельца почтового ящика. В сообщении указывается получателю, кому сообщение было отправлено от имени и кто фактически отправил сообщение. Да * Да Нет SoftDelete Сообщение было окончательно удалено или удалено из папки «Удаленные». Удаленные объекты перемещаются в папку «Элементы для восстановления». Да * Да * Да Обновить Сообщение или его свойства были изменены. Да * Да * Да UpdateCalendarDelegation Делегирование календаря было назначено почтовому ящику. Делегирование календаря дает другому лицу в той же организации разрешения на управление календарем владельца почтового ящика. Да * Нет Да * UpdateFolderPermissions Разрешение папки было изменено. Права доступа к папкам определяют, какие пользователи в вашей организации могут получить доступ к папкам в почтовом ящике и сообщениям, расположенным в этих папках. Да * да * да *

В следующем примере PowerShell показано добавление действий владельца MailboxLogin и HardDelete в один почтовый ящик. Эти команды будут работать, только если для этого почтового ящика уже включен аудит почтовых ящиков.

Set-Mailbox «Джон Смит» -AuditOwner @ {Add = «MailboxLogin», «HardDelete»}

В следующем примере PowerShell показывает, как добавить действия владельца MailboxLogin , HardDelete и SoftDelete во все почтовые ящики в вашей организации.

Get-Mailbox -ResultSize Unlimited -Filter {RecipientTypeDetails -eq «UserMailbox»} | Set-Mailbox -AuditOwner @ {Add = ”MailboxLogin”, ”HardDelete”, ”SoftDelete”}

Наконец, чтобы подтвердить, что вы успешно включили аудит почтового ящика, вы можете запустить команду PowerShell для получения настроек аудита.

Get-Mailbox «Джон Смит» | ФЛ Аудит *

Чтобы проверить всех пользователей:

Get-Mailbox -ResultSize Unlimited -Filter {RecipientTypeDetails -eq «UserMailbox»} | ФИО Имя, Аудит *

Когда результат повысится, убедитесь, что свойство AuditEnabled показывает True .

Как отключить аудит почтовых ящиков

Если по какой-либо причине вам необходимо отключить аудит почтовых ящиков для учетной записи электронной почты, вы можете использовать команду PowerShell ниже.

Set-Mailbox -Identity <идентификатор почтового ящика> -AuditEnabled $ false

Как искать в журналах аудита

После включения аудита вы можете войти в свой клиент Office 365 и перейти в Центр обеспечения безопасности и соответствия требованиям . На этом портале вы найдете опцию, которая называется Audit Log Search . Оттуда вы можете найти отчеты, подобные тем, что на скриншоте ниже.

Вы заметите, что имена отчетов точно совпадают с именами в таблице действий владельца, которую я предоставил ранее. Для сравнения действий с отчетами один на один вы можете использовать таблицу ниже

Активность в журнале аудита. Действие аудита почтового ящика. Создание элемента почтового ящика. Создание скопированных сообщений в другой папке. Копирование пользователя, вошедшего в почтовый ящик. MailboxLogin. Отправленные сообщения с использованием разрешений «Отправить от имени». SendOnBehalf. Переместить отправленное сообщение с использованием разрешений «Отправить как». «Обновление удаленных сообщений из папки« Удаленные »SoftDelete».

Обратите внимание, что если почтовый ящик пользователя не включен для определенного действия владельца, вы не сможете запустить требуемый отчет.

Как экспортировать журнал аудита почтовых ящиков

  1. В центре администрирования Exchange (EAC) выберите Управление соответствием > Аудит .
  2. Нажмите Экспорт журналов аудита почтовых ящиков .
  3. Настройте следующие критерии поиска для экспорта записей из журнала аудита почтовых ящиков:
    • Даты начала и окончания Выберите диапазон дат для записей, включаемых в экспортируемый файл.
    • Почтовые ящики для поиска в журнале аудита Выберите почтовые ящики для получения записей журнала аудита.
    • Тип доступа, не принадлежащего владельцу. Выберите один из следующих параметров, чтобы определить тип доступа, не принадлежащего владельцу, для получения записей:
      • Все не владельцы Поиск доступа администраторами и делегированными пользователями в вашей организации, а также администраторами центров обработки данных Microsoft в Exchange Online.
      • Внешние пользователи Поиск доступа администраторами центра данных Microsoft.
      • Администраторы и делегированные пользователи Поиск доступа администраторов и делегированных пользователей внутри вашей организации.
      • Администраторы Поиск доступа администраторов в вашей организации.
    • Получатели Выберите пользователей для отправки журнала аудита почтовых ящиков.
  4. Нажмите Экспорт .

Microsoft Exchange извлекает записи в журнале аудита почтовых ящиков, которые соответствуют вашим критериям поиска, сохраняет их в файл с именем SearchResult.xml, а затем прикрепляет файл XML к сообщению электронной почты, отправляемому указанным вами получателям.

Как просмотреть журнал аудита почтовых ящиков

  1. Войдите в почтовый ящик, куда был отправлен журнал аудита почтовых ящиков.
  2. В папке «Входящие» откройте сообщение с вложенным файлом XML, отправленное Microsoft Exchange. Обратите внимание, что тело сообщения электронной почты содержит критерии поиска.
  3. Нажмите на вложение и выберите, чтобы загрузить файл XML.
  4. Откройте SearchResult.xml в Microsoft Excel.

Статьи Microsoft

https://support.office.com/en-us/article/enable-mailbox-auditing-in-office-365-aaca8987-5b62-458b-9882-c28476a66918#ID0EABAAA=Step-by-step_instructions

https://technet.microsoft.com/library/jj150552(v=exchg.150).aspx

https://technet.microsoft.com/en-us/library/dd638114(v=exchg.150).aspx

Похожие

Скачать бесплатную полную версию Office 2016/2010
Обновление: Microsoft выпустила финальную версию Office 2016 для широкой публики и теперь доступна всем. Пользователи, которые использовали Office 2013 как часть Офис 365 подписка теперь может обновиться до Office 2016 бесплатно. Хотя пробная копия Office 2016 не доступна в качестве автономного установщика для всех, можно попробовать Office 2016, подписавшись на месячную пробную
Как создать интернет-магазин? - Virtuemart 3 установка
Задумывались ли вы, как вы можете создать свой интернет-магазин? Используйте Virtuemart, который в конце прошлого года был выпущен в версии 3.0.0 и работает с последней версией Joomla 3.x. С чего начать? Лучше всего установить Joomla в последней версии 3.3.6, которая доступна здесь , Кроме того, установите языковой пакет Joomla, поскольку это руководство создано вместе с польскими языковыми пакетами для Joomla и Virtuemart, выпущенными
Как намерение пользователя влияет на контент-маркетинг?
Я помню шесть лет назад, «заполнение ключевыми словами» присутствовало на большинстве сайтов, заинтересованных в SEO-деятельности. Выборка ключевых слов, чтобы привлечь внимание роботов к домену, была практически идентична позиционированию. Однако оказалось, что это не так.
Кейс: юзабилити аудит сайта "Кредобанка" - Plerdy
В данном кейсе, с помощью карт кликов и скроллинга, мы рассмотрим основные поведенческие факторы пользователей сайта и подготовим перечень рекомендаций по совершенствованию веб-ресурса
Как удалить пароль из зашифрованного файла Outlook PST?
... версию MS Outlook, с которой вы имеете дело. Причиной такого заявления является то, что в версии, выпущенные после MS Outlook 2003, внесены некоторые изменения. Это меняет весь сценарий, связанный с удалением пароля из файла PST. Таким образом, шаги для удаления пароля также будут разными. Чтобы удалить пароль из файла PST, созданного в версии, предшествующей Outlook 2003, 2007, 2010 или Outlook 2013, необходимо выполнить следующие действия: Закройте MS Outlook и сделайте
Как использовать ретуширование и восстановление в Adobe Photoshop
Восстановление изображений достигается с помощью различных кистей и инструментов, в том числе «Восстанавливающая кисть», «Штамп» и «Восстанавливающая кисть». Эта функция работает одинаково во всех последних версиях Adobe Photoshop: CS5, CS6 и Creative Cloud (CC). Выберите «Фотография» в меню «Рабочая область» в правом верхнем углу экрана. Теперь вы должны увидеть инструменты ретуши на панели инструментов.
Как вы можете отразить iPhone на Samsung Smart TV
AirBeamTV выпустил приложение, которое позволяет вам отражать ваши iOS 11 -поддержка устройства на Samsung Smart TV, аналогично AirMirror. Вот как отразить iPhone на Smart TV от Samsung.
Руководство по солнечному затмению 2019 года: когда, где и как их увидеть
В 2019 году наблюдатели в нескольких избранных местах на Земле получат три возможности увидеть солнечное затмение, небесное событие, в котором Луна ненадолго отрывается от Солнца. солнечное затмение происходит, когда диск луны, кажется, пересекается перед диском солнца. Полное солнечное затмение - подобное тому, которое пересекло США на
Vbs: malware-gen - как его удалить?
Vbs: malware-gen Угроза, о которой мы собираемся написать сегодня, - это вирус vbs: malware-gen. Этот вредоносные программы В основном это беспокоит пользователей Avast и других антивирусных программ, в основном, когда они посещают веб-страницы интернет-магазинов Amazon или видеоролики Twitch.tv. Уведомления об этом паразите стали очень постоянными, они
Что такое ярлык вируса и как его удалить?
... вирус - это своего рода комбинация троянов и червей, которая скрывает все ваши файлы и папки, а затем заменяет их ярлыками, которые выглядят одинаково. Когда вы запускаете один из этих ложных ярлыков, вы в конечном итоге запускаете вредоносное ПО, которое дублирует вирус и еще больше заражает вашу систему, что приводит к краже личных данных, ухудшению производительности системы и всевозможным другие
Как вставить видео с YouTube в презентацию PowerPoint
Если вы пытаетесь добавить видео YouTube в свою презентацию PowerPoint, есть несколько способов сделать это. Самый простой способ - просто скопировать код встраивания из видео YouTube и вставить его в PowerPoint. Однако этот вариант требует наличия активного подключения к Интернету во время презентации, поскольку видео будет транслироваться из Интернета. Второй вариант - загрузить видео с YouTube, а затем вставить его в виде файла фильма в PowerPoint. Это более сложный процесс, потому

Комментарии

Хотите ли вы быть одним из тех, кому нет дела до того, как они дают упаковку, или те, кто даже прикрепляет такую ​​деталь, как лента, обращают внимание на узнаваемость своего бренда?
Хотите ли вы быть одним из тех, кому нет дела до того, как они дают упаковку, или те, кто даже прикрепляет такую ​​деталь, как лента, обращают внимание на узнаваемость своего бренда?
Как бы вы относились к утверждениям, что время от времени попадают в сеть, что Orange намеренно «обрезает» передачу с YouTube из-за огромной стоимости отправки видео по сети?
Как бы вы относились к утверждениям, что время от времени попадают в сеть, что Orange намеренно «обрезает» передачу с YouTube из-за огромной стоимости отправки видео по сети? Может ли эта проблема с YouTube быть связана с тем, что в последнее время смартфоны Android не могут загружать приложения из Google Play через соединение Orange? Пользователи вынуждены переключаться на сотовую связь, что также случалось со мной много раз, и я не могу найти причину проблемы. Что Orange
Как подготовить эффективное мета-описание?
Как подготовить эффективное мета-описание? Помните, что оно должно быть кратким, иметь маркетинговый характер и отражать (или обобщать) содержание страницы к которому это относится. Поставьте себя на место пользователя и подумайте, не побудит ли подготовленное описание перейти по ссылке на страницу. Подготовьте описания для каждой подстраницы и не беспокойтесь, если Google покажет контент со страницы.
Как это сделать?
Как это сделать? Войдите в бэкэнд Joomla, выберите « Расширения» -> « Установщик» в главном меню. Таким образом, вы должны установить оба архивных файла по одному. О правильной установке мы будем проинформированы соответствующим сообщением на английском
Почему вы хотите включить или выключить поддержку проигрывателя Dolby Vision или HDR10 +, если есть возможность автоматического переключения аппарата?
Почему вы хотите включить или выключить поддержку проигрывателя Dolby Vision или HDR10 +, если есть возможность автоматического переключения аппарата? Все это кажется немного ненужным. Картина Мы снабжаем DP-UB9000 набором из 4K Blu-ray, начиная с римейка Jumanji , и с картинки, которую мы получаем на нашем LG
Как то, что вы видите?
Как то, что вы видите? Эта функциональность доступна в Макс Мега Меню Про
Как починить молнию в куртке?
Как бы вы относились к утверждениям, что время от времени попадают в сеть, что Orange намеренно «обрезает» передачу с YouTube из-за огромной стоимости отправки видео по сети? Может ли эта проблема с YouTube быть связана с тем, что в последнее время смартфоны Android не могут загружать приложения из Google Play через соединение Orange? Пользователи вынуждены переключаться на сотовую связь, что также случалось со мной много раз, и я не могу найти причину проблемы. Что Orange
Может быть, вы подарите жениху и невесте (как дополнение к конверту) какую-нибудь интересную фотокнигу?
Может быть, вы подарите жениху и невесте (как дополнение к конверту) какую-нибудь интересную фотокнигу? Или лучше, CEWE PHOTOBOOK - в конце концов, вы можете сопоставить ее содержание с женихом и невестой. Если вы знакомы с одним из них, например, с детства, по совместным занятиям или по футболу, соберите такие фотографии и сделайте из них фотоальбом. Персональный сюрприз CEWE ФОТОБУБКА наверняка, это будет огромным
И если он действительно не видит цвета, как Photoshop делает такую ​​большую работу, показывая нам то, чего не видит?
И если он действительно не видит цвета, как Photoshop делает такую ​​большую работу, показывая нам то, чего не видит? Чтобы ответить на этот вопрос, нам нужно взглянуть на пару вещей. Один - это цветовые режимы, а другой - цветные каналы . Они оба связаны друг с другом в значительной степени, поэтому, как только вы поймете первый, цветовые режимы, второй, цветовые каналы, станет намного понятнее. Мы знаем, или, по крайней мере, на данный
Как получить бонус 450 злотых?
Как получить бонус 450 злотых? В случае обеих учетных записей получение бонуса включает в себя несколько условий. Владельцы мобильного счета в eKonto могут заработать следующие бонусы: 10 злотых за вход в мобильное приложение - вход должен быть осуществлен в течение 24 часов с момента открытия счета. Банк выплачивает бонус в течение 20 рабочих дней после выполнения этого условия. 250 злотых в обмен на покупки - банк возместит
Как это случилось?
Как это случилось? Группа лабораторий угроз опубликовала изменение в логике проверки обнаружения, которое передало проверку на более раннюю стадию процесса публикации обнаружения. Несколько факторов, включая развертывание новой «внутренней» версии, заставили это обнаружение обойти проверки безопасности, которые обычно используются для создания этой публикации. Что мы делаем, чтобы это исправить? Мы внедряем дополнительные проверки при создании обнаружений, проверке обнаружений

С чего начать?
Хотите ли вы быть одним из тех, кому нет дела до того, как они дают упаковку, или те, кто даже прикрепляет такую ​​деталь, как лента, обращают внимание на узнаваемость своего бренда?
Как бы вы относились к утверждениям, что время от времени попадают в сеть, что Orange намеренно «обрезает» передачу с YouTube из-за огромной стоимости отправки видео по сети?
Как бы вы относились к утверждениям, что время от времени попадают в сеть, что Orange намеренно «обрезает» передачу с YouTube из-за огромной стоимости отправки видео по сети?
Может ли эта проблема с YouTube быть связана с тем, что в последнее время смартфоны Android не могут загружать приложения из Google Play через соединение Orange?
Как подготовить эффективное мета-описание?
Как это сделать?
Как это сделать?
Почему вы хотите включить или выключить поддержку проигрывателя Dolby Vision или HDR10 +, если есть возможность автоматического переключения аппарата?
Как то, что вы видите?