רישום ביקורת של תיבת דואר ב- Exchange וב- Microsoft 365

באפשרותך להשתמש ברישום ביקורת ב- Exchange Server מקומי וב- Exchange Online מבוסס ענן (Microsoft 365) כדי לעקוב אחר כל פעולות המשתמש בכל פריט בתיבת דואר. באמצעות ביקורת פעילות תיבת דואר, מנהל Exchange יכול לענות בקלות על השאלה הפופולרית "כיצד לגלות משתמש שמחק דואר אלקטרוני מתיבת דואר משותפת? "

במאמר זה, נראה לך כיצד להפעיל ולהגדיר רישום ביקורת ב- Exchange Server ובתיבת הדואר של Microsoft 365 וכיצד לסקור יומני ביקורת.

הפיכת רישום ביקורת לזמין בתיבות דואר של Office 365 (Microsoft 365)

קודם כל, בואו נסתכל על תכונות הביקורת בתיבות דואר של דייר Microsoft 365. הם זמינים רק עבור מנויים ברמת E3 ו- E5.

פתח את PowerShell והתחבר ל- Exchange Online באמצעות מודול EXOv2:

Connect-ExchangeOnline -UserPrincipalName maxbak@a-d.onmicrosoft.com -ShowProgress $true

רישום הביקורת זמין כברירת מחדל ב- Exchange Online (Office 365) עבור כל הדיירים מאז סוף 2018.

Get-OrganizationConfig | Format-List AuditDisabled

באפשרותך להפעיל/להשבית את הביקורת בהגדרות של כל תיבת דואר. בוא נציג את הגדרות הביקורת הנוכחיות עבור כל תיבות הדואר:

Get-Mailbox -ResultSize Unlimited -Filter {RecipientTypeDetails -eq "UserMailbox"} | Select UserPrincipalName,AuditEnabled

כפי שניתן לראות, הביקורת מופעלת. באפשרותך להפוך ביקורת ללא זמינה עבור תיבת דואר ספציפית:

Set-Mailbox maxbak -AuditEnabled $false

Exchange מאפשר שימוש ברמות הבאות של ביקורת פעילות תיבת דואר

  • AuditOwner - פעולות בעלים ביקורת;

  • AuditAdmin - פעולות מנהל ביקורת;

  • AuditDelegate - פעולות ביקורת של משתמשים אחרים שקיבלו גישה לתיבת הדואר.

ניתן לרשום ביומן הביקורת את האירועים הבאים:

  • Copy
  • Create
  • FolderBind
  • HardDelete
  • MailboxLogin
  • MessageBind
  • Move
  • MoveToDeletedItems
  • SendAs
  • SendOnBehalf
  • SoftDelete
  • Update
  • UpdateCalendarDelegation
  • UpdateFolderPermissions

עבור כל רמת ביקורת, באפשרותך להגדיר את האירועים שיש לרשום. באפשרותך לקבל הגדרות ביקורת עדכניות באמצעות פקודות אלה:

Get-Mailbox maxbak| Select-Object -ExpandProperty AuditOwner
Get-Mailbox maxbak| Select-Object -ExpandProperty AuditDelegate
Get-Mailbox maxbak| Select-Object -ExpandProperty AuditAdmin

באפשרותך להגדיר רק סוגים מסוימים של אירועים שיירשמו ביומן. לדוגמה, כדי לבקר אירועים של הסרת פריטים:

Set-Mailbox maxbak -AuditOwner HardDelete,SoftDelete

אם ברצונך להוסיף רק אירועי ביקורת אחרים לאירועים הקיימים:

Set-Mailbox maxbak -AuditOwner @{Add=”MailboxLogin”,”HardDelete”}

יומני ביקורת מאוחסנים ישירות בתיקיה 'ביקורת' של כל תיבת דואר. התיקיה אינה זמינה מ- Outlook או OWA.

באפשרותך לקבל את גודל יומן הביקורת הנוכחי בתיבת דואר באמצעות הפקודה הבאה:

Get-MailboxFolderStatistics -Identity MarinaD@a-d.onmicrosoft.com | where {$_.FolderType -eq 'Audits'} | ft Identity, ItemsInFolder, FolderSize -auto

כיצד להפוך רישום ביקורת של תיבת דואר לזמין ב- Exchange Server?

ב- on-prem Exchange Server, ביקורת תיבת דואר זמינה ב- 2010 SP1+ . כברירת מחדל, ביקורת תיבת הדואר אינה זמינה.

התחבר לשרת Exchange on-prem באמצעות PowerShell:

$Session = New-PSSession -ConfigurationName Microsoft.Exchange -ConnectionUri http://mun-mbx01.a-d.site/PowerShell/ -Authentication Kerberos -Credential $UserCredential
Import-PSSession $Session

באפשרותך להפוך רישום ביקורת לזמין עבור תיבת דואר יחידה:

Set-Mailbox maxbak -AuditEnabled $true

או עבור כל תיבות הדואר בארגון Exchange שלך:

Get-Mailbox -ResultSize Unlimited -Filter {RecipientTypeDetails -eq "UserMailbox"} | Set-Mailbox -AuditEnabled $true

בתיבות דואר של Exchange Server, פעולות מנהל המערכת והנציג מבוקרות (הגדרות ברירת המחדל שונות מאלה שב- Exchange Online). ביקורת פעילות הבעלים מושבתת. אם תפעיל ביקורת של כל האירועים של בעלי תיבת דואר, גודל יומן הרישום יגדל הרבה יותר מהר. עדיף לאפשר ביקורת סלקטיבית של פעולות מסוימות (לדוגמה, מחיקה או העברה):

Set-Mailbox maxbak -AuditOwner SoftDelete,HardDelete,MoveToDeletedItems,Move

אירועי ביקורת מאוחסנים למשך 90 יום ונמחקים לאחר מכן. באפשרותך לנהל את העומק (והגודל) של יומן הביקורת. לדוגמה, באפשרותך להפחית את תקופת השמירה עבור אירועים בתיבת דואר מ- 90 ל- 30 יום:

Get-Mailbox maxbak |select AuditLogAgeLimit
Set-Mailbox maxbak -AuditLogAgeLimit 30 -Force

גלה מי מחק דואר אלקטרוני מתיבת דואר משותפת של Exchange

נניח שקיימת תיבת דואר משותפת בדייר/בארגון Exchange שלך הנגישה למשתמשים אחרים. אחד המשתמשים מחק דוא"ל חשוב ואתה צריך לגלות מי עשה את זה.

כדי לחפש ביומני ביקורת של תיבות דואר, הסמל

Search-MailboxAuditLog

נעשה שימוש ב- cmdlet. ה- cmdlet זמין הן ב- Exchange Server on-prem והן ב- Exchange Online בענן (אפשרויות מסוימות עשויות להיות שונות).

הפקודה הבאה מציגה את כל פעילות הפריט (יומן ביקורת) בתיבת דואר משותפת ספציפית מאז 1 בפברואר:

Search-MailboxAuditLog -Identity support@a-d.onmicrosoft.com -StartDate 2/1/2022 -ShowDetails| ft MailboxOwnerUPN, LogonType, LogonUserDisplayName, Operation,OperationResult, SourceItemSubjectsList,FolderPathName, DestFolderPathName,LastAccessed|ft

החיפוש עשוי להימשך זמן רב למדי בהתאם למספר אירועי הביקורת. התמונה מראה מי מחק הודעת דואר אלקטרוני עם הנושא שצוין (פעולת המשתמש MoveToDeleteItems).

השתמש ב- cmdlet Search-Mailbox כדי לחפש דואר אלקטרוני בכל תיבות הדואר של Exchange.

באפשרותך להחיל מסננים מפורטים על יומני הביקורת שלך. לדוגמה, ברצונך לבחור באפשרות מחק אירועים בלבד (

HardDelete

,

SoftDelete

,

MoveToDeletedItems

) הקשורים למשתמשים שאינם בעלים:

Search-MailboxAuditLog -Identity support support@a-d.onmicrosoft.com -StartDate 2/2/2022 -EndDate 2/8/2022 -LogonTypes Delegate,Admin -ShowDetails| Where-Object {$_.Operation -like "*Delete*"}|ft MailboxOwnerUPN, LogonType,LogonUserDisplayName,Operation, OperationResult,SourceItemSubjectsList,FolderPathName, DestFolderPathName,LastAccessed|ft

כדי לבצע חיפוש אסינכרוני אחר אירועי ביקורת, הסמל

New-MailboxAuditLogSearch

נעשה שימוש ב- cmdlet. זה גורם פחות עומס על שרת תיבת הדואר, פועל ברקע, מאפשר לך למצוא את המידע הרצוי בין אלפי אירועים ביעילות, ושולח תוצאות לתיבת הדואר שצוינה.

באפשרותך גם לחפש ביומני ביקורת בניהול תאימות -> ביקורת של מרכז הניהול של Exchange (EAC). באפשרותך להשתמש באפשרויות "הפעל דוח גישה לתיבת דואר שאינה של בעלים" או "יצא יומני ביקורת של תיבת דואר".

ב- Exchange Online, באפשרותך להשתמש ב- EAC (דרך מדור קודם) או במרכז התאימות של Microsoft 365 (https://compliance.microsoft.com/homepage) כדי לחפש ביומני הביקורת. כדי לחפש אירוע, עבור אל פתרונות -> ביקורת -> חיפוש. בחר פרק זמן, בחר "הודעות שהועברו לתיקיה פריטים שנמחקו ", "הודעות שנמחקו מהתיקיה פריטים שנמחקו ".

באפשרותך לחפש ביומני הביקורת במרכז התאימות באמצעות

Search-UnifiedAuditLog

פקודה.

כמו כן, באפשרותך להשתמש באירועי ביקורת של Exchange כדי לבדוק אם הודעת דואר אלקטרוני נקראה על-ידי הנמען.