识别未经审核的邮箱活动并采取必要的措施

为了确保您的组织始终掌握安全性，Microsoft 引入了 Office 365 审核日志。通过审核日志记录，您可以跟踪、记录并保留在租户中执行的活动。 Office 365 邮箱审核是审核日志的一部分，因为邮箱包含最多种类的机密信息。跟踪邮箱审核操作有助于跟踪邮箱访问以及所有者、代理人和管理员执行的操作。因此，组织可以通过详细的审核日志来监控邮箱活动，并随时掌握潜在的安全漏洞。

列出所有未经审核的邮箱操作：

微软默认启用了邮箱审核，但这并不是百分之一的正确。默认情况下仅启用特定邮箱操作。因此，管理员很难区分每种登录类型（审核管理员、审核所有者、审核代表）的哪些邮箱操作已审核，哪些邮箱操作未审核。

那么，如何确保所有邮箱活动都经过审核？不要恐慌！！我们已经为您提供了保障。

为了克服这一困难，我们准备了一个 PowerShell 脚本，可让您查看哪些邮箱操作未被审核。从而，将一项复杂的任务简化为一项更加简单的任务。确保我们的 PowerShell 脚本不会被忽视！

立即下载：GetMB_NonAuditedActions.ps1

脚本亮点：

• 该脚本使用现代身份验证连接到 Exchange Online。
• 该脚本可以使用启用 MFA 的帐户来执行。
• 将报告结果导出到 CSV 文件。
• 列出每种登录类型（管理员、所有者、代表）的未经审核的邮箱操作。
• 帮助识别绕过审核的邮箱。
• 在您确认后自动安装EXO V2 模块（如果尚未安装）。
• 凭据作为参数传递（调度程序友好），所以不用担心！即，凭证可以作为参数传递，而不是保存在脚本中。

列出所有未经审核的邮箱操作 - 脚本执行：

要运行此脚本，您可以选择以下任意一种方法。

方法 1：您可以使用以下方法使用 MFA 和非 MFA 帐户运行脚本。

.\GetMB_NonAuditedActions.ps1

方法 2：要以非交互方式运行脚本，您可以使用以下格式。

.\GetMB_NonAuditedActions.ps1 -UserName [email protected] -Password XXX

您还可以使用此格式在 Windows 任务计划程序中自动执行 PowerShell 脚本。

导出未经审核的邮箱操作报告 - 示例输出：

运行此脚本后，它将导出一个 CSV 文件，其中包含每种登录类型的未经审核的邮箱操作。输出文件将存储在当前工作目录中。

详细查看 CSV 属性：

1. 显示名称 - 显示邮箱名称。
2. 审核绕过已启用 - 这显示邮箱是否设置为绕过邮箱审核日志记录。如果帐户配置为绕过邮箱审核日志记录，则不会记录该帐户对任何邮箱执行的操作。
3. 具有默认审核集的登录类型 - 默认情况下启用的邮箱审核包含 DefaultAuditSet 属性。这指示是否正在对所有邮箱审核默认邮箱操作。
4. 默认情况下启用邮箱审核时，DefaultAuditSet 属性值最初设置为Admin、Delegate 或 Owner。如果该值为空，则表明管理员已更改所有三种登录类型的邮箱审核操作。
5. 所有者、管理员、代表。

• • 所有者审核 - 列出邮箱上未经审核的邮箱所有者操作。
• 委托审核 - 显示未经审核的委托操作。
• 管理审核 - 此处显示未经审核的管理操作。

为什么在 Office 365 中启用邮箱审核？

好的！了解未经审计的行为后，您会做什么？

最佳实践是根据您的审核要求启用之前关闭或什至从一开始就未启用的邮箱审核操作。因为，邮箱中包含敏感信息和对业务影响较大的信息。因此，必须审核邮箱并随时了解邮箱中执行的操作。

您可以根据您的要求使用预构建的 PowerShell 脚本启用邮箱审核。

脚本亮点：

• 您可以使用单个 cmdlet 为所有邮箱启用邮箱审核日志记录。
• 此脚本允许您为所有邮箱操作或操作集启用邮箱审核。
• 此脚本也支持启用 MFA 的帐户。
• 此脚本会在您确认后自动安装 Exchange Online PowerShell 模块。

包起来：

使用这些脚本，您可以有效地管理 Exchange Online 审核并监视所有邮箱执行的活动。但是，审核日志搜索很难找到可疑活动或非所有者访问，因为它一天包含数千条审核记录。此外，本机审核日志有很多限制，如 90 天的保留期、没有内置报告、过滤能力差等。为了克服这个困难，您可以使用 Exchange Online 审核工具。该工具提供了一个易于理解的 Web 界面，通过图表、图形以及预设和自定义报告的列表视图显示统计信息。

通过这个博客，我希望能够帮助管理员如何识别邮箱中未经审核的邮箱操作。如果您需要更多帮助，请在评论中提出您的疑问。我们很乐意为您解决！