Postfachüberwachungsprotokollierung in Exchange und Microsoft 365

Sie können die Überwachungsprotokollierung im lokalen Exchange Server und im cloudbasierten Exchange Online (Microsoft 365) verwenden, um alle Benutzeraktionen für alle Elemente in einem Postfach zu verfolgen. Durch die Verwendung der Postfachaktivitätsüberwachung kann ein Exchange-Administrator die häufig gestellte Frage „Wie finde ich einen Benutzer heraus, der eine E-Mail aus einem freigegebenen Postfach gelöscht hat?“ ganz einfach beantworten.

In diesem Artikel zeigen wir Ihnen, wie Sie die Überwachungsprotokollierung in Exchange Server und Microsoft 365-Postfächern aktivieren und konfigurieren und wie Sie Überwachungsprotokolle überprüfen.

Aktivieren Sie die Überwachungsprotokollierung in Office 365-Postfächern (Microsoft 365).

Schauen wir uns zunächst die Überwachungsfunktionen in Microsoft 365-Mandantenpostfächern an. Sie sind nur für Abonnenten der Stufen E3 und E5 verfügbar.

Öffnen Sie PowerShell und stellen Sie mithilfe des EXOv2-Moduls online eine Verbindung zu Ihrem Exchange her:

Connect-ExchangeOnline -UserPrincipalName maxbak@a-d.onmicrosoft.com -ShowProgress $true

Die Audit-Protokollierung ist in Exchange Online (Office 365) seit Ende 2018 standardmäßig für alle Mandanten aktiviert.

Get-OrganizationConfig | Format-List AuditDisabled

Sie können die Prüfung in den Einstellungen jedes Postfachs aktivieren/deaktivieren. Lassen Sie uns die aktuellen Überwachungseinstellungen für alle Postfächer anzeigen:

Get-Mailbox -ResultSize Unlimited -Filter {RecipientTypeDetails -eq "UserMailbox"} | Select UserPrincipalName,AuditEnabled

Wie Sie sehen, ist die Prüfung aktiviert. Sie können die Überwachung für ein bestimmtes Postfach deaktivieren:

Set-Mailbox maxbak -AuditEnabled $false

Der Exchange ermöglicht die Verwendung der folgenden Ebenen der Postfachaktivitätsüberwachung

• AuditOwner - Aktionen des Audit-Besitzers;

• AuditAdmin - Aktionen des Audit-Administrators;

• AuditDelegate - Überwachen Sie Aktionen anderer Benutzer, denen Zugriff auf das Postfach gewährt wurde.

Die folgenden Ereignisse können im Audit-Protokoll registriert werden:

Copy
Create
FolderBind
HardDelete
MailboxLogin
MessageBind
Move
MoveToDeletedItems
SendAs
SendOnBehalf
SoftDelete
Update
UpdateCalendarDelegation
UpdateFolderPermissions

Für jede Prüfstufe können Sie die Ereignisse konfigurieren, die protokolliert werden sollen. Mit diesen Befehlen können Sie aktuelle Überwachungseinstellungen abrufen:

Get-Mailbox maxbak| Select-Object -ExpandProperty AuditOwner
Get-Mailbox maxbak| Select-Object -ExpandProperty AuditDelegate
Get-Mailbox maxbak| Select-Object -ExpandProperty AuditAdmin

Sie können nur bestimmte Ereignistypen so konfigurieren, dass sie im Protokoll registriert werden. So überwachen Sie beispielsweise Ereignisse zum Entfernen von Elementen:

Set-Mailbox maxbak -AuditOwner HardDelete,SoftDelete

Wenn Sie nur weitere Audit-Ereignisse zu den vorhandenen hinzufügen möchten:

Set-Mailbox maxbak -AuditOwner @{Add=”MailboxLogin”,”HardDelete”}

Audit-Protokolle werden direkt im Ordner Audits jedes Postfachs gespeichert. Der Ordner ist in Outlook oder OWA nicht verfügbar.

Mit dem folgenden Befehl können Sie die aktuelle Größe des Überwachungsprotokolls in einem Postfach abrufen:

Get-MailboxFolderStatistics -Identity MarinaD@a-d.onmicrosoft.com | where {$_.FolderType -eq 'Audits'} | ft Identity, ItemsInFolder, FolderSize -auto

Wie aktiviere ich die Postfachüberwachungsprotokollierung in Exchange Server?

Im lokalen Exchange Server ist die Postfachprüfung in 2010 SP1+ verfügbar. Standardmäßig ist die Postfachüberwachung deaktiviert.

Stellen Sie mit PowerShell eine Verbindung zu Ihrem lokalen Exchange Server her:

$Session = New-PSSession -ConfigurationName Microsoft.Exchange -ConnectionUri http://mun-mbx01.a-d.site/PowerShell/ -Authentication Kerberos -Credential $UserCredential
Import-PSSession $Session

Sie können die Überwachungsprotokollierung für ein einzelnes Postfach aktivieren:

Set-Mailbox maxbak -AuditEnabled $true

Oder für alle Postfächer in Ihrer Exchange-Organisation:

Get-Mailbox -ResultSize Unlimited -Filter {RecipientTypeDetails -eq "UserMailbox"} | Set-Mailbox -AuditEnabled $true

In Exchange Server-Postfächern werden Administrator- und Stellvertreteraktionen überwacht (die Standardeinstellungen unterscheiden sich von denen in Exchange Online). Die Überwachung der Eigentümeraktivität ist deaktiviert. Wenn Sie eine Überwachung aller Ereignisse eines Postfachbesitzers aktivieren, wächst die Protokollgröße viel schneller. Es ist besser, die selektive Überwachung einiger Aktionen zu aktivieren (z. B. Löschen oder Verschieben):

Set-Mailbox maxbak -AuditOwner SoftDelete,HardDelete,MoveToDeletedItems,Move

Audit-Ereignisse werden 90 Tage lang gespeichert und danach gelöscht. Sie können die Tiefe (und Größe) des Audit-Protokolls verwalten. Sie können beispielsweise den Aufbewahrungszeitraum für Ereignisse in einem Postfach von 90 auf 30 Tage reduzieren:

Get-Mailbox maxbak |select AuditLogAgeLimit
Set-Mailbox maxbak -AuditLogAgeLimit 30 -Force

Finden Sie heraus, wer eine E-Mail aus einem freigegebenen Exchange-Postfach gelöscht hat

Angenommen, in Ihrem Exchange-Mandanten/Ihrer Exchange-Organisation gibt es ein freigegebenes Postfach, auf das andere Benutzer zugreifen können. Einer der Benutzer hat eine wichtige E-Mail gelöscht und Sie müssen herausfinden, wer das getan hat.

Um Postfach-Überwachungsprotokolle zu durchsuchen, müssen Sie Folgendes tun:

Search-MailboxAuditLog

Das Cmdlet wird verwendet. Das Cmdlet ist sowohl im lokalen Exchange Server als auch im cloudbasierten Exchange Online verfügbar (einige Optionen können abweichen).

Der folgende Befehl zeigt alle Elementaktivitäten (Überwachungsprotokoll) in einem bestimmten freigegebenen Postfach seit dem 1. Februar an:

Search-MailboxAuditLog -Identity support@a-d.onmicrosoft.com -StartDate 2/1/2022 -ShowDetails| ft MailboxOwnerUPN, LogonType, LogonUserDisplayName, Operation,OperationResult, SourceItemSubjectsList,FolderPathName, DestFolderPathName,LastAccessed|ft

Die Suche kann je nach Anzahl der Audit-Ereignisse recht lange dauern. Das Bild zeigt, wer eine E-Mail mit dem angegebenen Betreff gelöscht hat (die Benutzeraktion „MoveToDeleteItems“).

Sie können detaillierte Filter auf Ihre Audit-Protokolle anwenden. Sie möchten beispielsweise nur Ereignisse löschen auswählen (

HardDelete

,

SoftDelete

,

MoveToDeletedItems

) im Zusammenhang mit Benutzern, die keine Eigentümer sind:

Search-MailboxAuditLog -Identity support support@a-d.onmicrosoft.com -StartDate 2/2/2022 -EndDate 2/8/2022 -LogonTypes Delegate,Admin -ShowDetails| Where-Object {$_.Operation -like "*Delete*"}|ft MailboxOwnerUPN, LogonType,LogonUserDisplayName,Operation, OperationResult,SourceItemSubjectsList,FolderPathName, DestFolderPathName,LastAccessed|ft

Um eine asynchrone Suche nach Prüfereignissen durchzuführen, muss die

New-MailboxAuditLogSearch

Das Cmdlet wird verwendet. Es verursacht eine geringere Belastung des Postfachservers, läuft im Hintergrund, ermöglicht Ihnen die effektive Suche nach den gewünschten Informationen unter Tausenden von Ereignissen und sendet Ergebnisse an das angegebene Postfach.

Sie können Überwachungsprotokolle auch im Compliance Management -> Auditing des Exchange Admin Center (EAC) durchsuchen. Sie können die Optionen „Bericht zum Zugriff auf Postfächer ohne Eigentümer ausführen“ oder „Überwachungsprotokolle für Postfächer exportieren“ verwenden..

In Exchange Online können Sie entweder das EAC (eine herkömmliche Methode) oder das Microsoft 365 Compliance Center (https://compliance.microsoft.com/homepage) verwenden, um die Überwachungsprotokolle zu durchsuchen. Um nach einem Ereignis zu suchen, gehen Sie zu Lösungen -> Audit -> Suchen. Wählen Sie einen Zeitraum aus und wählen Sie „Nachrichten in den Ordner „Gelöschte Elemente“ verschoben“ und „Gelöschte Nachrichten aus dem Ordner „Gelöschte Elemente““.

Search-UnifiedAuditLog

Außerdem können Sie mithilfe von Exchange-Überwachungsereignissen überprüfen, ob eine E-Mail vom Empfänger gelesen wurde.