Microsoft 365: Audit-Protokoll für mehr als 90 Tage und bis zu 1 Jahr für alle Abonnements abrufen
Wie es begann:
Microsoft 365 Unified Auditing hilft dabei, Aktivitäten zu verfolgen, die in den verschiedenen Microsoft 365-Diensten sowohl von Benutzern als auch von Administratoren durchgeführt werden. Die grundlegende Überwachung ist für die meisten Microsoft 365-Organisationen standardmäßig aktiviert. Bei der Basisprüfung werden die Prüfdatensätze der letzten 90 Tage aufbewahrt und sind durchsuchbar. Um ein Audit-Protokoll für mehr als 90 Tage abzurufen, müssen Sie Advanced Auditing übernehmen, wofür E5/A5/G5-Abonnements erforderlich sind. Standardmäßig werden bei der erweiterten Überwachung alle Azure Active Directory-, Exchange-, SharePoint- und OneDrive-Überwachungsdatensätze ein Jahr lang aufbewahrt.
Von 90 Tagen erhöht
Die meisten Administratoren möchten ein Audit-Protokoll länger als 90 Tage ohne E5/A5/G5-Lizenz oder zusätzliche Add-ons aufbewahren, um forensische, interne und Compliance-Untersuchungen durchzuführen. Ist es möglich, ein Audit-Protokoll ohne E5-Lizenz länger als 90 Tage aufzubewahren? Ja. Als ich kürzlich mit dem Cmdlet Search-UnifiedAuditLog experimentierte, wurden die Prüfdaten der letzten 365 Tage ohne Microsoft 365 Advanced Auditing-Lizenz abgerufen.
Im folgenden Screenshot habe ich Auditdaten vom Juli 2020 abgerufen, bei denen es sich um 365 Tage alte Daten handelt.
Unangekündigte, aber höchst willkommene Funktion:
Microsoft hat keine offizielle Ankündigung zur langfristigen Verfügbarkeit von Prüfprotokollen für alle Microsoft 365-Lizenztypen veröffentlicht. So können Sie überprüfen, ob Ihr Mandant das Audit-Protokoll 365 Tage lang abrufen kann.
Um die Fähigkeit des Langzeit-Audit-Protokolls zu überprüfen, führen Sie das folgende Cmdlet mit einem Datum aus, das älter als 90 Tage ist.
Search-UnifiedAuditLog -StartDate <StartDate> -EndDate <EndDate>Aktualisierung Dezember 2022:
Wir sind uns nicht sicher, ob es sich um eine Microsoft-Funktion oder einen Fehler handelt. Dennoch funktioniert es bei einigen Mandanten (zum Glück ist meiner einer davon!). Sie können auch nach Ihrem Mieter suchen.
Update vom Juli 2023:
Benutzer von Microsoft 365 Purview (Standard) können jetzt Microsoft 365-Überwachungsprotokolle bis zu 180 Tage lang ohne zusätzliche Kosten abrufen. Darüber hinaus umfasst die Standardlizenz jetzt die Erfassung von mehr als 30 Premium-Prüfungsereignissen.
Wie bewahre ich ein Audit-Protokoll länger als 365 Tage auf?
Die meisten Unternehmen ziehen es vor, Prüfprotokolle über Jahre hinweg aufzubewahren, um Compliance-Untersuchungen zu unterstützen und auf behördliche und rechtliche Verpflichtungen zu reagieren. Wenn Ihre Organisation die E5/A5/G5-Lizenz übernimmt, können Sie sich für ein zusätzliches Add-on (gegen Aufpreis) entscheiden, um ein Audit-Protokoll bis zu 10 Jahre lang aufzubewahren.
Aktuelle Herausforderungen im Audit-Protokoll:
Selbst wenn Sie erweiterte Prüflizenzen oder Add-ons verwenden, unterliegt die native Prüfprotokollierung von Office 365 weiteren Einschränkungen.
- Kein vordefinierter Bericht. Administratoren müssen Filter jedes Mal manuell festlegen, wenn sie zugehörige Daten anzeigen möchten.
- Eingeschränkte Suchoptionen.
- Es mangelt an benutzerfreundlicher Bereitstellung von Prüfdaten. Sie müssen auf jedes Audit-Ereignis klicken, um weitere Details zu erhalten.
- Die Audit-Log-Suche kann nur die Daten der letzten 90 Tage anzeigen.
- Jede Aktivität kann maximal 5000 Datensätze pro Suche zurückgeben. Wenn die Aktivitätsanzahl überschritten wird, wird nur die letzte Aktivität angezeigt. Daher können Sie hochfrequente Aktivitäten wie erfolgreiche und fehlgeschlagene Anmeldungen nicht überwachen.
Wir hoffen, dass Microsoft diese Probleme bald beheben wird. Die meisten Administratoren meistern Audit-Log-Herausforderungen mit Microsoft 365-Auditing-Tools wie AdminDroid. Wie gehen Sie mit der Audit-Log-Suche um? Über den Kommentarbereich können Sie Ihre Erfahrungen mit anderen Administratoren und uns teilen.