ค้นหาเว็บไซต์

การบันทึกการตรวจสอบกล่องจดหมายใน Exchange และ Microsoft 365

คุณสามารถใช้การบันทึกการตรวจสอบใน Exchange Server ภายในองค์กรและ Exchange Online บนระบบคลาวด์ (Microsoft 365) เพื่อติดตามการดำเนินการของผู้ใช้ทั้งหมดในรายการใดๆ ในกล่องจดหมาย เมื่อใช้การตรวจสอบกิจกรรมกล่องจดหมาย ผู้ดูแลระบบ Exchange สามารถตอบคำถามยอดนิยมได้อย่างง่ายดาย “จะค้นหาผู้ใช้ที่ลบอีเมลออกจากกล่องจดหมายที่แชร์ได้อย่างไร ”

ในบทความนี้ เราจะแสดงวิธีเปิดใช้งานและกำหนดค่าการบันทึกการตรวจสอบในกล่องจดหมาย Exchange Server และ Microsoft 365 และวิธีการตรวจสอบบันทึกการตรวจสอบ

เปิดใช้งานการบันทึกการตรวจสอบในกล่องจดหมาย Office 365 (Microsoft 365)

ก่อนอื่น มาดูฟีเจอร์การตรวจสอบในกล่องจดหมายของผู้เช่า Microsoft 365 มีให้สำหรับสมาชิกระดับ E3 และ E5 เท่านั้น

เปิด PowerShell และเชื่อมต่อกับ Exchange ของคุณทางออนไลน์โดยใช้โมดูล EXOv2:

Connect-ExchangeOnline -UserPrincipalName maxbak@a-d.onmicrosoft.com -ShowProgress $true

การบันทึกการตรวจสอบเปิดใช้งานตามค่าเริ่มต้นใน Exchange Online (Office 365) สำหรับผู้เช่าทั้งหมดตั้งแต่ช่วงปลายปี 2018

Get-OrganizationConfig | Format-List AuditDisabled

คุณสามารถเปิด/ปิดการตรวจสอบได้ในการตั้งค่าของกล่องจดหมายแต่ละกล่อง แสดงการตั้งค่าการตรวจสอบปัจจุบันสำหรับกล่องจดหมายทั้งหมด:

Get-Mailbox -ResultSize Unlimited -Filter {RecipientTypeDetails -eq "UserMailbox"} | Select UserPrincipalName,AuditEnabled

อย่างที่คุณเห็น การตรวจสอบเปิดใช้งานอยู่ คุณสามารถปิดใช้งานการตรวจสอบสำหรับกล่องจดหมายที่ระบุ:

Set-Mailbox maxbak -AuditEnabled $false

Exchange อนุญาตให้ใช้การตรวจสอบกิจกรรมกล่องจดหมายในระดับต่อไปนี้

  • AuditOwner - ตรวจสอบการดำเนินการของเจ้าของ

  • AuditAdmin - ตรวจสอบการดำเนินการของผู้ดูแลระบบ

  • AuditDelegate - ตรวจสอบการดำเนินการของผู้ใช้รายอื่นที่ได้รับสิทธิ์เข้าถึงกล่องจดหมาย

เหตุการณ์ต่อไปนี้อาจถูกลงทะเบียนในบันทึกการตรวจสอบ:

  • Copy
  • Create
  • FolderBind
  • HardDelete
  • MailboxLogin
  • MessageBind
  • Move
  • MoveToDeletedItems
  • SendAs
  • SendOnBehalf
  • SoftDelete
  • Update
  • UpdateCalendarDelegation
  • UpdateFolderPermissions

สำหรับแต่ละระดับการตรวจสอบ คุณสามารถกำหนดค่าเหตุการณ์ที่ควรบันทึกได้ คุณสามารถรับการตั้งค่าการตรวจสอบปัจจุบันได้โดยใช้คำสั่งเหล่านี้:

Get-Mailbox maxbak| Select-Object -ExpandProperty AuditOwner
Get-Mailbox maxbak| Select-Object -ExpandProperty AuditDelegate
Get-Mailbox maxbak| Select-Object -ExpandProperty AuditAdmin

คุณสามารถกำหนดค่าเหตุการณ์บางประเภทเท่านั้นที่จะลงทะเบียนในบันทึก ตัวอย่างเช่น หากต้องการตรวจสอบเหตุการณ์การลบรายการ:

Set-Mailbox maxbak -AuditOwner HardDelete,SoftDelete

หากคุณต้องการเพิ่มกิจกรรมการตรวจสอบอื่นๆ ให้กับกิจกรรมที่มีอยู่เท่านั้น:

Set-Mailbox maxbak -AuditOwner @{Add=”MailboxLogin”,”HardDelete”}

บันทึกการตรวจสอบจะถูกจัดเก็บไว้ในโฟลเดอร์ การตรวจสอบ ของกล่องจดหมายแต่ละกล่องโดยตรง โฟลเดอร์ไม่พร้อมใช้งานจาก Outlook หรือ OWA

คุณสามารถรับขนาดบันทึกการตรวจสอบปัจจุบันในกล่องจดหมายโดยใช้คำสั่งด้านล่าง:

Get-MailboxFolderStatistics -Identity MarinaD@a-d.onmicrosoft.com | where {$_.FolderType -eq 'Audits'} | ft Identity, ItemsInFolder, FolderSize -auto

วิธีเปิดใช้งานการบันทึกการตรวจสอบกล่องจดหมายใน Exchange Server

ใน Exchange Server ภายในองค์กร การตรวจสอบกล่องจดหมายจะพร้อมใช้งานใน 2010 SP1+ ตามค่าเริ่มต้น การตรวจสอบกล่องจดหมายจะถูกปิดใช้งาน

เชื่อมต่อกับ Exchange Server ภายในองค์กรของคุณโดยใช้ PowerShell:

$Session = New-PSSession -ConfigurationName Microsoft.Exchange -ConnectionUri http://mun-mbx01.a-d.site/PowerShell/ -Authentication Kerberos -Credential $UserCredential
Import-PSSession $Session

คุณสามารถเปิดใช้งานการบันทึกการตรวจสอบสำหรับกล่องจดหมายเดียว:

Set-Mailbox maxbak -AuditEnabled $true

หรือสำหรับกล่องจดหมายทั้งหมดในองค์กร Exchange ของคุณ:

Get-Mailbox -ResultSize Unlimited -Filter {RecipientTypeDetails -eq "UserMailbox"} | Set-Mailbox -AuditEnabled $true

ในกล่องจดหมาย Exchange Server การดำเนินการของผู้ดูแลระบบและผู้รับมอบสิทธิ์จะได้รับการตรวจสอบ (การตั้งค่าเริ่มต้นแตกต่างจากใน Exchange Online) การตรวจสอบกิจกรรมของเจ้าของถูกปิดใช้งาน หากคุณเปิดใช้งานการตรวจสอบเหตุการณ์ทั้งหมดของเจ้าของกล่องจดหมาย ขนาดบันทึกจะขยายเร็วขึ้นมาก เป็นการดีกว่าที่จะเปิดใช้งานการตรวจสอบแบบเลือกสำหรับการดำเนินการบางอย่าง (เช่น การลบหรือการย้าย):

Set-Mailbox maxbak -AuditOwner SoftDelete,HardDelete,MoveToDeletedItems,Move

กิจกรรมการตรวจสอบจะถูกเก็บไว้เป็นเวลา 90 วันและลบออกในภายหลัง คุณสามารถจัดการความลึก (และขนาด) ของบันทึกการตรวจสอบได้ ตัวอย่างเช่น คุณสามารถลดระยะเวลาการเก็บรักษาสำหรับเหตุการณ์ในกล่องจดหมายจาก 90 เป็น 30 วัน:

Get-Mailbox maxbak |select AuditLogAgeLimit
Set-Mailbox maxbak -AuditLogAgeLimit 30 -Force

ค้นหาว่าใครลบอีเมลออกจากกล่องจดหมาย Exchange ที่แชร์

สมมติว่ามีกล่องจดหมายที่ใช้ร่วมกันในผู้เช่า/องค์กร Exchange ของคุณที่ผู้ใช้รายอื่นสามารถเข้าถึงได้ ผู้ใช้คนหนึ่งลบอีเมลสำคัญและคุณต้องค้นหาว่าใครเป็นคนทำ

หากต้องการค้นหาบันทึกการตรวจสอบกล่องจดหมาย

Search-MailboxAuditLog

ใช้ cmdlet cmdlet พร้อมใช้งานทั้งใน Exchange Server ภายในองค์กรและใน Exchange Online บนระบบคลาวด์ (บางตัวเลือกอาจแตกต่างกัน)

คำสั่งต่อไปนี้แสดงกิจกรรมของรายการทั้งหมด (บันทึกการตรวจสอบ) บนกล่องจดหมายที่ใช้ร่วมกันเฉพาะตั้งแต่วันที่ 1 กุมภาพันธ์:

Search-MailboxAuditLog -Identity support@a-d.onmicrosoft.com -StartDate 2/1/2022 -ShowDetails| ft MailboxOwnerUPN, LogonType, LogonUserDisplayName, Operation,OperationResult, SourceItemSubjectsList,FolderPathName, DestFolderPathName,LastAccessed|ft

การค้นหาอาจใช้เวลานานขึ้นอยู่กับจำนวนครั้งของการตรวจสอบ รูปภาพแสดงผู้ที่ลบอีเมลที่มีหัวเรื่องที่ระบุ (การดำเนินการของผู้ใช้ MoveToDeleteItems)

ใช้ cmdlet ค้นหากล่องจดหมายเพื่อค้นหาอีเมลในกล่องจดหมาย Exchange ทั้งหมด

คุณสามารถใช้ตัวกรองโดยละเอียดกับบันทึกการตรวจสอบของคุณได้ ตัวอย่างเช่น คุณต้องการเลือกลบกิจกรรมเท่านั้น (

HardDelete

,

SoftDelete

,

MoveToDeletedItems

) ที่เกี่ยวข้องกับผู้ใช้ที่ไม่ใช่เจ้าของ:

Search-MailboxAuditLog -Identity support support@a-d.onmicrosoft.com -StartDate 2/2/2022 -EndDate 2/8/2022 -LogonTypes Delegate,Admin -ShowDetails| Where-Object {$_.Operation -like "*Delete*"}|ft MailboxOwnerUPN, LogonType,LogonUserDisplayName,Operation, OperationResult,SourceItemSubjectsList,FolderPathName, DestFolderPathName,LastAccessed|ft

ในการค้นหาเหตุการณ์การตรวจสอบแบบอะซิงโครนัส

New-MailboxAuditLogSearch

ใช้ cmdlet ทำให้โหลดบนเซิร์ฟเวอร์กล่องจดหมายน้อยลง ทำงานในพื้นหลัง ช่วยให้คุณค้นหาข้อมูลที่คุณต้องการจากเหตุการณ์นับพันได้อย่างมีประสิทธิภาพ และส่งผลลัพธ์ไปยังกล่องจดหมายที่ระบุ

คุณยังสามารถค้นหาบันทึกการตรวจสอบใน การจัดการการปฏิบัติตามข้อกำหนด -> การตรวจสอบ ของ Exchange Admin Center (EAC) คุณสามารถใช้ตัวเลือก “เรียกใช้รายงานการเข้าถึงกล่องจดหมายที่ไม่ใช่เจ้าของ”หรือ “ส่งออกบันทึกการตรวจสอบกล่องจดหมาย”

ใน Exchange Online คุณสามารถใช้ EAC (วิธีเดิม) หรือ Microsoft 365 Compliance Center (https://compliance.microsoft.com/homepage) เพื่อค้นหาบันทึกการตรวจสอบ หากต้องการค้นหากิจกรรม ให้ไปที่ โซลูชัน -> การตรวจสอบ -> ค้นหา เลือกช่วงเวลา เลือก “ข้อความที่ย้ายไปยังโฟลเดอร์รายการที่ถูกลบ ”, “ข้อความที่ถูกลบจากโฟลเดอร์รายการที่ถูกลบ ”

คุณสามารถค้นหาบันทึกการตรวจสอบในศูนย์การปฏิบัติตามกฎระเบียบโดยใช้

Search-UnifiedAuditLog

ซม.

นอกจากนี้ คุณสามารถใช้กิจกรรมการตรวจสอบ Exchange เพื่อตรวจสอบว่าผู้รับอ่านอีเมลแล้วหรือไม่

บทความที่เกี่ยวข้อง