SharePoint Online: วิธีดูรายงานบันทึกการตรวจสอบในศูนย์ความปลอดภัยและการปฏิบัติตามกฎระเบียบได้อย่างไร

ข้อกำหนด: ดูรายงานบันทึกการตรวจสอบใน SharePoint Online

จะดูบันทึกการตรวจสอบของ SharePoint Online ได้อย่างไร

รายงานบันทึกการตรวจสอบใน SharePoint Online จะให้ข้อมูลโดยละเอียดเกี่ยวกับการดำเนินการเฉพาะที่เกิดขึ้นในผู้เช่าของคุณ เช่น เมื่อผู้ใช้สร้าง อัปเดต หรือลบรายการ หรือเมื่อผู้ใช้ดูเอกสาร บันทึกการตรวจสอบรายงาน SharePoint Online หายไปใช่หรือไม่ ฟีเจอร์บันทึกการตรวจสอบของ SharePoint จะถูกย้ายไปยังการบันทึกแบบรวม Microsoft 365 Security & Compliance Center! เราไม่สามารถตัดหรือจำกัดเหตุการณ์บันทึกการตรวจสอบใน SharePoint Online ได้อีกต่อไป! หากคุณไปที่ “การตั้งค่าบันทึกการตรวจสอบ” ในส่วนการดูแลไซต์คอลเลกชันของหน้าการตั้งค่าไซต์ คุณจะได้รับสิ่งต่อไปนี้:

ดังนั้น หากต้องการดูบันทึกการตรวจสอบ คุณควรใช้ไซต์ Office 365 Security & Compliance Center! ในบทช่วยสอนนี้ เราจะแสดงวิธีดูบันทึกการตรวจสอบสำหรับ SharePoint Online ในศูนย์ความปลอดภัยและการปฏิบัติตามข้อบังคับของ Office 365 ซึ่งจะรวมถึงขั้นตอนในการจำกัดผลลัพธ์ให้แคบลงในช่วงวันที่ ผู้ใช้ หรือการดำเนินการที่ต้องการ และยังส่งออกผลลัพธ์เป็นไฟล์ CSV หากจำเป็น

เปิดใช้งานการตั้งค่าการตรวจสอบใน Office 365

วิธีเปิดใช้งานรายงานบันทึกการตรวจสอบใน SharePoint Online เราต้องเปิดคุณลักษณะบันทึกการตรวจสอบในศูนย์ปฏิบัติตามข้อบังคับก่อนที่คุณจะเข้าถึงบันทึกการตรวจสอบสำหรับ SharePoint Online

1. เข้าสู่ระบบศูนย์การจัดการ Microsoft Office 365 ด้วยสิทธิ์ผู้ดูแลระบบสากล: https://admin.microsoft.com
2. คลิกที่ลิงก์ "แสดงทั้งหมด" จากนั้นเลือก "การปฏิบัติตามข้อกำหนด" ใต้ศูนย์ผู้ดูแลระบบในการนำทางด้านซ้าย

3. ในศูนย์การปฏิบัติตามกฎระเบียบ คลิกลิงก์ "การตรวจสอบ" ในการนำทางด้านซ้าย >> คลิกที่ปุ่ม "เริ่มบันทึกกิจกรรมผู้ใช้และผู้ดูแลระบบ" และให้เวลาสักครู่เพื่อดำเนินการให้เสร็จสิ้น ในกรณีที่คุณไม่เห็นลิงก์หรือปุ่มนี้ แสดงว่าการตรวจสอบเปิดอยู่แล้ว

   

คุณยังสามารถเปิดใช้งานบันทึกการตรวจสอบสำหรับ SharePoint Online - Office 365 โดยใช้ PowerShell ได้:

#Connect to Exchange Online
Connect-ExchangeOnline -Credential (Get-Credential) -ShowBanner:$False

#Enable Audit Log 
If( (Get-AdminAuditLogConfig).UnifiedAuditLogIngestionEnabled)
{
    Write-host "Auditing is already Enabled!" -f Yellow
}
Else
{
    Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $True
    Write-host "Enabled the Auditing Successfully!" -f Green
}

#Disconnect Exchange Online
Disconnect-ExchangeOnline

จะดูบันทึกการตรวจสอบ SharePoint Online ได้อย่างไร

เมื่อเปิดใช้งานการตรวจสอบแล้ว จะต้องใช้เวลา (30 นาทีถึง 24 ชั่วโมง!) เพื่อรวบรวมข้อมูลและเตรียมรายงาน คุณสามารถดำเนินการตรวจสอบความปลอดภัยของ Office 365 หรือค้นหาบันทึกการตรวจสอบของ SharePoint ได้โดย:

1. เข้าสู่ระบบศูนย์ความปลอดภัยและการปฏิบัติตามกฎระเบียบ https://compliance.microsoft.com/auditlogsearch หรือ https://protection.office.com
2. คลิกที่ “ค้นหา” >> “ค้นหาบันทึกการตรวจสอบ” จากการนำทางด้านซ้าย

3. ในแผงการค้นหา คุณสามารถใช้เกณฑ์การค้นหา เช่น:

   • กิจกรรม: มีกิจกรรมมากมายให้คุณเลือก
   • วันที่เริ่มต้นและวันที่สิ้นสุด: ระบุระยะเวลาของกิจกรรม
   • ผู้ใช้: กำหนดว่าคุณต้องการรายงานสำหรับผู้ใช้ที่เฉพาะเจาะจงหรือไม่

   • ไฟล์ โฟลเดอร์ หรือไซต์: เพิ่มชื่อไฟล์ ชื่อโฟลเดอร์ หรือ URL ไซต์ SharePoint ทั้งหมดหรือบางส่วน

     

4. เลือกกิจกรรมที่เกี่ยวข้องและพารามิเตอร์อื่นๆ ในแผงการค้นหา เมื่อตั้งค่าแล้ว ให้คลิกปุ่ม "ค้นหา" ที่ด้านล่างเพื่อเริ่มค้นหาบันทึกการตรวจสอบจาก SharePoint Online

   

จากแผงผลลัพธ์ คุณสามารถกรองผลการค้นหาได้ และยังสามารถส่งออกข้อมูลผลลัพธ์ในรูปแบบ CSV ได้อีกด้วย

ค้นหาและส่งออกบันทึกการตรวจสอบ Office 365 โดยใช้ PowerShell

ด้วย PowerShell คุณสามารถสืบค้นบันทึกการตรวจสอบและสร้างรายงานได้ เช่น คุณอาจต้องการสร้างรายงานตามกำหนดเวลาในเหตุการณ์เฉพาะ เช่น "เชิญผู้ใช้ภายนอก" "รายการที่ถูกลบ" เป็นต้น ต่อไปนี้คือตัวอย่างการค้นหาและส่งออกบันทึกการตรวจสอบแบบรวม

#Connect to Exchange Online
Connect-ExchangeOnline -ShowBanner:$False

#Set Dates
$StartDate = (Get-Date).AddDays(-7)
$EndDate = (Get-Date)

#Search Unified Log
$AuditLog = Search-UnifiedAuditLog -StartDate $StartDate -EndDate $EndDate -ResultSize 5000
$AuditLogResults = $AuditLog.AuditData | ConvertFrom-Json | select CreationTime, UserID, Operation, ClientIP, ObjectID
$AuditLogResults
$AuditLogResults | Export-csv -Path $CSVPath -NoTypeInformation

#Disconnect Exchange Online
Disconnect-ExchangeOnline

ซึ่งรับบันทึกการตรวจสอบทั้งหมดจากแอปพลิเคชันทั้งหมดจาก Office 365 โปรดดูเอกสารนี้สำหรับพารามิเตอร์ที่มีอยู่ทั้งหมด: https://docs.microsoft.com/en-us/microsoft-365/compliance/search-the-audit-log-in -ความปลอดภัยและการปฏิบัติตามข้อกำหนด?view=o365-ทั่วโลก

รับบันทึกการตรวจสอบ SharePoint Online โดยใช้ PowerShell:

มากรองบันทึกการตรวจสอบ SharePoint Online ในไฟล์และสร้างรายงานด้วย PowerShell กัน

#Connect to Exchange Online
Connect-ExchangeOnline -ShowBanner:$False

#Set Date Filters - past 24 hours!
$StartDate = (Get-Date).AddDays(-1)
$EndDate = Get-Date

#Search Unified Log
$SharePointLog = Search-UnifiedAuditLog -StartDate $StartDate -EndDate $EndDate -RecordType SharePointFileOperation
$AuditLogResults = $SharePointLog.AuditData | ConvertFrom-Json | Select CreationTime,UserId,Operation, ObjectID,SiteUrl,SourceFileName,ClientIP

#Export Audit log results to CSV
$AuditLogResults
$AuditLogResults | Export-csv -Path "C:\Temp\AuditLog.csv" -NoTypeInformation

#Disconnect Exchange Online
Disconnect-ExchangeOnline

หากต้องการกรองเหตุการณ์ทั้งหมดของผู้ใช้รายใดรายหนึ่ง ให้ใช้สคริปต์นี้:

$AuditLogs = Search-UnifiedAuditLog -StartDate $StartDate -EndDate $EndDate -UserIds "salaudeen@crescent.com"  
$AuditLogResults = $AuditLogs.AuditData | ConvertFrom-Json | Select CreationTime,UserId,Operation,Workload, ObjectID
$AuditLogResults

ในทำนองเดียวกัน เราสามารถกรองเหตุการณ์เฉพาะได้ดังนี้:

#Filter Audit log to Find specific operations
$SiteURLs = @("https://Crescent.sharepoint.com/*")
$CSVFile = "C:\Temp\AuditLog.csv"
$FileAccessOperations = @('PageViewed', 'PageViewedExtended','FileAccessed', 'FileAccessedExtended','FileDeleted')
$FileAccessLog = Search-UnifiedAuditLog -StartDate $StartDate -EndDate $EndDate -Operations $FileAccessOperations -ResultSize 5000 -ObjectIds $SiteURLs
$FileAccessLog.AuditData | ConvertFrom-Json | Select CreationTime,UserId,Operation, ObjectID,SiteUrl,SourceFileName,ClientIP | Export-csv $CSVFile -NoTypeInformation -Force#Filter Audit log to Find specific operations

บทสรุป:

โดยสรุป การดูบันทึกการตรวจสอบสำหรับ SharePoint Online ใน Office 365 Security & Compliance Center เป็นวิธีที่มีประโยชน์ในการตรวจสอบกิจกรรมของผู้ใช้ แก้ไขปัญหา และระบุการละเมิดความปลอดภัยที่อาจเกิดขึ้น ขั้นตอนที่อธิบายไว้ในบทช่วยสอนนี้จะแสดงให้คุณเห็นถึงวิธีการดูบันทึกการตรวจสอบในศูนย์ความปลอดภัยและการปฏิบัติตามข้อกำหนด และจำกัดผลลัพธ์ให้แคบลงตามช่วงวันที่ ผู้ใช้ หรือการดำเนินการที่ระบุ นอกจากนี้ คุณยังสามารถใช้ PowerShell เพื่อดูและส่งออกบันทึกการตรวจสอบได้ ซึ่งจะมีประโยชน์หากคุณต้องการทำให้กระบวนการเป็นแบบอัตโนมัติหรือดูข้อมูลจำนวนมาก การเข้าถึงบันทึกการตรวจสอบและการตรวจสอบเป็นประจำเป็นสิ่งสำคัญในการรักษาความปลอดภัยและการปฏิบัติตามข้อกำหนดของสภาพแวดล้อม SharePoint Online ของคุณ