ตรวจสอบการลบอีเมลใน Office 365: ค้นหาว่าใครลบอีเมลออกจากกล่องจดหมาย

ผู้ดูแลระบบส่วนใหญ่สงสัยว่าจะทราบได้อย่างไรว่าใครลบอีเมลออกจากกล่องจดหมาย หากคุณเป็นหนึ่งในนั้น บล็อกนี้เหมาะสำหรับคุณ

วิธีการตรวจสอบว่าผู้ใช้ลบรายการอีเมล:

ผู้ใช้ลบอีเมลโดยไม่ตั้งใจหรือโดยตั้งใจ ในฐานะผู้ดูแลระบบ คุณสามารถใช้บันทึกการตรวจสอบเพื่อระบุอีเมลที่ถูกลบใน Office 365 ได้ Microsoft ได้เปิดการบันทึกการตรวจสอบกล่องจดหมายตามค่าเริ่มต้นสำหรับการดำเนินการบางอย่างตั้งแต่เดือนมกราคม 2019 หากผู้เช่าของคุณสร้างก่อนปี 2019 หรือคุณต้องการตรวจสอบการดำเนินการของกล่องจดหมายทั้งหมด คุณต้องเปิดใช้งานการตรวจสอบกล่องจดหมายผ่าน PowerShell

หากต้องการติดตามอีเมลที่ถูกลบ คุณจะต้องกรองบันทึกการตรวจสอบสำหรับการดำเนินการต่อไปนี้ ซึ่งจะมีการตรวจสอบโดยค่าเริ่มต้น:

MoveToDeletedItems - ย้ายอีเมลไปยังรายการที่ถูกลบ

SoftDelete - ข้อความที่ถูกลบจากโฟลเดอร์รายการที่ถูกลบ

HardDelete - ลบข้อความออกจากโฟลเดอร์ Recoverable Items

จะทราบได้อย่างไรว่าใครลบอีเมลออกจากกล่องจดหมาย

คุณสามารถใช้การค้นหาบันทึกการตรวจสอบ (UI) หรือ PowerShell เพื่อดูว่าใครลบอีเมลใน Outlook

การค้นหาบันทึกการตรวจสอบ: ในการค้นหาบันทึกการตรวจสอบ คุณสามารถกรอง "เหตุการณ์การลบข้อความ" ที่กล่าวถึงข้างต้นออกเพื่อติดตามอีเมลที่ถูกลบ นอกจากนี้ คุณยังดาวน์โหลดผลการค้นหาบันทึกการตรวจสอบเป็นไฟล์ CSV ได้ด้วย อย่างไรก็ตาม คุณจะดูข้อมูลที่จำเป็น เช่น หัวเรื่องอีเมล โฟลเดอร์ และสถานะผลลัพธ์ไม่ได้โดยสรุป แอตทริบิวต์เหล่านั้นจัดรูปแบบเป็นออบเจ็กต์ JSON ซึ่งจำเป็นต้องแยกวิเคราะห์เพื่อดูข้อมูลเพิ่มเติม

PowerShell: คุณสามารถใช้ Search-UnifiedAuditLogSearch cmdlet เพื่อตรวจสอบการลบอีเมล แต่การดึงบันทึกการตรวจสอบโดยใช้ PowerShell นั้นมีความท้าทายมากกว่า ตัวอย่างเช่น หากคุณดึงบันทึกการตรวจสอบไม่ถูกต้อง คุณจะพบกับข้อผิดพลาดการสูญหายของข้อมูลและข้อผิดพลาดการหมดเวลาของเซสชัน ดังนั้น คุณจึงต้องใช้เวลามากขึ้นในการเพิ่มประสิทธิภาพโค้ด PowerShell

เพื่อให้งานของคุณง่ายขึ้น เราได้สร้างสคริปต์ PowerShell เพื่อตรวจสอบปัญหาการลบอีเมลอย่างมีประสิทธิภาพมากขึ้น

ดาวน์โหลดสคริปต์: AuditDeletedEmails.ps1

จุดเด่นของสคริปต์:

• สคริปต์ใช้การตรวจสอบสิทธิ์สมัยใหม่เพื่อดึงบันทึกการตรวจสอบ
• สคริปต์สามารถดำเนินการได้ด้วย บัญชีที่เปิดใช้งาน MFA เช่นกัน
• ส่งออกผลลัพธ์รายงานเป็นไฟล์ CSV
• ช่วยให้คุณสามารถติดตามอีเมลที่ถูกลบทั้งหมด
• ช่วยในการค้นหาว่าใครลบอีเมลออกจาก กล่องจดหมายที่แชร์
• ช่วยให้คุณสร้างรายงานการตรวจสอบการลบอีเมลสำหรับระยะเวลาที่กำหนดเอง
• ติดตั้งโมดูล EXO V2 โดยอัตโนมัติ (หากยังไม่ได้ติดตั้ง) เมื่อคุณยืนยัน
• สคริปต์นี้เป็นมิตรกับตัวกำหนดเวลา กล่าวคือ สามารถส่งผ่านข้อมูลประจำตัวเป็นพารามิเตอร์ แทนที่จะบันทึกภายในสคริปต์

รายงานการลบอีเมลตรวจสอบ - ผลลัพธ์ตัวอย่าง:

รายงานที่ส่งออกประกอบด้วยเวลาในการลบอีเมล ประเภทการลบ กล่องจดหมายเป้าหมาย ลบโดย จำนวนอีเมลที่ถูกลบ หัวข้ออีเมล โฟลเดอร์ สถานะผลลัพธ์ และข้อมูลการตรวจสอบอื่นๆ

ตรวจสอบอีเมลที่ถูกลบใน Office 365 - การดำเนินการสคริปต์

หากต้องการเรียกใช้สคริปต์ คุณสามารถเลือกวิธีใดวิธีหนึ่งด้านล่างนี้

วิธีที่ 1: เรียกใช้สคริปต์ด้วยบัญชี MFA และไม่ใช่ MFA

 .\AuditDeletedEmails.ps1

วิธีที่ 2: เรียกใช้สคริปต์โดยระบุข้อมูลรับรองอย่างชัดเจน (เป็นมิตรกับผู้จัดกำหนดการ)

.\AuditDeletedEmails.ps1 -UserName admin@contoso.com -Password XXX

หากบัญชีผู้ดูแลระบบมี MFA คุณจะต้องปิดการใช้งาน MFA ตามนโยบายการเข้าถึงแบบมีเงื่อนไขเพื่อให้สามารถใช้งานได้

กรณีการใช้งานเพิ่มเติมของสคริปต์ PowerShell "ตรวจสอบอีเมลที่ถูกลบ":

สคริปต์รองรับพารามิเตอร์ในตัวต่อไปนี้เพื่อกำหนดเวลาและสร้างรายงานที่ละเอียดยิ่งขึ้น

1. กล่องจดหมาย -> รับอีเมลที่ถูกลบจากกล่องจดหมายเฉพาะ
2. หัวเรื่อง -> ระบุอีเมลที่ถูกลบตามหัวเรื่อง
3. StartDateและ EndDate-> สร้างรายงานการตรวจสอบสำหรับช่วงเวลาที่กำหนดเอง
4. ชื่อผู้ใช้ และ รหัสผ่าน-> กำหนดเวลาสคริปต์ PowerShell โดยไม่ต้องเข้าสู่ระบบแบบโต้ตอบ

ด้วยการใช้พารามิเตอร์ที่กล่าวมาข้างต้น ฉันได้สร้างกรณีการใช้งานบางอย่างของสคริปต์นี้ด้านล่างนี้

• ติดตามอีเมลที่ถูกลบทั้งหมด - ใครลบข้อความใดและเมื่อใด
• วิธีค้นหาว่าใครลบอีเมลออกจากกล่องจดหมายที่แชร์
• ตรวจสอบอีเมลที่ถูกลบจากกล่องจดหมายเฉพาะ
• ค้นหาอีเมลที่ถูกลบตามหัวเรื่อง
• ตรวจสอบการลบอีเมลในช่วงเวลาที่กำหนดเอง
• กำหนดเวลา 'รายงานการตรวจสอบอีเมลที่ถูกลบ'
• รับรายงานรายเดือนเกี่ยวกับอีเมลที่ถูกลบ

ติดตามอีเมลที่ถูกลบทั้งหมด - ใครลบข้อความอะไรและเมื่อใด:

ผู้ใช้อาจลบหรือย้ายอีเมลธุรกิจที่สำคัญไปยังรายการที่ถูกลบโดยไม่รู้ตัว ดังนั้นผู้ดูแลระบบจึงต้องระบุอีเมล Exchange ที่ถูกลบหรือย้ายไปยังรายการที่ถูกลบในองค์กรของตน

ตามค่าเริ่มต้น สคริปต์จะติดตามอีเมลที่ถูกลบทั้งหมดในช่วง 90 วันที่ผ่านมา

.\AuditDeletedEmails.ps1

รายงานการตรวจสอบที่ส่งออกจะให้มุมมองที่ชัดเจนว่าใครลบอีเมล จากกล่องจดหมายไหน ข้อความใด และเมื่อใด อ้างอิงจากรายงานนี้ ผู้ดูแลระบบสามารถกู้คืนอีเมลที่ถูกลบได้ตามความต้องการ

วิธีค้นหาว่าใครลบอีเมลจากกล่องจดหมายที่ใช้ร่วมกัน:

เนื่องจากผู้ใช้หลายคนสามารถเข้าถึงกล่องจดหมายที่แชร์ได้ (เช่น ผู้รับมอบสิทธิ์กล่องจดหมายที่แชร์) จึงจำเป็นต้องระบุผู้ใช้ที่ลบอีเมลออกจากกล่องจดหมายที่แชร์ หากต้องการดูว่าใครมีสิทธิ์ในกล่องจดหมายที่แชร์ คุณสามารถดูโพสต์ในบล็อกของเราเกี่ยวกับการรับผู้รับมอบสิทธิ์ในกล่องจดหมายที่แชร์

หากต้องการติดตามว่าใครลบอีเมลจากกล่องจดหมายที่แชร์ ให้เรียกใช้สคริปต์ด้วยพารามิเตอร์ -Mailbox

.\AuditDeletedEmails.ps1 -Mailbox Marketing@contoso.com

รายงานที่ส่งออกจะแสดงอีเมลที่ถูกลบในกล่องจดหมาย 'Marketing@contoso.com' สำหรับ 90 วันที่ผ่านมา

การตรวจสอบ ใคร ลบอีเมลจากกล่องจดหมายเฉพาะ:

องค์กรอาจมีข้อกำหนดในการอนุญาตให้ผู้ใช้บางรายเข้าถึงกล่องจดหมายของผู้ใช้รายอื่นได้ ดังนั้น ผู้รับมอบสิทธิ์และเจ้าของกล่องจดหมายจึงสามารถลบอีเมลได้ คุณสามารถสร้างรายงานสิทธิ์กล่องจดหมายเพื่อทราบผู้รับมอบสิทธิ์กล่องจดหมายได้

หากต้องการตรวจสอบการลบอีเมลในกล่องจดหมายเฉพาะ ให้เรียกใช้สคริปต์ด้วย -Mailbox param

.\AuditDeletedEmails.ps1 -Mailbox John@contoso.com

ตัวอย่างข้างต้นดึงข้อมูลอีเมลที่ถูกลบจากกล่องจดหมายของ John ในช่วง 90 วันที่ผ่านมา

ค้นหาอีเมลที่ถูกลบตามหัวเรื่อง:

หากต้องการค้นหาอีเมลสำคัญจากกลุ่มอีเมลที่ถูกลบ คุณสามารถกรองอีเมลตามหัวเรื่อง (คำหรือวลีที่มีหัวเรื่อง)

หากต้องการระบุอีเมลที่ถูกลบตามหัวเรื่อง ให้รันสคริปต์ด้วยพารามิเตอร์ -Subject ดังนี้

.\AuditDeletedEmails.ps1 -Subject “Status”

มันจะแสดงรายการอีเมลที่ถูกลบทั้งหมดซึ่งมี 'สถานะ' ในหัวเรื่อง

การลบอีเมลตรวจสอบในช่วงเวลาที่กำหนดเอง:

โดยค่าเริ่มต้น สคริปต์จะสร้างรายงานการตรวจสอบในช่วง 90 วันที่ผ่านมา หากต้องการสร้างรายงานการตรวจสอบอีเมลสำหรับช่วงเวลาที่เจาะจง คุณจะเรียกใช้สคริปต์ด้วยพารามิเตอร์ -StartDate และ -EndDate ได้

.\AuditDeletedEmails.ps1 -StartDate 7/25/21 -EndDate 8/01/21

รูปแบบด้านบนจะรับอีเมลทั้งหมดที่ถูกลบระหว่างวันที่ 25 กรกฎาคม 2021 ถึง 1 สิงหาคม 2021

.\AuditDeletedEmails.ps1 -StartDate 7/15/21 -EndDate 7/30/21 -Mailbox John@contoso.com

ตัวอย่างนี้จะเรียกอีเมลที่ถูกลบทั้งหมดจากกล่องจดหมายของ John ระหว่างวันที่ 15 กรกฎาคม 2021 ถึง 30 กรกฎาคม 2021

กำหนดเวลา 'รายงานการตรวจสอบอีเมลที่ถูกลบ':

เนื่องจาก "Search-UnifiedAuditLog" สามารถเก็บบันทึกการตรวจสอบไว้ได้ 90 วัน คุณจึงอาจต้องใช้ข้อมูลเก่าเพื่อการวิเคราะห์

ในกรณีดังกล่าว การตั้งเวลาจะช่วยให้คุณเก็บบันทึกการตรวจสอบไว้ได้นานขึ้น หากต้องการเรียกใช้สคริปต์นี้เป็นงานที่กำหนดเวลาไว้ของ PowerShell คุณสามารถใช้รูปแบบด้านล่างใน Windows Task Scheduler

.\AuditDeletedEmails.ps1 -UserName admin@contoso.com -Password XXX

หมายเหตุ: คุณอาจเคยอ่านโพสต์บนบล็อกก่อนหน้านี้ของเราเรื่อง “Office 365 เก็บบันทึกการตรวจสอบเป็นเวลา 365 วันสำหรับการสมัครใช้งานทั้งหมด” แต่เราไม่ได้ดึงข้อมูลการตรวจสอบ 365 วันในสคริปต์นี้ เราจะอัปเดตสคริปต์ของเราเมื่อ Microsoft ประกาศอย่างเป็นทางการ

รับรายงานรายเดือนเกี่ยวกับการลบอีเมล:

หากต้องการรับรายงานรายเดือนเกี่ยวกับอีเมลที่ถูกลบ ให้เรียกใช้สคริปต์ดังนี้

.\AuditDeletedEmails.ps1 -StartDate ((Get-Date).AddDays(-30)) -EndDate (Get-Date) -UserName admin@contoso.com -Password XXX

คุณยังสามารถใช้รูปแบบด้านบนเพื่อรับรายงานรายเดือนตามกำหนดเวลาได้

ตรวจสอบการลบอีเมลด้วยวิธีที่มีประสิทธิภาพมากขึ้น:

ด้วยการใช้ตัวกรองและเงื่อนไขของ PowerShell ผู้ดูแลระบบสามารถปรับแต่งสคริปต์ตามความต้องการของพวกเขาได้ แต่ต้องใช้เวลาและความรู้ PowerShell มาก ด้วยเครื่องมือตรวจสอบ AdminDroid Office 365 คุณสามารถรับรายงานได้ด้วยการคลิกเมาส์ไม่กี่ครั้ง นอกจากนี้ คุณยังสามารถแบ่งส่วนข้อมูลได้โดยใช้ตัวกรองและกราฟตามบริบท

ตัวอย่างเช่น,

• เมลถูกลบเมื่อไร? - คุณสามารถเลือกวันที่หรือสัปดาห์หรือช่วงเวลาที่กำหนดเองได้
• ใครลบอีเมล์? - คุณสามารถกรองอีเมลที่ถูกลบโดยผู้ใช้เฉพาะหรือรายชื่อผู้ใช้ได้
• ดำเนินการอะไรบ้าง? - คุณสามารถระบุอีเมลที่ถูกลบตามวิธีการลบ เช่น Soft Delete, Hard Delete, ย้ายไปยังโฟลเดอร์รายการที่ถูกลบ ฯลฯ
• ดูอีเมลที่ถูกลบจากกล่องเมลเฉพาะ - คุณสามารถค้นหาได้ว่าใครลบอีเมลจากกล่องเมลเฉพาะ

รายงานนี้ให้การวิเคราะห์กราฟิกที่ขับเคลื่อนโดย AI เพื่อรับข้อมูลเชิงลึกและทำความเข้าใจข้อมูลได้ดีขึ้นในลักษณะที่ดึงดูดสายตา

AdminDroid มีรายงานที่สร้างไว้ล่วงหน้า 1500+ และแดชบอร์ดที่ดึงดูดสายตาอัจฉริยะ 20 รายการเพื่อให้ทราบเกี่ยวกับสภาพแวดล้อม Office 365 ของคุณได้อย่างรวดเร็ว เครื่องมือนี้จัดทำรายงานเกี่ยวกับการรายงาน Office 365 การตรวจสอบ การวิเคราะห์ สถิติการใช้งาน ความปลอดภัยและการปฏิบัติตามข้อกำหนด ฯลฯ

นอกจากนี้ AdminDroid ยังมีรายงานและแดชบอร์ดมากกว่า 100 รายการฟรี ประกอบด้วยรายงานเกี่ยวกับผู้ใช้ ใบอนุญาต กลุ่ม สมาชิกกลุ่ม อุปกรณ์ กิจกรรมการเข้าสู่ระบบ การเปลี่ยนแปลงรหัสผ่าน การเปลี่ยนแปลงใบอนุญาต และอื่นๆ รุ่นใช้งานฟรีไม่มีข้อจำกัดใดๆ ในฟังก์ชันการรายงาน เช่น การปรับแต่ง การกำหนดเวลา และการส่งออก ดาวน์โหลดเครื่องมือการรายงาน Office 365 ฟรีโดย AdminDroid และดูว่าเครื่องมือนี้ช่วยคุณได้อย่างไร

ฉันหวังว่าบล็อกนี้จะช่วยคุณระบุว่าใครลบอีเมลออกจากกล่องจดหมาย หากคุณพบกิจกรรมของผู้ใช้ที่น่าสงสัย คุณสามารถตรวจสอบกิจกรรมของผู้ใช้เพื่อปกป้ององค์กรของคุณจากเจตนาร้าย