ส่งออกรายงานการเข้าถึงกล่องจดหมายที่ไม่ใช่เจ้าของเป็น CSV โดยใช้ PowerShell

เนื่องจากกล่องจดหมายมีข้อมูลที่ละเอียดอ่อน การให้สิทธิ์เข้าถึงแก่ผู้ใช้หลายรายจึงเพิ่มความเสี่ยงต่อการละเมิดความปลอดภัย คุณสามารถใช้บันทึกการตรวจสอบเพื่อตรวจจับและป้องกันช่องโหว่ด้านความปลอดภัยดังกล่าวได้ เมื่อใช้บันทึกการตรวจสอบ คุณจะติดตามได้ว่าใครบ้างที่เข้าถึงกล่องจดหมายและดำเนินการอะไรบ้าง

ในบางองค์กร/ผู้เช่า การตรวจสอบกล่องจดหมายไม่ได้เปิดใช้งานตามค่าเริ่มต้น ดังนั้น คุณต้องเปิดใช้งานการตรวจสอบกล่องจดหมาย มิฉะนั้นคุณจะพบกับบันทึกการตรวจสอบที่ว่างเปล่า

หมายเหตุ: การดำเนินการที่ได้รับการตรวจสอบเริ่มต้นนั้นเพียงพอสำหรับองค์กรส่วนใหญ่ แต่หากคุณพิจารณาแล้วว่าไม่ใช่ คุณจะต้องกำหนดค่าด้วยตนเอง คุณสามารถใช้สคริปต์ PowerShell เพื่อเปิดใช้งานการตรวจสอบกล่องจดหมายสำหรับการดำเนินการทั้งหมดของกล่องจดหมาย

จะตรวจสอบได้อย่างไรว่าใครเข้าถึงกล่องจดหมายของผู้ใช้รายอื่น

รายงานการเข้าถึงกล่องจดหมายของผู้ที่ไม่ใช่เจ้าของ Office 365 แสดงรายการกล่องจดหมายที่มีการเข้าถึงโดยบุคคลที่ไม่ใช่เจ้าของกล่องจดหมาย คุณสามารถดูว่าใครมีสิทธิ์ในกล่องจดหมายของผู้อื่นได้โดยใช้รายงานสิทธิ์ของกล่องจดหมายของผู้ที่ไม่ใช่เจ้าของ

คุณสามารถใช้ Exchange Admin Center (EAC) เพื่อเรียกใช้รายงานการเข้าถึงกล่องจดหมายของผู้ที่ไม่ใช่เจ้าของได้ แต่คุณไม่สามารถส่งออกได้ และคุณต้องคลิกกล่องจดหมายแต่ละกล่องเพื่อดูการเข้าถึงของผู้ที่ไม่ใช่เจ้าของ นี่คือจุดที่ PowerShell เข้ามามีบทบาท แต่การรับบันทึกการตรวจสอบทั้งหมดและการวิเคราะห์ถือเป็นงานที่ยาก ไม่ต้องกังวล! ให้ฉันช่วยคุณ!

ฉันได้สร้างสคริปต์ PowerShell เพื่อส่งออกรายงานกล่องจดหมายของผู้ที่ไม่ใช่เจ้าของ Office 365 เป็น CSV

ส่งออกรายงานการเข้าถึงกล่องจดหมายที่ไม่ใช่เจ้าของโดยใช้ PowerShell:

รายงานการเข้าถึงของผู้ที่ไม่ใช่เจ้าของจะแสดงการดำเนินการที่ดำเนินการโดยผู้ดูแลระบบและผู้รับมอบสิทธิ์ รายงานให้ข้อมูลต่อไปนี้

1. รายชื่อกล่องจดหมายที่เข้าถึงโดยผู้ที่ไม่ใช่เจ้าของ
2. ใครเข้าถึงกล่องจดหมายและเมื่อใด
3. การกระทำที่ทำโดยผู้ที่ไม่ใช่เจ้าของ
4. ผลลัพธ์ว่าการดำเนินการสำเร็จหรือล้มเหลว

ดาวน์โหลดสคริปต์: NonOwnerMBAccessReport.ps1

จุดเด่นของสคริปต์:

• ช่วยให้คุณกรองการเข้าถึงของผู้ใช้ภายนอกออก
• สคริปต์สามารถดำเนินการได้ด้วยบัญชีที่เปิดใช้งาน MFA เช่นกัน
• ส่งออกรายงานเป็น CSV
• สคริปต์นี้ เป็นมิตรกับตัวกำหนดเวลา กล่าวคือ สามารถส่งข้อมูลรับรองเป็นพารามิเตอร์ แทนที่จะบันทึกภายในสคริปต์
• คุณสามารถจำกัด การค้นหาการตรวจสอบให้แคบลงสำหรับช่วงวันที่ที่ต้องการ

ตัวอย่างผลลัพธ์ - รายงานการเข้าถึงกล่องจดหมายของผู้ที่ไม่ใช่เจ้าของ Office 365:

รายงานที่ส่งออกประกอบด้วยแอตทริบิวต์ต่อไปนี้: เวลาในการเข้าถึง ประเภทการเข้าสู่ระบบ เข้าถึงโดย (ไม่ใช่เจ้าของ) การดำเนินการที่ดำเนินการ กล่องจดหมายที่เข้าถึง (กล่องจดหมายที่ได้รับมอบหมาย) ผลลัพธ์ และการเข้าถึงภายนอก

การดำเนินการสคริปต์:

สคริปต์สามารถทำงานได้ทั้งบัญชีที่เปิดใช้งาน MFA และบัญชีที่ไม่ใช่ MFA คุณสามารถเลือกวิธีใดวิธีหนึ่งด้านล่างตามประเภทบัญชี

ส่งออกรายงานการเข้าถึงกล่องจดหมายของผู้ที่ไม่ใช่เจ้าของ:

สำหรับบัญชีที่ไม่ใช่ MFA ให้เรียกใช้สคริปต์ดังต่อไปนี้

./NonOwnerMBAccessReport.ps1

ตามค่าเริ่มต้น สคริปต์จะไม่รวมการเข้าถึงของผู้ใช้ภายนอก นั่นคือเหตุการณ์ที่ระบบสร้างขึ้น

ส่งออกรายงานการเข้าถึงกล่องจดหมายของผู้ที่ไม่ใช่เจ้าของด้วย MFA:

หากต้องการตรวจสอบการเข้าถึงกล่องจดหมายของผู้ที่ไม่ใช่เจ้าของด้วยบัญชีที่เปิดใช้งาน MFA ให้รันสคริปต์ด้วยสวิตช์ -MFA

./NonOwnerMBAccessReport.ps1 -MFA

หากต้องการทราบข้อมูลเพิ่มเติมเกี่ยวกับวิธีเชื่อมต่อ Exchange Online PowerShell กับ MFA โปรดดูบล็อกของเรา: เชื่อมต่อกับ Exchange Online PowerShell ด้วย MFA

กรณีการใช้งานเพิ่มเติมของสคริปต์ 'รายงานการเข้าถึงกล่องจดหมายของผู้ที่ไม่ใช่เจ้าของ':

ตรวจสอบรายงานการเข้าถึงกล่องจดหมายของผู้ที่ไม่ใช่เจ้าของในช่วง 90 วันที่ผ่านมา:

ตามค่าเริ่มต้น สคริปต์จะตรวจสอบการเข้าถึงกล่องจดหมายของผู้ที่ไม่ใช่เจ้าของในช่วง 90 วันที่ผ่านมา เมื่อต้องการส่งออกรายงานการตรวจสอบกล่องจดหมายของผู้ที่ไม่ใช่เจ้าของ Office 365 ในช่วง 90 วันที่ผ่านมา ให้เรียกใช้สคริปต์ดังนี้

./NonOwnerMBAccessReport.ps1

ส่งออกรายงานการเข้าถึงกล่องจดหมายของผู้ที่ไม่ใช่เจ้าของภายในระยะเวลาที่กำหนด:

หากต้องการส่งออกรายงานการเข้าถึงของผู้รับมอบสิทธิ์ office 365 ในช่วงระยะเวลาหนึ่ง ให้รันสคริปต์ด้วย -StartDate และ -EndDate พารามิเตอร์

./NonOwnerMBAccessreport.ps1 -StartDate 01/15/20 -EndDate 1/30/20

วันที่ควรอยู่ในรูปแบบ MM/DD/YY สคริปต์ด้านบนจะส่งออกการเข้าถึงกล่องจดหมายของผู้ที่ไม่ใช่เจ้าของตั้งแต่วันที่ 15 มกราคม 2020 ถึง 30 มกราคม 2020

ตรวจสอบการเข้าถึงกล่องจดหมายโดยผู้รับมอบสิทธิ์และผู้ดูแลระบบ:

โดยทั่วไป การเข้าถึงกล่องจดหมายที่ไม่ใช่เจ้าของจะรวมถึงผู้ดูแลระบบ ผู้รับมอบสิทธิ์ และผู้ใช้ภายนอก ใน Exchange Online ผู้ใช้ภายนอกอ้างอิงการเข้าถึงโดยผู้ดูแลระบบศูนย์ข้อมูลของ Microsoft

หากต้องการส่งออกการเข้าถึงกล่องจดหมายโดยผู้รับมอบสิทธิ์และผู้ดูแลระบบ (ไม่รวมผู้ใช้ภายนอก) ให้เรียกใช้สคริปต์ดังนี้

./NonOwnerMBAccessreport.ps1

ส่งออกรายงานกิจกรรมกล่องจดหมายที่ไม่ใช่ของเจ้าของ รวมถึง การเข้าถึงภายนอก:

คุณสามารถส่งออกการเข้าถึงที่ไม่ใช่เจ้าของทั้งหมดที่ดำเนินการโดยผู้ดูแลระบบและผู้ใช้ที่ได้รับมอบหมายภายในองค์กรและการเข้าถึงโดยผู้ใช้ภายนอก (ผู้ดูแลระบบศูนย์ข้อมูล Microsoft ใน Exchange Online)

หากต้องการตรวจสอบการเข้าถึงกล่องจดหมายของผู้ที่ไม่ใช่เจ้าของด้วยกิจกรรมของผู้ใช้ภายนอก ให้เรียกใช้สคริปต์ด้วย -IncludeExternalAccess ตั้งค่าพารามิเตอร์เป็น $True

./NonOwnerMBAccessReport.ps1 -IncludeExternalAccess $True

กำหนดเวลารายงานกิจกรรมกล่องจดหมายของผู้ที่ไม่ใช่เจ้าของ:

เนื่องจาก Search-UnifiedAuditLogมีข้อมูลในช่วง 90 วันที่ผ่านมา คุณจึงอาจต้องใช้บันทึกการตรวจสอบเก่าเพื่อการวิเคราะห์ ในกรณีดังกล่าว การกำหนดเวลาจะช่วยให้คุณเก็บบันทึกการตรวจสอบไว้ได้นานกว่า 90 วัน

คุณสามารถกำหนดเวลารายงานการดำเนินการของกล่องจดหมายที่ไม่ใช่เจ้าของได้ใน Task Scheduler หากคุณกำหนดเวลาให้สคริปต์ทำงานหนึ่งครั้งใน 90 วัน คุณสามารถตรวจสอบการเข้าถึงกล่องจดหมายของผู้ที่ไม่ใช่เจ้าของได้ตลอดเวลาที่คุณต้องการ ดังนั้นคุณจึงสามารถจัดเก็บบันทึกการตรวจสอบเพื่อการวิเคราะห์เพิ่มเติมได้หลายปี

./NonOwnerMBAccessReport.ps1 -UserName admin@contoso.com -Password XXXX

คุณสามารถใช้ Task Scheduler เพื่อเรียกใช้สคริปต์ PowerShell ได้

เอาชนะปัญหาด้านความปลอดภัยได้อย่างง่ายดายด้วย AdminDroid

รายงานข้างต้นให้ข้อมูลเกี่ยวกับการเข้าถึงกล่องจดหมายของผู้ที่ไม่ใช่เจ้าของโดยผู้รับมอบสิทธิ์ ผู้ดูแลระบบ และผู้ใช้ภายนอก และแม้แต่ดึงข้อมูลตามช่วงเวลาที่ระบุ แต่เราต้องการเฉพาะรายงานเหล่านี้หรือไม่? ไม่ คุณต้องจับตาดูให้มากกว่านี้ และบางส่วนได้แก่:

1. การเข้าถึงโดย IP ที่น่าสงสัย: หากการเข้าถึงกล่องจดหมายของผู้ที่ไม่ใช่เจ้าของมาจากที่อยู่ IP ที่ไม่คุ้นเคย/น่าสงสัย อาจเป็นสัญญาณของกิจกรรมที่เป็นอันตราย

1. การเข้าถึงหลายครั้งจากผู้ใช้คนเดียวกัน: หากผู้ใช้รายเดียวเข้าถึงกล่องจดหมายที่ไม่ใช่เจ้าของหลายครั้งในช่วงเวลาสั้นๆ อาจเป็นสัญญาณของการละเมิดข้อมูลที่อาจเกิดขึ้นหรือการเข้าถึงที่ไม่ได้รับอนุญาต

รายการดำเนินต่อไปเรื่อยๆ เช่น การตรวจสอบการเข้าถึงในช่วงเวลานอกเวลาทำการ การตรวจสอบเฉพาะกล่องจดหมายที่ระบุ เป็นต้น ดังนั้น หากคุณต้องการให้ทุกอย่างอยู่ในแดชบอร์ดเดียว < ข>เครื่องมือตรวจสอบ AdminDroid Exchange Online เป็นตัวเลือกที่เหมาะสม

เข้าใกล้ยิ่งขึ้นด้วยการเข้าถึงกล่องจดหมายของผู้ที่ไม่ใช่เจ้าของ

รายงานการเข้าถึงกล่องจดหมายของผู้ที่ไม่ใช่เจ้าของ AdminDroid ช่วยให้ผู้ดูแลระบบเห็นภาพรวมในระดับสูงของเวลาที่เข้าถึงกล่องจดหมาย ความพยายามในการเข้าถึงกล่องจดหมายของผู้ที่ไม่ใช่เจ้าของแต่ละกล่อง ค้นหากิจกรรมของผู้ใช้ในช่วงเวลานอกเวลาทำการ ฯลฯ ไม่ได้หยุดเพียงแค่นี้! คุณสามารถวิเคราะห์ข้อมูลการเข้าสู่ระบบ IP เพิ่มเติมและระบุกิจกรรมที่น่าสงสัยได้ทันทีโดยไม่ต้องทำงานมากนัก

นอกจากนี้ เครื่องมือตรวจสอบ AdminDroid Exchange Online ยังมาพร้อมกับรายงาน Exchange Online มากกว่า 170 รายการ เพื่อติดตาม กำหนดเวลา และรับการแจ้งเตือนในทุกกิจกรรม เริ่มต้นทันทีและสัมผัสกับศักยภาพสูงสุดของเครื่องมือการจัดการ AdminDroid Exchange Online และส่วนที่ดีที่สุดคือ AdminDroid โปรแกรมรายงาน Microsoft 365 มอบรายงาน ฟรีกว่า 120+ รายการเกี่ยวกับการจัดการ Azure AD อย่างสมบูรณ์!

อย่าปล่อยให้ความซับซ้อนของการจัดการ Office 365 ทำให้คุณผิดหวัง ให้ AdminDroid เป็นผู้ควบคุม!

คุณสมบัติ AdminDroid เหนือ รายงานมากกว่า 1,800 รายการ และ แดชบอร์ดข้อมูลเชิงลึกมากกว่า 30 รายการ บน Exchange Online, SharePoint Online, Microsoft Teams, OneDrive for Business และบริการอื่นๆ ของ Office 365 ในอินเทอร์เฟซที่ใช้งานง่ายพร้อมแดชบอร์ดกราฟิกที่ทันสมัย ดาวน์โหลด AdminDroid ทันทีและสำรวจฟีเจอร์ต่างๆ พร้อมทดลองใช้ฟรี 15 วัน!

ฉันหวังว่าบล็อกนี้จะช่วยคุณในการตรวจสอบว่าใครเข้าถึงกล่องจดหมายของผู้ใช้รายอื่น และระบุการดำเนินการโดยไม่ตั้งใจหรือเป็นอันตรายที่ดำเนินการโดยผู้ที่ไม่ใช่เจ้าของ รายงานนี้จะช่วยคุณในการปฏิบัติตามข้อกำหนดและการดำเนินคดี