ติดตามกิจกรรมผู้ใช้นอกระบบใน Microsoft 365 โดยใช้ PowerShell

เนื่องจากองค์กรต่างๆ พึ่งพา Microsoft 365 มากขึ้นสำหรับการดำเนินงานในแต่ละวัน การเลิกใช้งานจึงมีบทบาทสำคัญในการสนับสนุนความปลอดภัยขององค์กรและการกำกับดูแลข้อมูล การเลิกใช้งาน Microsoft 365 เป็นมากกว่าการปิดใช้งานบัญชีอีเมล ซึ่งเกี่ยวข้องกับการลบการเข้าถึงของผู้ใช้ในแอปพลิเคชันและบริการต่างๆ ของ Microsoft 365 เช่น SharePoint, OneDrive, Teams เป็นต้น

ผู้ดูแลระบบต้องปฏิบัติตามแนวทางปฏิบัติที่ดีที่สุดในการเลิกใช้งาน Office 365 และควรใช้เครื่องมือการเลิกใช้งาน Microsoft 365 เพื่อหลีกเลี่ยงความเสี่ยงที่เกี่ยวข้องกับข้อมูลในองค์กร ผู้ดูแลระบบยังสามารถทำให้ผู้ใช้ M365 เลิกใช้งานโดยอัตโนมัติโดยใช้เวิร์กโฟลว์วงจรชีวิต ซึ่งช่วยให้งานการจัดการผู้ใช้คล่องตัวเช่นเดียวกับ Power Automate เมื่อการเลิกจ้างเสร็จสมบูรณ์ ผู้ดูแลระบบยังต้องตรวจสอบว่าพนักงานที่ลาออกไม่สามารถเข้าถึงทรัพยากรของบริษัทได้อีกต่อไป วิธีหนึ่งที่จะแน่ใจได้คือการตรวจสอบบันทึกของกิจกรรมผู้ใช้นอกระบบ Microsoft 365 อย่างละเอียด

เหตุใดผู้ดูแลระบบจึงควรตรวจสอบกิจกรรมของผู้ใช้นอกระบบ

การตรวจสอบกิจกรรมของผู้ใช้นอกระบบใน Microsoft 365 ถือเป็นสิ่งสำคัญด้วยเหตุผลหลายประการ รวมถึงการรักษาความปลอดภัย การปฏิบัติตามข้อบังคับ และการปกป้องข้อมูล

1. เหตุผลด้านความปลอดภัย: การตรวจสอบช่วยตรวจจับและป้องกันความพยายามในการเข้าถึงโดยข้อมูลรับรองที่ถูกบุกรุก แม้ว่าจะปิดการใช้งานบัญชีผู้ใช้แล้วก็ตาม
2. การปกป้องข้อมูล: ผู้ดูแลระบบสามารถติดตามผู้ใช้ที่ไม่ได้ใช้งานเพื่อให้แน่ใจว่าพวกเขาจะไม่พยายามเข้าถึงหรือดาวน์โหลดข้อมูลที่ละเอียดอ่อน เพื่อป้องกันการละเมิดที่อาจเกิดขึ้น
3. ข้อกำหนดด้านการปฏิบัติตามข้อกำหนด: เพื่อให้เป็นไปตามกฎระเบียบของอุตสาหกรรม การตรวจสอบจะให้บันทึกการเข้าถึงข้อมูลที่ชัดเจน ช่วยในการตรวจสอบการปฏิบัติตามข้อกำหนด และแสดงให้เห็นถึงการปฏิบัติตามมาตรฐาน
4. วัตถุประสงค์ทางกฎหมายและการสืบสวน: ในกรณีของเหตุการณ์ด้านความปลอดภัยหรือการละเมิดข้อมูล การตรวจสอบกิจกรรมของผู้ใช้นอกระบบจะช่วยในการทำความเข้าใจขอบเขตของเหตุการณ์ นอกจากนี้ บันทึกการตรวจสอบของผู้ใช้นอกระบบยังทำหน้าที่เป็นข้อมูลสำรองที่เป็นประโยชน์สำหรับการอ้างอิงทางกฎหมายและการสืบสวนในอนาคต
5. การป้องกันภัยคุกคามจากภายใน: การตรวจสอบกิจกรรมของผู้ใช้นอกระบบช่วยระบุพฤติกรรมที่ผิดปกติหรือน่าสงสัยที่อาจบ่งบอกถึงเจตนาร้าย ป้องกันอันตรายที่อาจเกิดขึ้นกับองค์กร

ตรวจสอบการเลิกใช้งานกิจกรรมของผู้ใช้ด้วย PowerShell

ด้วยลักษณะแบบไดนามิกของพอร์ทัลผู้ดูแลระบบ Microsoft 365 และอินเทอร์เฟซผู้ใช้ ผู้ดูแลระบบจำนวนมากพบว่าการใช้ PowerShell สำหรับงานของตนสะดวกกว่า แม้ว่า Microsoft Purview Audit Log Search และ Search-UnifiedAuditLog cmdlet มีความสามารถบางอย่างในเรื่องนี้ แต่ก็อาจไม่ได้ให้มุมมองที่ครอบคลุมหรืออนุญาตให้มีการปรับแต่งที่ครอบคลุม หากกระบวนการดึงข้อมูลไม่ได้รับการดำเนินการอย่างถูกต้อง อาจมีความเสี่ยงที่ข้อมูลจะสูญหายได้

เพื่อจัดการกับความท้าทายนี้: เลือกใช้สคริปต์ PowerShell แบบไดนามิกเพื่อตรวจสอบกิจกรรมของผู้ใช้นอกระบบได้อย่างราบรื่น และพิชิตความท้าทายได้อย่างง่ายดาย

ไฮไลท์สคริปต์

1. สคริปต์ใช้การรับรองความถูกต้องที่ทันสมัยเพื่อเชื่อมต่อกับ Exchange Online
2. สคริปต์สามารถดำเนินการได้ด้วยบัญชีที่เปิดใช้งาน MFA เช่นกัน
3. ส่งออกผลลัพธ์รายงานเป็นไฟล์ CSV
4. สคริปต์จะส่งออกบันทึกการตรวจสอบเป็นเวลา 180 วัน โดยค่าเริ่มต้น
5. ช่วยให้คุณสามารถติดตามรายงานบันทึกการตรวจสอบสำหรับ ระยะเวลาที่กำหนดเอง
6. ติดตั้งโมดูล EXO โดยอัตโนมัติ (หากยังไม่ได้ติดตั้ง) เมื่อคุณยืนยัน
7. สคริปต์นี้เป็นมิตรกับตัวกำหนดเวลา กล่าวคือ สามารถส่งข้อมูลรับรองเป็นพารามิเตอร์แทนการบันทึกภายในสคริปต์ได้
8. สคริปต์รองรับการตรวจสอบสิทธิ์ตามใบรับรอง (CBA)

ดาวน์โหลดสคริปต์: TrackOffboardedM365UserActivities.ps1

รายงานกิจกรรมผู้ใช้นอกระบบ Microsoft 365 - ขั้นตอนการดำเนินการสคริปต์:

1. ดาวน์โหลดสคริปต์และเปิดใช้งาน Windows PowerShell
2. เลือกวิธีการใด ๆ ที่มีให้เพื่อรันสคริปต์

วิธีที่ 1: คุณสามารถเรียกใช้สคริปต์ด้วยบัญชี MFA และไม่ใช่ MFA

./TrackOffboardedM365UserActivities.ps1 -UserId <OffboardingUserUPN>

หมายเหตุ - คุณต้องป้อนชื่อผู้ใช้ของพนักงานที่เลิกจ้าง

วิธีที่ 2: รันสคริปต์ด้วยข้อมูลรับรองที่ชัดเจน (เป็นมิตรกับตัวกำหนดตารางเวลา)

./TrackOffboardedM365UserActivities.ps1 -UserId <OffboardingUserUPN> -AdminName <ExecutingAdminUPN> -Password <Password>

แม้ว่าวิธีการนี้จะเข้ากันได้กับตัวกำหนดเวลา แต่สิ่งสำคัญคือต้องเน้นว่าวิธีนี้มีผลเฉพาะกับบัญชีที่ไม่ใช่ MFA หากต้องการปิดใช้งาน MFA สำหรับผู้ใช้แต่ละรายและเรียกใช้สคริปต์ ให้ใช้ประโยชน์จากนโยบายการเข้าถึงแบบมีเงื่อนไข

วิธีที่ 3: คุณยังมีตัวเลือกในการเรียกใช้สคริปต์โดยใช้การตรวจสอบสิทธิ์ตามใบรับรอง ซึ่งเป็นมิตรกับตัวกำหนดเวลา

./TrackOffboardedM365UserActivities.ps1 -UserId <OffboardingUserUPN> -ClientId <ClientId> -CertificateThumbprint <Certthumbprint> -Organization <Organization>

หมายเหตุ - คุณสามารถสร้างใบรับรองที่ลงนามด้วยตนเองได้ ทั้งนี้ขึ้นอยู่กับความต้องการของคุณ ก่อนที่จะใช้การรับรองความถูกต้องตามใบรับรอง การลงทะเบียนแอปพลิเคชันใน Azure AD เป็นสิ่งสำคัญ

รายงานผู้ใช้ Microsoft 365 Offboarded - ผลลัพธ์ตัวอย่าง

รายงานกิจกรรมผู้ใช้นอกระบบ Microsoft 365 ที่ส่งออกจะแสดงแอตทริบิวต์ต่อไปนี้:

• เวลากิจกรรม
• ชื่อผู้ใช้
• การดำเนินการ
• ผลลัพธ์
• ภาระงาน
• ข้อมูลการตรวจสอบโดยละเอียด

นี่คือตัวอย่างอิมเมจเอาต์พุตที่สร้างโดยสคริปต์ PowerShell:

หมายเหตุ - สำหรับปริมาณงานบางอย่างที่ไม่มีคอลัมน์สถานะผลลัพธ์ คอลัมน์จะแสดงเป็นว่างเปล่า

รับประโยชน์สูงสุดจากสคริปต์ PowerShell กิจกรรมผู้ใช้นอกบอร์ดของ Microsoft 365

สคริปต์มีพารามิเตอร์การกรองในตัวตามความต้องการของคุณ และกรณีการใช้งานแสดงไว้ด้านล่าง

• ส่งออกประวัติกิจกรรมของผู้ใช้นอกระบบของ Microsoft 365 ในช่วง 180 วันที่ผ่านมา
• ตรวจสอบกิจกรรมผู้ใช้นอกระบบของ Microsoft 365 ภายในระยะเวลาที่กำหนด
• กำหนดเวลารายงานกิจกรรมผู้ใช้นอกระบบ
• รับรายงานกิจกรรมผู้ใช้นอกระบบรายเดือน

ส่งออกกิจกรรมผู้ใช้นอกบอร์ด Microsoft 365 เป็นเวลา 180 วัน

ผู้ดูแลระบบมักใช้ PowerShell cmdlet Search-UnifiedAuditLog เพื่อสร้างรายงานที่ครอบคลุมระยะเวลา 90 วัน เนื่องจากการขยายเวลาการเก็บรักษาบันทึกการตรวจสอบล่าสุดเป็น 180 วัน ขณะนี้ผู้ดูแลระบบจึงสามารถแยกบันทึกการตรวจสอบที่ครอบคลุมกรอบเวลาที่ขยายออกไปได้ ใช้สคริปต์ที่มีให้เพื่อส่งออกบันทึกการตรวจสอบของกิจกรรมผู้ใช้นอกระบบเป็นระยะเวลา 180 วันแบบขยาย

./TrackOffboardedM365UserActivities.ps1 -UserId lisa@contoso.com

ตัวอย่างข้างต้นจะส่งออกกิจกรรมที่ดำเนินการโดย Lisa ผู้ใช้นอกระบบในช่วง 180 วันที่ผ่านมา

ติดตามกิจกรรมผู้ใช้นอกบอร์ด Microsoft 365 สำหรับช่วงเวลาที่กำหนดเอง

ผู้ดูแลระบบยังสามารถสร้างรายงานกิจกรรมที่กำหนดเองได้โดยการระบุกรอบเวลาที่ต้องการโดยใช้ -StartDate และ -EndDate พารามิเตอร์ ด้วยพารามิเตอร์เหล่านี้ คุณจะมีความยืดหยุ่นในการสร้างรายงานการตรวจสอบของผู้ใช้ Office 365 ในช่วง 7 วัน, 30 วัน, 90 วันที่ผ่านมา หรือช่วงเวลาเฉพาะอื่นๆ ตามความจำเป็น

./TrackOffboardedM365UserActivities.ps1 -UserId lisa@contoso.com -StartDate 12/21/23 -EndDate 12/31/23

ตัวอย่างข้างต้นแสดงรายงานกิจกรรมของ Lisa ที่ถูกลงจากเครื่องในช่วงตั้งแต่วันที่ 21 ธันวาคม 2023 ถึง 31 ธันวาคม 2023

กำหนดเวลารายงานกิจกรรมผู้ใช้นอกระบบ

การจัดกำหนดการรายงานกิจกรรมของผู้ใช้นอกระบบใน Microsoft 365 ช่วยให้มั่นใจได้ว่าสามารถระบุตัวตนและลดความเสี่ยงด้านความปลอดภัยที่อาจเกิดขึ้นได้ทันเวลา ตัวอย่างเช่น หากมีการเข้าถึงบัญชีของอดีตพนักงานหลังเลิกงาน การกำหนดเวลารายงานปกติจะช่วยให้ผู้ดูแลระบบสามารถเพิกถอนการเข้าถึงและปกป้องข้อมูลที่ละเอียดอ่อนได้ทันที โดยคงไว้ซึ่งมาตรการรักษาความปลอดภัยทางไซเบอร์ขององค์กร ใช้รูปแบบที่ให้มาเพื่อเรียกใช้สคริปต์ PowerShell จาก Task Scheduler ได้อย่างราบรื่น

./TrackOffboardedM365UserActivities.ps1 -UserId lisa@contoso.com -AdminName admin@contoso.com -Password XXX

รับรายงานกิจกรรมผู้ใช้นอกระบบรายเดือน

หากต้องการรับสรุปกิจกรรมผู้ใช้นอกระบบทุกเดือน เพียงเรียกใช้สคริปต์ต่อไปนี้:

./TrackOffboardedM365UserActivities.ps1 -StartDate ((Get-Date).AddDays(-30)) -EndDate(Get-Date) -UserId lisa@contoso.com

ตัวอย่างเช่น เมื่อพนักงาน เช่น ลิซ่า ในกรณีนี้ ลาออกจากบริษัท การติดตามและบันทึกกิจกรรมของผู้ใช้เป็นสิ่งสำคัญ โดยทำหน้าที่เป็นมาตรการเชิงรุกในการระบุกิจกรรมที่ผิดปกติหรือน่าสงสัย ป้องกันการดาวน์โหลดเอกสารราชการโดยไม่ได้รับอนุญาตโดยพนักงานที่ลาออก

รับข้อมูลเชิงลึกและรายละเอียดเกี่ยวกับกิจกรรมผู้ใช้ Microsoft 365 อย่างราบรื่นด้วย AdminDroid

เราได้สำรวจวิธีการติดตามกิจกรรมผู้ใช้นอกระบบโดยใช้สคริปต์ PowerShell และกรณีการใช้งานที่เกี่ยวข้อง แต่คุณเชื่อไหมถ้าฉันบอกว่ามีวิธีที่ง่ายกว่ามากในการรับกิจกรรมผู้ใช้ Microsoft 365 ทั้งหมดโดยไม่ต้องใช้ PowerShell

AdminDroid ทำให้การตรวจสอบกิจกรรมผู้ใช้ Microsoft 365 ง่ายขึ้นด้วยรายงานกิจกรรมผู้ใช้แบบไดนามิก ต่อไปนี้คือบางสิ่งที่คุณสามารถติดตามได้:

การเข้าสู่ระบบของผู้ใช้:

• การพยายามเข้าสู่ระบบที่สำเร็จและล้มเหลวทั้งหมด
• ผู้ใช้ไม่ผ่านการท้าทาย MFA
• ความพยายามในการเข้าสู่ระบบของผู้ใช้ถูกปิดใช้งาน
• การเปลี่ยนแปลงรหัสผ่านผู้ใช้

กิจกรรมกล่องจดหมายของผู้ใช้:

• อีเมลทั้งหมดที่ส่งและรับ
• อีเมลที่ส่งถึงและรับจากโดเมนภายนอก
• สแปม/ฟิช/มัลแวร์ส่งและรับ
• การลบอีเมลจำนวนมาก
• การสร้างกฎกล่องจดหมายเข้า

กิจกรรมการถ่ายโอนไฟล์:

• การแชร์ไฟล์/โฟลเดอร์/เพจ SharePoint ภายนอก
• กิจกรรมการลบและกู้คืนไฟล์ SharePoint
• กิจกรรมการเข้าถึงไฟล์/โฟลเดอร์ OneDrive
• กิจกรรมการลบและกู้คืนไฟล์ OneDrive
• การแชร์ไฟล์/โฟลเดอร์ในการแชทของทีม

AdminDroid ให้มากกว่าแค่รายงาน โดยนำเสนอแดชบอร์ดที่ครอบคลุมซึ่งนำเสนอภาพรวมโดยละเอียดของกิจกรรมผู้ใช้ภายใน Microsoft 365

นอกจากนี้ AdminDroid ยังมีคุณลักษณะที่หลากหลาย รวมถึง รายงานที่สร้างไว้ล่วงหน้ามากกว่า 1,800 รายการ และ แดชบอร์ด Office 365 มากกว่า 30 รายการ รายงานเหล่านี้ให้ข้อมูลเชิงลึกที่ครอบคลุม ครอบคลุมด้านต่างๆ เช่น การรายงาน การตรวจสอบ การวิเคราะห์ สถิติการใช้งาน ความปลอดภัย และการปฏิบัติตามข้อกำหนด

นอกจากนี้ AdminDroid ยังมีเครื่องมือรายงาน Azure AD ฟรีที่มีรายงานและแดชบอร์ดมากกว่า 120 รายการที่ครอบคลุมหมวดหมู่ต่างๆ รายงานเหล่านี้มาพร้อมกับคุณสมบัติต่างๆ เช่น การส่งออก การส่งรายงานทางอีเมล และการตั้งเวลา

ดาวน์โหลดเครื่องมือการจัดการ AdminDroid Microsoft 365 ทันทีและสัมผัสพลังของการดูแลระบบที่ง่ายขึ้น!

ฉันหวังว่าบล็อกนี้จะเป็นประโยชน์สำหรับการตรวจสอบกิจกรรมผู้ใช้นอกระบบ Microsoft 365 ในองค์กรของคุณ หากคุณมีข้อสงสัยใด ๆ คุณสามารถติดต่อเราได้ผ่านทางส่วนความคิดเห็น