Este script puede extraer datos de registro del entorno de Office365. El script que creamos consta de cuatro opciones principales que permiten a los investigadores extraer fácilmente información de inicio de sesión de un entorno Office365.
- Mostrar fuentes de registro disponibles y volumen de registro
- Extraiga todos los registros de auditoría
- Extraer registros de auditoría de grupo
- Extraiga registros de auditoría específicos (modo avanzado)
Mostrar fuentes de registro disponibles y volumen de registro
Realizar una búsqueda es muy sencillo, el número total en el registro
El rango de tiempo establecido se mostrará y se escribirá en un archivo csv llamado «Amount_Of_Audit_Logs.csv», que tiene el prefijo de un número aleatorio para evitar la duplicación.
Extraiga todos los registros de auditoría
Obtener todos los registros de auditoría» Esta opción recuperará todos los registros de auditoría disponibles dentro del rango de tiempo establecido y los escribirá en un archivo llamado AuditRecords.CSV.
Extraer registros de grupo
Extraiga un conjunto de registros. Por ejemplo, puede recuperar todos los registros de Exchange o Azure a la vez.
Extraiga registros de auditoría específicos
Extraer registros de auditoría específicos» Utilice esta opción si desea extraer un subconjunto de registros de auditoría. Para configurar qué registros necesita extraer la herramienta
Configure los tipos de registros requeridos. Puede encontrar una lista completa de tipos de registros al final de esta página.
El archivo de salida se escribirá en un directorio llamado «Log_Directory» y se le asignará el nombre de su tipo de registro, por ejemplo (ExchangeItem_AuditRecords.csv).
Requisitos previos
-Intercambio en línea del módulo PowerShell V2
-PowerShell
-Cuenta de Office365 con permiso para acceder/extraer registros de auditoría
-Una de las siguientes versiones de Windows:
Windows 10, Windows 8.1, Windows 8 o Windows 7 Service Pack 1 (SP1)
Windows Server 2019, Windows Server 2016, Windows Server 2012 R2, Windows Server 2012 o Windows Server 2008 R2 SP1
Se le debe asignar la función Ver solo registro de auditoría o Registro de auditoría en Exchange Online para buscar registros de auditoría de Office 365.
De forma predeterminada, estos roles se asignan a los grupos de roles Gestión de cumplimiento y Gestión de organización en la página Permisos del centro de administración de Exchange.
Para permitir que los usuarios busquen registros de auditoría de Office 365 en el nivel de permiso más bajo, puede crear un grupo de funciones personalizado en: intercambio Agregue una función en línea «Ver solo registro de auditoría» o «Solo registro de auditoría» y luego agregue el usuario como miembro del nuevo grupo de funciones. Para obtener más información, consulte Administrar grupos de funciones en Exchange Online.
Instale el módulo Exchange Online Powershell V2
1. Inicie Windows PowerShell usando la opción «Ejecutar como administrador»
2. Instale el módulo PowerShellGet. Para instalar el módulo ExchangeOnlineManagement, necesita PowerShellGet 2.0 o superior. De lo contrario, terminará con el error: Ejecutar: Install-Module PowerShellGet -Force
3. Ejecute el siguiente cmdlet para instalar el módulo Exchange Online PowerShell V2: Install-Module –Name ExchangeOnlineManagement
Para obtener más información, haga clic aquí.
