Registro de auditoría de administrador en Exchange Server

Se aplica a: Exchange Server 2013

Puede usar el registro de auditoría de administrador en Microsoft Exchange Server 2013 para registrar cuando un usuario o administrador realiza un cambio en su organización. Al mantener un registro de los cambios, puede realizar un seguimiento de los cambios de la persona que realizó el cambio, aumentar los registros de cambios con registros detallados de los cambios implementados, cumplir con los requisitos reglamentarios y las solicitudes de detección, y mucho más.

De forma predeterminada, el registro de auditoría está habilitado en las nuevas instalaciones de Exchange 2013.

Qué se audita

Se auditan los cmdlets que se ejecutan directamente en el Shell de administración de Exchange. Además, también se registran las operaciones realizadas con el Centro de administración de Exchange (EAC), ya que ejecutan cmdlets en segundo plano.

Los cmdlets, independientemente de donde se ejecuten, se auditan si un cmdlet está en la lista de auditoría del cmdlet y si uno o más parámetros de ese cmdlet están en la lista de auditoría del parámetro. La finalidad del registro de auditoría es mostrar qué acciones se han realizado para modificar objetos en una organización de Exchange, en lugar de qué objetos se han visualizado.

Configuración del registro de auditoría

De forma predeterminada, si el registro de auditoría está habilitado, se crea una entrada de registro cada vez que se ejecuta cualquier cmdlet. Si no quiere auditar todos los cmdlets que se ejecutan, puede configurar el registro de auditoría para que audite únicamente los cmdlets y los parámetros que le interesen. Puede configurar el registro de auditoría con el cmdlet Set-AdminAuditLogConfig. Los parámetros a los que se hace referencia en las siguientes secciones se usan con este cmdlet.

Cuando se ejecuta un comando, Exchange inspecciona el cmdlet que se usó. Si el cmdlet que se ejecutó coincide con cualquiera de los cmdlets proporcionados con el parámetro AdminAuditLogConfigCmdlets , Exchange comprueba los parámetros especificados en el parámetro AdminAuditLogConfigParameters . Si al menos uno o más parámetros de la lista de parámetros coinciden, Exchange registra el cmdlet que se ejecutó en el buzón especificado mediante el parámetro AdminAuditLogMailbox . En las secciones siguientes se ofrece más información sobre los aspectos de la configuración del registro de auditoría.

Para más información sobre la administración de la configuración del registro de auditoría, vea Administrar el registro de auditoría de administrador.

Cmdlets

Puede controlar qué cmdlets se auditan proporcionando una lista de cmdlets y sus parámetros que desea registrar. Al configurar el registro de auditoría, puede especificar para auditar cada cmdlet o puede especificar los cmdlets que desea auditar mediante el parámetro AdminAuditLogConfigCmdlets . Puede especificar nombres de cmdlet completos, como New-Mailbox, o puede especificar nombres de cmdlet parciales y incluir esos nombres en caracteres comodín, como un asterisco (*). Por ejemplo, si desea registrar cuándo se ejecuta cualquier cmdlet que contenga la cadena Transport , puede especificar un valor de *Transport*. Puede usar una combinación de nombres de cmdlet completos y nombres de cmdlet parciales al mismo tiempo para adaptar la configuración del registro de auditoría a sus necesidades.

Parameters

Además de especificar qué cmdlets desea registrar, también puede indicar que los cmdlets sólo se deberán registrar si se usan determinados parámetros en esos cmdlets. Use el parámetro AdminAuditLogConfigParameters para especificar los parámetros que se deben registrar. Al igual que con los cmdlets, puede especificar nombres de parámetro completos, como Database, o nombres de parámetros parciales entre caracteres comodín (*), como *Address*, o una combinación de ambos.

Límite de antigüedad del registro de auditoría

De forma predeterminada, el registro de auditoría está configurado para almacenar entradas de registro de auditoría durante 90 días. Después de 90 días, se elimina la entrada del registro de auditoría. Puede cambiar el límite de antigüedad del registro de auditoría mediante el parámetro AdminAuditLogAgeLimit. Puede especificar el número de días, horas, minutos y segundos que se deben conservar en las entradas del registro de auditoría. Para especificar un valor, use el formato dd.hh:mm:ss en el que se aplica lo siguiente:

• dd: número de días para mantener la entrada del registro de auditoría.

• hh: número de horas para mantener la entrada del registro de auditoría.

• mm: número de minutos para mantener la entrada del registro de auditoría.

• ss: número de segundos para mantener la entrada del registro de auditoría.

Debe especificar varios años mediante el dd campo . Por ejemplo, 365 días equivale a un año; 730 días equivale a dos años; 913 días equivale a dos años y seis meses. Por ejemplo, para establecer el límite de edad del registro de auditoría en dos años y seis meses, use la sintaxis 913.00:00:00.

Registro detallado

De forma predeterminada, el registro de auditoría del administrador solo registra el nombre del cmdlet, los parámetros de cmdlet (y los valores especificados), el objeto que se modificó, quién ejecutó el cmdlet, cuándo se ejecutó el cmdlet y en qué servidor se ejecutó el cmdlet. El registro de auditoría de administrador no registra qué propiedades se modificaron en el objeto. Si desea que el registro de auditoría incluya también las propiedades del objeto que se modificaron, puede habilitar el registro detallado estableciendo el parámetro LogLevel en Verbose. Al habilitar el registro detallado, además de la información registrada de forma predeterminada, las propiedades modificadas en un objeto, incluidos sus valores antiguos y nuevos, se incluyen en el registro de auditoría.

Cmdlets de prueba

Los cmdlets que empiezan con el verbo Test no se registran de forma predeterminada. Puede indicar que los cmdlets test deben registrarse estableciendo el parámetro $trueTestCmdletLoggingEnabled en . Aunque puede habilitar el registro de cmdlets de prueba, se recomienda hacerlo solo durante breves períodos de tiempo, ya que los cmdlets de prueba pueden producir una gran cantidad de información.

Registros de auditoría

Cada vez que se registra un cmdlet, se crea una entrada en el registro de auditoría. Los registros de auditoría se almacenan en un buzón de arbitraje oculto y dedicado al que solo se puede acceder mediante el EAC o el cmdlet Search-AdminAuditLog o New-AdminAuditLogSearch . No se puede abrir con Microsoft Outlook Web App o Microsoft Outlook. Las siguientes secciones proporcionan información sobre los siguientes aspectos:

• Qué se incluye en los registros

• Informes disponibles en la página de auditoría de EAC

• Cmdlets de búsqueda de registros de auditoría

Contenido del registro de auditoría

Todas las entradas del registro de auditoría contienen la información que se describe en la tabla siguiente. El registro de auditoría contiene una o varias entradas de registro de auditoría. El número de entradas de registro de auditoría se controla mediante el límite de antigüedad del registro de auditoría especificado mediante el cmdlet Set-AdminAuditLogConfig . Se eliminan todas las entradas del registro de auditoría que superan el límite de antigüedad.

Campos de entrada del registro de auditoría

Informes de auditoría del EAC

La página de auditoría del EAC tiene varios informes que proporcionan información sobre varios tipos de cambios de cumplimiento y configuración administrativa. Los informes siguientes proporcionan información sobre los cambios de configuración en la organización:

• Informe de grupo de roles de administrador: este informe le permite buscar cambios en los grupos de roles de administración que especifique dentro de un período de tiempo especificado. Los resultados que se devuelven muestran los grupos de funciones que han sido modificados, quien los modificó y cuándo, y qué cambios se realizaron. Se puede devolver un máximo de 3000 entradas. Si es posible que su búsqueda devuelva más de 3000 entradas, use el informe de Registro de auditoría de administrador o el cmdlet Search-AdminAuditLog.

• Registro de auditoría de administrador: este informe le permite exportar las entradas de registro de auditoría registradas dentro de un período de tiempo especificado a un archivo XML y, a continuación, enviar el archivo por correo electrónico a un destinatario que especifique. Para más información sobre el contenido del archivo XML, vea Estructura del registro de auditoría de administrador.

Para obtener información sobre cómo usar estos informes, consulte Búsqueda en los cambios del grupo de roles o registros de auditoría de administrador.

Para obtener información sobre los demás informes incluidos en la página de auditoría , consulte Informes de auditoría de Exchange.

Cmdlet Search-AdminAuditLog

Al ejecutar el cmdlet Search-AdminAuditLog , se devuelven todas las entradas de registro de auditoría que coinciden con los criterios de búsqueda especificados. Puede especificar los siguientes criterios de búsqueda:

• Cmdlets: especifica los cmdlets que desea buscar en el registro de auditoría de administrador.

• Parámetros: especifica los parámetros, separados por comas, que desea buscar en el registro de auditoría de administrador. Solo puede buscar parámetros si especifica el cmdlet que quiere buscar.

• Fecha de finalización: limita los resultados del registro de auditoría del administrador a las entradas de registro que se produjeron en o antes de la fecha especificada.

• Fecha de inicio: limita los resultados del registro de auditoría del administrador a las entradas de registro que se produjeron en o después de la fecha especificada.

• Identificadores de objeto: especifica que solo se deben devolver entradas de registro de auditoría de administrador que contengan los objetos modificados especificados.

• Identificadores de usuario: especifica que solo deben devolverse las entradas de registro de auditoría de administrador que contienen los identificadores especificados del usuario que ejecutó el cmdlet.

• Finalización correcta: especifica si solo se deben devolver las entradas de registro de auditoría de administrador que indicaron que se ha producido un error o que se ha realizado correctamente.

Todas las entradas del registro de auditoría contienen la información que se describe en la tabla de Audit Log Contents. De forma predeterminada, solamente se devuelven las primeras 1000 entradas del registro que coinciden con los criterios especificados. Sin embargo, puede invalidar esta configuración predeterminada y habilitar la devolución de una mayor o menor cantidad de entradas con el parámetro ResultSize. Puede especificar un valor de Unlimited con el parámetro ResultSize para devolver todas las entradas de registro que coincidan con los criterios especificados.

Para obtener información sobre cómo usar el cmdlet Search-AdminAuditLog , consulte Búsqueda de cambios en el grupo de roles o registros de auditoría de administrador.

Cmdlet New-AdminAuditLogSearch

El cmdlet New-AdminAuditLogSearch busca el registro de auditoría al igual que el cmdlet Search-AdminAuditLog. Sin embargo, en lugar de mostrar los resultados de la búsqueda de registros de auditoría en el Shell, el cmdlet New-AdminAuditLogSearch realiza la búsqueda y, a continuación, envía los resultados de la búsqueda a un destinatario que especifique a través de un mensaje de correo electrónico. Los resultados se incluyen como datos adjuntos en formato XML en el mensaje de correo electrónico.

Puede usar el mismo criterio de búsqueda con el cmdlet New-AdminAuditLogSearch que usa con el cdmlet Search-AdminAuditLog. Para obtener una lista de los criterios de búsqueda, consulte Search-AdminAuditLog Cmdlet.

Después de ejecutar el cmdlet New-AdminAuditLogSearch, Exchange puede tardar hasta 15 minutos en entregar el informe al destinatario especificado. El informe adjunto en un archivo XML puede tener un máximo de 10 megabytes (MB). El archivo XML contiene la misma información descrita en la tabla del contenido del registro de auditoría. Para más información sobre la estructura del archivo XML, vea Estructura del registro de auditoría de administrador.

Para obtener información sobre cómo usar el cmdlet New-AdminAuditLogSearch , consulte Búsqueda de cambios en el grupo de roles o registros de auditoría de administrador.

Entradas de registro de auditoría manual

Además de registrar cmdlets de Exchange cuando se ejecutan, Exchange 2013 permite escribir manualmente entradas de registro en el registro de auditoría. Exchange 2013 admite esto mediante el cmdlet Write-AdminAuditLog . A continuación se muestran algunas situaciones en las que es posible que quiera agregar una entrada registro manual:

• Entrada y salida de script personalizado

• Información de control de cambios

• Hora de inicio y finalización de mantenimiento

Con el cmdlet Write-AdminAuditLog , se especifica una cadena de texto que se va a incluir en el registro de auditoría mediante el parámetro Comment . El parámetro Comment acepta una cadena alfanumérica de hasta 500 caracteres. Toda la información capturada al registrar un cmdlet de Exchange se incluye en la entrada de registro de auditoría manual con la cadena de comentario. Para obtener una descripción de cada campo incluido en el registro de auditoría, consulte la tabla contenido del registro de auditoría.

Puede recuperar entradas de registro de auditoría manuales de la misma manera que cualquier otra entrada de registro, mediante la página de auditoría de EAC o mediante los cmdlets Search-AdminAuditLog o New-AdminAuditLogSearch .

Para ver el contenido del parámetro Comment en el cmdlet Write-AdminAuditLog en una entrada de registro de auditoría manual, vea Buscar los cambios del grupo de roles o los registros de auditoría del administrador.

Replicación de Active Directory

El registro de auditoría de administrador usa la replicación de Active Directory para replicar las opciones de configuración que se especifican en los controladores de dominio de la organización. En función de la configuración de replicación, es posible que los cambios que realice no se apliquen inmediatamente a todos los servidores que ejecutan Exchange 2013 o Exchange 2010 en su organización.

Agente del registro de auditoría de administrador

El agente de extensión de cmdlets integrado del registro de auditoría de Administración realiza el registro de auditoría de administrador de las operaciones de cmdlet en Exchange 2013. Este agente lee la configuración del registro de auditoría y, después, realiza una evaluación de cada cmdlet que se ejecuta en la organización. Si los criterios especificados en la configuración del registro de auditoría coinciden con el cmdlet que se está ejecutando, el agente genera un registro de auditoría.

El agente de registro de auditoría de Administración está habilitado de forma predeterminada, lo que es necesario para que funcione el registro de auditoría. No se puede deshabilitar y su prioridad no se puede cambiar. Para obtener más información acerca de los agentes de extensión del cmdlet, consulte Agentes de extensión de cmdlet.