Отчеты аудита Exchange

Exchange 2013
 

Применимо к:Exchange Online, Exchange Server 2013

Последнее изменение раздела:2016-12-09

Используйте журнал аудита для устранения проблем с конфигурацией и обеспечения соблюдения нормативных и законодательных требований путем отслеживания отдельных изменений, вносимых администраторами. В Microsoft Exchange доступно два вида журналов аудита:

  • В журнал аудита администраторов записываются все действия, выполняемые администратором, на основе командлета консоли управления Exchange. Это позволяет устранять неполадки конфигурации или выявлять причины проблем безопасности или соответствия требованиям. В Exchange Online также записываются действия, которые выполняют администраторы Microsoft и полномочные администраторы.

  • В журнале аудита почтового ящика регистрируются случаи доступа к почтовому ящику со стороны его владельца, администратора или делегированного пользователя. Это позволяет определить, кто обращался к почтовому ящику, а также какие действия были выполнены.

В этом разделе рассматривается следующее.

На странице Управление соответствием требованиям > Аудит в Центре администрирования Exchange (EAC) можно выполнить поиск и экспорт записей из журнала аудита администратора и журнала аудита почтовых ящиков.

  • Экспорт журнала аудита действий администратора   Все действия, выполняемые с помощью командлета командной консоли Exchange, названия которых не начинаются с глаголов Get, Search и Test, заносятся в журнал аудита действий администратора. В записях журнала аудита указывается запущенный командлет, его параметры и их значения, а также успешность выполнения. Записи в журнале аудита администратора можно искать и экспортировать. При экспорте результатов поиска Microsoft Exchange сохраняет их в XML-файл и прикрепляет их к сообщению электронной почты. Дополнительные сведения:

    ПримечаниеПримечание.
    По умолчанию записи журнала аудита действий администратора хранятся в течение 90 дней. Когда срок хранения записи превышает 90 дней, она удаляется. Этот параметр невозможно изменить в облачной организации. Но его можно изменить в локальной организации Exchange с помощью командлета Set-AdminAuditLog.
  • Экспорт журналов аудита почтовых ящиков. Если для почтового ящика включено ведение журнала аудита почтового ящика, Microsoft Exchange регистрирует в этом журнале действия над данными в почтовом ящике со стороны пользователей, не являющихся владельцами. Журнал аудита почтового ящика хранится в скрытой папке почтового ящика, для которого включен аудит. Ведение журнала аудита почтового ящика можно настроить для регистрации действий владельцев. В записях такого журнала указывается, кто и когда обращался к почтовому ящику, какие действия при этом были выполнены и были ли они успешными. При поиске записей в журнале аудита почтового ящика и их экспорте Microsoft Exchange сохраняет результаты поиска в XML-файл и прикрепляет их к электронному сообщению. Дополнительные сведения см. в статье Экспорт журналов аудита почтовых ящиков.

При запуске следующих отчетов на странице Аудит в Центре администрирования Exchange результаты отображаются в области сведений отчета.

Для запуска отчетов аудита и экспорта журналов аудита необходимо настроить ведение журналов аудита для вашей организации.

Ведение журнала аудита почтовых ящиков включается для всех почтовых ящиков, по которым следует составлять отчет о доступе пользователей, не являющихся владельцами. Если ведения журнала аудита почтовых ящиков не включено для почтового ящика, вы не получите результаты при запуске отчета для него или экспорте журнала аудита почтового ящика.

Чтобы включить ведения журнала аудита для одного почтового ящика, выполните следующую команду в командной консоли.

Set-Mailbox <Identity> -AuditEnabled $true

Чтобы включить аудит для всех почтовых ящиков пользователей в организации, выполните следующие команды:

$UserMailboxes = Get-mailbox -Filter {(RecipientTypeDetails -eq 'UserMailbox')}
$UserMailboxes | ForEach {Set-Mailbox $_.Identity -AuditEnabled $true}

Дополнительные сведения о настройке регистрации нужных действий в журнале см. в таких статьях:

По умолчанию администраторы могут получить доступ к любым отчетам и запустить их на странице "Аудит" в EAC. При этом другим пользователям, например юристам или делопроизводителям, также можно назначить нужные разрешения.

Самым простым способом предоставить пользователям доступ является добавление в группу ролей "Управление записями". Вы также можете использовать командную консоль, чтобы предоставить пользователям доступ к странице Аудит в Центре администрирования Exchange, назначив им роль "Журналы аудита".

  1. Перейдите к разделу Разрешения > Роли администраторов.

  2. Выберите Управление записями в списке групп ролей и нажмите кнопку ИзменитьЗначок редактирования.

  3. В области Члены нажмите кнопку ДобавитьЗначок добавления.

  4. Укажите пользователя в диалоговом окне Выбрать членов группы. Можно выполнить поиск пользователя, введя отображаемое имя (полностью или частично) и нажав кнопку Поискзначок поиска. Можно также отсортировать список, щелкнув заголовок столбца Имя или Отображаемое имя.

  5. Нажмите кнопку ДобавитьЗначок добавления, затем кнопку ОК, чтобы вернуться на страницу группы ролей.

  6. Нажмите кнопку Сохранить, чтобы сохранить изменения в группе ролей.

В области сведений пользователь будет указан в разделе Члены и сможет получить доступ к странице аудита в EAC, запустить отчеты аудита и экспортировать журналы аудита.

Чтобы назначить роль "Журналы аудита" пользователю, выполните следующую команду.

New-ManagementRoleAssignment -Role "Audit Logs" -User <Identity>

Это позволяет пользователю выбрать Управление соответствием требованиям > Аудит в EAC для запуска любых отчетов. Пользователь также может экспортировать журнал аудита почтовых ящиков и просматривать журнал аудита администратора.

ПримечаниеПримечание.
Чтобы позволить пользователю запускать отчеты аудита, но не разрешать экспортировать журналы аудита, используйте предыдущую команду для назначения роли только для просмотра журналов аудита.

При экспорте журнала аудита почтовых ящиков или журнала аудита администратора Microsoft Exchange прикрепляет XML-файл журнала аудита к сообщению электронной почты. Однако по умолчанию Outlook Web App блокирует XML-вложения. Если вы хотите использовать Outlook Web App для доступа к журналам аудита, вы должны настроить Outlook Web App, чтобы разрешить XML-вложения.

Чтобы разрешить XML-вложения в Outlook Web App, выполните следующую команду:

Set-OwaMailboxPolicy -Identity Default -AllowedFileTypes '.rpmsg','.xlsx','.xlsm','.xlsb','.tiff','.pptx','.pptm','.ppsx','.ppsm','.docx','.docm','.zip','.xls','.wmv','.wma','.wav','.vsd','.txt','.tif','.rtf','.pub','.ppt','.png','.pdf','.one','.mp3','.jpg','.gif','.doc','.bmp','.avi','.xml'
 
Показ: