Exporter le rapport d'accès aux boîtes aux lettres des non-propriétaires au format CSV à l'aide de PowerShell

Étant donné que les boîtes aux lettres contiennent des données sensibles, accorder une autorisation d'accès à plusieurs utilisateurs augmente le risque de faille de sécurité. Vous pouvez utiliser le journal d'audit pour détecter et prévenir de telles vulnérabilités de sécurité. À l'aide du journal d'audit, vous pouvez savoir qui a accédé à la boîte aux lettres et quelles actions ils ont effectuées.

Dans certaines organisations/locataires, l’audit des boîtes aux lettres n’est pas activé par défaut. Vous devez donc activer l’audit de la boîte aux lettres. Sinon, vous vous retrouverez avec des enregistrements d'audit vides.

Remarque : Les actions auditées par défaut sont suffisantes pour la plupart des organisations. Toutefois, si vous déterminez que ce n'est pas le cas, vous devez le configurer manuellement. Vous pouvez utiliser un script PowerShell pour activer l'audit de boîte aux lettres pour toutes les actions de boîte aux lettres.

Comment détecter qui a accédé à la boîte aux lettres d’un autre utilisateur ?

Le rapport d'accès aux boîtes aux lettres non propriétaires d'Office 365 répertorie les boîtes aux lettres auxquelles a accédé une personne qui n'est pas propriétaire de la boîte aux lettres. Vous pouvez savoir qui dispose d'autorisations sur les boîtes aux lettres des autres à l'aide d'un rapport sur les autorisations des boîtes aux lettres des non-propriétaires.

Vous pouvez utiliser le Centre d'administration Exchange (EAC) pour exécuter un rapport d'accès aux boîtes aux lettres non-propriétaires, mais vous ne pouvez pas les exporter et vous devez cliquer sur chaque boîte aux lettres pour afficher leur accès non-propriétaire. C'est là que PowerShell entre en jeu. Mais obtenir tous les journaux d’audit et les analyser est une tâche difficile. Ne t'inquiète pas! Laissez-moi vous aider!

J'ai créé un script PowerShell pour exporter le rapport de boîte aux lettres des non-propriétaires Office 365 au format CSV.

Exporter le rapport d'accès aux boîtes aux lettres des non-propriétaires à l'aide de PowerShell :

Le rapport Accès non-propriétaire montre les actions effectuées par les administrateurs et les délégués. Le rapport fournit les informations suivantes.

1. Liste des boîtes mail consultées par des non-propriétaires,
2. Qui a accédé à la boîte aux lettres et quand,
3. Actions réalisées par le non-propriétaire,
4. Résultat si l'action est réussie ou échouée.

Télécharger le script : NonOwnerMBAccessReport.ps1

Points forts du script :

• Vous permet de filtrer l'accès des utilisateurs externes.
• Le script peut également être exécuté avec un compte compatible MFA également.
• Exporte le rapport au format CSV
• Ce script est convivial pour les planificateurs. C'est-à-dire que les informations d'identification peuvent être transmises en tant que paramètre au lieu d'être enregistrées dans le script.
• Vous pouvez affiner la recherche d'audit pour une plage de dates spécifique.

Exemple de résultat - Rapport sur l'accès aux boîtes aux lettres des non-propriétaires dans Office 365 :

Le rapport exporté contient les attributs suivants : heure d'accès, type de connexion, accès par (non-propriétaire), opération effectuée, boîte aux lettres consultée (boîte aux lettres déléguée), résultat et accès externe.

Exécution du script :

Le script peut être exécuté avec un compte compatible MFA et un compte non MFA. Vous pouvez choisir l'une des méthodes ci-dessous en fonction du type de compte.

Exporter le rapport d'accès à la boîte aux lettres des non-propriétaires :

Pour les comptes non MFA, exécutez le script comme suit.

./NonOwnerMBAccessReport.ps1

Par défaut, le script exclut l'accès des utilisateurs externes. C'est-à-dire des événements générés par le système.

Exporter le rapport d'accès aux boîtes aux lettres des non-propriétaires avec MFA :

Pour auditer les accès aux boîtes aux lettres des non-propriétaires avec un compte activé MFA, exécutez le script avec le commutateur -MFA.

./NonOwnerMBAccessReport.ps1 -MFA

Pour en savoir plus sur la façon de connecter Exchange Online PowerShell avec MFA, consultez notre blog : Connectez-vous à Exchange Online PowerShell avec MFA.

Autres cas d'utilisation du script « Rapport d'accès aux boîtes aux lettres des non-propriétaires » :

Rapport d'audit sur l'accès aux boîtes aux lettres des non-propriétaires au cours des 90 derniers jours :

Par défaut, le script audite l'accès aux boîtes aux lettres des non-propriétaires au cours des 90 derniers jours. Pour exporter le rapport d'audit des boîtes aux lettres des non-propriétaires Office 365 pour les 90 derniers jours, exécutez le script comme suit.

./NonOwnerMBAccessReport.ps1

Exporter le rapport d'accès aux boîtes aux lettres des non-propriétaires dans un intervalle donné :

Pour exporter le rapport d'accès des délégués Office 365 pour une période spécifique, exécutez le script avec -StartDate et -EndDate paramètres.

./NonOwnerMBAccessreport.ps1 -StartDate 01/15/20 -EndDate 1/30/20

La date doit être formée sous la forme MM/JJ/AA. Le script ci-dessus exportera l'accès aux boîtes aux lettres des non-propriétaires du 15 janvier 2020 au 30 janvier 2020.

Audit de l'accès aux boîtes aux lettres par les délégués et les administrateurs :

En général, l'accès à la boîte aux lettres non propriétaire inclut les administrateurs, les délégués et les utilisateurs externes. Dans Exchange Online, les utilisateurs externes font référence à l'accès par l'administrateur du centre de données Microsoft.

Pour exporter l'accès à la boîte aux lettres par les délégués et les administrateurs (à l'exclusion des utilisateurs externes), exécutez le script comme suit.

./NonOwnerMBAccessreport.ps1

Exporter le rapport d'activité de la boîte aux lettres des non-propriétaires, y compris l'accès externe :

Vous pouvez exporter tous les accès non propriétaires effectués par les administrateurs et les utilisateurs délégués au sein de l'organisation ainsi que les accès des utilisateurs externes (administrateur du centre de données Microsoft dans Exchange Online).

Pour auditer l'accès aux boîtes aux lettres non propriétaires avec l'activité des utilisateurs externes, exécutez le script avec -IncludeExternalAccess param défini sur $True.

./NonOwnerMBAccessReport.ps1 -IncludeExternalAccess $True

Planifier le rapport d'activité de la boîte aux lettres des non-propriétaires :

Étant donné que Search-UnifiedAuditLog contient les données des 90 derniers jours, vous aurez peut-être besoin d'anciens journaux d'audit à des fins d'analyse. Dans ce cas, la planification vous aidera à conserver le journal d’audit pendant plus de 90 jours.

Vous pouvez planifier un rapport d'action de boîte aux lettres non propriétaire dans le Planificateur de tâches. Si vous planifiez l'exécution du script une fois tous les 90 jours, vous pouvez auditer l'accès aux boîtes aux lettres des non-propriétaires à tout moment. Ainsi, vous pouvez stocker des années de journaux d’audit pour une analyse plus approfondie.

./NonOwnerMBAccessReport.ps1 -UserName admin@contoso.com -Password XXXX

Vous pouvez utiliser le Planificateur de tâches pour exécuter le script PowerShell.

Surmontez les problèmes de sécurité sans effort avec AdminDroid

Les rapports ci-dessus fournissent des informations sur l'accès aux boîtes aux lettres non propriétaires par les délégués, les administrateurs et les utilisateurs externes et extraient même des données à des intervalles spécifiques. Mais exigeons-nous uniquement ces rapports ? Non, vous devez garder un œil attentif sur bien plus que cela, et quelques-uns d'entre eux sont :

1. Accès par des adresses IP suspectes : Si l'accès à la boîte aux lettres d'un non-propriétaire provient d'une adresse IP inconnue/suspecte, cela peut être le signe d'une activité malveillante.

1. Accès multiple à partir du même utilisateur : Si un seul utilisateur accède plusieurs fois à une boîte aux lettres non propriétaire sur une courte période, cela peut être le signe d'une violation potentielle des données ou d'un accès non autorisé.

La liste est longue, comme la surveillance des accès en dehors des heures de bureau, l'audit d'une boîte aux lettres spécifique uniquement, etc. Par conséquent, si vous préférez tout avoir dans un seul tableau de bord, < L'outil de surveillance b>AdminDroid Exchange Online est le bon choix.

Faites un pas de plus avec l'accès à la boîte aux lettres des non-propriétaires

Le rapport d'accès aux boîtes aux lettres des non-propriétaires d'AdminDroid fournit aux administrateurs un aperçu général de l'heure d'accès à la boîte aux lettres, des tentatives d'accès échouées pour chaque boîte aux lettres des non-propriétaires, de la recherche de l'activité des utilisateurs en dehors des heures d'ouverture, etc. Vous pouvez analyser plus en détail les informations de connexion IP et repérer instantanément les activités suspectes sans trop de travail.

De plus, l'outil d'audit AdminDroid Exchange Online est livré avec plus de 170 rapports Exchange Online pour suivre, planifier et recevoir des alertes sur chaque activité. Commencez dès maintenant et découvrez tout le potentiel de l'outil de gestion AdminDroid Exchange Online. Et le meilleur, c'est que le rapporteur AdminDroid Microsoft 365 fournit plus de 120 rapports gratuits sur la gestion Azure AD complètement !

Ne vous laissez pas abattre par les complexités de la gestion d'Office 365 : laissez AdminDroid prendre le volant !

AdminDroid propose plus de plus de 1 800 rapports et plus de 30 tableaux de bord perspicaces sur Exchange Online, SharePoint Online, Microsoft Teams, OneDrive Entreprise et tous les autres services Office 365 dans une interface intuitive et facile à utiliser avec des tableaux de bord graphiques élégants. Téléchargez AdminDroid maintenant et explorez les fonctionnalités avec un essai gratuit de 15 jours !

J'espère que ce blog vous aidera à détecter qui a accédé à la boîte aux lettres d'un autre utilisateur et à identifier les opérations accidentelles ou malveillantes effectuées par un non-propriétaire. Ce rapport vous aidera à répondre aux exigences de conformité et de litige.