אסטרטגיית רישום ביקורת ב-Microsoft 365: מדריך מעשי לממשל

By Mirko Peters · 2026-04-21 · Updated 2026-07-29

בנו אסטרטגיית רישום ביקורת ב-Microsoft 365 באמצעות Purview Audit, שמירה, ניטור אבטחה, ראיות תאימות וחקירות ישימות.

Automatically translated with AI from the original post. Read the English original

אסטרטגיית רישום ביקורת ב-Microsoft 365 דורשת תוצאה עסקית ברורה, בעלות מוגדרת בשם ובקרות מעשיות. התחילו עם מקרה השימוש בעל הסיכון הגבוה או הערך הגבוה ביותר, ודאו את ההנחיות העדכניות של Microsoft, בצעו בדיקה עם משתמשים מייצגים ותעדו את ההחלטה לפני ההרחבה. כך היישום יהיה שימושי, ניתן לתחזוקה ותואם לדרישות האבטחה והממשל.

אסטרטגיית רישום ביקורת ב-Microsoft 365: רשימת בדיקה מעשית

• הגדירו את התרחיש, הבעלים וקריטריוני ההחלטה.
• ודאו את ההשלכות על אבטחה, גישה, רישוי ותפעול.
• בצעו בדיקה, תעדו וסקרו את התוצאה לפני פריסה רחבה יותר.

השתמשו ב-Microsoft Learn לקבלת ההנחיות העדכניות.

עודכן לאחרונה: יולי 2026.

אם אתם מפעילים Microsoft 365 בארגון, רישום ביקורת אינו רק תוספת נחמדה, אלא לב הליבה של מערך התאימות והאבטחה שלכם. מדריך זה מלווה אתכם בכל ההיבטים שתצטרכו כדי לנהל את יומני הביקורת, לכוונן אותם ולהפיק מהם ערך ממשי. תבינו אילו פעילויות נרשמות, כמה זמן הרישומים נשמרים, וכיצד פועלים כלי הדיווח השונים.

תקבלו שלבי עבודה מעשיים להפעלת רישום ביקורת בכל סביבת Microsoft 365, כולל כל השירותים שהצוותים שלכם משתמשים בהם בפועל, מ-SharePoint ו-Teams ועד Exchange ומעבר לכך. המדריך מתעמק באסטרטגיות ניהול מתקדמות, מציע טיפים חכמים לשמירת רישומים, ומציג דרכים חסכוניות לאזן בין התקציב לבין דרישות האבטחה והרגולציה.

העניין אינו רק סימון תיבת התאימות. תראו כיצד יומני הביקורת הופכים לעמוד השדרה של ניטור אבטחה, תגובה לאירועים וקבלת החלטות מושכלת. נתייחס במיוחד לאתגרים העכשוויים, כמו מעקב אחר עבודה היברידית ומרחוק, הרחבת ניהול הרישומים ושילוב נתונים לניטור מאוחד. לכן, בין אם אתם מנסים להפחית סיכוני אבטחה, לעבור ביקורת בשלום, או פשוט לעמוד בשינויים ב-M365, מדריך זה מניח את היסודות לאסטרטגיית רישום חסינה, יעילה ומוכנה לעתיד.

הגדרה

רישום ביקורת ב-Microsoft 365 הוא יכולת מרכזית שמתעדת פעולות של משתמשים, מנהלים ומערכות בשירותי Microsoft 365 (כמו Exchange Online, SharePoint, OneDrive, Teams ו-Azure AD), וכך יוצרת שביל אירועים שאינו ניתן לשינוי למטרות אבטחה, תאימות וחקירה משפטית.

הבנת היסודות של רישום ביקורת ב-Microsoft 365

לפני שתתחילו להפעיל הגדרות או לעבור על לוחות מחוונים, כדאי להבין מה רישום ביקורת באמת אומר בעולם Microsoft 365. יומנים אלה הם התיעוד שלכם למי עשה מה, מתי ואיפה בכל עומסי העבודה של M365, מעריכת קבצים ב-SharePoint ועד מחיקת צ'אטים ב-Teams, גישה לתיבות דואר ב-Exchange ועוד הרבה. כשאתם חושבים על "יומני ביקורת", דמיינו שביל מפורט עם חותמות זמן, שנותן לכם תמונה ברורה של הפעולות בכל הסביבה שלכם.

רישום ביקורת אינו רק משימה טכנית. הוא חלק חיוני מהממשל הארגוני וממסגרת ניהול הסיכונים. היומנים יכולים לעזור לזהות התנהגות חריגה, לחקור אירועים, להוכיח תאימות או פשוט לשמור על שליטה כשהמבקרים מגיעים. ככל שהרגולציה מתהדקת, מערך רישום חזק הופך להכרחי לשמירה על הסמכות ולהתמודדות עם קנסות רגולטוריים.

Microsoft 365 כולל רמות שונות של רישום ביקורת (audit logging), וחלק מהתכונות תלויות ברמת הרישיון או באזור. הרישומים האלה חוצים שירותים: מכניסות משתמשים ופעילות שיתוף ועד שינויים שמבצעים מנהלים, ואף אותות מעמיקים יותר אם יש לכם את הרישיון הנכון. לכן, כדי שלא תפספסו פרט קריטי בהמשך, חשוב להקפיד על היסודות. זה גם יאפשר פריסה חלקה יותר, איתור תקלות ודיווח טובים יותר.

בחלקים הבאים נראה איך להפעיל ולהגדיר את הרישומים האלה בפועל, באמצעות פורטל Microsoft Purview לגישה ויזואלית, וב-PowerShell למי שאוהב אוטומציה. בואו נוודא שתפיקו ערך אמיתי (ולא רק רעש) משביל הביקורת שלכם.

7 עובדות מפתיעות על רישום ביקורת ב-Microsoft 365

1. יומן מאוחד לא אומר שהכול נלכד מיד: יומן הביקורת המאוחד של Microsoft 365 מרכז אותות רבים, אבל אירועים יכולים לקחת עד 24 שעות (ולעיתים יותר) להופיע, וזה משפיע על הרכיבים בזמן אמת באסטרטגיית רישום הביקורת m365 שלכם.
2. לשירותים שונים יש ברירות מחדל שונות לשמירה: לאירועים של SharePoint, Exchange, Teams ו-AzureAD עשויות להיות תקופות שמירה ברירת מחדל שונות. לכן, אסטרטגיית רישום הביקורת m365 דורשת הגדרה מפורשת של מדיניות שמירה או שימוש בייצוא לטווח ארוך כדי לעמוד בדרישות הציות.
3. לא כל הפעולות נרשמות אלא אם מפעילים אותן: חלק מהפעולות הרגישות (למשל ביקורות תיבות דואר, וכמה פעולות ניהול) חייבות להיות מופעלות או מרושות כדי שייתפסו. לכן אסטרטגיית רישום הביקורת m365 חייבת לכלול אימות של הגדרות הביקורת הספציפיות לכל שירות.
4. מגבלות ייצוא ואחסון משפיעות על הארכיטקטורה: ליומן הביקורת המאוחד יש הגבלות תעבורה (throttling), מגבלות API והיבטים של גודל. לכן אסטרטגיית רישום ביקורת m365 אפקטיבית מעבירה לעיתים קרובות את הנתונים ל-Azure Storage, ל-Sentinel או ל-SIEM, כדי לקבל ארכיונים עמידים וניתנים לחיפוש.
5. החיפוש עלול להטעות: התוצאות מדוגמות ומחולקות לעמודים: חיפושי יומן ביקורת במרכז האבטחה והציות משתמשים בחלוקה לעמודים, ועלולים לא להחזיר את כל הפריטים ההיסטוריים בשאילתה אחת. לכן אסטרטגיית רישום הביקורת m365 שלכם צריכה להסתמך על ייצואים שיטתיים כדי להבטיח שלמות לצורכי חקירה פורנזית.
6. פרטיות וטשטוש משפיעים על מה שאתם רואים: פרטיות משתמשים, תוויות שמירה וממשל נתונים יכולים לטשטש או להסתיר פרטים בתוצאות הביקורת. כדי להימנע מנקודות עיוורון, יש לכלול דרישות ממשל ודרישות משפטיות בעת תכנון אסטרטגיית רישום הביקורת m365.
7. הרבה אותות חשובים נמצאים מחוץ ליומן הביקורת המאוחד: טלמטריית נקודות קצה, אבחוני כניסה של Azure AD ודיווחי גישה מותנית דורשים לעיתים collectors נפרדים. אסטרטגיית רישום הביקורת m365 המקיפה חייבת לשלב את המקורות האלה לכיסוי מלא.

איך מפעילים רישום ביקורת ב-Microsoft 365

1. בדקו את ההרשאות שלכם: תזדקקו לתפקיד ניהול מתאים, בדרך כלל "Compliance Admin" או "Global Admin". בלעדיו לא תוכלו לנהל את תכונות רישום הביקורת.
2. עברו לפורטל הציות של Purview: היכנסו לפורטל הציות של Microsoft Purview. זהו המרכז שלכם להגדרות יומן הביקורת, לחקירות ולדיווח.
3. הפעילו את הביקורת: כברירת מחדל, הביקורת מופעלת כעת ברוב הדיירים. אם תופיע בקשה, לחצו על "Start recording user and admin activity". כך תבטיחו שהפעילות בארגון שלכם נרשמת.
4. בדקו את דרישות הרישוי: חלק מתכונות הרישום המתקדמות (כמו שמירה ארוכה יותר ואותות עשירים יותר) דורשות Microsoft 365 E5 או תוספות פרימיום. בדקו את הרישיונות שלכם כדי לא לפספס כיסוי רישום קריטי.
5. אשרו את הסטטוס: בחלק הביקורת, ודאו שהרישום פעיל. אם לא, טפלו בכל חסם הרשאות או מנוי לפני שתמשיכו.
6. סקרו את כיסוי הרישום: יומני הביקורת מכסים את Exchange, SharePoint, Teams ואחרים, אבל רמת הפירוט עשויה להשתנות לפי השירות והרישיון.

לקבלת הדרכה חזותית ומידע נוסף על רמות יומני ביקורת, כדאי לעיין במדריך על ביקורת פעילות משתמשים עם Microsoft Purview.

הגדרת יומני ביקורת באמצעות PowerShell

1. התחברות ל-Exchange Online PowerShell: פתחו את PowerShell והתחברו באמצעות הcmdlet ‏Connect-ExchangeOnline. התחברו עם חשבון בעל הרשאות ניהול.
2. הפעלת רישום ביקורת מאוחד: בדיירים ישנים יותר, אם נדרש, השתמשו ב-Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true. לרוב הדיירים המודרניים רישום ביקורת מאוחד כבר מופעל, אך מומלץ לוודא זאת.
3. הפעלת ביקורת תיבות דואר: עבור Exchange, הריצו את Set-Mailbox -Identity "user@domain.com" -AuditEnabled $true כדי לוודא שפעילויות בתיבות הדואר נרשמות.
4. כתיבת סקריפטים לפריסות גדולות: אוטמטו שינויים המוניים על ידי מעבר בלולאה על משתמשים או קבוצות באמצעות סקריפטים של PowerShell. כללו רישום ותיעוד שגיאות, במיוחד כאשר מנהלים סביבות גדולות.
5. אימות וביקורת: השתמשו ב-Get-Mailbox | FL Name,AuditEnabled כדי לבדוק את סטטוס הביקורת בכל תיבות הדואר. בדקו את הגדרות הביקורת באופן שוטף לאחר הפריסה.

חפשו דרכים לשלב את הסקריפטים האלה בצנרות הפריסה, כך שתהליכי הביקורת שלכם יהיו ניתנים להרחבה ועקביים. צריכים עוד טיפים ל-PowerShell ולאוטומציה? עיינו בהמלצות העדכניות על הטמעת ממשל ב-Microsoft 365 באמצעות אוטומציה ב-PowerShell (הפנייה לפרק פודקאסט).

ניהול יומני ביקורת ואסטרטגיות שמירה

הפעלת יומני ביקורת היא רק ההתחלה. האתגר האמיתי, וגם ההזדמנות, מגיעים בניהול יעיל של היומנים ככל שהפעילות בארגון גדלה. שמירה וניהול עוסקים בשאלה כמה מידע צריך לשמור, לכמה זמן, וכיצד לטפל בכל הדברים, מבקשות ציות ועד חקירות IT, בלי להיטבע בעלויות אחסון מיותרות או לפספס משהו חיוני.

בחלק הזה תקבלו הקשר לאיזון הנכון בהגדרות המדיניות שלכם. שמירת יומנים לזמן קצר מדי עלולה לגרום לכך שראיות קריטיות ייעלמו לפני שיידרשו. שמירה לנצח עלולה להוביל לעלויות גבוהות או לחששות פרטיות. אסטרטגיות שמירה טובות מתיישרות עם דרישות הציות (כמו GDPR, HIPAA וכדומה), ובאותו זמן תומכות ברמת הסיכון של העסק ובמציאות התפעולית שלו.

ניהול יומנים בר-קיימא דורש הקמת שגרות. שקלו מי בודק את היומנים, באיזו תדירות, וכיצד מבטיחים גישה מתמשכת, אבטחה ודיוק. ככל שנפחי הנתונים גדלים (במיוחד בהגדרות היברידיות או בצוותים שצומחים במהירות), פרקטיקות כמו showback ובדיקות בעלות הופכות לחיוניות לשליטה בעלויות ולממשל, כפי שניתן לראות בפרקים כמו showback accountability for Microsoft 365 IT cost management.

נסקור כיצד להגדיר מדיניות שמירה מעשית לכל שירות, כיצד לארגן ולהגן על היומנים, ואילו הרגלי ניהול משתלמים ככל שהסביבה מתפתחת. לפני שתצללו לכל שיטה מומלצת בפירוט, קחו רגע לשקול עד כמה בעלות, בדיקות סדירות ואכיפת מדיניות קריטיות להצלחה ביומני הביקורת, לא רק כדי לעבור ביקורות, אלא להגנה יומיומית ולבהירות תפעולית.

הגדרת מדיניות שמירה ליומני ביקורת ב-Microsoft 365

1. הבנת שמירת ברירת המחדל: יומני ביקורת סטנדרטיים נשמרים בדרך כלל למשך 90 יום ברישיונות M365 E3. תוכניות E5 ו-Premium יכולות לשמור רשומות ביקורת עד שנה או יותר, בהתאם להגדרות.
2. הערכת דרישות רגולטוריות: קבעו אילו רגולציות או תעודות הסמכה (GDPR, HIPAA, SOX וכדומה) מכתיבות תקופות שמירה מינימליות. זה מנחה כמה זמן עליכם לשמור יומנים מסוימים.
3. התאמה אישית של מדיניות לפי שירות: הגדירו תקופות שמירה שונות לשירותים כמו Exchange, SharePoint ו-Teams, כדי להתאים לצרכי הסיכון והציות של כל יחידה עסקית.
4. איזון בין עלות לסיכון: שקלו את עלויות האחסון מול הסיכונים המשפטיים והתפעוליים. לפעמים שמירה ארוכה יותר היא קריטית, אבל אל תשמרו יומנים מיותרים רק "ליתר ביטחון".
5. הגדרה וסקירה: השתמשו ב-Microsoft Purview כדי להגדיר את המדיניות הללו ובצעו ביקורת סדירה כדי לוודא שהיא עדיין רלוונטית. עדכנו אותה כאשר צצים גורמים עסקיים או רגולטוריים חדשים.

אם אתם מתכננים את מדיניות השמירה שלכם יחד עם Data Loss Prevention, האזינו למשאב זה על הגדרת DLP ושילוב מדיניות ב-Microsoft 365 לקבלת סינרגיה נוספת בין אבטחה לציות.

שיטות עבודה מומלצות לניהול יומני ביקורת

1. ביצוע סקירות סדירות: בדקו מעת לעת את יומני הביקורת כדי לזהות חריגות, תצורות שגויות או סימנים לסיכון מתפתח. אל תסתפקו באיסוף היומנים – השתמשו בהם.
2. הבטחת גישה: העניקו גישה ליומני הביקורת רק לתפקידים המתאימים. השתמשו באימות חזק ועקבו אחר ניסיונות גישה שנכשלו כדי להפחית איומים פנימיים וחיצוניים.
3. ארכוב מתוכנן: יישמו אסטרטגיית ארכוב עבור יומנים שעליכם לשמור לטווח ארוך, תוך הבטחה שהם נשארים שלמים ונגישים לצורך השמה משפטית או ביקורות עתידיות.
4. ניטור לשינויים: הגדירו התראות על שינויים חשודים, כמו הסלמת הרשאות או שינויים במדיניות הרישום עצמה. כך תוכלו לזהות שיבוש בשלב מוקדם.
5. תיעוד בעלות ותהליך: הגדירו אחריות ברורה לגבי מי סוקר, מנהל ומעלה לדרג את ממצאי הביקורת. ממשל תקין נשען על תהליך מכוון, ולא רק על טכנולוגיה.

להעמקה בדרישות המשמעת שנדרשות מעבר לבקרות המובנות, עיינו באשליית הממשל ב-Microsoft 365 ולמדו כיצד להימנע מבלבול. אם ברצונכם לחזק את האבטחה בלי להטריד את משתמשי הקצה, יש גם שיטות עבודה מומלצות במדריך מעשי זה לתצורת אבטחה.

שילוב יומני ביקורת עם ניטור ציות ואבטחה

יומני ביקורת עושים הרבה יותר מאשר להמתין בשקט לביקורת. הם אבן יסוד מרכזית בכל תוכנית ציות וכלי הגנה קדמי בפעילות האבטחה שלכם. בתעשיות מפוקחות, שמירה על שביל ביקורת נכון יכולה להיות ההבדל בין ביקורת חלקה לקנסות כבדים. היומנים מספקים ראיות ברורות גם לניטור יזום וגם לתגובה לאירועים.

החלק הזה מציג כיצד יומני הביקורת של Microsoft 365 ממופים לתקני ציות שונים (כמו SOX, HIPAA ו-GDPR), וכיצד הם עוזרים למדוד ולהדגים ציות מתמשך, או לזהות מתי משהו השתבש. אבל ציות אינו הסיפור היחיד כאן. היומנים מניעים חקירות פורנזיות, מאפשרים זיהוי איומים, ועוזרים לחבר בין פעילות משתמשים, שינויים במערכת וסימני סיכון.

כל הנתונים הטובים האלה שווים משהו רק אם ניתן להפוך אותם למודיעין אבטחה ממשי. שם שילובים עם כלי SIEM – שמחברים בין Microsoft 365 לבין פלטפורמות אבטחה רחבות יותר, בענן ובמקום – מניבים תשואה גבוהה. שילוב חכם מאפשר ניטור מאוחד, מיון מהיר יותר של אירועים ותהליכי אבטחה יעילים יותר. בנוסף, מתקבל ההקשר הנדרש להתמודדות עם סיכונים עתידיים, כמו פעילות סמויה של סוכני AI או סחף בציות. נושאים אלה מכוסים לעומק במשאבים כמו המדריך הזה לניטור ציות עם Defender for Cloud והצלילה העמוקה הזו לסוכני AI ולממשל Shadow IT.

בקצרה, שילוב רישום הביקורת במערכת הציות והאבטחה הרחבה יותר שלכם מאפשר לעבור מ"סימון תיבה" ל"הגנה מלאה". כעת בואו נסקור את התפקידים המרכזיים שהיומנים ממלאים בציות, בחקירות אבטחה ובניטור בזמן אמת בחלקים הבאים.

שימוש ביומני ביקורת לציות ולתקני רגולציה

1. זיהוי סוגי יומנים מרכזיים: התמקדו ביומנים הקריטיים הנדרשים לתקני התעשייה, כגון פעילות מנהלים, גישה לנתונים, אירועי שיתוף ושינויים במדיניות ב-Purview.
2. הוכחת מוכנות לביקורת: השתמשו בדוחות ובלוחות המחוונים של ביקורת ב-Microsoft Purview כדי לאסוף במהירות ראיות לבדיקות רגולטוריות או לביקורות של צדדים שלישיים, ולייעל את תהליך ההכנה.
3. תמיכה בתרחישים מורכבים: בתכונות כמו שמירה אוטומטית ועריכה משותפת, יש לזכור שהיומנים עשויים לדחוס את ההיסטוריה. הראיות שלכם צריכות לשקף את הפעילות בפועל של המשתמשים, ולא רק את מדיניות השמירה הסטטית.
4. אוטומציה של איסוף ראיות: השתמשו ב-Purview וב-Sentinel כדי לאסוף ולייצא יומנים בעת חקירת השפעתם של Copilot או של Azure AI, או בתרחישי ציות מתקדמים אחרים.
5. סגירת פערי ציות: הערכו באופן קבוע את כיסוי היומנים שלכם מול הדרישות הרגולטוריות, ועדכנו את המדיניות כך שתכסה זרימות נתונים או תהליכי עבודה חדשים.

להצצה לתופעות נסתרות של סחף ציות, כדאי לצפות בפרק הפודקאסט הזה על סחף ציות במדיניות שמירה ב-M365. אם אתם מאבטחים את Copilot ותכונות AI אחרות, כדאי לעיין בשלבים האלה לשמירה על פרויקטי AI תואמים ונשלטים.

ביקורת אבטחה וחקירות באמצעות יומני ביקורת של Microsoft 365

1. ניתוח שדות ליבה: השתמשו בחותמת זמן, במשתמש, ב-workload, בכתובת ה-IP של הלקוח ובפרטי האירוע לצורך חקירות מעמיקות. הנתונים האלה חיוניים לאיתור פעולות חשודות של משתמשים בשירותים שונים.
2. פעלו לפי תהליך הטיפול באירוע: התחילו מהתראות או מאותות זיהוי (כמו שיתוף בלתי צפוי או אירועי כניסה), והשתמשו ביומני ביקורת מסוננים כדי לעקוב אחר הרמזים בין חשבונות, מכשירים או שירותים.
3. זיהוי דפוסי איומים: זהו טכניקות תקיפה כמו phishing להסכמה (consent phishing), שימוש לרעה באסימוני OAuth או אפליקציות Shadow IT, על ידי בדיקת היומנים הרלוונטיים וחיפוש דפוסים מוכרים.
4. הסלמה ותיעוד: תעדו את הממצאים בבירור והסלימו אותם לצורך תיקון או לנקיטת צעדים משפטיים. מסלולי ביקורת טובים הם המפתח כאשר אירוע הופך לחמור.

מעוניינים בטיפים לזיהוי איומים מתקדם, כמו AiTM phishing ומעקב אחר אפליקציות זדוניות? למדו מפריצות אמיתיות בפירוק שרשרת התקיפה הזו, ומדריך לניהול Shadow IT מעשי במדריך הניהול הזה.

שילוב SIEM לרישום ביקורת של Microsoft 365

1. בחרו את ה-SIEM שלכם: Microsoft Sentinel, Splunk ו-QRadar הם בחירות פופולריות לריכוז ניטור היומנים וקורלציה של איומים בין פלטפורמות.
2. הגדירו קליטת יומנים: חברו את יומני הביקורת של Microsoft 365 באמצעות מחברים מובנים או באמצעות API, כך שהנתונים הנכונים יזרמו אל ה-SIEM בזמן אמת.
3. נרמלו וקשרו בין אירועים: השתמשו בכללי נרמול ב-SIEM כדי להפוך את שדות היומן לקריאים, וחברו אירועי ביקורת של M365 עם נתוני Azure, Entra ID ונקודות קצה, לצורך ציד איומים בתמונה רחבה יותר.
4. אוטומציה של תגובה: הפעילו התראות או תהליכי עבודה אוטומטיים ב-SIEM על בסיס אותות מיומני הביקורת, כך שהתגובה לאירועים תהיה מהירה ומתואמת יותר.
5. ממשל מתמשך: בדקו באופן קבוע את האינטגרציה לאיתור סחף מדיניות, וטפלו בממשל מתוך תכנון, כפי שמודגש בתובנות על אסטרטגיית ממשל ב-Azure ובלולאות אבטחה הממוקדות בזהות.

חקירת כלים ופורטלים לרישום ביקורת של Microsoft 365

לאחר שיומני הביקורת שלכם זורמים, תצטרכו את הכלים הנכונים כדי להבין את כל המידע. Microsoft מספקת ארגז כלים שלם: פורטל הציות של Purview, Activity Explorer וחיפוש יומני ביקורת. הכלים האלה נבנו עבור אנשי ציות ואנשי אבטחה כאחד, כך שתוכלו לחקור אירועים, לעמוד ברגולציה ולקבל תמונה ברורה לחלוטין של מה שקורה בחצר הדיגיטלית שלכם.

פורטל Microsoft Purview Audit מאפשר לכם להעמיק בפעילות המשתמשים בכל שירותי Microsoft 365 המרכזיים. הוא נועד לספק יומני ביקורת לצורך חקירות פורנזיות ותאימות ברמה גבוהה, במהירות, וגם תראו מתי הגיע הזמן לשדרג מרמות סטנדרטיות לרמות פרימיום (במיוחד אם סיכון עסקי או רגולציה נמצאים בראש סדר העדיפויות). בינתיים, Activity Explorer מציג דפוסי פעילות ומאפשר לכם לפלח ולנתח את הנתונים לחיפוש סימני בעיה, שיתוף מוגזם או הפרות מדיניות.

הלמידה כיצד להריץ חיפושים ממוקדים, לשמור שאילתות ולהשתמש במסננים חוסכת זמן ושומרת על חקירות מסודרות. אם אתם מתמודדים עם דרישות ביקורת ממספר מחלקות, חיפוש וייצוא ברורים וקלים להבנה הם הכרחיים, במיוחד כשנדרשת מכם הצגת ראיות לביקורות תאימות או לחקירות אבטחה.

שימוש יעיל בפורטלים ובלוחות המחוונים האלה משנה לגמרי את הפיקוח השוטף, את תגובה לאירועים ואת היכולת להציג להנהלה או לרגולטורים שאתם יודעים בדיוק what קורה בדייר שלכם. כך תוכלו לעבור מ"לקוות לטוב" לדיווח מבוסס ראיות ממשי. החלק הבא ילווה אתכם בשימוש מעשי, שלב אחר שלב, בכלים האלה.

שימוש ב-Activity Explorer ובחיפוש יומן ביקורת ב-Microsoft 365

1. גישה ל-Activity Explorer: פתחו את פורטל התאימות של Microsoft Purview ובחרו ב-Activity Explorer לקבלת סקירה כללית של פעולות משתמשים ומנהלים בסביבה שלכם.
2. הרצת חיפושים ממוקדים ביומן הביקורת: השתמשו בשורת החיפוש כדי לאתר משתמשים, פעילויות או עומסי עבודה מסוימים. סננו לפי מסגרת זמן, סוג פעילות או עומס עבודה כדי להגיע במהירות לאירועים החשובים.
3. ניתוח ושמירת שאילתות: לאחר שמצאתם את הפלח הנכון של נתוני היומן, שמרו את פרמטרי החיפוש לסקירות או לחקירות חוזרות, וחסכו זמן בביקורות הבאות.
4. ייצוא תוצאות: הורידו תוצאות מסוננות כקבצי CSV לניתוח נוסף, לאחסון לא מקוון או לשיתוף עם בעלי עניין חיצוניים.
5. שיפור ניטור האבטחה: שימוש שגרתי ב-Activity Explorer ובחיפוש ביומנים מחזק את הביטחון שלכם ביכולת לזהות חריגות ולשמור על פיקוח מתמשך.

להדרכה מעמיקה יותר ולעצות מומחים בנושא ביקורת פעילות משתמשים, כדאי לעיין במדריך Purview Audit המקיף הזה.

יכולות רישום ביומן ביקורת עבור SharePoint, Teams ו-Exchange Online

לא כל הפעילויות שוות, במיוחד כשמדובר ביישומים שונים של Microsoft 365. ל-SharePoint Online, ל-Microsoft Teams ול-Exchange Online יש כל אחד דרך משלו לדיווח ביקורת. ככל שהמשתמשים שלכם מאמצים דרכים חדשות לשיתוף פעולה ותקשורת, או פשוט ממשיכים להשתמש בדואר אלקטרוני המוכר והאמין, עליכם לדעת בדיוק מה נרשם וכיצד לגשת לפרטים האלה.

הסעיף הזה יכין אתכם להבין היכן מוצאים יומנים ספציפיים לכל עומס עבודה, ואילו סוגי פעילויות ואירועים ניתן לצפות שכל שירות ירשום. מהשיתוף והרשאות הגישה ב-SharePoint, דרך צ'אט ופעילות קבצים ב-Teams, ועד פעולות בתיבות הדואר ב-Exchange, ידיעת היקף כל תכונת רישום מאפשרת לסגור פערים ולשפר את מצב התאימות שלכם.

תקבלו גם הבנה כיצד עבודה היברידית ומרחוק, שהפכה ל"נורמה חדשה" בארגונים רבים, מזיזה את מוקד ניתוח היומנים. סביבות מבוזרות מביאות אתגרים לניטור, לביקורת גישה ולזיהוי סימני בעיה או דליפות נתונים מעבר לגבולות דיגיטליים. הבנה של אופן התנהגות היומנים האלה עוזרת לכם להגיב במהירות ולעמוד בכל דרישות הרגולציה.

לאורך הדרך תמצאו עצות רלוונטיות לגבי טעויות ממשל ותכנון בר-קיימא (למשל, אי-ניסיון לכפות על רשימות SharePoint דברים שלא נבנו עבורם; לפרטים נוספים ראו הסבר זה על טעויות ממשל בין SharePoint ל-Dataverse). שני הסעיפים הבאים עוסקים בפרטים הספציפיים של SharePoint ו-Teams ובאלה של Exchange.

דוחות ביקורת ב-SharePoint ויומני פעילות ב-Microsoft Teams

1. תיעוד פעילות ב-SharePoint: יומני הביקורת של SharePoint עוקבים אחר אירועים כמו גישה לקבצים, שיתוף, מחיקה ושינויים בהרשאות. הדוחות עוזרים לעקוב אחר תנועת תוכן, דפוסי גישה ולזהות פעילויות לא מורשות.
2. רישום אירועים ב-Microsoft Teams: יומני Teams מפרטים עריכות ומחיקות של צ'אטים, יצירת צוותות וערוצים, גישה של אורחים, שיתוף קבצים ועדכוני חברות, ותומכים גם בניתוח שיתופי פעולה וגם בחקירות.
3. יצירה וייצוא של דוחות: השתמשו ב-Microsoft Purview או בדוחות המקוריים של שירותי העבודה כדי למשוך יומנים לפי דרישה, עם סינון לפי אתר, משתמש או פעולה. ייצאו ל-CSV לצורך ראיות תאימות או בדיקה לא מקוונת.
4. שדות ייחודיים ותרחישי שימוש: יש לשים לב במיוחד לאירועי שיתוף חיצוניים, לפעילות של קישורים אנונימיים ולשינויי מנהל — אזורים בסיכון גבוה הן מבחינת תאימות והן מבחינת ניטור אבטחה.
5. תובנות להיברידיות ולעבודה מרחוק: נצלו נתוני ביקורת כדי לנטר גישה מחוץ לרשת הארגונית, שיתוף חריג או אירועי DLP. זה קריטי ככל שעבודה מרחוק וצוותים מבוזרים הופכים לנורמה.

להעמקה בצ'קליסטים ובאסטרטגיות לממשל יציב של SharePoint ו-Power Platform, היכנסו למשאב הממשל של SharePoint הזה. אם אתם שוקלים בחירות פלטפורמה, השוו אסטרטגיות אמינות לטווח ארוך בהדיון המפורט הזה על Dataverse לעומת SharePoint.

דוחות ביקורת של Exchange Online ותכונות רישום מרכזיות

1. רישום פעילות תיבות דואר: יומני הביקורת של Exchange מכסים כניסה לתיבת דואר, גישה לפריטים, שליחה וקבלה של הודעות, מחיקה ושינויים בהרשאות תיבת הדואר, ותומכים גם בניהול תפעולי וגם בהשבתות משפטיות.
2. אירועי מנהל והגדרות: לכדו פעולות ניהוליות כגון שינויי כללים, עדכוני מדיניות והאצלת הרשאות לתיבות דואר. אלה קריטיים לתאימות ולפיקוח תפעולי.
3. יצירת דוחות ביקורת: השתמשו ב-Exchange Admin Center ו/או ב-Purview Compliance Portal כדי ליצור דוחות מותאמים לפי משתמש, טווח זמן או סוג פעילות.
4. תרחישים משפטיים ואבטחתיים: נצלו יומני Exchange לצורכי eDiscovery, השבתות משפטיות, חקירות פריצה, או לבדיקת הקצאות האצלה מסוכנות.
5. שיטה מומלצת: ייצאו ובדקו את היומנים באופן קבוע כדי לוודא שהם שלמים, מדויקים וזמינים כאשר מבקרים או חוקרים מבקשים אותם.

טעויות נפוצות בנוגע ליומני הביקורת של Microsoft 365 (audit logging strategy m365)

רשימה זו מפרטת טעויות נפוצות שארגונים עושים בעת תכנון או הפעלה של אסטרטגיית רישום ביקורת ל-Microsoft 365.

1. הנחה שרישום הביקורת מופעל כברירת מחדל

רבים מניחים שרישום הביקורת פעיל אוטומטית עבור כל הדיירים והשירותים. במציאות, יש להפעיל את רישום הביקורת המאוחד, ולחלק מהתכונות או משירותי העבודה נדרשת הגדרה נוספת או רישיון כדי לתפוס אירועים.

2. אי הבנה של מגבלות שמירה ורישוי

ציפייה לשמירה ללא הגבלה היא טעות נפוצה. תקופות השמירה תלויות ברישיון ובהגדרות שלכם ב-Microsoft 365 (למשל, ברירת מחדל של 90 יום מול שמירה ארוכה יותר עם Microsoft 365 E5 או פתרונות נוספים). אי התאמת השמירה לדרישות התאימות גורמת לפערים בנתונים.

3. התעלמות מפערי רישום ספציפיים לשירותי העבודה

ההנחה שכל הפעילויות ב-Exchange, SharePoint, Teams, Azure AD ושירותי עבודה אחרים מופיעות באופן אחיד ביומן הביקורת שגויה. לחלק מהפעילויות נדרשות הגדרות ביקורת נפרדות, הן נרשמות ביומנים שונים, או שלא נלכדות כלל על ידי יומן הביקורת המאוחד.

4. הסתמכות אך ורק על יומן הביקורת של Microsoft 365 לניטור אבטחה

יומן הביקורת שימושי, אך הוא אינו תחליף מלא ל-SIEM. ארגונים צריכים להעביר יומנים ל-SIEM או לפלטפורמת ניתוח יומנים, להעשיר אירועים, לקשר אותם לטלמטריה אחרת (רשת, התקנים קצה, זהויות), וליישם התראות ונהלי תגובה לאירועים.

5. מדיניות חיפוש ושמירה לא מתוכננת היטב

חיפוש ביומני ביקורת גולמיים ללא מסננים, שדות מאונדקסים או שאילתות שמורות מוביל לפספוס אותות וליעילות נמוכה. אי יישום של מדיניות שמירה וייצוא (למשל, לחשבון אחסון או ל-SIEM) מקשה על שימור ראיות לחקירות.

6. התעלמות מפעילות של חשבונות מנהל ושירות

אי התמקדות בחשבונות בעלי הרשאות, בservice principals ובקוראי API מחמיצה פעילויות בסיכון גבוה. מדיניות הביקורת צריכה להדגיש פעולות ניהול, שינויי תפקידים, מתן הסכמות והרצת אירועי אוטומציה.

7. אי אימות שלמות ותקינות היומנים

הנחה שהלוגים תמיד שלמים ולא עברו שינוי היא הנחה מסוכנת. כדאי לארגונים לבדוק את אספקת הלוגים, לאמת את מספר אירועי הביקורת לאחר שינויים בהגדרות, ליישם בקרות שימנעו מחיקה או שיבוש (ככל האפשר), ולשמור עותקים בלתי ניתנים לשינוי כאשר יש צורך בכך.

8. חוסר בהתראות ובנהלי תגובה

איסוף לוגים ללא התראות מוגדרות, נהלי מיון (triage) וצעדי תגובה לאירועים מפחית את הערך התפעולי שלהם. הגדירו ספים, הפעילו התראות אוטומטיות לאירועים קריטיים, ותעדו את מסלולי ההסלמה.

9. התעלמות מפרטיות וממזעור נתונים

איסוף כל נתוני הביקורת האפשריים מבלי להתחשב בפרטיות ובמזעור נתונים עלול ליצור בעיות תאימות. יש לאזן בין היקף האיסוף לבין מדיניות משפטית, פרטיות ושמירה; לצנזר או להגביל גישה לשדות רגישים כאשר הדבר נדרש.

10. בקרות גישה לא מספיקות לנתוני ביקורת

לוגי ביקורת מכילים מידע רגיש. מתן הרשאות רחבות ללוגים או לייצואים מגביר את החשיפה. יש ליישם הרשאות מינימליות (least privilege), בקרות מבוססות תפקידים, ותיעוד של מי צופה בנתוני הביקורת או מייצא אותם.

11. אי התחשבות בעיכובים והשהיות בנתונים

אירועי ביקורת עשויים שלא להופיע מיד ביומן הביקורת המאוחד. יש לצפות לעיכובים ולתכנן ניטור ותגובה לאירועים כך שיסבלו השהיית קליטה ועקביות מאוחרת.

12. אי תיעוד ואי תקשור של אסטרטגיית רישום הביקורת

ללא מדיניות, אחריויות ורנבוקים (runbooks) מתועדים לרישום ביקורת (איסוף, שמירה, גישה ותגובה), צוותים לא יוכלו להסתמך על הלוגים בחקירות או בביקורות תאימות באופן אמין.

13. הנחה שממשק החיפוש המקורי מספיק לניתוח מורכב

ממשק החיפוש של ביקורת Microsoft 365 שימושי לשאילתות אד-הוק, אך מוגבל לניתוחים בקנה מידה גדול. ייצוא הלוגים ל-SIEM, ל-Azure Monitor או ל-Log Analytics מאפשר שאילתות מתקדמות, לוחות מחוונים ואחסון לטווח ארוך.

14. אי מעקב אחר שינויים בהגדרות הרישום

שינויים בהגדרות הביקורת, בשמירה או בשדרוגי שירות עלולים לשנות בשוגג את מה שנאסף. יש ליישם בקרת שינויים ולנטר סטייה בתצורה (configuration drift) של אסטרטגיית רישום הביקורת שלכם ב-m365.

סיכום

הימנעו מטעויות נפוצות אלו על ידי תכנון מכוון של אסטרטגיית רישום ביקורת ל-Microsoft 365: הפעלה ובדיקה של הרישום, יישור השמירה לדרישות התאימות, ריכוז והעשרה של הלוגים, אבטחת הגישה, יישום התראות ותגובה, ותיעוד התהליכים.

ניתוח מתקדם וייצוא של לוגי ביקורת של Microsoft 365

הזהב האמיתי בלוגי הביקורת אינו רק באחסון או בסקירה שלהם, אלא באופן שבו מנתחים ומשתמשים בנתונים לצורך תובנות עסקיות, חקירה פורנזית ודיווח. בין אם אתם חוקרים אירוע נתונים, מוכיחים תאימות לרגולטור או מנסים לזהות מגמות לאורך זמן, תרצו לדעת איך להוציא את הנתונים מ-Microsoft 365 ולעבוד איתם כמו מקצוענים.

סעיף זה מציג שיטות ייצוא, פורמטים נפוצים כמו CSV, וכיצד לחבר לוגים לכלי אנליטיקה של נתונים גדולים או לפלטפורמות SIEM לצורך חקירה משולבת. במידת הצורך אפשר even לשלב נתוני ביקורת של Microsoft 365 עם לוגים מ-Entra ID או ממערכות קצה, וליצור תמונה מאוחדת של פעילות זהות והתקנים — חיונית להקשר אבטחתי מלא ולתגובה מהירה לאירועים.

אבל לכל פלטפורמה יש מגבלות, וגם ל-Microsoft 365. לפני שתשימו את כל הביצים בסל אחד, זהו פערים בשמירת לוגים, מגבלות נפח וייצוא, או נקודות עיוורון בתיעוד פעילות, שעלולים להשפיע על חקירות התאימות או האבטחה שלכם. הבנת המגבלות הללו עוזרת לכם לפתח אסטרטגיית סיכונים ותאימות עמידה, כולל המקומות שבהם ייתכן שתצטרכו כלים משלימים או ארכוב נתונים לטווח ארוך.

לאחר מכן, קבלו את הצעדים המעשיים לייצוא, לניתוח מעמיק, ולזיהוי ההתמודדות עם המגבלות שתיתקלו בהן בלוגי הביקורת של Microsoft 365.

ייצוא תוצאות וביצוע ניתוח מעמיק של לוגי ביקורת

1. ייצוא באמצעות PowerShell: השתמשו בקמלטים כמו Search-UnifiedAuditLog כדי לסנן את תוצאות הלוגים ולייצא אותן ישירות ל-CSV, מה שמאפשר אוטומציה של ביקורות גדולות או חוזרות.
2. הורדה מהפורטל: בפורטל הציות של Purview, סננו את התוצאות לפי משתמש, שירות או אירוע, ולאחר מכן ייצאו ל-CSV לניתוח לא מקוון או לדוחות.
3. שימוש ב-APIs: לשילוב עם כלים של צד שלישי או SIEM, השתמשו ב-Microsoft Graph או ב-Office 365 Management APIs כדי למשוך נתוני ביקורת בקנה מידה גדול.
4. חיבור למקורות נתונים אחרים: קשרו בין לוגי M365 לבין Azure AD, לוגים של מערכות קצה או לוגים אבטחתיים אחרים כדי לבנות תמונה עשירה יותר של התקפות או של עמידה בדרישות תאימות.
5. שמירה על שלמות הביקורת: בעת ייצוא, יש לוודא שרשרת הקיום (chain-of-custody) נשמרת באמצעות checksums או חתימות כאשר היומנים עשויים להיות מוצגים כראיה.

המגבלות של יומני הביקורת של Microsoft 365

• פערים בשמירה: שמירת היומנים הסטנדרטית עשויה להימשך רק 90 ימים, אלא אם יש לכם רישיונות E5/Premium. לאחר מכן, הרשומות האלה כבר אינן קיימות.
• כיסוי חלקי: לא כל פעולת משתמש או אירוע של workload נרשמים ביומן, במיוחד באפליקציות מסוימות או בתרחישים היברידיים/ענן-לשרת מקומי.
• מגבלות נפח: ייצוא של כמויות גדולות או אירועים בתדירות גבוהה עלולים להיתקל במגבלות קצב (rate limits) או באגרגציה, מה שפוגע בשלמות הנתונים במהלך אירועי אבטחה גדולים.
• השהיה: חלק מהאירועים מופיעים ביומנים עם עיכוב של כמה דקות (או יותר), מה שעלול להקשות על תגובה בזמן אמת.
• מגבלות פורמט הייצוא: פורמטי הנתונים וזמינות השדות עשויים להשתנות. לא כל היומנים ניתנים לעיבוד בקלות לצורך ניתוחים במורד הזרם.

אופטימיזציה של עלויות ואסטרטגיות רישוי לרישום ביומן ביקורת ב-Microsoft 365

רישום ביומן ביקורת אינו רק עניין טכני — יש לו השפעה ממשית על התקציב של מחלקת IT, במיוחד ככל שהשימוש ב-Microsoft 365 גדל. סעיף זה מציג את גורמי העלות, אפשרויות הרישוי והטקטיקות החכמות לניהול האחסון והטיפול ביומני הביקורת באופן בר-ניהול, בין אם אתם ארגון ללא מטרות רווח קטן ובין אם אתם ארגון גלובלי המטפל בנפחי רשומות אדירים.

המעבר מרישיון E3 ל-E5 ב-Microsoft 365 יכול להיראות מבלבל, אבל מדובר בעיקרו במיפוי הסיכון והדרישות הרגולטוריות מול סטים של יכולות ומחירים. שמירה מורחבת של יומני הביקורת ויכולות חיפוש וחקירה מתקדמות עשויות להיות זמינות רק ב-E5, או לדרוש רישוי נוסף. שקלול ההשקעה הזאת מול הסיכונים והחובות הרגולטוריות הוא קריטי לקבלת החלטות מושכלת.

אבל עלויות הרישום אינן מסתכמות ברישוי בלבד. ככל שצריכת האחסון עולה (במיוחד עם עבודה מרחוק ואסטרטגיות ענן-ראשון), הפרדה נכונה של נתונים לשכבות, ארכוב ומדיניות שמירה "חכמה" הופכים למפתח. קל לשמור יותר מדי ולגרום לעליית עלויות אחסון, או לשמור פחות מדי ולהסתכן בכשלים בציות. מדיניות שנבנתה תוך התחשבות בממשל ובבעלות — ולא רק ב-showback או בתקצוב "סימון תיבה" — יוצרת אחריותיות אמיתית (כפי שנדון בדיון זה על showback ואחריותיות ב-Microsoft 365).

בסעיפים הבאים תמצאו השוואות ישירות של היכולות של E3 מול E5, לצד הנחיות מעשיות לניהול נפחי נתוני ביקורת גדולים מבלי לשבור את הקופה. צפו לרשימות קצרות ומעשיות שיעזרו לכם לקבל החלטות חכמות יותר לטווח הארוך.

השוואת יכולות ועלויות ביקורת בין Microsoft 365 E3 ל-E5

• משך השמירה: ב-E3 מקבלים שמירה סטנדרטית של יומני ביקורת למשך 90 ימים. ב-E5 (או בתוספת Compliance) השמירה מתרחבת לשנה או יותר, וזה קריטי למחזורים רגולטוריים ארוכים יותר.
• יכולות ביקורת מתקדמות: E5 פותח יכולות כמו תיעוד גישה לפריטי תיבת דואר, שמירה ארוכת טווח ואותות בעלי ערך גבוה (כמו "Accessed Files").
• השלכות על העלות: רישיונות E5 יקרים משמעותית. עבור עסקים קטנים ובינוניים (SMB), E3 עשוי להספיק אם מחזורי הציות קצרים והסיכון למידע נמוך.
• שיקולים לארגונים גדולים: ארגונים גדולים או תעשיות מפוקחות זקוקים לעיתים קרובות ל-E5 לצורכי ציות, חקירה מתקדמת וניטור סיכוני פנים — זו החלטה אסטרטגית ולא רק עניין של עלות.
• גמישות בתוספות: חלק מיכולות הביקורת המתקדמות ניתנות לרכישה כתוספות עצמאיות, ומאפשרות שדרוג רישיון סלקטיבי אם רישיון E5 מלא אינו ישים.

ניהול עלויות האחסון והשמירה של יומני ביקורת בקנה מידה גדול

• הפרדה לשכבות אחסון (Data Tiering): השתמשו בשכבות אחסון זולות יותר או בפתרונות ארכוב חיצוניים עבור יומני ביקורת ישנים או פחות קריטיים, כדי להפחית הוצאות שוטפות.
• מדיניות שמירה: התאימו את תקופות השמירה לפי workload או יחידה עסקית. אל תשמרו נתוני ביקורת מעבר לנדרש על ידי הציות — צמצמו עודפים במקומות שבהם זה בטוח.
• ביקורות תקופתיות: בדקו את צריכת האחסון ואת דוחות העלויות לעיתים קרובות. התראות אוטומטיות ולוחות showback עוזרים לשמור על מודעות בעלי העניין לעלות האמיתית של הרישום. להנחיות נוספות ראו פרק זה על אופטימיזציית עלויות ב-Microsoft 365.
• ארכיון שלב שני: שקלו לייצא יומנים לאחסון קר לטווח ארוך מחוץ ל-Microsoft 365, אם אתם נתקלים במגבלות שמירה או אחסון.
• בעלות יוצרת אחריות: הקצו את האחריות על עלות יומני הביקורת לתפקידים או למחלקות מסוימים, כדי לנהל בצורה חכמה ומכוונת יותר את מה שבאמת נשמר.

רישום ביקורת ב-Microsoft 365 (אסטרטגיית רישום ביקורת m365)

יתרונות

• נראות מקיפה: איסוף מרכזי של פעילויות משתמשים, מנהלים ומערכת על פני Exchange, SharePoint, OneDrive, Teams, Azure AD ושירותי M365 נוספים, מאפשר תמונה רחבה של אירועים רלוונטיים לאבטחה ולציות.
• תמיכה בזיהוי פורנזי ובתגובה לאירועים: רשומות אירוע מפורטות עוזרות לחוקרים לשחזר ציר זמן, לזהות משאבים שנפגעו ולקבוע את היקף האירוע והשפעתו על אירועי אבטחה.
• ראיות לציות ולרגולציה: יומני ביקורת שנשמרים יכולים לעמוד בדרישות רגולטוריות (למשל GDPR, HIPAA, SOX) ולתמוך בביקורות פנימיות וחיצוניות, כאשר הם מוגדרים בהתאם למדיניות השמירה והגישה.
• התראות וזיהוי אוטומטי: האינטגרציה עם Microsoft Sentinel ומערכות SIEM אחרות מאפשרת התראות בזמן אמת, כללי קורלציה ותגובות אוטומטיות על בסיס אירועי ביקורת.
• שמירה וייצוא הניתנים להגדרה: מנהלים יכולים להגדיר מדיניות שמירה ליומני ביקורת, לייצא יומנים לאחסון ארוך טווח (למשל Azure Storage), ולשלב את היומנים במערכות ארכיון חיצוניות לשמירה ממושכת.
• בקרת גישה מבוססת תפקידים ורישום גישה לביקורת: הגישה ליומני הביקורת יכולה להיות מוגבלת באמצעות RBAC, וניתן לתעד גם פעולות שמבוצעות על יומני הביקורת עצמם, כדי לספק אחריותיות למבקרים.
• יומנים הניתנים לחיפוש ולסינון: החיפוש המובנה והסינון המתקדם בפתרון Microsoft Purview Audit מקלים על איתור אירועים ספציפיים ויצירת שאילתות לשימוש חוזר.
• אכיפה תפעולית ומדיניות: נתוני הביקורת תומכים באכיפת מדיניות פנימית (למשל שימוש בהרשאות מיוחדות, ניסיונות להוצאת נתונים) ובמדידת האפקטיביות של המדיניות.

חסרונות

• נפח נתונים ועלות: נפחים גבוהים של אירועי ביקורת עלולים להוביל לעלויות משמעותיות של אחסון והטמעה, במיוחד כאשר היומנים נשמרים לתקופות ארוכות או מיוצאים למערכות חיצוניות.
• תצורה מורכבת: הגדרה נכונה של הפעילויות שיש לבקר, הגדרת השמירה, הפעלת יומן ביקורת מאוחד בין השירותים והאינטגרציה עם SIEM דורשים תכנון קפדני וידע תפעולי מעמיק.
• רעש ויחס אות לרעש: זרמי הביקורת ברירת המחדל עלולים להפיק כמות גדולה של אירועים בעלי ערך נמוך, מה שמקשה על זיהוי אינדיקטורים משמעותיים ללא כוונון וסינון.
• בעיות השהיה ושלמות: חלק מאירועי הביקורת עשויים להתעכב, להיות מצטברים או לא להירשם כלל, בהתאם ליכולות השירות ולרמות הרישוי, מה שעלול לפגוע בזיהוי בזמן אמת ובנראות המלאה.
• מגבלות רישוי ותכונות: תכונות ביקורת מתקדמות, שמירה ארוכה יותר או גישה ליכולות ביקורת מסוימות עשויות לדרוש רמות רישוי ספציפיות של Microsoft 365 או Microsoft Purview, מה שמגדיל את העלויות והמורכבות.
• סיכוני פרטיות וגישה: יומני ביקורת מכילים מטא-נתונים רגישים ומידע מזהה אישי; בקרות גישה לקויות או שמירה רחבה מדי עלולות ליצור סיכוני פרטיות וציות.
• עומס ניהולי: תחזוקה שוטפת, כגון כוונון התראות, עדכון מדיניות השמירה, ניהול הייצוא והאחסון וודא ש-RBAC פועל כנדרש, נדרשת כדי לשמור על אפקטיביות אסטרטגיית רישום הביקורת.
• פירוש האירועים עלול להיות קשה: רשומות ביקורת דורשות לעיתים קרובות העשרה הקשרית (למשל תפקיד המשתמש, המכשיר, מיקום גיאוגרפי) וניתוח מומחה כדי לפרש נכונה את הכוונה והחומרה.

רישום ביקורת במדיניות M365 — רשימת בדיקה

השתמשו ברשימת הבדיקה הזו כדי לתכנן, להפעיל, לאמת ולתחזק רישום ביקורת ב-Microsoft 365.

תכנון וממשל

• הגדירו את יעדי רישום הביקורת והיקפו (אבטחה, ציות, זיהוי פורנזי, סיכוני משתמשים פנימיים).
• זהו מקורות הנתונים הנדרשים: Azure AD, Exchange Online, SharePoint/OneDrive, Teams, Defender, Purview, Power Platform, Endpoint.
• קבעו את תקופות השמירה הנדרשות לכל מקור נתונים, בהתאם לדרישות משפטיות, רגולטוריות ועסקיות.
• הקצו בעלות: בעל רישום הביקורת, בעל הציות, בעל SIEM/אינטגרציה, ומבקרים.
• תעדו את בקרות הגישה ואת תהליך האישור לגישה לנתוני ביקורת ולייצוא שלהם.

הפעלה והגדרה של רישום ביקורת

• ודאו שיומן הביקורת המאוחד מופעל ב-Microsoft Purview (מרכז האבטחה והציות) עבור הדייר.
• הפעילו ביקורת תיבות דואר עבור כל תיבות הדואר, וקבעו מדיניות רישום ביקורת ברירת מחדל לתיבות דואר במידת הצורך.
• הפעילו רישום ביקורת עבור כניסות ל-Azure AD, כניסות בסיכון ושינויים בספרייה.
• הפעילו רישום ביקורת ב-SharePoint וב-OneDrive עבור פעולות על קבצים ושיתוף.
• הפעילו רישום ביקורת ב-Teams עבור אירועים של ערוצים, צ'אטים, פגישות ואפליקציות.
• הפעילו רישום ביקורת ב-Exchange Online עבור פעולות של מנהלים ופעילות בתיבות הדואר של משתמשים.
• הפעילו רישום (logging) עבור Power Platform וב-Microsoft 365 Defender, במקומות שבהם זה רלוונטי.

שמירה ואחסון

• הגדירו את הגדרות השמירה של יומני הביקורת ב-Purview כך שיעמדו בדרישות המשפטיות ובדרישות המדיניות.
• תכננו אסטרטגיה לאחסון ארוך טווח ולארכוב של יומני הביקורת (שמירה מקורית לעומת SIEM חיצוני או אחסון חיצוני).
• וודאו שהשמירה משמרת את המטא-דאטה ואת חותמות הזמן הנדרשים לחקירות.

בקרת גישה ואבטחה

• הגבילו מי יכול לחפש, לייצא ולנהל יומני ביקורת, באמצעות תפקידים עם הרשאות מינימליות (לדוגמה, Compliance Administrator, Security Reader).
• הפעילו אימות רב-שלבי עבור חשבונות שיש להם גישה ליומני הביקורת.
• נטרו ובקרו שינויים בתצורת יומן הביקורת ובהגדרות השמירה.

אינטגרציה והעברה

• הגדירו ייצוא של יומני הביקורת ל-SIEM (Azure Sentinel/Microsoft Sentinel או פתרון של צד שלישי) לצורך קורלציה ואחסון ארוך טווח.
• אוטומטו את ייצוא היומנים באמצעות Office 365 Management Activity API או מחברים מקוריים.
• אמתו את שלמות היומנים המיוצאים וודאו סנכרון זמן (UTC ו-NTP).

התרעות וניטור

• הגדירו ויישמו כללי התרעה לאירועים קריטיים (שינויים בתפקידי מנהל, הוצאת נתונים מהארגון, הורדות המוניות וכניסות חשודות).
• צרו לוחות מחוונים ודוחות סדירים עבור מדדי ביקורת מרכזיים וחריגות.
• קבעו נהלי תגובה לאירועים שמתייחסים לשימוש בנתוני הביקורת.

בדיקות ואימות

• בדקו באופן סדיר שאירועים נרשמים עבור פעולות מייצגות בשירותים השונים (יצירה, מחיקה, שינוי הרשאות, כניסה ושיתוף).
• אמתו את הכיסוי ואת שלמות היומנים לאחר שינויי הגדרות או עדכוני שירות.
• בצעו מעת לעת בדיקות של מוכנות לחקירה פורנזית, כדי לוודא שהיומנים תומכים בחקירות.

תאימות ומשפטי

• יישרו את אסטרטגיית הביקורת עם החובות הרגולטוריות (לדוגמה, GDPR, HIPAA, SOX) ודרישות הראיות.
• תאמו עם היועצים המשפטיים את השפעת eDiscovery והחזקה משפטית (legal hold) על נתוני הביקורת.
• שמרו יומני ביקורת באופן בלתי ניתן לשינוי כנדרש, ותעדו נהלים של שרשרת משמורה.

תפעול ותחזוקה

• תזמנו סקירות תקופתיות של הגדרות הביקורת, השמירה ושיוך התפקידים (אחת לרבעון או לפי הצורך).
• שמרו על מדריכי ההפעלה ותיעוד התצורה מעודכנים.
• עקבו אחר דרישות הרישוי ליכולות ביקורת מתקדמות, וודאו שיש כיסוי מתאים.
• עקבו אחר הודעות השירות לגבי שינויים ביכולות הביקורת ופרישות מתוכננות.

הדרכה והעלאת מודעות

• הדריכו מנהלים וצוותי תאימות כיצד לחפש, לסנן ולייצא יומני ביקורת.
• הדריכו מגיבים לאירועים וחוקרים כיצד לפרש אירועי ביקורת של M365.
• חלקו את האחריות לדיווח ולהתרעות בין הצוותים הרלוונטיים.

סקירה ושיפור מתמשך

• בחנו את יעילות הביקורת לאחר אירועים, ועדכנו בהתאם את הכללים, השמירה והמקורות.
• בצעו מדי שנה ביקורת של אסטרטגיית רישום הביקורת מול הצרכים העסקיים והרגולטוריים.
• שלבו לקחים שנלמדו ואיומים מתפתחים בתוכנית רישום הביקורת.

השתמשו ברשימה זו כבסיס, והתאימו את הפריטים לדרישות ולמדיניות הספציפיות של הארגון שלכם.

יומן ביקורת מאוחד עבור יומני ביקורת של Office 365 ב-Office 365

מהי אסטרטגיית רישום ביקורת עבור M365, ומדוע היא חשובה?

אסטרטגיית רישום ביקורת עבור M365 מגדירה אילו יומני ביקורת נאספים, כמה זמן נשמרים נתוני היומנים, מי רשאי לגשת לרשומות הביקורת וכיצד היומנים מנותחים ומופקות עליהם התרעות. היא חשובה לאבטחה, לתאימות ולתגובה לאירועים ב-Microsoft 365, משום שהיא מאפשרת לעקוב אחר פעולות של משתמשים ומנהלים, לחשוף אירועי אבטחה ולעמוד בדרישות רגולטוריות ובדרישות דיווח פנימיות בתוך הדייר שלכם ב-Microsoft 365.

כיצד אוודא שרישום הביקורת מופעל בדייר Microsoft 365 שלי?

רישום ביקורת מופעל כברירת מחדל ברוב שירותי Microsoft 365, אך כדאי לוודא ב-Microsoft Purview compliance portal (או ב-Security & Compliance center) שיומן הביקורת המאוחד מופעל. בדקו את ההגדרות של יומן הביקורת של מנהלים, של SharePoint Online ושל OneDrive, וכן של שירותים נוספים. השתמשו בהנחיות של Microsoft Learn ובתיעוד של Microsoft Service Assurance כדי לאשר את תצורת הרישום והניטור בסביבת ה-M365 שלכם.

אילו סוגי נתוני יומן זמינים ביומן הביקורת המאוחד?

יומן הביקורת המאוחד מכיל סוגים שונים של נתוני יומן, כולל פעילויות של משתמשים ומנהלים, אירועי קבצים ושיתוף (אתר SharePoint, SharePoint Online ו-OneDrive), אירועי אימות וגישה, פעולות בתיבות דואר ואירועי אבטחה מ-Microsoft Defender. יומן הביקורת של Office 365 ויומני הביקורת ב-Office 365 מספקים יומן חיפוש של הפעילויות שנרשמו, כאשר תוכן רשומת הביקורת מפרט מי עשה מה, מתי, מאיפה ומאיזו כתובת IP.

כיצד מחפשים ומייצאים יומני ביקורת ב-Office 365?

ניתן לחפש ביומני ביקורת בפתרון הביקורת של Microsoft Purview או באמצעות PowerShell (Search-UnifiedAuditLog) כדי ליצור שאילתת חיפוש ביומן. שאילתות יכולות לסנן לפי הפעילויות שנרשמו, משתמשים, תאריכים ושירותי Microsoft 365 מסוימים. ניתן לייצא את התוצאות לקובץ CSV לצורך ניתוח, העברה ל-SIEM או אחסון ארוך טווח. יש לוודא שנתוני היומן המאוחסנים עומדים במדיניות השמירה ובדרישות הציות שלכם.

אילו אירועים הניתנים לביקורת כדאי לכלול ברשימת האירועים הניתנים לביקורת שלי?

יש לתעדף אירועים הניתנים לביקורת שמשפיעים על האבטחה ועל פעילות העסק ב-Microsoft 365: שינויים בתפקידי מנהל, הקצאה והסרה של משתמשים, כניסות וכשלי אימות, גישה לתיבות דואר, שינויי הרשאות באתר SharePoint, הורדות ושיתוף קבצים, ופעולות שסומנו על ידי Microsoft Defender. מומלץ לנקוט בגישה מבוססת סיכונים ולכלול אירועים התומכים בחקירות פורנזיות ובדיווח רגולטורי.

מי צריך לקבל גישה ליומני הביקורת של Microsoft 365 וכיצד שולטים בגישה?

יש להגביל את הגישה לצוותי הניהול והאבטחה של Microsoft 365, לקציני ציות ולמבקרים מוסמכים. יש להשתמש בבקרת גישה מבוססת תפקידים (RBAC) במרכז הניהול של Microsoft 365 ובפורטל Purview כדי להעניק את ההרשאות המינימליות הנדרשות בלבד. מומלץ לנהל יומן ביקורת מנהלים שמתעד מי ניגש לנתוני יומן הביקורת או ייצא אותם, כדי למנוע שימוש לרעה בגישה למידע הביקורת של Microsoft 365.

כמה זמן יש לשמור נתוני יומן ביקורת בסביבת Microsoft 365?

משך השמירה תלוי בדרישות רגולטוריות, משפטיות ועסקיות. Microsoft שומרת חלק מיומני הביקורת לתקופות ברירת מחדל, אך ניתן להגדיר תקופת שמירה ארוכה יותר באמצעות ביקורת מתקדמת, מדיניות שמירה, או ייצוא היומנים לארכיון חיצוני או ל-SIEM. יש להגדיר את משך השמירה באסטרטגיית רישום הביקורת שלכם, כדי לוודא שתוכן רשומות הביקורת הקריטיות ונתוני היומן המאוחסנים עומדים בצרכי הציות.

מהם האתגרים הנפוצים ברישום ביקורת ב-Microsoft 365?

האתגרים כוללים נפחים גדולים של נתוני יומן, כיסוי חלקי לשירותים מסוימים, משך שמירה מוגבל כברירת מחדל, קושי בחיפוש על פני עומסי עבודה שונים, והבטחה שהיומנים מ-SharePoint ושירותים אחרים נאספים. בעיות נוספות הן קורלציה של אירועי אבטחה בין משתמשי Microsoft 365 והטמעת יומני הביקורת בפתרונות רישום וניטור כמו SIEM ו-Microsoft Defender.

כיצד ניתן לשלב יומני ביקורת של Microsoft 365 עם SIEM או עם פלטפורמת רישום וניטור?

יש להשתמש ב-Office 365 Management Activity API, ב-Microsoft Graph או בתכונות ייצוא יומן הביקורת כדי להזרים את יומני הביקורת ל-SIEM. צוותים רבים מנתבים את נתוני יומן הביקורת אל Azure Monitor, אל Sentinel או אל פלטפורמות רישום של צד שלישי לצורך קורלציה, התראות ושמירה ארוכת טווח. יש לוודא שאירועים מ-SharePoint Online, מ-Exchange ומ-Microsoft Defender נכללים ומשויכים לכללי התראה ולדשבורדים רלוונטיים.

האם ניתן לעקוב אחר פעילויות של משתמשים ומנהלים באתר SharePoint וב-OneDrive באמצעות יומני ביקורת?

כן. יומני ביקורת מתעדים פעילויות שנרשמות ב-SharePoint Online וב-OneDrive, כגון גישה לקבצים, הורדות, שינויים בשיתוף, עדכוני הרשאות ופעולות ניהול אתרים. ניתן להשתמש ביכולות החיפוש ביומן הביקורת המאוחד כדי לשאול שאילתות על פעולות באתר SharePoint, ולייצא או להעביר את היומנים לניתוח מעמיק יותר.

מה צריך לכלול תוכן רשומת הביקורת כדי לתמוך בחקירות?

תוכן שימושי של רשומת ביקורת צריך לכלול חותמת זמן, מבצע הפעולה (משתמש או מנהל), התפקיד של מבצע הפעולה, הפעולה שבוצעה, אובייקט היעד (קובץ, תיבת דואר, אתר), בעלים של האובייקט, כתובת IP של המקור, פרטי המכשיר ומזהי אירועי אבטחה רלוונטיים. הכללת נתוני הקשר של Microsoft 365 הופכת את יומני הביקורת לשימושיים יותר עבור מגיבים לאירועים ומבקרים.

כיצד תכונות של Microsoft 365 כמו ביקורת מתקדמת ו-Microsoft Defender משפרות את הרישום?

ביקורת מתקדמת מאריכה את תקופת השמירה ומספקת אירועים רגישים וקריטיים נוספים לחקירות ארוכות טווח. בנוסף, Microsoft Defender יוצר אירועי אבטחה והתראות שמעשירים את יומני הביקורת במודיעין איומים, שמות זיהוי והוראות לתיקון. שילוב של ביקורת מתקדמת עם Defender ועם רישום וניטור מרוכזים משפר את היכולת שלכם לזהות איומים ולהגיב אליהם.

מהן שיטות העבודה המומלצות לרישום יומנים ולפעולה לפי שיטות העבודה המומלצות בביקורת יומני Microsoft 365?

שיטות העבודה המומלצות כוללות הפעלת יומן הביקורת המאוחד והביקורת המתקדמת לפי הצורך, תיעוד רשימה של אירועים הניתנים לביקורת, שימוש בהרשאות מבוססות תפקידים ליומני הביקורת, שילוב עם SIEM או עם כלי רישום וניטור, אימות שלמות יומני הביקורת, והגדרת התראות אוטומטיות לאירועי אבטחה קריטיים. מומלץ לסקור את נוהלי הרישום באופן קבוע ולהכשיר את מנהלי Microsoft 365 וצוותי האבטחה לעשות שימוש יעיל בנתוני יומני הביקורת.

איך אפשר לוודא שנתוני יומני הביקורת שלמים ואמינים?

בצעו ביקורות תקופתיות באמצעות דוחות Microsoft Service Assurance, הריצו תרחישי בדיקה שמייצרים אירועי ביקורת ידועים, ובדקו שהם מופיעים ביומני הביקורת. נטרו פערים באמצעות מדדי זמינות וקליטה, אמתו את נתוני היומנים השמורים בארכיונים או ב-SIEM, ונהלו בקרת שינויים בכל שינוי בהגדרות הרישום כדי להבטיח תיעוד עקבי של הפעילויות במסגרת סביבת Microsoft 365 שלכם.

איפה אפשר ללמוד עוד על הגדרת יומני ביקורת ועל האירועים הזמינים?

עיינו ב-Microsoft Learn למדריכים מפורטים שלב אחר שלב, בתיעוד של Microsoft Purview להגדרת יומני ביקורת, וב-Microsoft Service Assurance למידע על התאמה לרגולציה ועל ערבויות רישום. לרשימה מקיפה של אירועים הניתנים לביקורת ולדוגמאות לשאילתות ביומני ביקורת שרלוונטיות לצוותי מנהלי Microsoft 365 ולצוותי האבטחה, עיינו גם במסמכי office 365 audit ו-admin audit log.

🎧 כדאי גם להאזין ל

• מודל התפעול של ממשל Microsoft 365

  למדו על הבעלות והבקרות שעומדות מאחורי החלטות בנות קיימא.

• Microsoft Purview – בפשטות

  הכירו את ההקשר של ציות ושל ממשל מידע.

• סוכני AI – בפשטות

  הבינו אימוץ אחראי של בינה מלאכותית.

אסטרטגיית רישום ביקורת ב-Microsoft 365

אסטרטגיה אפקטיבית מתרגמת דרישות אבטחה וציות לאירועים, לתקופות שמירה, לחיפושים, להתראות, לבעלות ולנהלי חקירה. המטרה היא ראיות שניתנות לפעולה, ולא רשומות מנותקות זו מזו.

רשימת בדיקה לרישום ביקורת

1. מיפוי סיכונים והתחייבויות לפעילויות הנדרשות.
2. אימות רישיון הביקורת, היקף הכיסוי, תקופת השמירה וזמן הקליטה.
3. הגדרת תפקידים לחוקרים והגנה על הראיות.
4. יצירת חיפושים שניתנים לחזרה והגדרת דפוסי התראה בעלי משמעות.
5. בדיקת אירועים, תיעוד פערים וסקירה סדירה של האסטרטגיה.

טעויות נפוצות

• ההנחה שתקופת השמירה ברירת המחדל עונה על כל הדרישות.
• איסוף אירועים ללא תהליך חקירה.
• אי בדיקה האם הפעילויות הצפויות אכן מופיעות.
• מתן גישה רחבה מדי לנתוני הביקורת.

שאלות נפוצות לגבי אסטרטגיית רישום ביקורת ב-Microsoft 365

מהי אסטרטגיית רישום ביקורת ב-Microsoft 365?

מיפוי סיכונים לאירועים הניתנים לביקורת, תקופות שמירה, חיפושים, תפקידים, התראות, נהלי חקירה, טיפול בראיות ומדדי סקירה. יש ליישם זאת באופן עקבי ולבחון זאת מחדש ככל שהשירותים, המדיניות והדרישות העסקיות של Microsoft משתנים.

מדוע חשוב לנו אסטרטגיית רישום ביקורת ב-Microsoft 365?

מיפוי סיכונים לאירועים הניתנים לביקורת, תקופות שמירה, חיפושים, תפקידים, התראות, נהלי חקירה, טיפול בראיות ומדדי סקירה. יש להסתמך על בעלים מתועד, תוצאה הניתנת למדידה ותהליך מאושר, ולא על נוהג לא רשמי.

איך עובדת אסטרטגיית רישום ביקורת ב-Microsoft 365?

מיפוי סיכונים לאירועים הניתנים לביקורת, תקופות שמירה, חיפושים, תפקידים, התראות, נהלי חקירה, טיפול בראיות ומדדי סקירה. התחילו מתרחיש בסיכון נמוך עם היקף מוגדר בבירור, אמתו את התוצאה, והרחיבו רק כאשר הבקרה ומודל התמיכה פועלים כראוי.

למי נדרשת אסטרטגיית רישום ביקורת ב-Microsoft 365?

מיפוי סיכונים לאירועים הניתנים לביקורת, שמירה, חיפושים, תפקידים, התראות, נהלי חקירה, טיפול בראיות ומדדי סקירה. יש ליישם זאת באופן עקבי ולבחון זאת מחדש ככל ששירותי Microsoft, מדיניות ודרישות עסקיות משתנים.

מהם היתרונות העיקריים של אסטרטגיית רישום ביקורת ב-Microsoft 365?

מיפוי סיכונים לאירועים הניתנים לביקורת, שמירה, חיפושים, תפקידים, התראות, נהלי חקירה, טיפול בראיות ומדדי סקירה. השתמשו בבעלים מתועד, בתוצאה מדידה ובתהליך מאושר, ולא תסתמכו על נוהג בלתי פורמלי.

מהם הסיכונים העיקריים של אסטרטגיית רישום ביקורת ב-Microsoft 365?

מיפוי סיכונים לאירועים הניתנים לביקורת, שמירה, חיפושים, תפקידים, התראות, נהלי חקירה, טיפול בראיות ומדדי סקירה. התחילו בתרחיש בעל סיכון נמוך ומוגדר היטב, אמתו את התוצאה, והרחיבו רק כאשר הבקרה ומודל התמיכה פועלים.

מהן הדרישות של אסטרטגיית רישום ביקורת ב-Microsoft 365?

מיפוי סיכונים לאירועים הניתנים לביקורת, שמירה, חיפושים, תפקידים, התראות, נהלי חקירה, טיפול בראיות ומדדי סקירה. יש ליישם זאת באופן עקבי ולבחון זאת מחדש ככל ששירותי Microsoft, מדיניות ודרישות עסקיות משתנים.

כיצד מתחילים עם אסטרטגיית רישום ביקורת ב-Microsoft 365?

מיפוי סיכונים לאירועים הניתנים לביקורת, שמירה, חיפושים, תפקידים, התראות, נהלי חקירה, טיפול בראיות ומדדי סקירה. השתמשו בבעלים מתועד, בתוצאה מדידה ובתהליך מאושר, ולא תסתמכו על נוהג בלתי פורמלי.

מהי רשימת הבדיקה המומלצת לאסטרטגיית רישום ביקורת ב-Microsoft 365?

מיפוי סיכונים לאירועים הניתנים לביקורת, שמירה, חיפושים, תפקידים, התראות, נהלי חקירה, טיפול בראיות ומדדי סקירה. התחילו בתרחיש בעל סיכון נמוך ומוגדר היטב, אמתו את התוצאה, והרחיבו רק כאשר הבקרה ומודל התמיכה פועלים.

מהן שיטות העבודה המומלצות לאסטרטגיית רישום ביקורת ב-Microsoft 365?

מיפוי סיכונים לאירועים הניתנים לביקורת, שמירה, חיפושים, תפקידים, התראות, נהלי חקירה, טיפול בראיות ומדדי סקירה. יש ליישם זאת באופן עקבי ולבחון זאת מחדש ככל ששירותי Microsoft, מדיניות ודרישות עסקיות משתנים.

מהן הטעויות הנפוצות ביותר באסטרטגיית רישום ביקורת ב-Microsoft 365?

מיפוי סיכונים לאירועים הניתנים לביקורת, שמירה, חיפושים, תפקידים, התראות, נהלי חקירה, טיפול בראיות ומדדי סקירה. השתמשו בבעלים מתועד, בתוצאה מדידה ובתהליך מאושר, ולא תסתמכו על נוהג בלתי פורמלי.

כיצד יש לנהל את אסטרטגיית רישום ביקורת ב-Microsoft 365?

מיפוי סיכונים לאירועים הניתנים לביקורת, שמירה, חיפושים, תפקידים, התראות, נהלי חקירה, טיפול בראיות ומדדי סקירה. התחילו בתרחיש בעל סיכון נמוך ומוגדר היטב, אמתו את התוצאה, והרחיבו רק כאשר הבקרה ומודל התמיכה פועלים.

כיצד האבטחה חלה על אסטרטגיית רישום ביקורת ב-Microsoft 365?

מיפוי סיכונים לאירועים הניתנים לביקורת, שמירה, חיפושים, תפקידים, התראות, נהלי חקירה, טיפול בראיות ומדדי סקירה. יש ליישם זאת באופן עקבי ולבחון זאת מחדש ככל ששירותי Microsoft, מדיניות ודרישות עסקיות משתנים.

כיצד דרישות הציות חלות על אסטרטגיית רישום ביקורת ב-Microsoft 365?

מיפוי סיכונים לאירועים הניתנים לביקורת, שמירה, חיפושים, תפקידים, התראות, נהלי חקירה, טיפול בראיות ומדדי סקירה. השתמשו בבעלים מתועד, בתוצאה מדידה ובתהליך מאושר, ולא תסתמכו על נוהג בלתי פורמלי.

כיצד אסטרטגיית רישום ביקורת ב-Microsoft 365 משפיעה על מנהלי המערכת?

מיפוי סיכונים לאירועים הניתנים לביקורת, שמירה, חיפושים, תפקידים, התראות, נהלי חקירה, טיפול בראיות ומדדי סקירה. התחילו בתרחיש בעל סיכון נמוך ומוגדר היטב, אמתו את התוצאה, והרחיבו רק כאשר הבקרה ומודל התמיכה פועלים.

כיצד אסטרטגיית רישום ביקורת ב-Microsoft 365 משפיעה על משתמשי הקצה?

מיפוי סיכונים לאירועים הניתנים לביקורת, שמירה, חיפושים, תפקידים, התראות, נהלי חקירה, טיפול בראיות ומדדי סקירה. יש ליישם זאת באופן עקבי ולבחון זאת מחדש ככל ששירותי Microsoft, מדיניות ודרישות עסקיות משתנים.

כיצד יש לנטר את אסטרטגיית רישום ביקורת ב-Microsoft 365?

מיפוי סיכונים לאירועים הניתנים לביקורת, שמירה, חיפושים, תפקידים, התראות, נהלי חקירה, טיפול בראיות ומדדי סקירה. השתמשו בבעלים מתועד, בתוצאה מדידה ובתהליך מאושר, ולא תסתמכו על נוהג בלתי פורמלי.

כיצד יש למדוד את אסטרטגיית רישום ביקורת ב-Microsoft 365?

מפו את הסיכונים לאירועים הניתנים לביקורת, מדיניות שמירה, חיפושים, תפקידים, התראות, נהלי חקירה, טיפול בראיות ומדדי סקירה. התחילו מתרחיש בסיכון נמוך ובהיקף מוגדר בבירור, אמתו את התוצאה, והרחיבו רק כשמודל הבקרה והתמיכה פועל כראוי.

כיצד יש לטפל בחריגים באסטרטגיית רישום הביקורת (audit logging) של Microsoft 365?

מפו את הסיכונים לאירועים הניתנים לביקורת, מדיניות שמירה, חיפושים, תפקידים, התראות, נהלי חקירה, טיפול בראיות ומדדי סקירה. יישמו זאת בעקביות ובדקו זאת מחדש ככל ששירותי Microsoft, המדיניות ודרישות העסק משתנים.

כיצד יש לתעד את אסטרטגיית רישום הביקורת (audit logging) של Microsoft 365?

מפו את הסיכונים לאירועים הניתנים לביקורת, מדיניות שמירה, חיפושים, תפקידים, התראות, נהלי חקירה, טיפול בראיות ומדדי סקירה. השתמשו בבעלים מתועד, בתוצאה הניתנת למדידה ובתהליך מאושר, ולא בפרקטיקה לא רשמית.

כיצד האסטרטגיה מתרחבת בארגונים גדולים?

מפו את הסיכונים לאירועים הניתנים לביקורת, מדיניות שמירה, חיפושים, תפקידים, התראות, נהלי חקירה, טיפול בראיות ומדדי סקירה. התחילו מתרחיש בסיכון נמוך ובהיקף מוגדר בבירור, אמתו את התוצאה, והרחיבו רק כשמודל הבקרה והתמיכה פועל כראוי.

אילו פעולות כדאי להפוך לאוטומטיות?

מפו את הסיכונים לאירועים הניתנים לביקורת, מדיניות שמירה, חיפושים, תפקידים, התראות, נהלי חקירה, טיפול בראיות ומדדי סקירה. יישמו זאת בעקביות ובדקו זאת מחדש ככל ששירותי Microsoft, המדיניות ודרישות העסק משתנים.

אילו פעולות צריכות להישאר בשליטה אנושית?

מפו את הסיכונים לאירועים הניתנים לביקורת, מדיניות שמירה, חיפושים, תפקידים, התראות, נהלי חקירה, טיפול בראיות ומדדי סקירה. השתמשו בבעלים מתועד, בתוצאה הניתנת למדידה ובתהליך מאושר, ולא בפרקטיקה לא רשמית.

כיצד האסטרטגיה משתלבת עם Microsoft 365?

מפו את הסיכונים לאירועים הניתנים לביקורת, מדיניות שמירה, חיפושים, תפקידים, התראות, נהלי חקירה, טיפול בראיות ומדדי סקירה. התחילו מתרחיש בסיכון נמוך ובהיקף מוגדר בבירור, אמתו את התוצאה, והרחיבו רק כשמודל הבקרה והתמיכה פועל כראוי.

כיצד האסטרטגיה קשורה ל-Microsoft Entra ID?

מפו את הסיכונים לאירועים הניתנים לביקורת, מדיניות שמירה, חיפושים, תפקידים, התראות, נהלי חקירה, טיפול בראיות ומדדי סקירה. יישמו זאת בעקביות ובדקו זאת מחדש ככל ששירותי Microsoft, המדיניות ודרישות העסק משתנים.

כיצד האסטרטגיה קשורה ל-Microsoft Purview?

מפו את הסיכונים לאירועים הניתנים לביקורת, מדיניות שמירה, חיפושים, תפקידים, התראות, נהלי חקירה, טיפול בראיות ומדדי סקירה. השתמשו בבעלים מתועד, בתוצאה הניתנת למדידה ובתהליך מאושר, ולא בפרקטיקה לא רשמית.

כיצד יש לבצע פתרון תקלות?

מפו את הסיכונים לאירועים הניתנים לביקורת, מדיניות שמירה, חיפושים, תפקידים, התראות, נהלי חקירה, טיפול בראיות ומדדי סקירה. התחילו מתרחיש בסיכון נמוך ובהיקף מוגדר בבירור, אמתו את התוצאה, והרחיבו רק כשמודל הבקרה והתמיכה פועל כראוי.

מה כדאי לסקור באופן קבוע?

מפו את הסיכונים לאירועים הניתנים לביקורת, מדיניות שמירה, חיפושים, תפקידים, התראות, נהלי חקירה, טיפול בראיות ומדדי סקירה. יישמו זאת בעקביות ובדקו זאת מחדש ככל ששירותי Microsoft, המדיניות ודרישות העסק משתנים.

מאילו דברים כדאי לארגונים להימנע?

מפו את הסיכונים לאירועים הניתנים לביקורת, מדיניות שמירה, חיפושים, תפקידים, התראות, נהלי חקירה, טיפול בראיות ומדדי סקירה. השתמשו בבעלים מתועד, בתוצאה הניתנת למדידה ובתהליך מאושר, ולא בפרקטיקה לא רשמית.

מהו הצעד הראשון הטוב ביותר?

מפו את הסיכונים לאירועים הניתנים לביקורת, מדיניות שמירה, חיפושים, תפקידים, התראות, נהלי חקירה, טיפול בראיות ומדדי סקירה. התחילו מתרחיש בסיכון נמוך ובהיקף מוגדר בבירור, אמתו את התוצאה, והרחיבו רק כשמודל הבקרה והתמיכה פועל כראוי.

מומלץ לעיין במשאבים נוספים של M365.fm: מרכז הלמידה של M365.fm, רשימת הבדיקה לממשל ב-Microsoft 365, ומודל האבטחה של Microsoft Copilot.