יומן הביקורת המאוחד לא פועל

By Mirko Peters · 2026-04-23 · Updated 2026-07-18

פתרון תקלות ביומן הביקורת המאוחד ב-Microsoft 365, כולל בדיקות של הפעלת ביקורת, הרשאות, מסנני חיפוש, רישוי ועיכובים.

Automatically translated with AI from the original post. Read the English original

אין דבר שמעלה את הלחץ ב-IT יותר מלפתוח את ביקורת Microsoft 365 ולגלות שלא קורה כלום. יומן הביקורת המאוחד אמור לספק חלון מלא על הפעילות של משתמשים ומנהלים, והוא חיוני לתגובה לאירועי אבטחה, לציות ולשמירה על שפיות. כשחסרים בו נתונים, כשהחיפוש מסרב לעבוד, או שכפתור הייצוא נראה תקוע לתמיד, כל תהליך האבטחה שלכם עלול להיעצר.

המדריך הזה עוסק בסיבות המרכזיות לכך שיומן הביקורת המאוחד עלול להתנהג לא תקין, מהרשאות חסרות ונתונים מעוכבים ועד עדכונים נסתרים של Microsoft. תמצאו כאן צעדים מעשיים להחזרת הכול לתקינות, וכן טיפים למניעת הפתעות בעתיד. נתייחס גם לנושאים שאחרים לא מדברים עליהם, כמו פערי רישוי, התנגשויות בתצורה ועיכובים בעיבוד ברקע שנראים כמו כשלים אמיתיים. בסופו של דבר תדעו לא רק איך לתקן בעיות ביקורת, אלא גם איך לשמור על היומנים שלכם אמינים כמו קפה הבוקר שלכם.

הפעלת רישום ביקורת בין אפליקציות Microsoft 365

הפעלת רישום ביקורת ב-Exchange Online, SharePoint, OneDrive ו-Teams היא הצעד הראשון, ולעיתים הנשכח ביותר, בדרך לקבלת נתוני ביקורת מאוחדים ואמינים מ-Microsoft 365. יש לבצע זאת בפורטל הציות של Microsoft 365, שבשם החדש שלו הוא Microsoft Purview ברוב הארגונים.

לדיירים מסחריים, היכנסו לפורטל Microsoft Purview, נווטו אל "Audit" ובדקו שרישום הביקורת מופעל בפועל. אולי זה לא נשמע סביר, אבל הוא לא תמיד מופעל אוטומטית, גם בדיירים חדשים יחסית. אם אתם משתמשים בפורטל הציות הklasi או שאתם נמצאים בדייר ממשלתי (GCC או DOD), ייתכן שהממשק יהיה שונה במקצת, אבל ההגדרות נמצאות במיקום דומה תחת "Search" או "Audit log search".

כשמפעילים רישום ביקורת מאוחד, אל תניחו ש"ברירת מחדל" פירושה "סיימנו". אפליקציות חדשות של Microsoft 365 לפעמים דורשות הפעלה מחדש כדי לקבל כיסוי ביקורת מלא. לדוגמה, Teams או אתרי SharePoint חדשים עלולים שלא להיכלל במלואם אם השירותים שמאחוריהם הופעלו מאוחר יותר. תמיד כדאי לוודא את סטטוס הרישום לאחר הטמעת שירותים חדשים.

זכרו: בחלק מהסביבות נדרשים כמה צעדים כדי להשלים את התמונה. ביקורת פעילות משתמשים עם Microsoft Purview יכולה לעזור לכם לראות אילו רמות יש לכם (Audit Standard לעומת Premium), מה נרשם, וכיצד לוודא שכל עומס עבודה בענן מכוסה. דילוג על אימות הוא הסיבה מספר 1 לכך שחסרים יומנים בדיוק ברגע שבו אתם צריכים אותם הכי הרבה.

הרשאות כלי הביקורת והגישה לפורטל הציות

יומן ביקורת תקין אינו עניין של הפעלת המתגים הנכונים בלבד. הרבה תלוי במי אתם בעולם Microsoft 365. כדי לגשת לחפש ביומני ביקורת, מנהלים צריכים הרשאות נכונות שמוקצות דרך Microsoft Purview או מרכז האבטחה והציות (Security & Compliance Center).

התפקידים החיוניים הם בדרך כלל Compliance Administrator, Audit Logs או Security Reader. הם מוענקים דרך קבוצות תפקידים בפורטל Microsoft Purview (ולעיתים גם דרך Entra ID). אם אתם מנסים למשוך יומנים והכול תקוע או מסומן באפור, ודאו שהחשבון שלכם אכן נמצא בקבוצה הנכונה, ושלשינויים אחרונים יש מספיק זמן להסתנכרן בצד השרות של Microsoft 365.

טעויות נפוצות? הקצאת אנשים לקבוצה שגויה (למשל Global Reader במקום Compliance Administrator), הסתמכות על תפקידי Entra ID בלי להגדיר את Purview, או אי-הבנה שחלק משינויי ההרשאות עשויים להימשך עד 24 שעות עד להפעלתם. הקצאות תפקידים לא עקביות, או שימוש בחשבונות מנהל לשעת חירום (break-glass) שעוקפים בדיקות ידניות, עלולים גם הם לגרום לכלי הביקורת לא לפעול כצפוי.

ניהול מסודר של גישה לביקורת אינו רק עניין של פתיחת הדלתות; הוא גם עניין של ממשל תקין, הסרת משתמשים שאינם פעילים וסקירות גישה סדירות. הנושא מוסבר לעומק במדריך זה לגישה לנתונים וממשל ב-Microsoft 365. שמירה על הרשאות הדוקות עוזרת להימנע מפערי ביקורת לא מכוונים, ותוך כדי כך מבטיחה שתישארו תואמים למדיניות האבטחה שלכם.

פתרון תקלות בכשלים של יומן הביקורת המאוחד ב-Microsoft 365

כשהיומן המאוחד של ביקורת (Unified Audit Log) נראה תקול – חיפושים ריקים, רשומות חסרות או אפשרויות ייצוא לא יציבות – זו בדרך כלל תסמין של משהו עמוק יותר בתצורה, ברישוי או בעיכובים בצד השירות. הבעיות האלה נראות דומות מאוד, אבל לעתים קרובות יש להן שורשים ופתרונות שונים מאוד.

לפני פנייה לתמיכה או הסלמה, כדאי לדעת איך נראה "תקין" ואילו צעדי פתרון מאתרים אם מדובר באירועים חסרים, בחלון זמן שגוי, בהרשאות חסרות או בהגבלות שמיקרוסופט קבעה. לפעמים הבעיה פשוטה כמו עיכוב בקליטה, ולפעמים מדובר בבעיית רישוי עדינה או בשינוי במדיניות שחלף מתחת לרדאר.

בסעיפים הבאים תמצאו עצות מעשיות לאיתור פערים, לבדיקת שלמות הרשומות, להתמודדות עם תקלות של PowerShell וייצוא, ולסינון התוצאות לניתוח בעולם האמיתי. אם תבינו את הצעדים האלה, תזהו מהר יותר – ותפתרו – את תקלות היומן הנפוצות והמורכבות ביותר.

אמינות ושלמות: טיפול ברשומות ביקורת חסרות או לא מלאות

• בדקו מדיניות שמירה ורישוי: פערים בנתונים מופיעים לעתים קרובות כאשר הרישיונות שלכם ב-M365 אינם תומכים בשמירה מורחבת (רק E5 או Premium), או כאשר הרישיון של משתמש שונה לאחרונה. מומלץ תמיד לוודא שיש לכם שכבת הרישיון הנכונה עבור הרשומות ופרק הזמן שאתם צריכים.
• בדקו עיכובים בקליטה: יומני הביקורת אינם מתעדכנים בזמן אמת. ייתכן עיכוב מובנה של בין 15 דקות למספר שעות, ובמקרים נדירים אף יותר, במיוחד בסופי שבוע או בזמן תקלות בשירותי Microsoft. העיכוב הזה עלול לגרום לכך שהיומנים ייראו חסרים, כשבפועל הם פשוט מאוחרים.
• זהו הגבלות תפוקה (throttling) והגבלות ייצוא: בדיירים גדולים עלולות להופיע הגבלות תפוקה, במיוחד כאשר ייצואים או חיפושים בביקורת רצים בנפח גבוה. פעולות מסוימות עלולות להיעלם או להופיע באיחור אם חרגתם ממגבלות קצב או ממגבלות הפעלה.
• סננו תוצאות שגויות חיוביות: ודאו שמסנני המשתמש, התאריך או הפעילות אינם צרים מדי או מוגדרים באופן שגוי. חיפוש בחלון זמן צר מדי, בחירה של משתמש או קבוצה שגויים, או סינון של "אירועי רעש" תמימים עלולים לגרום לכך שהמערכת תיראה תקולה יותר ממה שהיא באמת.
• בדקו בעיות תצורה ברמת הדייר: לעתים הגדרות הדייר הקשורות ל-Conditional Access, להרשאות של service principal, או אפילו למדיניות השבתה משפטית (compliance hold) עלולות להפריע ליצירת אירועי ביקורת. בדקו שינויים אחרונים בתצורה ובעדכוני אבטחה כדי לשלול סיבות נסתרות.

שימוש בפקודת Search-UnifiedAuditLog ב-Microsoft PowerShell

הפקודה Search-UnifiedAuditLog ב-PowerShell היא כלי רב עוצמה לפתרון תקלות מתקדם, המאפשר לעקוף את פורטל האינטרנט ולשאול ישירות את יומני הביקורת המאוחדים בכל Microsoft 365. היא שימושית במיוחד לייצואים המוניים, לבדיקת טווחי נתונים גדולים או לאוטומציה של חקירות חוזרות.

משימות ניהול אופייניות כוללות חיפוש לפי תאריך, משתמש או פעילות, וייצוא התוצאות לניתוח מעמיק. יש להיזהר מהגבלות ידועות – למשל מגבלת ייצוא של 50,000 רשומות, או throttling אם מריצים חיפושים גדולים וחוזרים. שגיאות כאן יכולות לגלות אם מדובר בתקלה בצד השירות, בבעיה בפורטל, או פשוט במגבלות קנה מידה בהפעלה הנוכחית שלכם.

אמנם יש פוטנציאל רב לאוטומציה, אך חלק from המשאבים – כמו המדריכים המעמיקים על ממשל באמצעות PowerShell – עשויים להפנות לחומרים אחרים אם התוכן הועבר. עם זאת, התיעוד הרשמי והפורומים נותרים בעלי ערך רב עבור האפשרויות והמלכודות העדכניות ביותר של הפקודות.

סינון לפי תאריך, משתמש וצפייה בפרטים בזמן ייצוא יומנים

• סננו לפי טווח תאריכים: הגדירו תמיד חלון זמן מסוים – שבוע או כמה ימים – כדי להגביל את תוצאות החיפוש ולצמצם רעש. חיפושים רחבים בטווח תאריכים עלולים לפספס אירועים או להעמיס על פונקציות הייצוא.
• מקדו משתמשים או סוג פעילות: השתמשו בשמות משתמש ראשיים (UPN) או במילות מפתח של פעילות כדי לוודא שאתם שולפים רק אירועים שמעניינים אתכם. כך תחסכו המתנה ארוכה ותקטינו את הסיכוי לחריגה ממגבלות הגודל בייצוא.
• הציגו פרטי אירוע לפני הייצוא: לחיצה על רשומת יומן בודדת לפני ייצוא המוני מאפשרת לאמת שהאירועים נלכדים כצפוי, עם המטא-דאטה הנכון.
• ייצאו בקבוצות נוחות לניהול: בביקורות גדולות, פצלו את הייצוא לטווחים קטנים וחופפים כדי להימנע מתמהיל (timeouts) או מקבצי CSV חלקיים.

הרצת חיפושי ביקורת וייצוא נתוני ביקורת מאוחדים

כדי להריץ חיפוש ביקורת ב-Microsoft 365, היכנסו לפורטל Microsoft Purview ובחרו בקטע Audit. בחרו את טווח התאריכים, המשתמש/ים וסוגי הפעילות כדי לבנות את השאילתה. הימנעו מחיפושים לכל המשתמשים או לכל הדייר, אלא אם אתם באמת צריכים אותם, מאחר שהם עלולים להעמיס על הממשק ועל מנגנון הייצוא.

לאחר שהתוצאות מופיעות, תוכלו להציג מקדימה שלהן או לייצא אותן לקובץ CSV מתוך הפורטל. חשוב לזכור: תוצאות גדולות מאוד עלולות להיכשל או לפוג בזמן, לכן שמרו על שאילתות ממוקדות. אם נתקלתם בשגיאות בזמן הייצוא, נסו טווחי תאריכים קצרים יותר, או השתמשו ב-PowerShell כדי לשלוף את יומני הביקורת בקבוצות.

יש לבדוק תמיד את קובצי הייצוא לוודא שהם שלמים, כולל העמודות וטווחי הזמן, לפני שמסתמכים עליהם בחקירות.

עיכובים בהופעת נתוני יומן הביקורת המאוחד ובעיות בזמני עיבוד הנתונים

אחת הסיבות שמתעלמים מהן לעתים קרובות להיעלמות לכאורה של נתוני ביקורת? פשוט עיכוב. יומני הביקורת אינם תמיד בזמן אמת, ו-Microsoft מעבדת אירועי פעילות בקבוצות, כך שרשומת היומן עצמה עלולה להופיע הרבה אחרי שפעולת המשתמש התרחשה.

עיכוב כזה עלול להוביל לפניות תמיכה בהול ולבזבוז זמן על פתרון תקלות, כשבפועל היומנים פשוט איטיים ולא תקולים. חשוב להבין את לוחות הזמנים הרגילים של קליטת הנתונים, וכיצד להבחין בין עיכוב רגיל ביומן לבין אובדן נתונים אמיתי או תקלה במערכת. הקטע הזה בוחן כיצד פועלים העיכובים האלה, וכיצד לעקוב אחר האירועים שחסרים באמת (לעומת אירועים שפשוט מתעכבים).

הבנת עיבוד יומני ביקורת תקין לעומת עיבוד חריג

יומני הביקורת המאוחדים של Microsoft 365 מעבדים בדרך כלל פעולות של משתמשים ומנהלים תוך 15 דקות עד שעה, אך לא נדיר לראות עיכובים של עד 24 שעות, במיוחד בזמן תחזוקת שירות, הפסקות אזוריות או עבור אירועים מסוימים בעדיפות נמוכה.

ההסכם לרמת השירות של Microsoft קובע שהזמינות של היומנים תהיה תוך 24 שעות בתנאים רגילים, כלומר כל עיכוב קצר מזה נמצא בטווח הצפוי. אם אתם רואים אירועי ביקורת חסרים לתקופה ארוכה מזו, או מספר סוגי פעילות שמתעכבים מעבר לנורמה, זה הזמן להתחיל בבדיקה מעמיקה יותר.

כדאי לדעת שחלק מהשירותים (כמו Teams או פעילויות של אפליקציות צד שלישי) עשויים לקבץ את היומנים שלהם בצורה שונה מ-SharePoint או Exchange. לפני שמניחים כשל מערכתי ביומנים, בדקו תמיד את ההודעות העדכניות של Microsoft.

כיצד לנטר ולאשר שלמות נתוני יומן לאורך זמן

• קביעת בסיס לפעולות צפויות: זהו פעולת משתמש ידועה (כמו כניסה לתיבת דואר או העלאת קובץ), רשמו את חותמת הזמן שלה, ואז בדקו כמה זמן לוקח עד שאירועי הביקורת המתאימים מופיעים.
• השתמשו בסקריפטים של PowerShell: אוטומטו בדיקות יומיות באמצעות סקריפטים מתוזמנים שמושכים רשומות יומן אחרונות, משווים חותמות זמן ומסמנים חריגות, כך שלא תצטרכו להסתמך על בדיקות ידניות.
• עקבו אחר הצטברות עיכובים לאורך ימים: אם פריט יומן חסר, בדקו שוב after 24 ו-48 שעות. לעתים קרובות העיכובים מתייצבים מעצמם, ודפוסים של פערים מתמשכים עשויים לחשוף צווארי בקבוק בצד השירות.
• הצליבו עם דיווחי משתמשים: אם משתמשים טוענים שפעילות קריטית לא נרשמה בביקורת, השוו את תאריך הפעילות שלהם לחותמות הזמן של הייצוא כדי לשלול כשל בקליטה לפני פתיחת פנייה לתמיכה.

מוכנות יומני ביקורת ואסטרטגיית ציות

קבלת יומני ביקורת אמינים ב-Microsoft 365 מתחילה הרבה לפני האירוע. ארגונים צריכים תוכנית שמכסה את מחזור החיים המלא: רישוי, שמירה, אוטומציה ואסטרטגיית ציות. כשלים רבים ביומנים נובעים מטעויות פשוטות, כמו מנויים שהושמטו, תפקידים שלא הוקצו או הגדרות מדיניות לא תואמות.

הקטע הזה מציג את כל הרכיבים המרכזיים: כמה זמן נשמרים היומנים (והיכן זה משתנה בין E3 ל-E5 ובין תוכניות ממשלתיות), אילו רשימות בדיקה מבטיחות הגדרה יציבה, וטיפים מעשיים לרישוי כדי להימנע מהפסקות שקטות. תלמדו גם כיצד Microsoft Purview ובקרות אבטחה קשורות, כמו DLP ותיוג רגישות, משתלבים בתמונת הציות הרחבה יותר.

בסביבת ענן שיתופית, הפעלה של יומן ביקורת אינה מספיקה בפני עצמה. בדיקות שוטפות, מדיניות אסטרטגית, והתאמת הפרטים הטכניים לסיכונים העסקיים והרגולטוריים שלכם הם מה שיוצר מוכנות אמיתית ובת קיימא. למידע נוסף על ההיבטים המורכבים יותר של ציות ותוכן מונע בינה מלאכותית, כדאי לקרוא את הפירוט הזה על סחיפת ציות נסתרת ואת ניהול Copilot באמצעות Purview – הם ימחישו מדוע לוחות בקרה יציבים הם רק חלק מהתמונה.

יסודות שמירת יומני ביקורת ורשימת בדיקה מעשית לביקורת ב-M365

• הקצו תפקידי ניהול נכונים: ודאו שכל תפקידי הביקורת, הציות והאבטחה הנדרשים מוקצים – כמו Compliance Administrator ו-Audit Logs – הן ב-Purview והן ב-Entra ID.
• בדקו דרישות רישוי: שמירת הביקורת הסטנדרטית היא 90 ימים ברוב הדיירים מסוג E3 (מסחריים). E5 או Audit Premium מאפשרים שמירה ממושכת (שנה ומעלה), איתותים טובים יותר וחלק מהאירועים בעלי הערך הגבוה. ודאו שלכל המשתמשים הזקוקים לכיסוי יש רישוי נכון – במיוחד לאחר שינויים או הטמעות של רישוי מבוסס קבוצות.
• הגדירו את הגדרות הביקורת ב-Purview: ודאו שרישום הביקורת מופעל במפורש וכולל את כל השירותים המרכזיים – Exchange, SharePoint, OneDrive, Teams וכל אפליקציה קריטית. אל תדלגו על הטמעת שירותים חדשים.
• בדקו מדיניות שמירה וייצוא: הגדירו שמירה בהתאם לדרישות העסקיות והרגולטוריות שלכם. היזהרו ממדיניות Purview מתנגשות או מעיכובי שמירה (retention holds) שעלולים ליצור אי-עקביות בין שירותים.
• בדקו ובחנו את הכיסוי באופן קבוע: הריצו חיפושי ביקורת לדוגמה, תעדו את חלון השמירה הצפוי, וייצאו יומנים לדוגמה מדי חודש כדי לוודא שהנתונים קיימים וזמינים כשצריך.
• שקלו תוספות ציות: בסביבות בסיכון גבוה, הרחיבו את הממשל באמצעות DLP, תוויות רגישות וסקירות קבועות של הגישה והבעלות, כדי למנוע פערים בביקורת ולאפשר תגובה אמיתית לאירועים.

פערים בכל אחד מהנושאים לעיל – וההנחה השגויה שהשמירה אינה אינסופית – הם הסיבה הנפוצה ביותר לכך שאירועים קריטיים חסרים בזמן החקירה. יישרו את רשימת הבדיקה שלכם לסיכונים המדויקים ולחובות הרגולטוריות שלכם, כדי להישאר מוכנים ומכוסים.

טיפים מתקדמים למיצוי ערכו של יומן הביקורת המאוחד

כשעובדים עם יומן הביקורת המאוחד של Microsoft 365, חיפושים שטחיים מסתכמים בגירוד קל של פני השטח. אם תרצו לתפוס הכול – במיוחד פעולות בתיבות דואר שמבצעים משתמשים או מנהלים – תצטרכו להפעיל את מסנני החיפוש המתקדמים. אל תהססו להשתמש ב-PowerShell: פקודות כמו Search-UnifiedAuditLog מאפשרות לחפור לפי משתמש, תאריך או פעילות, לדיוק מרבי.

כדאי גם לנצל את אפשרויות הייצוא. ייצוא קבוע של נתוני ביקורת לקובצי CSV יכול להקל מאוד על הצלבת יומנים עם ציר הזמן של אירוע. אם אתם מנסים לזהות מי מחק קובץ רגיש – או מתי מישהו העניק הרשאות תיבת דואר בלתי צפויות – הפרטים המיוצאים האלה הופכים לזהב טהור לבניית שרשרת ביקורת או דוחות אירועים.

שימו לב לפערים עדינים יותר ביומנים. רבים מפספסים כשלים ביומנים הקשורים לרישוי או למדיניות. הפכו להרגל לוודא כיסוי ביקורת עקבי, במיוחד לאחר שינויי רישוי או עדכונים גדולים. היזהרו מאירועים חסרים שייתכן שנגרמו מעיכובים או משינויים במדיניות הניהול – ולא רק מתקלה ביומן.

דעו מתי להסלים. אם בדקתם פעמיים את המסננים, אימתם את הרישוי והמדיניות, ועדיין אתם רואים פערים ביקורת שאינם מוסברים, זה לא הזמן להמשיך להיאבק בחושך. זה הרגע לסכם את הממצאים ולפתוח פנייה לתמיכה של Microsoft. לא פעם, מה שנראה כטעות משתמש מתברר כתקלה בצד השרת שרק הם יכולים לתקן.

כדאי גם להאזין לאלה

אם אתם חוקרים את Unified Audit Log not working, הפרקים האלה מוסיפים הקשר מעשי לממשל, אבטחה, אוטומציה ותפעול אמין של Microsoft 365.

• Microsoft Purview – Simply Explained — חיבור בין שמירה, ציות, ביקורת וממשל נתונים.
• Microsoft Teams Governance – Simply Explained — הבינו מדוע כללי בעלות ומחזור חיים חשובים לשיתוף פעולה.
• Microsoft Defender XDR – Simply Explained — קשרו בין אותות תפעוליים לזיהוי ולתגובה.
• Conditional Access – Simply Explained — הבינו את בקרות הזהות והסיכון שעומדות מאחורי גישה מאובטחת.

הפרקים האלה עוזרים להפוך את נושא המאמר להחלטות יישום מעשיות.