Unified Audit Log Tidak Berfungsi

By Mirko Peters · 2026-04-23 · Updated 2026-07-18

Pecahkan masalah Unified Audit Log yang tidak berfungsi di Microsoft 365 dengan memeriksa auditing, izin, filter pencarian, lisensi, dan penundaan.

Automatically translated with AI from the original post. Read the English original

Tidak ada yang lebih memicu kepanikan di bidang TI selain membuka audit Microsoft 365 dan ternyata tidak ada apa-apa. Unified Audit Log seharusnya memberi Anda gambaran lengkap tentang aktivitas pengguna dan admin, yang penting untuk penanganan insiden, kepatuhan, dan tentu saja ketenangan pikiran. Ketika data hilang, pencarian menolak berjalan, atau tombol ekspor terlihat macet selamanya, seluruh proses keamanan Anda bisa terhenti.

Panduan ini membahas alasan utama mengapa unified audit log bisa bermasalah, mulai dari izin yang hilang, data yang terlambat, hingga pembaruan Microsoft yang tidak terlihat. Anda akan menemukan langkah-langkah praktis untuk memulihkan semuanya, serta tips untuk menghindari kejutan di kemudian hari. Kami juga membahas masalah yang jarang dibicarakan, seperti celah lisensi, konflik konfigurasi, dan penundaan pemrosesan latar belakang yang tampak seperti kegagalan sungguhan. Di akhir panduan, Anda tidak hanya tahu cara memperbaiki masalah audit, tetapi juga cara menjaga log Anda tetap andal seperti kopi pagi Anda.

Mengaktifkan Pencatatan Audit di Seluruh Aplikasi Microsoft 365

Mengaktifkan pencatatan audit di Exchange Online, SharePoint, OneDrive, dan Teams adalah langkah pertama, dan sering kali paling diabaikan, untuk mendapatkan data audit terpadu yang andal dari Microsoft 365. Anda perlu melakukannya di portal kepatuhan Microsoft 365, yang kini bernama Microsoft Purview di sebagian besar organisasi.

Untuk penyewa komersial, buka portal Microsoft Purview, pilih "Audit", dan pastikan pencatatan audit memang sudah aktif. Percaya atau tidak, pengaturan ini tidak selalu aktif secara otomatis, bahkan untuk penyewa yang baru. Jika Anda menggunakan portal kepatuhan klasik atau berada di penyewa pemerintah (GCC atau DOD), tampilannya mungkin sedikit berbeda, tetapi pengaturannya biasanya berada di lokasi serupa, di bawah "Search" atau "Audit log search".

Saat mengaktifkan pencatatan audit terpadu, jangan beranggapan bahwa "default" berarti "selesai". Aplikasi Microsoft 365 yang baru terkadang memerlukan pengaktifan ulang agar cakupan audit menjadi lengkap. Misalnya, Teams atau situs SharePoint baru mungkin belum sepenuhnya tercakup jika layanan yang mendasarinya diaktifkan belakangan. Selalu periksa status pencatatan setelah Anda mengonboard layanan baru.

Ingat, beberapa lingkungan membutuhkan beberapa langkah agar pencatatannya lengkap. Mengaudit aktivitas pengguna dengan Microsoft Purview dapat membantu Anda melihat tingkatan yang Anda miliki (Audit Standard vs. Premium), apa yang dicatat, dan cara memastikan setiap beban kerja cloud tercakup. Melewatkan verifikasi adalah alasan nomor 1 log tidak tersedia ketika Anda paling membutuhkannya.

Izin Alat Audit dan Mengakses Portal Kepatuhan

Log audit yang berfungsi tidak hanya soal menyalakan saklar yang tepat. Banyak hal bergantung pada peran Anda di dunia Microsoft 365. Untuk mengakses dan mencari log audit, admin memerlukan rangkaian izin yang tepat yang ditetapkan melalui Microsoft Purview atau Security & Compliance Center.

Peran yang wajib dimiliki biasanya adalah Compliance Administrator, Audit Logs, atau Security Reader. Peran ini diberikan melalui grup peran di portal Microsoft Purview (atau kadang melalui Entra ID). Jika Anda mencoba menarik log dan ada yang rusak atau tampak abu-abu (tidak dapat dipilih), periksa kembali bahwa akun Anda benar-benar menjadi bagian dari grup yang tepat, dan bahwa perubahan terbaru sudah punya waktu untuk disinkronkan di backend Microsoft 365.

Kesalahan yang umum? Menempatkan orang ke grup yang salah (misalnya Global Reader alih-alih Compliance Administrator), mengandalkan peran Entra ID tetapi melewatkan pengaturan Purview, atau tidak menyadari bahwa beberapa perubahan akses bisa memakan waktu hingga 24 jam untuk aktif. Penetapan peran yang tidak konsisten, atau penggunaan akun admin break-glass yang melewati tinjauan manual, juga dapat menyebabkan alat audit tidak berfungsi sebagaimana mestinya.

Pengelolaan akses audit yang baik bukan hanya soal membuka pintu, tetapi juga tentang tata kelola yang baik, menghapus pengguna yang tidak lagi aktif, dan tinjauan akses secara berkala. Hal ini dijelaskan secara mendalam dalam panduan tata kelola dan akses data Microsoft 365 ini. Menjaga izin tetap ketat membantu Anda menghindari celah audit yang tidak disengaja sekaligus memastikan Anda tetap patuh terhadap kebijakan keamanan Anda sendiri.

Memecahkan Masalah Kegagalan Unified Audit Log di Microsoft 365

Ketika unified audit log terasa bermasalah, misalnya pencarian kosong, catatan yang hilang, atau opsi ekspor yang tidak berfungsi dengan baik, biasanya itu gejala dari masalah yang lebih mendasar pada konfigurasi, lisensi, atau keterlambatan di sisi backend. Masalah-masalah ini bisa terlihat mirip, tetapi penyebab dan solusinya sering kali sangat berbeda.

Sebelum menghubungi dukungan atau melakukan eskalasi, ada baiknya Anda memahami seperti apa kondisi "normal" dan langkah pemecahan masalah mana yang dapat memastikan apakah Anda menghadapi peristiwa yang hilang, rentang waktu yang salah, izin yang kurang, atau batasan yang ditetapkan Microsoft. Terkadang masalahnya sesederhana keterlambatan ingest, sementara di waktu lain masalahnya adalah isu lisensi yang halus atau perubahan kebijakan yang luput dari perhatian.

Pada bagian-bagian berikutnya, Anda akan menemukan panduan praktis untuk mendiagnosis celah data, memeriksa kelengkapan log, mengatasi keunikan PowerShell dan ekspor, serta memfilter hasil untuk analisis di dunia nyata. Jika Anda memahami langkah-langkah ini, Anda akan jauh lebih cepat mengenali, lalu mengatasi, kegagalan audit log yang paling umum maupun yang paling rumit.

Keandalan dan Kelengkapan: Mengatasi Catatan Audit yang Hilang atau Tidak Lengkap

• Periksa kebijakan retensi dan lisensi: Celah data sering muncul jika lisensi M365 Anda tidak mendukung retensi yang diperpanjang (hanya E5 atau Premium) atau jika lisensi pengguna baru saja diubah. Selalu pastikan Anda memiliki tingkat lisensi yang tepat untuk catatan dan rentang waktu yang Anda butuhkan.
• Tinjau keterlambatan ingest: Audit log tidak bersifat real-time. Ada keterlambatan bawaan mulai dari 15 menit hingga beberapa jam, atau dalam kasus jarang, bahkan lebih lama pada akhir pekan atau saat terjadi gangguan layanan Microsoft. Keterlambatan ini dapat membuat log tampak hilang, padahal sebenarnya hanya terlambat muncul.
• Identifikasi throttling dan pembatasan ekspor: Penyewa berskala besar dapat mengalami throttling, terutama jika ekspor atau pencarian audit berjalan dengan volume tinggi. Beberapa aktivitas mungkin terlewat atau muncul dengan penundaan jika Anda mencapai batas rate limit atau batas sesi.
• Saring hasil positif palsu: Pastikan filter pengguna, tanggal, atau aktivitas tidak terlalu ketat atau salah konfigurasi. Mencari dalam rentang waktu yang terlalu sempit, memilih pengguna atau grup yang salah, atau menyaring "event noise" yang sebenarnya tidak berbahaya dapat membuat kondisi terlihat lebih rusak daripada yang sebenarnya.
• Periksa masalah konfigurasi di seluruh penyewa: Terkadang, pengaturan penyewa terkait akses bersyarat, izin service principal, atau bahkan kebijakan hold kepatuhan dapat mengganggu pembuatan event audit. Tinjau konfigurasi dan pembaruan keamanan terbaru untuk menyingkirkan penyebab tersembunyi.

Menggunakan Cmdlet Search-UnifiedAuditLog di Microsoft PowerShell

Cmdlet Search-UnifiedAuditLog di PowerShell merupakan alat yang ampuh untuk troubleshooting tingkat lanjut, karena memungkinkan Anda melewati portal web dan langsung mengkueri unified audit log di seluruh Microsoft 365. Alat ini sangat berguna untuk ekspor massal, pemeriksaan rentang data yang besar, atau otomatisasi investigasi yang berulang.

Tugas admin yang umum meliputi pencarian berdasarkan tanggal, pengguna, atau aktivitas, serta ekspor hasil untuk analisis yang lebih mendalam. Hanya saja, waspadai batasan yang sudah diketahui, seperti batas ekspor 50.000 catatan atau throttling jika Anda menjalankan pencarian besar secara berulang. Pesan kesalahan di sini dapat membantu Anda menentukan apakah masalahnya ada di backend, di portal, atau hanya terkait batas skala pada sesi Anda.

Meski potensi otomatisasinya besar, beberapa sumber, seperti panduan mendalam PowerShell governance, mungkin akan mengarahkan Anda ke materi lain jika kontennya dipindahkan. Namun, dokumentasi resmi dan forum tetap sangat berharga untuk opsi cmdlet terbaru serta hal-hal yang perlu diwaspadai.

Memfilter berdasarkan Tanggal, Pengguna, dan Melihat Detail Saat Mengekspor Log

• Filter berdasarkan rentang tanggal: Selalu tentukan jendela waktu yang spesifik, misalnya seminggu atau beberapa hari, untuk membatasi hasil pencarian dan mengurangi noise. Pencarian tanggal yang terlalu lebar sering kali melewatkan event atau membebani fungsi ekspor.
• Targetkan pengguna atau jenis aktivitas: Gunakan user principal name atau kata kunci aktivitas untuk memastikan Anda hanya mengambil event yang relevan. Cara ini menghemat waktu tunggu yang lama dan mengurangi kemungkinan mencapai batas ukuran pada ekspor.
• Pratinjau detail event sebelum ekspor: Membuka satu entri log sebelum melakukan ekspor massal memungkinkan Anda memastikan event sudah tercatat sebagaimana mestinya, dengan metadata yang benar.
• Ekspor dalam batch yang mudah dikelola: Untuk audit yang lebih besar, pecah ekspor menjadi interval yang lebih kecil dan saling tumpang tindih untuk menghindari timeout atau file CSV yang tidak lengkap.

Menjalankan Pencarian Audit dan Mengekspor Data Audit Terpadu

Untuk menjalankan pencarian audit Microsoft 365, buka portal Microsoft Purview lalu pilih bagian Audit. Tentukan rentang tanggal, pengguna, dan jenis aktivitas untuk menyusun kueri Anda. Hindari pencarian untuk semua pengguna atau seluruh penyewa kecuali benar-benar diperlukan, karena pencarian seperti ini dapat membebani antarmuka dan mesin ekspor.

Setelah hasil muncul, Anda dapat melihat pratinjau atau mengekspornya ke file CSV dari portal web. Perlu diingat: hasil yang sangat besar bisa gagal atau kehabisan waktu, jadi jaga agar kueri tetap terarah. Jika muncul kesalahan saat ekspor, coba gunakan rentang tanggal yang lebih kecil, atau gunakan PowerShell untuk mengambil log audit secara bertahap.

Selalu periksa kelengkapan file ekspor Anda, baik dari sisi kolom maupun rentang waktu, sebelum mengandalkannya dalam investigasi.

Latensi Log Audit Terpadu dan Masalah Keterlambatan Data

Salah satu penyebab "hilangnya" data audit yang paling sering terabaikan? Keterlambatan biasa. Log audit tidak selalu real-time, dan Microsoft memproses peristiwa aktivitas dalam batch, sehingga entri log yang sebenarnya kadang baru muncul jauh setelah tindakan pengguna terjadi.

Hal ini bisa memicu tiket dukungan yang panik dan waktu troubleshooting yang terbuang ketika log hanya lambat, bukan rusak. Sangat penting untuk memahami jadwal ingesti yang lazim dan cara membedakan keterlambatan log yang normal dari kehilangan data atau kesalahan sistem yang sebenarnya. Bagian ini membahas cara kerja keterlambatan tersebut dan cara melacak peristiwa mana yang benar-benar hilang (dibandingkan dengan yang hanya tertunda).

Memahami Keterlambatan Pemrosesan Log Audit yang Normal dan Tidak Normal

Log audit terpadu Microsoft 365 umumnya memproses tindakan pengguna dan admin dalam waktu 15 menit hingga satu jam, tetapi bukan hal yang tidak biasa jika terjadi keterlambatan hingga 24 jam, terutama selama pemeliharaan layanan, gangguan regional, atau untuk peristiwa tertentu yang berprioritas rendah.

SLA resmi Microsoft menetapkan batas atas ketersediaan log pada 24 jam dalam kondisi normal, yang berarti keterlambatan yang lebih singkat masih dalam batas yang diharapkan. Jika peristiwa audit tidak muncul lebih lama dari itu, atau beberapa jenis aktivitas tertunda melebihi batas normal, di situlah Anda sebaiknya mulai menyelidiki lebih lanjut.

Perlu diketahui bahwa beberapa layanan (seperti aktivitas Teams atau aplikasi pihak ketiga) mungkin mengelompokkan log mereka secara berbeda dibandingkan SharePoint atau Exchange. Selalu periksa pengumuman terkini dari Microsoft sebelum mengasumsikan adanya kegagalan log sistemik.

Cara Memantau dan Memastikan Kelengkapan Data Log dari Waktu ke Waktu

• Tentukan aktivitas dasar yang diharapkan: Identifikasi tindakan pengguna yang sudah diketahui (misalnya login kotak surat atau unggah file), catat waktunya, lalu periksa berapa lama peristiwa audit yang sesuai muncul.
• Gunakan skrip PowerShell: Otomatiskan pemeriksaan harian dengan skrip terjadwal yang mengambil entri log terbaru, membandingkan stempel waktu, dan menandai anomali, sehingga Anda tidak hanya mengandalkan pemeriksaan manual.
• Lacak backlog selama beberapa hari: Jika sebuah item log hilang, periksa kembali 24 dan 48 jam kemudian. Terkadang keterlambatan teratasi dengan sendirinya, dan pola kekosongan yang terus berulang dapat menunjukkan hambatan di sisi backend.
• Cocokkan dengan laporan pengguna: Jika pengguna menyatakan aktivitas penting tidak tercatat dalam audit, bandingkan tanggal aktivitas mereka dengan stempel waktu ekspor untuk memastikan tidak ada ingesti yang terlewat sebelum membuka kasus dukungan.

Kesiapan Log Audit dan Strategi Kepatuhan

Mendapatkan log audit yang andal di Microsoft 365 dimulai jauh sebelum terjadi insiden. Organisasi membutuhkan rencana yang mencakup seluruh siklus hidup: lisensi, retensi, otomatisasi, dan strategi kepatuhan. Banyak kegagalan log berasal dari kesalahan sederhana, seperti langganan yang terlewat, peran yang belum ditetapkan, atau pengaturan kebijakan yang tidak sesuai.

Bagian ini memperkenalkan semua komponen utama: berapa lama log Anda disimpan (dan bagaimana hal itu berbeda antara E3 dan E5 serta paket pemerintah), daftar periksa apa saja yang memastikan penyiapan Anda kokoh, serta tips lisensi praktis untuk menghindari gangguan yang tidak terdeteksi. Anda juga akan mempelajari bagaimana Microsoft Purview dan kontrol keamanan terkait, seperti DLP dan pelabelan sensitivitas, berperan dalam gambaran kepatuhan yang lebih besar.

Dengan kolaborasi cloud, sekadar mengaktifkan log audit belum cukup. Kesiapan yang nyata dan berkelanjutan justru lahir dari tinjauan rutin, kebijakan strategis, dan penyesuaian detail teknis dengan risiko bisnis serta regulasi Anda. Untuk pembahasan lebih lanjut tentang aspek kepatuhan yang lebih rumit dan konten yang digerakkan AI, lihat ulasan tentang hidden compliance drift dan cara mengatur Copilot dengan Purview. Keduanya akan menunjukkan mengapa dasbor yang stabil hanyalah sebagian dari gambaran.

Dasar-Dasar Retensi untuk Log Audit dan Daftar Periksa Audit M365 yang Praktis

• Tetapkan peran admin yang tepat: Pastikan semua peran audit, kepatuhan, dan keamanan yang diperlukan sudah ditetapkan, misalnya Compliance Administrator dan Audit Logs, di Purview maupun Entra ID.
• Verifikasi persyaratan lisensi: Retensi audit standar adalah 90 hari untuk sebagian besar penyewa E3 (komersial). E5 atau Audit Premium membuka retensi yang lebih panjang (1 tahun atau lebih), sinyal yang lebih baik, serta beberapa peristiwa bernilai tinggi. Periksa ulang bahwa semua pengguna yang memerlukan cakupan sudah memiliki lisensi yang benar, terutama setelah perubahan atau penerapan lisensi berbasis grup.
• Konfigurasikan pengaturan audit Purview: Pastikan pencatatan audit diaktifkan secara eksplisit dan mencakup semua layanan inti, yaitu Exchange, SharePoint, OneDrive, Teams, serta aplikasi kritis lainnya. Jangan lewatkan proses onboarding layanan baru.
• Periksa kebijakan retensi dan ekspor: Atur retensi sesuai dengan persyaratan bisnis dan regulasi Anda. Waspadai kebijakan Purview yang saling bertentangan atau retention hold yang dapat menimbulkan ketidakkonsistenan lintas layanan.
• Uji dan tinjau cakupan secara rutin: Jalankan pencarian audit contoh, dokumentasikan jendela retensi yang diharapkan, dan ekspor log contoh setiap bulan untuk memastikan data tersedia dan dapat diakses saat dibutuhkan.
• Pertimbangkan tambahan kepatuhan: Untuk lingkungan berisiko tinggi, perkuat tata kelola dengan DLP, label sensitivitas, dan tinjauan akses serta kepemilikan secara berkala untuk mencegah celah audit dan memungkinkan respons insiden yang efektif.

Celah pada salah satu hal di atas, serta anggapan bahwa retensi tidak terbatas, merupakan penyebab paling umum mengapa peristiwa penting tidak ditemukan saat waktu investigasi tiba. Selaraskan daftar periksa Anda dengan risiko dan kewajiban regulasi yang spesifik agar tetap siap dan terlindungi.

Tips Lanjutan untuk Memaksimalkan Nilai Unified Audit Log

Saat bekerja dengan unified audit log Microsoft 365, pencarian dangkal hanya akan menggores permukaan. Jika Anda ingin menangkap semuanya, terutama tindakan pada kotak surat yang dilakukan oleh pengguna atau admin, Anda perlu memanfaatkan filter pencarian lanjutan. Jangan ragu menggunakan PowerShell. Perintah seperti Search-UnifiedAuditLog memungkinkan Anda menelusuri berdasarkan pengguna, tanggal, atau aktivitas dengan akurasi tinggi.

Manfaatkan juga opsi ekspor. Mengekspor data audit secara berkala ke file CSV memudahkan pencocokan log dengan linimasa insiden. Jika Anda ingin mengetahui siapa yang menghapus file sensitif atau kapan seseorang memberikan izin kotak surat yang tidak terduga, detail hasil ekspor ini sangat berharga untuk menyusun jejak audit atau laporan insiden.

Waspadai celah yang lebih halus pada log Anda. Banyak orang luput mengenali kegagalan log yang berkaitan dengan lisensi atau kebijakan. Jadikan kebiasaan untuk memverifikasi cakupan audit yang konsisten, terutama setelah perubahan lisensi atau pembaruan besar. Berhati-hatilah terhadap peristiwa yang hilang yang mungkin sebenarnya disebabkan oleh penundaan atau perubahan kebijakan admin, bukan karena log yang bermasalah.

Ketahui kapan harus meningkatkan eskalasi. Jika Anda sudah memeriksa ulang filter, memvalidasi lisensi dan kebijakan, dan masih menemukan celah audit yang tidak dapat dijelaskan, itu bukan waktunya untuk terus berjuang dalam kegelapan. Saat itulah Anda sebaiknya menyusun temuan dan membuka kasus dukungan dengan Microsoft. Terkadang, yang tampak seperti kesalahan pengguna ternyata merupakan masalah di sisi backend yang hanya bisa diperbaiki oleh Microsoft.

Anda Juga Sebaiknya Mendengarkan

Jika Anda sedang menjajaki Unified Audit Log not working, episode-episode berikut menambahkan konteks praktis untuk tata kelola, keamanan, otomatisasi, dan operasi Microsoft 365 yang andal.

• Microsoft Purview – Simply Explained — Menghubungkan retensi, kepatuhan, audit, dan tata kelola data.
• Microsoft Teams Governance – Simply Explained — Pelajari mengapa kepemilikan dan aturan siklus hidup penting untuk kolaborasi.
• Microsoft Defender XDR – Simply Explained — Hubungkan sinyal operasional dengan deteksi dan respons.
• Conditional Access – Simply Explained — Pahami kontrol identitas dan risiko di balik akses yang aman.

Episode-episode ini membantu mengubah topik artikel menjadi keputusan implementasi yang praktis.