Aan de slag met Microsoft Purview-auditlogboeken

By Mirko Peters · 2026-08-28

Welkom terug bij de podcast-companion-blog! In de post van vandaag duiken we diep in de basismechanismen van het bijhouden en beoordelen van gebruikersacties binnen je c…

Automatically translated with AI from the original post. Read the English original

Welkom terug bij de podcast-companionblog! In deze post duiken we diep in de basismechanismen voor het bijhouden en beoordelen van gebruikersacties binnen je cloudomgeving. Als je je tenant wilt beveiligen, beveiligingsincidenten wilt onderzoeken en strikte naleving van regelgeving wilt waarborgen, dan is kennis van het Unified Audit Log onmisbaar. Wil je de volledige audiobespreking horen en ons uitgebreide gesprek over dit onderwerp beluisteren? Bekijk dan zeker onze bijbehorende podcastaflevering: Audit Microsoft 365 User Activity with Purview.

Naarmate organisaties steeds meer workloads naar de cloud migreren, wordt het beheren van zichtbaarheid van gebruikers- en beheerdersacties veel complexer. Zonder een gestructureerde auditstrategie vlieg je in feite blind tegen interne en externe beveiligingsdreigingen. Deze gids loopt je stap voor stap door de structurele handelingen die nodig zijn om je omgeving te verifiëren, de juiste governancerollen toe te wijzen en bruikbare inzichten te halen uit het Microsoft Purview-portaal.

Inleiding tot Microsoft Purview-auditlogboeken

Het monitoren van gebruikers- en beheerdersacties in een clouddomein is een essentieel onderdeel van elke moderne cybersecuritystrategie. Microsoft Purview fungeert als het centrale knooppunt voor compliance, governance en audits in je tenant. Het bundelt activiteitenregistraties uit Exchange Online, SharePoint, OneDrive, Microsoft Teams en Microsoft Entra ID in één doorzoekbare opslagplaats.

Door deze auditrecords goed te benutten, kunnen beheerders tijdlijnen reconstrueren tijdens beveiligingsonderzoeken, ongeautoriseerde configuratiewijzigingen opsporen en voldoen aan strenge compliancekaders zoals HIPAA, GDPR en PCI DSS. Of je nu eenvoudige aanmeldingen van gebruikers volgt of complexe datalekpatronen via deelkoppelingen van bestanden, Purview levert de diepgaande telemetrie die nodig is om veilig te blijven.

Auditvereisten: machtigingen en rollen

Machtigingen en rollen

Voordat je kunt beginnen met het zoeken naar beveiligingsafwijkingen of het opvragen van compliancerapporten, moet je ervoor zorgen dat de juiste administratieve grenzen en op rollen gebaseerd toegangsbeheer (RBAC) zijn ingericht. Niet elke beheerder heeft volledige toegang tot ruwe auditgegevens nodig; het toepassen van het principe van minimale rechten beschermt hier gevoelige bedrijfstelemetrie.

Door deze specifieke rollen toe te wijzen via het Microsoft Entra-beheercentrum of het Purview-compliance­portaal, krijgen je compliancemedewerkers en beveiligingsanalisten precies de toegang die ze nodig hebben om hun taken efficiënt uit te voeren.

Auditlogboekregistratie inschakelen

Hoewel veel moderne Microsoft 365-abonnementen standaard al audit hebben ingeschakeld, is het controleren van de auditstatus van je tenant altijd een verplichte eerste stap. Als audit is uitgeschakeld, heeft je organisatie geen enkel historisch spoor van gebruikersacties vlak voor een beveiligingsincident.

1. Controleer of je organisatie het juiste abonnementsniveau heeft (zoals Microsoft 365 E3 of E5) om de gewenste logdiepte te ondersteunen.
2. Bevestig dat het Unified Audit Log actief is, via Exchange Online PowerShell-opdrachten of door het Purview-portaal te controleren.
3. Wijs de benodigde rollen Audit Reader of Audit Administrator toe aan aangewezen beveiligingsmedewerkers.
4. Configureer geavanceerde functies zoals Microsoft Purview Audit (Premium) als je bedrijf langere logretentie en het vastleggen van waardevolle gebeurtenissen vereist.
5. Stel doorlopende verificatieroutines in om ervoor te zorgen dat de auditstatus niet per ongeluk wordt uitgeschakeld tijdens complexe tenantmigraties of overdrachten van beheertaken.

Auditlogboeken openen in het Purview-portaal

Navigeren door het Purview-portaal

Zodra je machtigingen zijn vastgelegd en audit actief is bevestigd, kun je de kernzoektools binnen de complianceinterface openen. Meld je aan bij het Microsoft Purview-compliance­portaal, zoek het navigatiepaneel aan de linkerkant en selecteer de oplossing Audit. Klik daarna op Zoeken om de parameterbouwer te openen.

Houd er rekening mee dat het na een gebeurtenis in je omgeving meestal tussen de 15 en 60 minuten duurt voordat die telemetrie volledig is opgenomen, geïndexeerd en beschikbaar is via de zoekfunctie in het portaal. Geduld is essentieel bij real-time incidentrespons.

Logs filteren en exporteren

Omdat enterprise-omgevingen dagelijks miljoenen telemetriegegevens genereren, is handmatig scrollen onmogelijk. Purview biedt gedetailleerde filtertools om je onderzoek gericht uit te voeren:

• Datum- en tijdbereik (UTC): Geef precieze tijdvensters op voor je onderzoek. Let op: standaard zoekvensters beslaan maximaal 180 dagen.
• Trefwoorden: Zoek naar specifieke tekenreeksen binnen de onderliggende JSON-payloads.
• Activiteiten (weergavenamen): Selecteer leesbare handelingen in plaats van ruwe namen van backendmethoden.
• Recordtypen: Beperk zoekopdrachten tot specifieke diensten, zoals downloads van SharePoint-bestanden of toegang tot Exchange-postvakken.

Als je diepgaander offline analyse nodig hebt, kun je je zoekresultaten exporteren naar een bestand met kommagescheiden waarden (.csv). Deze export bevat gedetailleerde gebeurtenisinformatie in de kolom AuditData als gestructureerde JSON-objecten. Die kun je vervolgens verwerken met tools zoals Power Query in Excel of externe SIEM-pipelines.

Auditlogs begrijpen en analyseren

Ruwe auditvermeldingen zijn rijke JSON-documenten met contextuele gegevens zoals client-IP-adressen, user agents, IDs van getroffen items en expliciete details over de handeling. Door deze logs te interpreteren, kunnen beveiligingsteams onschuldig gebruikersgedrag onderscheiden van kwaadwillende interne dreigingen.

Door deze activiteitencategorieën te bestuderen, kan je security operations center (SOC) subtiele patronen van datalekken, configuratiedrift of privilege-escalatie opsporen, lang voordat ze leiden tot een catastrofale datalek.

Auditbest practices: planning en compliance

Een veilige omgeving vraagt om proactief bestuur en niet alleen om reactieve logcontrole. Stel terugkerende schema's op om geprivilegieerde accounts te controleren, wijzigingen in lidmaatschappen van beheergroepen te beoordelen en geautomatiseerde waarschuwingsbeleidsregels te testen.

Door Purview-audittelemetrie te integreren met externe Security Information and Event Management (SIEM)-systemen via de Microsoft Graph Activity API's of Azure Event Hubs, kan je organisatie reacties automatiseren. Als een auditgebeurtenis bijvoorbeeld een waarschuwing activeert voor massaal verwijderen van bestanden, kan een gekoppelde Logic App automatisch sessies van gebruikers intrekken of een herstel van multifactorauthenticatie afdwingen.

Pas daarnaast robuuste privacymaatregelen toe. Zorg dat je bewaarbeleid voor logs een balans vindt tussen wettelijke en regelgevende compliance-eisen en de privacynormen van de organisatie, en gebruik waar passend mechanismen zoals automatisch verwijderen en pseudonimisering.

Problemen oplossen bij toegang en volledigheid van logs

Beheerders lopen bij het opvragen van logs of het controleren van de telemetriedekking regelmatig tegen knelpunten aan. Als je ontbrekende records of toegangsblokkades tegenkomt, doorloop dan deze systematische checklist voor probleemoplossing:

• Controleer de tenantauditing: Voer PowerShell-verificatiescripts uit om zeker te weten dat auditing niet is onderbroken.
• Valideer RBAC-toewijzingen: Zorg dat je gebruikersaccount de juiste rol Audit Reader of compliancebeheerrollen heeft.
• Controleer vertragingen bij opname: Houd er rekening mee dat tijdelijke wachtrijen voor opname in de backend korte hiaten in realtimezoekopdrachten kunnen veroorzaken.
• Bekijk de diagnostische instellingen: Bevestig dat je exportpijplijnen voor gegevens en diagnostische profielen correct zijn gekoppeld, zodat alle beoogde gebeurtenissen van de workloads worden vastgelegd.

Als problemen aanhouden, raadpleeg dan de officiële Microsoft-documentatie over probleemoplossing of voer gerichte programmatische query's uit via PowerShell om de ontbrekende recordsets te isoleren.

Conclusie

Het beheersen van het auditlogboek-ecosysteem van Microsoft Purview is essentieel voor elke cloudbeheerder of securityprofessional die zijn Microsoft 365-omgeving beter wil beveiligen. Van het begrijpen van basismachtigingen en het inschakelen van uniforme logging tot het beheersen van complexe JSON-exports en SIEM-integraties: jouw vermogen om gebruikersactiviteit te volgen bepaalt rechtstreeks het algehele beveiligingsniveau van je organisatie.

Wil je verder leren en praktijkvoorbeelden horen over het monitoren van gebruikers? Luister dan zeker naar onze volledige begeleidende aflevering, Audit Microsoft 365 User Activity with Purview. Door deze strenge auditpraktijken vandaag al toe te passen, bescherm je de bedrijfsmiddelen van je onderneming en houd je morgen onverminderd de compliance op orde.