Wprowadzenie do dzienników audytu w Microsoft Purview

By Mirko Peters · 2026-08-28

Witamy ponownie w blogu towarzyszącym podcastowi! We wpisie z dzisiaj zagłębiamy się w podstawowe mechanizmy śledzenia i przeglądania działań użytkowników w Twojej c…

Automatically translated with AI from the original post. Read the English original

Witaj ponownie w blogu towarzyszącym podcastowi! W dzisiejszym wpisie zagłębiamy się w podstawowe mechanizmy śledzenia i przeglądania działań użytkowników w Twoim środowisku chmurowym. Jeśli chcesz zabezpieczyć swoją dzierżawę, badać potencjalne incydenty bezpieczeństwa i zapewnić ścisłą zgodność z przepisami, zrozumienie Unified Audit Log jest absolutnie konieczne. Aby poznać pełne omówienie audio i posłuchać naszej całej dyskusji na ten temat, koniecznie zajrzyj do powiązanego odcinka podcastu, Audit Microsoft 365 User Activity with Purview.

W miarę jak organizacje coraz częściej przenoszą swoje obciążenia do chmury, zarządzanie widocznością działań użytkowników i administratorów staje się znacznie bardziej złożone. Bez ustrukturyzowanej strategii audytu jesteś w praktyce ślepy wobec zagrożeń bezpieczeństwa, zarówno wewnętrznych, jak i zewnętrznych. Ten przewodnik przeprowadzi Cię przez kolejne kroki niezbędne do weryfikacji środowiska, przydzielenia właściwych ról w zakresie nadzoru oraz wyciągnięcia użytecznych wniosków z portalu Microsoft Purview.

Wprowadzenie do dzienników audytu w Microsoft Purview

Monitorowanie działań użytkowników i administratorów w ekosystemie chmurowym jest kluczowym elementem każdej nowoczesnej postawy w zakresie cyberbezpieczeństwa. Microsoft Purview jest centralnym punktem zgodności, zarządzania i audytu w Twojej dzierżawie. Konsoliduje rekordy aktywności z Exchange Online, SharePoint, OneDrive, Microsoft Teams i Microsoft Entra ID w jednym, przeszukiwalnym repozytorium.

Zrozumienie, jak wykorzystywać te rekordy audytu, daje administratorom możliwość odtwarzania osi czasu podczas badań bezpieczeństwa, wychwytywania nieautoryzowanych zmian konfiguracji oraz spełniania rygorystycznych wymogów zgodności, takich jak HIPAA, RODO czy PCI DSS. Niezależnie od tego, czy śledzisz proste logowania użytkowników, czy złożone wzorce eksfiltracji danych za pośrednictwem linków do udostępniania plików, Purview zapewnia głęboką telemetrię potrzebną do utrzymania bezpieczeństwa.

Wymagania wstępne audytu: uprawnienia i role

Uprawnienia i role

Zanim zaczniesz szukać anomalii bezpieczeństwa lub generować raporty zgodności, musisz upewnić się, że ustanowione są odpowiednie granice administracyjne oraz kontrola dostępu oparta na rolach (RBAC). Nie każdy administrator potrzebuje pełnego dostępu do surowych danych audytu; egzekwowanie zasady najmniejszych uprawnień chroni tu wrażliwą telemetrię przedsiębiorstwa.

Przydzielanie tych konkretnych ról za pośrednictwem centrum administracyjnego Microsoft Entra lub portalu zgodności Purview gwarantuje, że pracownicy działu zgodności i analitycy bezpieczeństwa mają dokładnie taki dostęp, jakiego potrzebują, aby sprawnie wykonywać swoje obowiązki.

Włączanie rejestrowania audytu

Choć wiele nowoczesnych subskrypcji Microsoft 365 ma domyślnie włączony standardowy audyt, sprawdzenie stanu audytu w Twojej dzierżawie jest zawsze obowiązkowym pierwszym krokiem. Jeśli audyt jest wyłączony, Twoja organizacja nie będzie miała żadnego historycznego śladu działań użytkowników poprzedzających incydent bezpieczeństwa.

1. Sprawdź, czy Twoja organizacja posiada odpowiedni poziom subskrypcji (na przykład Microsoft 365 E3 lub E5), który obsługuje żądaną głębokość rejestrowania.
2. Potwierdź, że Unified Audit Log jest aktywny, korzystając z poleceń programu Exchange Online PowerShell lub sprawdzając portal Purview.
3. Przydziel niezbędne role Audit Reader lub Audit Administrator wyznaczonym pracownikom działu bezpieczeństwa.
4. Skonfiguruj zaawansowane funkcje, takie jak Microsoft Purview Audit (Premium), jeśli Twoje przedsiębiorstwo wymaga wydłużonego przechowywania dzienników i rejestrowania zdarzeń o wysokiej wartości.
5. Ustanów stałe procedury weryfikacji, aby upewnić się, że stan audytu nie zostanie przypadkowo wyłączony podczas złożonych migracji dzierżawy lub przekazywania obowiązków administracyjnych.

Dostęp do dzienników audytu w portalu Purview

Poruszanie się po portalu Purview

Gdy uprawnienia są już ustawione, a audyt potwierdzony jako aktywny, możesz uzyskać dostęp do podstawowych narzędzi wyszukiwania w interfejsie zgodności. Zaloguj się do portalu zgodności Microsoft Purview, znajdź lewy panel nawigacyjny i wybierz rozwiązanie Audit. Następnie kliknij „Search”, aby otworzyć kreator parametrów.

Pamiętaj, że gdy w Twoim środowisku wystąpi zdarzenie, zwykle upływa od 15 do 60 minut, zanim dane telemetryczne zostaną w pełni przetworzone, zindeksowane i udostępnione w wyszukiwarce portalu. W reagowaniu na incydenty w czasie rzeczywistym cierpliwość jest kluczowa.

Filtrowanie i eksportowanie dzienników

Ponieważ środowiska przedsiębiorstw generują codziennie miliony rekordów telemetrycznych, ręczne przeglądanie jest niemożliwe. Purview oferuje szczegółowe narzędzia filtrowania, które pozwalają precyzyjnie ukierunkować badanie:

• Zakres dat i godzin (UTC): Określ dokładne przedziały czasowe dla badania, pamiętając, że standardowe okna wyszukiwania obejmują do 180 dni.
• Słowa kluczowe: Wyszukuj określone ciągi znaków w bazowych ładunkach JSON.
• Działania (nazwy przyjazne dla użytkownika): Wybieraj czytelne dla człowieka operacje zamiast surowych nazw metod z warstwy zaplecza.
• Typy rekordów: Zawężaj wyszukiwania do konkretnych usług, na przykład pobierania plików w SharePoint lub dostępu do skrzynek pocztowych w Exchange.

Gdy potrzebna jest głębsza analiza offline, wyniki wyszukiwania można wyeksportować do pliku z wartościami rozdzielonymi przecinkami (.csv). Eksport ten zawiera szczegółowe informacje o zdarzeniach w kolumnie AuditData jako ustrukturyzowane obiekty JSON, które następnie można przetwarzać narzędziami takimi jak Power Query w Excelu lub zewnętrznymi potokami SIEM.

Rozumienie i analiza dzienników audytu

Surowe wpisy audytu to bogate dokumenty JSON, zawierające dane kontekstowe, takie jak adresy IP klientów, agenty użytkownika, identyfikatory dotkniętych elementów oraz szczegóły operacji. Interpretacja tych dzienników pozwala zespołom bezpieczeństwa odróżnić nieszkodliwe zachowania użytkowników od złośliwych zagrożeń wewnętrznych.

Analizując te kategorie działań, Centrum operacji bezpieczeństwa (SOC) może wcześnie wychwycić subtelne wzorce eksfiltracji danych, dryfu konfiguracji lub eskalacji uprawnień, zanim doprowadzą one do katastrofalnego naruszenia danych.

Najlepsze praktyki audytu: harmonogramowanie i zgodność

Utrzymanie bezpiecznego środowiska wymaga proaktywnego zarządzania, a nie wyłącznie reaktywnego przeglądu dzienników. Ustal cykliczne harmonogramy audytu kont uprzywilejowanych, przeglądu zmian w członkostwie grup administracyjnych oraz testowania zautomatyzowanych zasad alertów.

Integracja telemetrii audytu Purview z zewnętrznymi systemami SIEM (Security Information and Event Management) za pośrednictwem interfejsów Microsoft Graph Activity API lub Azure Event Hubs pozwala organizacji automatyzować reakcje. Na przykład, jeśli zdarzenie audytu wygeneruje alert o masowym usuwaniu plików, połączona aplikacja Logic App może automatycznie unieważnić sesje użytkownika lub wymusić ponowne skonfigurowanie uwierzytelniania wieloskładnikowego.

Ponadto zastosuj solidne mechanizmy ochrony prywatności. Dopilnuj, aby zasady przechowywania dzienników równoważyły wymogi prawne i regulacyjne ze standardami prywatności danych organizacji, wykorzystując tam, gdzie to właściwe, narzędzia takie jak automatyczne usuwanie i pseudonimizacja.

Rozwiązywanie problemów z dostępem i kompletnością dzienników

Administratorzy często napotykają trudności podczas wykonywania zapytań do dzienników lub weryfikacji pokrycia telemetrycznego. Jeśli zauważysz brakujące rekordy lub blokady dostępu, przejdź systematycznie przez poniższą listę kontrolną rozwiązywania problemów:

• Sprawdź audytowanie dzierżawy: Uruchom skrypty weryfikacyjne PowerShell, aby upewnić się, że audytowanie nie zostało wyłączone.
• Zweryfikuj przypisania RBAC: Upewnij się, że Twoje konto użytkownika ma odpowiednie role Audit Reader lub administracyjne role zgodności.
• Sprawdź opóźnienia pozyskiwania danych: Pamiętaj, że tymczasowe kolejki pozyskiwania danych w warstwie zaplecza mogą powodować krótkie luki w wyszukiwaniach w czasie rzeczywistym.
• Przejrzyj ustawienia diagnostyczne: Potwierdź, że potoki eksportu danych i profile diagnostyczne są poprawnie zmapowane, aby rejestrować wszystkie zamierzone zdarzenia z obciążeń.

Jeśli problemy nadal występują, skonsultuj oficjalną dokumentację Microsoft dotyczącą rozwiązywania problemów lub wykonaj ukierunkowane zapytania programowe przez PowerShell, aby zidentyfikować brakujące zestawy rekordów.

Podsumowanie

Opanowanie ekosystemu dziennika audytu Microsoft Purview to niezbędny etap dla każdego administratora chmury i specjalisty ds. bezpieczeństwa, który chce wzmocnić środowisko Microsoft 365. Od zrozumienia podstawowych uprawnień i włączenia ujednoliconego rejestrowania, po opanowanie złożonych eksportów JSON i integracji z systemami SIEM – Twoja zdolność śledzenia aktywności użytkowników bezpośrednio decyduje o ogólnej dojrzałości bezpieczeństwa Twojej organizacji.

Aby poszerzyć wiedzę i poznać praktyczne, rzeczywiste scenariusze dotyczące monitorowania użytkowników, koniecznie posłuchaj naszego kompletnego odcinka towarzyszącego: Audit Microsoft 365 User Activity with Purview. Wdrożenie tych rygorystycznych praktyk audytowych już dziś ochroni zasoby Twojego przedsiębiorstwa i zapewni niezachwianą zgodność z przepisami w przyszłości.