Unified Audit Log не работает

By Mirko Peters · 2026-04-23 · Updated 2026-07-18

Устранение неполадок с Unified Audit Log в Microsoft 365: проверка аудита, разрешений, фильтров поиска, лицензирования и задержек.

Automatically translated with AI from the original post. Read the English original

Ничто в IT не выводит из себя так, как открытие аудита Microsoft 365, когда ничего не происходит… Unified Audit Log должен давать полную картину активности пользователей и администраторов, и без него не обойтись при реагировании на инциденты, в вопросах соответствия требованиям и просто для спокойствия. Когда данных нет, поиск не работает или кнопка экспорта намертво зависла, весь процесс безопасности может встать.

В этом руководстве разбираются основные причины, по которым unified audit log может работать некорректно: от отсутствующих разрешений до задержек в данных и даже скрытых обновлений Microsoft. Вы найдёте конкретные шаги, как вернуть всё в норму, а также советы, как избежать неприятных сюрпризов в будущем. Мы также рассмотрим проблемы, о которых обычно не пишут: пробелы в лицензировании, конфликты конфигурации и задержки фоновой обработки, которые выглядят как настоящие сбои. В итоге вы будете знать не только как исправить проблемы с аудитом, но и как сделать так, чтобы ваши логи были так же надёжны, как утренний кофе.

Включение журналирования аудита в приложениях Microsoft 365

Включение журналирования аудита для Exchange Online, SharePoint, OneDrive и Teams — это первый и зачастую самый упускаемый из виду шаг на пути к надёжным данным унифицированного аудита Microsoft 365. Сделать это нужно в портале соответствия требованиям Microsoft 365, который для большинства организаций теперь называется Microsoft Purview.

Для коммерческих клиентов откройте портал Microsoft Purview, перейдите в раздел «Аудит» и убедитесь, что журналирование аудита действительно включено. Как ни странно, оно не всегда включается автоматически, даже в новых клиентах. Если вы используете классический портал соответствия требованиям или работаете в государственном клиенте (GCC или DOD), интерфейс может немного отличаться, но настройки находятся в похожем месте, в разделе «Поиск» или «Поиск в журнале аудита».

Включая unified audit logging, не считайте, что «по умолчанию» означает «готово». Новым приложениям Microsoft 365 иногда требуется повторное включение для полного охвата аудитом. Например, Teams или новые сайты SharePoint могут не быть полностью охвачены, если базовые службы были подключены позже. Всегда разумно проверять состояние журналирования после подключения новых сервисов.

Помните: в некоторых средах для полноты требуется несколько шагов. Аудит действий пользователей с Microsoft Purview поможет понять, какие уровни у вас есть (Audit Standard или Premium), что именно журналируется и как убедиться, что охвачена каждая облачная рабочая нагрузка. Пропуск проверки — это причина №1, по которой логи отсутствуют именно тогда, когда они нужнее всего.

Разрешения для инструментов аудита и доступ к порталу соответствия требованиям

Работающий журнал аудита — это не только правильно переключённые настройки; многое зависит от того, какую роль вы играете в мире Microsoft 365. Чтобы получать доступ к журналам аудита и выполнять их поиск, администраторам нужны правильные разрешения, назначенные через Microsoft Purview или Security & Compliance Center.

Обязательными обычно являются роли Compliance Administrator, Audit Logs или Security Reader. Они назначаются через группы ролей в портале Microsoft Purview (или иногда в Entra ID). Если при попытке получить журналы что-то не работает или недоступно, перепроверьте, что ваша учётная запись действительно входит в нужную группу, и что недавние изменения успели синхронизироваться во внутренней инфраструктуре Microsoft 365.

Типичные ошибки? Назначение людей в неправильную группу (например, Global Reader вместо Compliance Administrator), опора на роли Entra ID без настройки Purview или непонимание того, что изменения доступа могут вступать в силу до 24 часов. Непоследовательные назначения ролей или использование аварийных административных учётных записей, которые обходят ручные проверки, также могут привести к тому, что инструменты аудита работают не так, как ожидается.

Грамотное управление доступом к аудиту — это не только открытие дверей, но и хорошее управление, удаление неактуальных пользователей и регулярные проверки доступа. Это подробно описано в этом руководстве по доступу к данным и управлению в Microsoft 365. Ужесточение разрешений помогает избежать случайных пробелов в аудите и гарантирует, что вы соблюдаете собственные политики безопасности.

Устранение сбоев Unified Audit Log в Microsoft 365

Когда единый журнал аудита ведёт себя ненадёжно (пустые результаты поиска, пропавшие записи, сбои при экспорте), обычно это признак более глубокой проблемы в конфигурации, лицензировании или задержках на стороне бэкенда. Эти проблемы могут выглядеть очень похоже, но их первопричины и решения часто существенно различаются.

Прежде чем обращаться в поддержку или эскалировать вопрос, полезно понять, как выглядит «нормальная» работа журнала, и знать, какие шаги диагностики помогут определить, что именно происходит: пропавшие события, неверный временной диапазон, нехватка разрешений или ограничения, установленные Microsoft. Иногда всё объясняется простой задержкой приёма данных, а в других случаях причиной становится незаметное проблемное лицензирование или изменение политики, которое прошло мимо внимания.

В следующих разделах вы найдёте практические рекомендации по диагностике пробелов, проверке полноты журнала, обходу особенностей PowerShell и экспорта, а также по фильтрации результатов для реального анализа. Освоив эти шаги, вы быстрее будете распознавать самые распространённые и самые сложные сбои журнала аудита и устранять их.

Надёжность и полнота: устранение пропущенных или неполных записей аудита

• Проверьте политику хранения и лицензирование: Пробелы в данных часто возникают, если ваши лицензии Microsoft 365 не поддерживают расширенное хранение (только E5 или Premium), либо если лицензия пользователя недавно изменилась. Всегда проверяйте, что у вас есть нужный уровень лицензии для записей и периода, которые вам нужны.
• Учитывайте задержки приёма данных: Журналы аудита не работают в режиме реального времени. Встроенная задержка может составлять от 15 минут до нескольких часов, а в редких случаях и дольше, например по выходным или во время сбоев в работе сервисов Microsoft. Из-за этой задержки записи могут казаться отсутствующими, хотя на самом деле они просто ещё не появились.
• Выявите ограничения пропускной способности и экспорта: В больших клиентах может возникать ограничение пропускной способности (throttling), особенно если экспорт или поиск в журнале аудита выполняются с высокой нагрузкой. Некоторые действия могут быть пропущены или появиться с задержкой, если вы упираетесь в ограничения частоты запросов или лимиты сеансов.
• Отсейте ложные срабатывания: Убедитесь, что фильтры по пользователю, дате или активности не слишком узкие и не настроены неверно. Слишком узкий временной интервал, выбор не того пользователя или группы, а также отфильтрованные «шумовые» события могут создать впечатление, что всё сломано сильнее, чем есть на самом деле.
• Проверьте общесистемные проблемы конфигурации клиента: Иногда на создание событий аудита могут влиять параметры условного доступа, разрешения субъектов-служб или даже политики юридического хранения. Просмотрите недавние изменения конфигурации и обновления безопасности, чтобы исключить скрытые причины.

Использование командлета Search-UnifiedAuditLog в Microsoft PowerShell

Cmdlet Search-UnifiedAuditLog в PowerShell — мощный инструмент для углублённой диагностики: он позволяет обойти веб-портал и напрямую запрашивать единый журнал аудита во всём Microsoft 365. Особенно он полезен для массового экспорта, проверки больших диапазонов данных и автоматизации регулярных расследований.

Типичные задачи администратора включают поиск по дате, пользователю или действию и экспорт результатов для более глубокого анализа. Только учитывайте известные ограничения, например лимит экспорта в 50 000 записей или ограничение пропускной способности при повторных больших запросах. Ошибки здесь помогут понять, связана ли проблема с бэкендом, с порталом или просто с лимитами масштабирования в вашем сеансе.

Автоматизация открывает большие возможности, но некоторые материалы, например подробные разборы управления через PowerShell, могут перенаправлять на другие материалы, если контент был перенесён. При этом официальная документация и форумы остаются незаменимыми для актуальных параметров cmdlet и нюансов его работы.

Фильтрация по дате, пользователю и просмотр сведений при экспорте журналов

• Фильтруйте по диапазону дат: Всегда задавайте конкретный временной интервал, неделю или несколько дней, чтобы ограничить результаты поиска и уменьшить объём лишних данных. Слишком широкие поиски по дате часто пропускают события или перегружают функции экспорта.
• Указывайте пользователей или тип активности: Используйте имена участников-пользователей (UPN) или ключевые слова активности, чтобы получать только нужные события. Это сокращает время ожидания и снижает риск превышения лимитов размера при экспорте.
• Просматривайте сведения о событиях перед экспортом: Открытие отдельной записи журнала до массового экспорта позволяет убедиться, что события фиксируются как ожидается и содержат нужные метаданные.
• Экспортируйте по частям: При крупных проверках разбивайте экспорт на более мелкие перекрывающиеся интервалы, чтобы избежать тайм-аутов и неполных CSV-файлов.

Запуск поиска по журналу аудита и экспорт данных unified audit

Чтобы выполнить поиск в журнале аудита Microsoft 365, откройте портал Microsoft Purview и выберите раздел «Аудит». Задайте диапазон дат, пользователей и типы действий, чтобы сформировать запрос. Не запускайте поиск по всем пользователям или по всему клиенту без крайней необходимости: такие запросы могут перегрузить интерфейс и механизм экспорта.

Когда результаты появятся, их можно просмотреть или экспортировать в CSV-файл прямо из веб-портала. Учтите: очень большие выборки могут не выгрузиться или завершиться по тайм-ауту, поэтому формулируйте запросы точно. Если при экспорте возникают ошибки, сократите диапазон дат или используйте PowerShell, чтобы извлекать журналы аудита пакетами.

Перед тем как опираться на выгруженные файлы при расследовании, всегда проверяйте их полноту: столбцы и временной период.

Задержки в журнале unified audit и проблемы с запаздыванием данных

Одна из самых недооцененных причин «пропавших» данных аудита? Обычная задержка. Журналы аудита не всегда работают в реальном времени: Microsoft обрабатывает события активности пакетами, поэтому сама запись иногда появляется значительно позже действия пользователя.

Из-за этого нередко создаются срочные обращения в поддержку и тратится время на диагностику, хотя журналы всего лишь медленные, а не сломанные. Важно понимать обычные сроки поступления данных и уметь отличить нормальное отставание журнала от реальной потери данных или сбоя системы. В этом разделе разбирается, как работают задержки и как отслеживать, какие события действительно отсутствуют, а какие просто еще не поступили.

Нормальные и аномальные задержки обработки журнала аудита

Журналы unified audit в Microsoft 365, как правило, обрабатывают действия пользователей и администраторов в течение от 15 минут до одного часа, однако задержки до 24 часов встречаются нередко, особенно во время плановых работ, региональных сбоев или при обработке некоторых низкоприоритетных событий.

Официальный SLA Microsoft устанавливает верхнюю границу доступности журналов в 24 часа при нормальной работе, поэтому любая задержка меньше этого срока укладывается в ожидаемое. Если события аудита отсутствуют дольше или сразу несколько типов активности запаздывают сверх нормы, стоит начинать более детальное расследование.

Имейте в виду, что некоторые сервисы (например, Teams или активность сторонних приложений) могут формировать пакеты журналов иначе, чем SharePoint или Exchange. Прежде чем считать, что журналирование дает системный сбой, всегда проверяйте актуальные уведомления Microsoft.

Как контролировать и подтверждать полноту данных журнала во времени

• Базовый набор ожидаемых действий: выберите известное действие пользователя (например, вход в почтовый ящик или загрузку файла), запишите его время и затем проверьте, через какое время появятся соответствующие события аудита.
• Используйте скрипты PowerShell: автоматизируйте ежедневные проверки с помощью запланированных скриптов, которые извлекают последние записи журнала, сравнивают временные метки и отмечают аномалии, чтобы не полагаться на ручную проверку.
• Отслеживайте накопление отставания по дням: если запись журнала отсутствует, повторно проверьте ее через 24 и 48 часов. Задержки иногда устраняются сами, а устойчивые пробелы могут указывать на узкие места во внутренней инфраструктуре.
• Сверяйте с сообщениями пользователей: если пользователи утверждают, что важное действие не попало в аудит, сравните дату их активности с временем экспорта, чтобы исключить пропуск при обработке, прежде чем открывать обращение в поддержку.

Готовность журнала аудита и стратегия соответствия требованиям

Надежные журналы аудита в Microsoft 365 начинаются задолго до инцидента. Организации нуждаются в плане, который охватывает весь жизненный цикл: лицензирование, хранение, автоматизацию и стратегию соответствия требованиям. Многие сбои журналирования возникают из-за простых ошибок, например из-за пропущенных подписок, не назначенных ролей или несовпадающих настроек политик.

В этом разделе рассматриваются все ключевые элементы: как долго хранятся журналы (и чем отличаются сроки хранения в E3 и E5, а также в планах для государственных организаций), какие контрольные списки помогут убедиться, что настройка надежна, и практические советы по лицензированию, которые позволяют избежать незаметных сбоев. Также вы узнаете, как Microsoft Purview и связанные средства безопасности, такие как DLP и маркировка конфиденциальности, вписываются в общую картину соответствия требованиям.

В облачной совместной работе одного включённого журнала аудита недостаточно. Реальную и устойчивую готовность создают регулярные проверки, стратегическая политика и соответствие технических деталей вашим бизнес- и регуляторным рискам. Подробнее о более сложных аспектах соответствия требованиям и контенте на основе ИИ читайте этот разбор скрытого дрейфа соответствия требованиям и материал о управлении Copilot с помощью Purview: они покажут, почему стабильных панелей мониторинга недостаточно.

Основы хранения журналов аудита и практический чек-лист аудита Microsoft 365

• Назначьте правильные административные роли: Убедитесь, что назначены все необходимые роли для аудита, соответствия требованиям и безопасности, например «Администратор соответствия требованиям» и «Журналы аудита», как в Purview, так и в Entra ID.
• Проверьте требования к лицензиям: Стандартное хранение журналов аудита составляет 90 дней для большинства клиентов E3 (коммерческих). E5 или Audit Premium открывают расширенное хранение (1 год и более), более качественные сигналы и некоторые важные события. Дважды проверьте, что у всех пользователей, которым нужен аудит, есть правильные лицензии, особенно после изменений или развёртывания лицензирования на основе групп.
• Настройте параметры аудита Purview: Убедитесь, что ведение журнала аудита явно включено и охватывает все ключевые службы: Exchange, SharePoint, OneDrive, Teams и все критически важные приложения. Не пропускайте подключение новых служб.
• Проверьте политики хранения и экспорта: Задайте сроки хранения в соответствии с требованиями вашего бизнеса и регуляторов. Следите за конфликтующими политиками Purview или удержаниями (holds), которые могут привести к несогласованности между службами.
• Регулярно тестируйте и проверяйте охват: Выполняйте пробные поиски в журнале аудита, документируйте ожидаемый период хранения и раз в месяц экспортируйте образцы журналов, чтобы убедиться, что данные есть и доступны при необходимости.
• Учтите дополнительные меры соответствия требованиям: Для сред с высоким уровнем риска дополните управление политиками DLP, метками конфиденциальности и регулярными проверками доступа и владения, чтобы предотвратить пробелы в аудите и обеспечить реальное реагирование на инциденты.

Пробелы в любом из перечисленных пунктов, а также забытое о том, что хранение данных не бесконечно, — наиболее частая первопричина того, что важные события отсутствуют в журнале, когда приходит время расследования. Сверяйте чек-лист с вашими конкретными рисками и регуляторными обязательствами, чтобы оставаться готовыми и защищёнными.

Полезные советы по максимальной отдаче от единого журнала аудита

Работая с единым журналом аудита Microsoft 365, поверхностные поиски лишь скользят по поверхности. Если вы хотите не упустить ничего, особенно действия с почтовыми ящиками, которые выполняют пользователи или администраторы, задействуйте расширенные фильтры поиска. Не стесняйтесь использовать PowerShell: такие команды, как Search-UnifiedAuditLog, позволяют детально выбрать записи по пользователю, дате или действию.

Используйте и возможности экспорта. Регулярная выгрузка данных аудита в CSV-файлы упрощает сверку журналов с хронологией инцидентов. Если нужно выяснить, кто удалил важный файл или когда кто-то предоставил неожиданные разрешения на почтовый ящик, эти экспортированные данные становятся ценнейшим материалом для журналов аудита и отчётов об инцидентах.

Обращайте внимание на более скрытые пробелы в журналах. Многие упускают ошибки журналирования, связанные с лицензиями или политиками. Сделайте привычкой проверять стабильность охвата аудита, особенно после изменений лицензий или крупных обновлений. Будьте внимательны к отсутствующим событиям, которые могут быть вызваны задержками или изменениями административных политик, а не сбоем журнала.

Знайте, когда пора эскалировать. Если вы дважды проверили фильтры, подтвердили лицензии и политики, но всё равно видите необъяснимые пробелы в аудите, не стоит дальше бороться в темноте. Самое время собрать результаты и открыть обращение в службу поддержки Microsoft. Иногда то, что выглядит как ошибка пользователя, оказывается проблемой на стороне сервиса, которую может устранить только Microsoft.

Вам также стоит послушать

Если вы изучаете тему Unified Audit Log not working, эти выпуски добавят практического контекста по управлению, безопасности, автоматизации и надёжной работе Microsoft 365.

• Microsoft Purview – Simply Explained — Связываем хранение, соответствие требованиям, аудит и управление данными.
• Microsoft Teams Governance – простыми словами — Разберитесь, почему правила владения и жизненного цикла важны для совместной работы.
• Microsoft Defender XDR – простыми словами — Свяжите операционные сигналы с обнаружением угроз и реагированием на них.
• Conditional Access – простыми словами — Поймите механизмы управления идентификацией и рисками, которые стоят за безопасным доступом.

Эти выпуски помогут превратить тему статьи в практические решения по внедрению.