Журнал єдиного аудиту не працює

By Mirko Peters · 2026-04-23 · Updated 2026-07-18

Усунення несправностей Журналу єдиного аудиту в Microsoft 365: перевірка аудиту, дозволів, фільтрів пошуку, ліцензування та затримок.

Automatically translated with AI from the original post. Read the English original

Ніщо так не псує настрій в ІТ, як відкрити аудит Microsoft 365 і… нічого не відбувається. Журнал єдиного аудиту має давати повну картину дій користувачів і адміністраторів. Це необхідно для реагування на інциденти, відповідності вимогам і просто для спокою. Коли в ньому бракує даних, пошук не працює або кнопка експорту постійно «зависає», весь ваш процес безпеки може зупинитися.

У цьому посібнику розглянуто основні причини, через які журнал єдиного аудиту може працювати некоректно: від відсутніх дозволів до затриманих даних і навіть прихованих оновлень Microsoft. Ви знайдете конкретні кроки, щоб повернути все до норми, а також поради, як уникнути несподіванок у майбутньому. Ми також розбираємо проблеми, про які зазвичай мовчать, зокрема прогалини в ліцензуванні, конфлікти конфігурацій і затримки фонової обробки, які схожі на справжні збої. Наприкінці ви знатимете не лише як виправити проблеми з аудитом, а й як зробити ваші журнали такими ж надійними, як ранкова кава.

Увімкнення журналювання аудиту в застосунках Microsoft 365

Увімкнення журналювання аудиту в Exchange Online, SharePoint, OneDrive і Teams — це перший крок до надійних даних єдиного аудиту в Microsoft 365, і його часто пропускають. Це потрібно зробити в порталі відповідності Microsoft 365, який для більшості організацій тепер називається Microsoft Purview.

Для комерційних клієнтів перейдіть на портал Microsoft Purview, відкрийте розділ «Audit» і переконайтеся, що журналювання аудиту справді ввімкнено. Як не дивно, але воно не завжди вмикається автоматично, навіть у нових клієнтів. Якщо ви користуєтеся класичним порталом відповідності або працюєте в державному клієнті (GCC або DOD), інтерфейс може трохи відрізнятися, але налаштування розташовані в подібному місці, у розділі «Search» або «Audit log search».

Вмикаючи журналювання єдиного аудиту, не вважайте, що «за замовчуванням» означає «готово». Нові застосунки Microsoft 365 іноді потребують повторного ввімкнення для повного охоплення аудитом. Наприклад, Teams або нові сайти SharePoint можуть бути не повністю охоплені, якщо відповідні служби були розгорнуті пізніше. Завжди корисно перевіряти статус журналювання після підключення нових служб.

Пам’ятайте: в деяких середовищах потрібно кілька кроків для повноти. Аудит дій користувачів у Microsoft Purview допоможе зрозуміти, який рівень аудиту у вас є (Audit Standard чи Premium), що саме журналюється і як переконатися, що охоплено кожне хмарне навантаження. Пропуск перевірки — це номер один причина, через яку журналів немає саме тоді, коли вони найпотрібніші.

Дозволи для інструментів аудиту та доступ до порталу відповідності

Робочий журнал аудиту — це не лише про правильне перемикання налаштувань. Багато що залежить від того, яку роль ви маєте в Microsoft 365. Щоб переглядати та шукати журнали аудиту, адміністраторам потрібні відповідні дозволи, призначені через Microsoft Purview або Security & Compliance Center.

Зазвичай необхідні ролі: Compliance Administrator, Audit Logs або Security Reader. Їх надають через групи ролей у порталі Microsoft Purview (або інколи через Entra ID). Якщо ви намагаєтеся отримати журнали, а щось не працює чи кнопки неактивні, перевірте, чи ваш обліковий запис справді входить до потрібної групи, і чи встигли зміни синхронізуватися у внутрішній інфраструктурі Microsoft 365.

Типові пастки? Призначення людей до неправильної групи (наприклад, Global Reader замість Compliance Administrator), покладання на ролі Entra ID без налаштування Purview або незнання того, що деякі зміни доступу можуть набрати чинності аж через 24 години. Непослідовні призначення ролей або використання аварійних облікових записів адміністраторів, які обходять ручну перевірку, теж можуть призвести до того, що інструменти аудиту працюватимуть не так, як очікується.

Добре керований доступ до аудиту — це не лише відчинені двері, а й належне управління, видалення неактуальних користувачів і регулярні перевірки доступу. Це детально описано в цьому посібнику з доступу до даних і управління в Microsoft 365. Жорсткий контроль дозволів допомагає уникати випадкових прогалин в аудиті та водночас гарантує відповідність вашим власним політикам безпеки.

Усунення несправностей збоїв Журналу єдиного аудиту в Microsoft 365

Коли єдиний журнал аудиту «ламається» — порожні результати пошуку, відсутні записи або збої під час експорту, — зазвичай це симптом глибшої проблеми в конфігурації, ліцензуванні чи затримках на боці сервісу. Ці проблеми можуть виглядати дуже схоже, але їхні першопричини й рішення часто суттєво різняться.

Перш ніж звертатися до підтримки або ескалювати проблему, варто знати, як виглядає «нормальна» поведінка, і які кроки з усунення несправностей допоможуть з'ясувати, чи маєте ви справу з відсутніми подіями, переглядом неправильних часових проміжків, браком дозволів чи обмеженнями, які встановлює Microsoft. Іноді проблема зводиться до простої затримки надходження даних, а іноді — до тонкої проблеми з ліцензуванням або зміни політики, яка непомітно пройшла повз вашу увагу.

У наступних розділах ви знайдете практичні поради щодо діагностики прогалин, перевірки повноти журналу, обходу особливостей PowerShell і експорту, а також фільтрації результатів для реального аналізу. Опанувавши ці кроки, ви значно швидше розпізнаватимете найпоширеніші та найскладніші збої журналу аудиту й усуватимете їх.

Ненадійність і неповнота: усунення відсутніх або неповних записів аудиту

• Перевірте політику збереження та ліцензування: Прогалини в даних часто з'являються, якщо ваші ліцензії M365 не підтримують розширене збереження (лише E5 або Premium) або якщо ліцензію користувача нещодавно змінили. Завжди перевіряйте, що маєте потрібний рівень ліцензії для записів і періоду, які вам потрібні.
• Перегляньте затримки надходження даних: Журнали аудиту не працюють у режимі реального часу. Може існувати вбудована затримка від 15 хвилин до кількох годин або, у рідкісних випадках, навіть більше — у вихідні чи під час збоїв сервісів Microsoft. Ця затримка може створювати враження, що записів немає, хоча вони просто ще не надійшли.
• Визначте дроселювання та обмеження експорту: У великих клієнтах може виникати дроселювання, особливо якщо експорти або пошуки в аудиті виконуються у великих обсягах. Деякі дії можуть бути пропущені або з'являтися із затримкою, якщо ви досягаєте ліміту частоти запитів або обмеження сеансів.
• Відфільтруйте хибні спрацьовування: Переконайтеся, що фільтри за користувачем, датою чи активністю не занадто вузькі та не налаштовані неправильно. Пошук у надто вузькому проміжку часу, вибір неправильного користувача чи групи або відсіювання нешкідливих «фонових» подій можуть створювати враження, що система зламана сильніше, ніж є насправді.
• Перевірте загальноклієнтські проблеми конфігурації: Іноді на створення подій аудиту можуть впливати параметри умовного доступу, дозволи облікових записів служб або навіть політики юридичного утримання. Перегляньте нещодавні зміни конфігурації та безпеки, щоб виключити приховані причини.

Використання командлета Search-UnifiedAuditLog у Microsoft PowerShell

Cmdlet Search-UnifiedAuditLog у PowerShell — потужний інструмент для поглибленого усунення несправностей. Він дає змогу оминути веб-портал і безпосередньо виконувати запити до єдиного журналу аудиту в Microsoft 365. Особливо корисний для масових експортів, перевірки великих діапазонів даних або автоматизації регулярних розслідувань.

Типові завдання адміністратора — пошук за датою, користувачем чи активністю та експорт результатів для глибшого аналізу. Просто зважайте на відомі обмеження, зокрема ліміт експорту 50 000 записів або дроселювання, якщо ви багаторазово виконуєте великі пошуки. Помилки тут можуть підказати, чи це проблема на боці сервісу, збій у порталі, чи просто ліміт масштабування у вашому сеансі.

Хоча потенціал автоматизації величезний, деякі ресурси — наприклад, поглиблені матеріали про управління через PowerShell — можуть перенаправляти на інші матеріали, якщо контент переміщено. Водночас офіційна документація та форуми залишаються безцінними для актуальних параметрів cmdlet і нюансів.

Фільтрація за датою, користувачем і перегляд деталей під час експорту журналів

• Фільтруйте за діапазоном дат: Завжди визначайте конкретний проміжок часу — тиждень або кілька днів — щоб обмежити результати пошуку та зменшити обсяг зайвих даних. Занадто широкі пошуки за датою часто пропускають події або перевантажують функції експорту.
• Визначайте користувачів або тип активності: Використовуйте імена обліковых записів (UPN) або ключові слова активності, щоб отримувати лише потрібні події. Це заощаджує час очікування та зменшує ймовірність досягнення обмежень розміру під час експорту.
• Переглядайте деталі подій перед експортом: Відкривши окремий запис журналу перед масовим експортом, ви можете переконатися, що події фіксуються належним чином і з правильними метаданими.
• Експортуйте пакетами здійсненного розміру: Для великих аудитів розбивайте експорти на менші інтервали з невеликим перекриттям, щоб уникнути тайм-аутів або неповних CSV-файлів.

Виконання пошуку в аудиті та експорт даних уніфікованого журналу аудиту

Щоб виконати пошук в аудиті Microsoft 365, відкрийте портал Microsoft Purview і виберіть розділ Audit. Задайте діапазон дат, користувачів і типи дій, щоб сформувати запит. Уникайте пошуків по всіх користувачах або по всьому клієнту, якщо вони справді не потрібні: такі запити можуть перевантажити інтерфейс і механізм експорту.

Коли результати з'являться, їх можна переглянути або експортувати у файл CSV прямо з веб-порталу. Майте на увазі: дуже великі вибірки можуть не експортуватися або завершуватися за тайм-аутом, тож формулюйте запити точніше. Якщо під час експорту виникають помилки, спробуйте менші діапазони дат або витягніть журнали аудиту пакетами за допомогою PowerShell.

Завжди перевіряйте експортовані файли на повноту (колонки та періоди часу), перш ніж покладатися на них у розслідуваннях.

Затримка в журналі уніфікованого аудиту та проблеми із затримкою даних

Одна з найчастіше пропущених причин «відсутніх» даних аудиту? Звичайна затримка. Журнали аудиту не завжди оновлюються в реальному часі, а Microsoft обробляє події активності пакетами, тому запис у журналі іноді з'являється через значний час після дії користувача.

Це може призвести до паніки в запитах до служби підтримки та марної втрати часу на пошук несправностей, коли журнали просто повільні, а не зламані. Важливо розуміти типові терміни надходження даних і вміти відрізнити звичайне відставання журналу від справжньої втрати даних або системної помилки. У цьому розділі пояснюється, як працюють ці затримки і як відстежувати, які події справді відсутні, а які просто ще не надійшли.

Розуміння нормальних і ненормальних затримок обробки журналів аудиту

Журнали уніфікованого аудиту Microsoft 365 зазвичай обробляють дії користувачів і адміністраторів протягом 15 хвилин – однієї години, але затримки до 24 годин трапляються не рідко, особливо під час технічного обслуговування служби, регіональних збоїв або для деяких подій з низьким пріоритетом.

Офіційна угода про рівень обслуговування Microsoft (SLA) встановлює верхню межу доступності журналів у 24 години за звичайних умов, тобто все, що триває менше, відповідає очікуванням. Якщо події аудиту відсутні довше або кілька типів активності затримуються понад норму, варто починати детальніше розслідування.

Майте на увазі, що деякі служби (наприклад, Teams або активність сторонніх застосунків) можуть групувати журнали інакше, ніж SharePoint чи Exchange. Перш ніж припускати системний збій журналювання, завжди перевіряйте актуальні оголошення Microsoft.

Як з часом відстежувати та підтверджувати повноту даних журналу

• Базові очікувані дії: визначте відому дію користувача (наприклад, вхід до поштової скриньки або завантаження файлу), зафіксуйте її часову мітку, а потім перевірте, скільки часу потрібно, щоб відповідні події аудиту з'явилися.
• Використовуйте скрипти PowerShell: автоматизуйте щоденні перевірки за допомогою запланованих скриптів, які отримують останні записи журналу, порівнюють часові мітки та позначають аномалії, щоб не покладатися на ручний перегляд.
• Відстежуйте відставання протягом днів: якщо запису журналу немає, перевірте ще раз через 24 і 48 годин. Іноді затримки зникають самі, а стійкі прогалини можуть вказувати на вузькі місця в серверній частині.
• Співставляйте зі скаргами користувачів: якщо користувачі стверджують, що критична дія не була зафіксована в аудиті, порівняйте дату їхньої активності з часовими мітками експорту, щоб виключити пропущене надходження даних до відкриття звернення в службу підтримки.

Готовність журналів аудиту та стратегія відповідності вимогам

Надійні журнали аудиту в Microsoft 365 починаються задовго до інциденту. Організаціям потрібен план, який охоплює весь життєвий цикл: ліцензування, збереження, автоматизацію та стратегію відповідності вимогам. Багато збоїв журналювання виникають через прості помилки, як-от пропущені передплати, не призначені ролі або невідповідні налаштування політик.

У цьому розділі розглянуто всі ключові елементи: як довго зберігаються ваші журнали (і чим це відрізняється для E3, E5 та державних планів), які контрольні списки гарантують надійність налаштувань і які практичні поради щодо ліцензування допоможуть уникнути непомітних відключень. Ви також дізнаєтеся, як Microsoft Purview та пов'язані засоби безпеки, зокрема DLP і маркування конфіденційності, вписуються в ширшу картину відповідності вимогам.

У хмарній співпраці самого лише увімкненого журналу аудиту недостатньо. Справжню і стійку готовність створюють регулярні перевірки, стратегічна політика та узгодження технічних деталей із вашими бізнес- і регуляторними ризиками. Щоб глибше розібратися в складніших аспектах відповідності та контенту, створеного ШІ, перегляньте цей розбір прихованого дрейфу відповідності та керування Copilot за допомогою Purview: вони покажуть, чому стабільних панелей моніторингу недостатньо.

Основи зберігання журналів аудиту та практичний контрольний список аудиту Microsoft 365

• Призначте правильні адміністративні ролі: переконайтеся, що призначено всі необхідні ролі для аудиту, відповідності та безпеки, наприклад Compliance Administrator і Audit Logs, як у Purview, так і в Entra ID.
• Перевірте вимоги до ліцензій: стандартне зберігання даних аудиту становить 90 днів для більшості клієнтів E3 (комерційних). E5 або Audit Premium відкривають розширене зберігання (1 рік і більше), кращі сигнали та деякі події високої цінності. Ще раз перевірте, чи всі користувачі, яким потрібне покриття, мають правильні ліцензії, особливо після змін або впровадження ліцензування на основі груп.
• Налаштуйте параметри аудиту Purview: переконайтеся, що журнал аудиту явно увімкнено і охоплює всі основні служби: Exchange, SharePoint, OneDrive, Teams та будь-які критичні застосунки. Не пропускайте підключення нових служб.
• Перевірте політики зберігання та експорту: налаштуйте зберігання відповідно до ваших бізнес- і регуляторних вимог. Стежте за конкуруючими політиками Purview або утриманнями зберігання, які можуть спричиняти невідповідності між службами.
• Регулярно тестуйте та перевіряйте покриття: виконуйте пробні пошуки в аудиті, документуйте очікуваний період зберігання та щомісяця експортуйте зразки журналів, щоб переконатися, що дані є й доступні, коли вони потрібні.
• Додаткові заходи відповідності: для середовищ із високим рівнем ризику посильте керування за допомогою DLP, міток конфіденційності та регулярних перевірок доступу й власності, щоб запобігти прогалинам в аудиті та забезпечити ефективне реагування на інциденти.

Прогалини в будь-якому з перелічених пунктів, а також помилкове припущення, що зберігання даних необмежене, найчастіше стають першопричиною того, що критичні події відсутні, коли настає час розслідування. Узгоджуйте свій контрольний список із конкретними ризиками та регуляторними вимогами, щоб залишатися готовими й захищеними.

Поради для максимальної цінності уніфікованого журналу аудиту

Під час роботи з уніфікованим журналом аудиту Microsoft 365 поверхневі пошуки дають лише загальну картину. Якщо ви хочете виявити все, особливо дії з поштовими скриньками, які виконують користувачі або адміністратори, скористайтеся розширеними фільтрами пошуку. Не бійтеся PowerShell: такі команди, як Search-UnifiedAuditLog, дають змогу шукати за користувачем, датою або активністю з точністю до деталей.

Скористайтеся також параметрами експорту. Регулярне вивантаження даних аудиту у файли CSV значно спрощує перехресну перевірку журналів із хронологією інцидентів. Якщо ви хочете з'ясувати, хто видалив чутливий файл або коли хтось надав несподівані дозволи на поштову скриньку, ці експортовані дані стануть цінним матеріалом для журналів аудиту та звітів про інциденти.

Звертайте увагу на менш помітні прогалини в журналах. Багато хто пропускає збої в журналах, пов'язані з ліцензіями або політиками. Зробіть звичкою перевіряти узгодженість покриття аудитом, особливо після змін ліцензій або великих оновлень. Будьте уважні до відсутніх подій, які можуть бути спричинені затримками чи змінами адміністративних політик, а не лише некоректною роботою журналу.

Знайте, коли варто ескалувати проблему. Якщо ви перевірили фільтри, ліцензії та політики, а невиявлені прогалини в аудиті все ще є, не варто далі розбиратися наосліп. Саме тоді варто зібрати результати й відкрити звернення в службу підтримки Microsoft. Іноді те, що здається помилкою користувача, виявляється проблемою на серверному боці, яку може виправити лише Microsoft.

Вам також варто послухати

Якщо ви досліджуєте проблему Unified Audit Log not working, ці випуски додають практичного контексту щодо керування, безпеки, автоматизації та надійної роботи Microsoft 365.

• Microsoft Purview – Simply Explained — Пов'язуємо зберігання, відповідність, аудит і керування даними.
• Microsoft Teams Governance – Simply Explained — Дізнайтеся, чому правила володіння та життєвого циклу важливі для співпраці.
• Microsoft Defender XDR – Simply Explained — Пов’яжіть операційні сигнали з виявленням загроз і реагуванням на них.
• Conditional Access – Simply Explained — Зрозумійте механізми керування ідентичністю та ризиками, на яких ґрунтується безпечний доступ.

Ці епізоди допоможуть перетворити тему статті на практичні рішення щодо впровадження.