Аудит почтовых ящиков Office365 по умолчанию

Question

Microsoft недавно включила аудит почтовых ящиков по умолчанию.

До сих пор у меня были настраиваемые действия в почтовых ящиках org, и это устанавливалось каждый день по регулярному расписанию.

Теперь с включенным аудитом по умолчанию у меня есть куча вопросов;

• Безопасно ли для параметра Set-Mailbox -AuditEnabled $ false на всех почтовых ящиках (поскольку вместо этого он будет включен на уровне арендатора?
• Безопасно ли устанавливать-Почтовый ящик -AuditOwner $ null -AuditDelegate $ null -AuditAdmin $ null во всех почтовых ящиках и разрешать выполнение действий по умолчанию?
• Если я хочу все действия по умолчанию + AuditOwner Copy, нужно ли мне просто установить -Alitbox -AuditOwner @ {Add = "Copy"} для всех почтовых ящиков или мне нужно явно добавить все действия, которые я хочу проверять?
• Для почтового ящика с установленными в настоящее время действиями по умолчанию, например, новый почтовый ящик, с включенным аудитом на уровне арендатора, добавит ли Set-Mailbox -AuditOwner @ {Add = "Copy"} к списку действий или перезапишет и будет рассматривать это как единственное действие?

PS: Это может совпадать с вопросом выше, в зависимости от того, как вы читаете / интерпретируете его.

Answer 1

Во-первых, я бы сказал, что все зависит от необходимости вашего бизнеса включить / отключить журнал аудита. Обычно журналы полезны для безопасности и устранения неполадок.

И он мог бы использовать команду « Set-MailboxAuditBypassAssociation », чтобы обойти настройку журнала аудита уровня арендатора.

Далее, в моем тестировании « Set-OrganizationConfig AuditDisabled $true/$false » заключается только в том, чтобы отключить / включить журнал аудита уровня арендатора, это не повлияет на существующие действия. Если вы хотите проверить существующие действия, вы можете использовать эту команду:

Get-Mailbox <identity of mailbox> | Select-Object -ExpandProperty AuditOwner

Если вы хотите добавить или удалить некоторые действия, вы можете использовать Set-Mailbox -AuditOwner @{Add="xxx"} или Set-Mailbox -AuditOwner @{remove="xxx"} .

Если вы используете Set-Mailbox -AuditOwner $null , он очистит все действия, а не действия по умолчанию.

Просто обратите внимание: « -AuditOwner xxx » означает перезапись, а « -AuditOwner @{Add="xxx"} » необходимо добавить.

Пожалуйста, обратитесь к следующей статье для действий по умолчанию, я думаю, что вы могли бы сначала проверить текущие действия и использовать добавить / удалить, чтобы вернуться к действиям по умолчанию.

И обратите внимание, что некоторые действия не могут быть зарегистрированы.

Вот ссылка:https://docs.microsoft.com/en-us/office365/securitycompliance/enable-mailbox-auditing