01Amaç ve kapsam
Saklama süresi silmeden önce, bir hesaba kimin, nereden oturum açtığının ve posta kutusunda neyi değiştirdiğinin sağlayıcı tarafı kaydını, eksiksizliği gösterilebilir bir biçimde toplamak.
Exchange Online ve Microsoft Entra ID kullanan bir Microsoft 365 kiracısı; iş e-postası ele geçirme, fatura dolandırıcılığı ve açıklanamayan iletme. İçerik dışa aktarımı (eDiscovery) SOP-07 kapsamındadır.
02Ön koşullar
- Kiracıyı, kapsamdaki hesapları ve dönemi belirten yazılı yetki.
- İnceleyicinin kendi işlemlerinin atfedilebilmesi için salt okunur denetim rolüne sahip adlandırılmış bir inceleyici hesabı (örneğin Microsoft Purview'da Audit Reader ve Entra'da Reports Reader).
03Adımlar
Her şeyden önce saklamayı denetleyin
Lisansı ve neyi sakladığını yazın. Entra ID oturum açma ve denetim günlükleri Free katmanında 7 gün, P1 veya P2 ile 30 gün saklanır; Purview Audit (Standard), 17 Ekim 2023'ten sonra oluşan birleşik denetim kayıtlarını 180 gün saklar. Olay penceresi bu sınırlara yakınsa önce oturum açmaları edinin.
KayıtLisans, günlük türü, gün sayısı ve hâlâ erişilebilen en eski tarihle saklama tablosu
Kapsamdaki hesaplar için Entra oturum açmalarını dışa aktarın
IP adresi, konum, istemci uygulaması, kullanıcı aracısı, koşullu erişim sonucu ve oturum ya da bağıntı kimliğiyle etkileşimli ve etkileşimsiz oturum açmalar. Tüm sütunlarla JSON veya CSV olarak dışa aktarın; belirteç yeniden kullanımı etkileşimsiz oturum açmalarda görünür.
KayıtDışa aktarım dosya adı, sorgu, satır sayısı, zaman ve SHA-256
Birleşik denetim günlüğünü zaman dilimleriyle arayın
Kullanıcıya ve işleme göre sorgulayın (UserLoggedIn, New-InboxRule, Set-InboxRule, UpdateInboxRules, Set-Mailbox, Add-MailboxPermission, Consent to application). Dönemi, hiçbir sorgu sonuç sınırına ulaşmayacak kadar küçük dilimlere bölün ve her sorguyu başlangıç, bitiş ve sayısıyla kaydedin.
KayıtSorgu günlüğü: dilim, süzgeç, dönen sayı
Posta kutusu yapılandırmasını şimdiki hâliyle yakalayın
Gelen kutusu kuralları (gizli olanlar dahil), iletme adresleri (ForwardingSmtpAddress, ForwardingAddress, DeliverToMailboxAndForward), temsilciler ve klasör izinleri ve onay verilmiş OAuth uygulamaları. Denetim günlüğü bir kuralın ne zaman oluşturulduğunu gösterir; hâlâ var olup olmadığını yalnızca yapılandırma gösterir.
KayıtYakalama zamanıyla yapılandırma dışa aktarımı
Ham AuditData'yı saklayın
Her birleşik denetim kaydı istemci IP'si, oturum kimliği ve kural parametreleriyle bir JSON AuditData sütunu taşır. Dışa aktarımı ayrıştırmadan saklayın; bir kopyayı ayrıştırın. Özgün dosyayı hiçbir zaman elektronik tabloda açıp kaydetmeyin.
Her dışa aktarımın hash değerini alın ve kaydedin
Alımda SHA-256, dosya başına bir koruma satırı, SOP-03'teki gibi. Saklama süresi ilerlediyse aynı sorgunun sonraki çalıştırması aynı satırları döndürmez; kanıt ilk dışa aktarımdır.
KayıtHash ile dışa aktarım başına koruma satırı
Zamanları normalleştirin ve boşlukları kaydedin
Üç kaynak da UTC'dir; ancak bir portal görünümü inceleyicinin yerel saatini gösterebilir. Hangi günlüklerin etkin olmadığını, hangi dönemlerin saklama dışında kaldığını ve hangi sorguların sınıra ulaştığını kayda yazın.
KayıtBoşluk beyanı
04Üretilen kayıtlar
- Saklama tablosu ve boşluk beyanı
- Sayılarla sorgu günlüğü
- SHA-256 ve koruma satırlarıyla dışa aktarımlar
05Tuzaklar
- Edinimden önce kullanıcı parolasını sıfırlamak ve oturumları iptal etmek sınırlama için doğrudur ve hiçbir şeyi silmez; gelen kutusu kuralını silmek ise mevcut yapılandırmayı siler, bu yüzden önce yakalayın.
- Oturum açma konumu IP adresinden türetilir; bir VPN ya da bulut sunucusu kişinin değil sağlayıcının konumunu gösterir.
- O dönem için denetimin açık olduğunu doğrulamadan boş bir denetim araması etkinlik olmadığının kanıtı değildir.