Exchange Server 2013 Mailbox Audit Logging

[DN Angel]

[h=4]Exchange Server 2013 Mailbox Audit Logging[/h]Günümüzde şirketlerde yazılı bir kanıt, delil niteliği taşıdığı için Mail uygulamaları önemli bir yer tutmaktadır, dolayısıyla bu sistemin güvenliği ve takibi çok önemlidir. Ayrıca şöyle bir örnek vermek istiyorum binlerce kullanıcıya sahip bir şirket düşünün içerisinde onlarca belki de yüzlerce departman müdürleri ve bu müdürlerin maillerinin takibini yapabilmesi için full erişim yetkisi verilmiş 45-50 yaşlarında sekreterleri-yardımcıları oluyor ve bir sabah geldiğinde bu yaşlı teyzeler müdürlerinin maillerini yanlışlıkla tamamını yada bir kısmını silebiliyor J ve bu hareketin müeyyidesinin de ağır olacağını bildiğinden itiraf etmemektedirler, aslında çok komik bir durum ama maalesef bir kaç kez başıma geldi eminim sizlerin de başına gelmiştir. Siz bu durumda Backup` dan mailleri dönüyorsunuz buna rağmen yine de insanların içinde bir güvensizlik ve sistemi sorgulama durumu ortaya çıkıyor size bu sorunun nedenini sorabiliyorlar, işte tam bu noktada yardımımıza Exchange server Audit özelliği koşuyor. Bu özellik sayesinde bir mesaj üzerinde erişim, taşıma, silme gibi aksiyon bilgilerinin yanında kim, IP adresi, hostname, bağlantı türü gibi bilgilerini Mailbox Owner ve Delegasyon yetkisi verilmiş kullanıcı bazlı alabiliyoruz. Burada dikkat edilmesi gereken nokta bu özelliklerin tamamı yerine sadece bize gereken bilgilerin loglarının tutulmasıdır aksi takdirde kullanıcı Mailboxları kapasite olarak hızlı bir şekilde dolacak ve depolama alanı sorunu yaşanacaktır.

Not: Audit loglar ilgili mailbox içerisinde tutulmaktadır, siz mailbox`ı farklı bir Database`e yada farklı bir Mailbox Sunucu`ya taşırsanız audit loglarda birlikte gidecektir.

Bu makalede Exchange Server 2013 Audit Logging özelliğini kullanarak yapılan işlem sonrası oluşan audit bilgilerini inceleyeceğiz. Default olarak audit özelliği kapalı gelmektedir, Audit ile ilgili işlemleri Exchange Administration Center (EAC) ‘den yapamıyoruz Exchange Management Shell`i kullanmak zorundayız. Audit özelliğini açmadan önce örnek kullanıcımızın audit özelliğinin açık olup olmadığına tekrar bakalım, EMS`de bu komutu Get-Mailbox -Identity kullanıcı adı | fl *audit* çalıştırıyoruz ve kullanıcımızın audit özelliğinin kapalı olduğu görebiliyoruz,

You must be registered for see links

Microsoft bütün kullanıcılar için değil de belirli kullanıcılar için audit özelliğini açmamızı tavsiye etmektedir,

Aşağıda Audit komutlarının tamamını görebilirsiniz,

Action	Description	Administrator	Delegate	Owner
Copy	An item is copied to another folder.	Yes	Yes	Not applicable
Create	An item is created in the mailbox. (For example, a message is sent or received.)	Yes*	Yes*	Yes
You must be registered for see links Note: Folder creation isn`t audited.
FolderBind	A mailbox folder is accessed.	Yes*	Yes**	Yes
HardDelete	An item is deleted permanently from the Recoverable Items folder.	Yes*	Yes*	Yes
MessageBind	An item is accessed in the reading pane or opened.	Yes	Not applicable	Not applicable
Move	An item is moved to another folder.	Yes*	Yes	Yes
MoveToDeletedItems	An item is moved to the Deleted Items folder.	Yes*	Yes	Yes
SendAs	A message is sent using Send As permissions.	Yes*	Yes*	Not applicable
SendOnBehalf	A message is sent using Send on Behalf permissions.	Yes*	Yes	Not applicable
SoftDelete	An item is deleted from the Deleted Items folder.	Yes*	Yes*	Yes
Update	An item's properties are updated.	Yes*	Yes*	Yes

* Audit aktif edildiğinde default olarak aktif olur.

Aşağıda 3 farklı logon tipiyle ilgili örnek komutlar var bunları üstteki tabloya göre aksiyonları belirterek kullanabilirsiniz.

Bu komutta Test kullanıcısı üzerinde Send As, SendOnBehalf yetkisi olan kullanıcıların loglama özelliğini devreye alır.

Set-Mailbox -Identity "testuser" -AuditDelegate SendAs,SendOnBehalf -AuditEnabled $true


Bu komut Test kullanıcısı üzerinde Administrator kullanıcıların MessageBind,FolderBind hareketlerinin logunu aktif eder.


Set-Mailbox -Identity "testuser" -AuditAdmin MessageBind,FolderBind -AuditEnabled $true

Bu komutta Test kullanıcısı üzerinde Owner yetkisine sahip kullanıcıların sadece HardDelete hareketlerinin logunu aktif eder.


Set-Mailbox -Identity "testuser" -AuditOwner HardDelete -AuditEnabled $true

Bu makalede örnek olarak üstteki bu 3 komutu da kullanabileceğimiz bir senaryo üzerinden ilerleyeceğiz, ilgili test kullanıcımızın üzerinde Mailbox Owner yetki sahipleri için HardDelete , MailboxDelegate yetki sahipleri için SoftDelete, HardDelete, SendAs, SendOnBehalf ve Mailbox Admin yetki sahipleri için Update, Move, MoveToDeletedItems, SoftDelete aksiyonlarının loglarını tutmasını isteyeceğiz. Komutumuz;

Set-mailbox –Identity ismailkizilirmak -AuditOwner HardDelete –AuditDelegate SoftDelete, HardDelete, SendAs, SendOnBehalf –AuditAdmin Update, Move, MoveToDeletedItems, SoftDelete -AuditEnabled $true

You must be registered for see links

İlgili komutumuzu çalıştırdıktan sonra son durumu görmek için Get-Mailbox -Identity kullanıcı adı | fl *audit* çalıştırdığımızda komutumuzun sağlıklı bir şekilde uygulandığını görüyoruz. Şimdi test kullanıcımızın ownerı ismailkizilirmak` a gelen bir maili bu hesap üzerinde Full yetkili Bugra kullanıcısı silecek ve bu hareketin nasıl loglandığını göreceğiz.

Öncelikle silme işlemini yapacak kullanıcı, full yetkiye sahip olduğu kullanıcıya gelen bir maili siliyor.

You must be registered for see links

Gördüğünüz gibi mail silindi,

You must be registered for see links

Şimdide sildiğimiz mailin loguna bakalım, birkaç farklı yöntem var ama biz EMS`den kontrol edeceğiz. Komutumuz; Search-MailboxAuditLog -Identity "ismailkizilirmak" -ShowDetails -ResultSize 1

Siz isterseniz Logon şekli ,başlangıç-bitiş süresi, mail konusu vb. Gibi detayları da komutta kullanabilirsiniz,

You must be registered for see links

Gördüğünüz gibi ilgili mailbox üzerinde kim nezaman nasıl bir işlem yapmış hangi ip adresinden yapmış gibi detaylı bilgilere bu ekrandan ulaşabiliyorsunuz.


Bir başka makalede görüşmek üzere..