Где хранятся логи outlook 2019

Обновлено: 08.07.2024

Вы можете работать с Яндекс.Почтой с помощью Microsoft Outlook.

Шаг 1. Настройте ящик

Примечание. Если вы хотите, чтобы письма сохранялись некоторое время после их удаления в почтовой программе, выберите опцию Отключить автоматическое удаление писем, помеченных в IMAP как удаленные . Учтите, что они будут безвозвратно удалены из ящика сразу после перезапуска почтовой программы.

Шаг 2. Создайте пароль приложения

В разделе Пароли и авторизация выберите Включить пароли приложений . Подтвердите действие и нажмите Создать новый пароль .

Если вы включили двухфакторную аутентификацию, просто нажмите Создать пароль приложения .

Придумайте название пароля, например укажите название приложения, для которого вы создаете пароль. С этим названием пароль будет отображаться в списке. Ограничение. Созданный пароль можно увидеть только один раз. Если вы ввели его неправильно и закрыли окно, удалите текущий пароль и создайте новый.

Шаг 3. Настройте программу по протоколу IMAP

  • Outlook 2019
  • Outlook 2016
  • Outlook 2013
  • Outlook 2010

Запустите программу. Введите ваш электронный адрес, выберите Дополнительные параметры  → Настроить учетную запись вручную и нажмите кнопку Подключить .

Укажите следующие настройки учетной записи:

Оставьте другие параметры по умолчанию и нажмите Далее — будет выполнена проверка настроек учетной записи. Если проверка завершилась удачно, нажмите кнопку Готово . Если нет, убедитесь, что все параметры указаны корректно.

После первоначальной настройки может потребоваться изменение ранее введенных данных или проведение более точной настройки сервера. Для этого:

Откройте Панель управления вашего устройства и перейдите в Учетные записи пользователей . Откройте Mail (Microsoft Outlook 2016) .

В открывшемся окне выберите один из аккаунтов или нажмите Добавить , чтобы создать новую конфигурацию.

Выберите значение Ручная настройка или дополнительные типы серверов и нажмите Далее .

Выберите значение Протокол POP или IMAP и нажмите Далее.

Укажите следующие настройки учетной записи:

Адрес электронной почты — ваш почтовый адрес на Яндексе (например, «alice.the.girl@yandex. ru » ); Внимание. Если вы настраиваете получение почты с ящика вида «login@yandex. ru » , логином является часть адреса до знака «@» . Если вы используете Яндекс 360 для бизнеса, в качестве логина необходимо указывать полный адрес почтового ящика.

Оставьте другие параметры по умолчанию и нажмите Другие настройки .

Перейдите на вкладку Сервер исходящей почты , включите опцию SMTP-серверу требуется проверка подлинности и выберите значение Аналогично серверу для входящей почты .

Перейдите на вкладку Дополнительно . Выберите в пункте Использовать следующий тип шифрованного подключения значение SSL для IMAP- и SMTP-сервера. Укажите следующие параметры:

Оставьте остальные параметры по умолчанию и нажмите ОК .

Чтобы завершить настройку учетной записи, в окне Добавить учетную запись нажмите Далее — будет выполнена проверка настроек учетной записи. Если проверка завершилась удачно, нажмите Готово . Если нет, убедитесь, что все параметры указаны корректно.

Запустите программу и нажмите в окне приветствия Далее .

В окне Настройка учетной записи оставьте значение Да по умолчанию и нажмите Далее .

Если у вас уже настроена учетная запись Outlook и вы хотите добавить еще одну, нажмите Файл  → Сведения  → Добавление учетной записи .

Выберите значение Ручная настройка или дополнительные типы серверов и нажмите Далее .

Выберите значение Протокол POP или IMAP и нажмите Далее.

Укажите следующие настройки учетной записи:

Адрес электронной почты — ваш почтовый адрес на Яндексе (например, «alice.the.girl@yandex. ru » ); Внимание. Если вы настраиваете получение почты с ящика вида «login@yandex. ru » , логином является часть адреса до знака «@» . Если вы используете Яндекс 360 для бизнеса, в качестве логина необходимо указывать полный адрес почтового ящика.

Оставьте другие параметры по умолчанию и нажмите Другие настройки .

Перейдите на вкладку Сервер исходящей почты , включите опцию SMTP-серверу требуется проверка подлинности и выберите значение Аналогично серверу для входящей почты .

Перейдите на вкладку Дополнительно . Выберите в пункте Использовать следующий тип шифрованного подключения значение SSL для IMAP- и SMTP-сервера. Укажите следующие параметры:

Оставьте остальные параметры по умолчанию и нажмите ОК .

Чтобы завершить настройку учетной записи, в окне Добавить учетную запись нажмите Далее — будет выполнена проверка настроек учетной записи. Если проверка завершилась удачно, нажмите Готово . Если нет, убедитесь, что все параметры указаны корректно.

Запустите программу и нажмите в окне приветствия Далее .

В окне Настройка учетной записи оставьте значение Да по умолчанию и нажмите Далее .

Если у вас уже настроена учетная запись Outlook и вы хотите добавить еще одну, нажмите Файл  → Сведения  → Добавление учетной записи .

Выберите значение Ручная настройка или дополнительные типы серверов и нажмите Далее .

Выберите значение Протокол POP или IMAP и нажмите Далее.

Укажите следующие настройки учетной записи:

Адрес электронной почты — ваш почтовый адрес на Яндексе (например, «alice.the.girl@yandex. ru » ); Внимание. Если вы настраиваете получение почты с ящика вида «login@yandex. ru » , логином является часть адреса до знака «@» . Если вы используете Яндекс 360 для бизнеса, в качестве логина необходимо указывать полный адрес почтового ящика.

Оставьте другие параметры по умолчанию и нажмите Другие настройки .

Перейдите на вкладку Сервер исходящей почты , включите опцию SMTP-серверу требуется проверка подлинности и выберите значение Аналогично серверу для входящей почты .

Перейдите на вкладку Дополнительно . Выберите в пункте Использовать следующий тип шифрованного подключения значение SSL для IMAP- и SMTP-сервера. Укажите следующие параметры:

Оставьте остальные параметры по умолчанию и нажмите ОК .

Чтобы завершить настройку учетной записи, в окне Добавить учетную запись нажмите Далее — будет выполнена проверка настроек учетной записи. Если проверка завершилась удачно, нажмите Готово . Если нет, убедитесь, что все параметры указаны корректно.

Запустите программу и нажмите в окне приветствия Далее .

В окне Настройка учетной записи оставьте значение Да по умолчанию и нажмите Далее .

Если у вас уже настроена учетная запись Outlook и вы хотите добавить еще одну, нажмите Файл  → Сведения  → Добавление учетной записи .

Выберите значение Настроить вручную параметры сервера или дополнительные типы серверов и нажмите Далее .

Оставьте значение Электронная почта Интернета по умолчанию и нажмите кнопку Далее .

Укажите следующие настройки учетной записи:

Адрес электронной почты — ваш почтовый адрес на Яндексе (например, «alice.the.girl@yandex. ru » ); Внимание. Если вы настраиваете получение почты с ящика вида «login@yandex. ru » , логином является часть адреса до знака «@» . Если вы используете Яндекс 360 для бизнеса, в качестве логина необходимо указывать полный адрес почтового ящика.

Оставьте другие параметры по умолчанию и нажмите Другие настройки .

Перейдите на вкладку Сервер исходящей почты , включите опцию SMTP-серверу требуется проверка подлинности и выберите значение Аналогично серверу для входящей почты .

Перейдите на вкладку Дополнительно . Выберите в пункте Использовать следующий тип шифрованного подключения значение SSL для IMAP- и SMTP-сервера. Укажите следующие параметры:

Оставьте остальные параметры по умолчанию и нажмите ОК .

Чтобы завершить настройку учетной записи, в окне Добавить учетную запись нажмите Далее — будет выполнена проверка настроек учетной записи. Если проверка завершилась удачно, нажмите Готово . Если нет, убедитесь, что все параметры указаны корректно.

Синхронизируйте созданную учетную запись с сервером, чтобы получить список папок. Откройте меню Файл  → Настройка учетных записей , выберите учетную запись на вкладке Электронная почта и нажмите Изменить . Установите значение Сохранять отправленные элементы в следующей папке на сервере и укажите папку Отправленные .

Решение проблем с Microsoft Outlook

Это пошаговое руководство поможет вам решить проблемы, связанные с Яндекс.Почтой и почтовой программой.

«Нет соединения с сервером» «Authentication required», «Sender address rejected: Access denied» или «Send auth command first» «Sender address rejected: not owned by auth user» «Login failure or POP3 disabled» «Message rejected under suspicion of SPAM» «Bad address mailbox syntax»

Попробуйте авторизоваться на сайте Яндекс.Почты с теми же логином и паролем, которые вы используете в программе. Вводите логин и пароль вручную, не используя запомненные в браузере.

Авторизоваться получилось, ошибки нет Авторизоваться получилось, но ошибка всё еще есть Авторизоваться не получилось

Значит, проблема была в том, что вы не приняли условия пользовательского соглашения сервисов Яндекса. Они принимаются автоматически, когда вы впервые авторизуетесь на Яндекс.Почте.

Если вы состоите в организации и проблема воспроизводится во всех ящиках домена, нужно для каждого из них авторизоваться на Яндекс.Почте. Сделать это централизованно не получится, потому что каждый пользователь Почты должен принять условия самостоятельно.

Убедитесь, что в настройках почтовой программы вы точно указали\\n следующие параметры серверов:

Подробнее о том, как проверить настройки серверов в разных почтовых\\n программах, см. в разделе Шифрование передаваемых данных.

Убедитесь, что в настройках почтовой программы вы точно указали следующие параметры серверов:

Подробнее о том, как проверить настройки серверов в разных почтовых программах, см. в разделе Шифрование передаваемых данных.

Если авторизоваться не получилось, возможно, в почтовой программе вы используете неверный логин или пароль.

Также попробуйте авторизоваться в Яндекс.Почте с теми же логином и паролем, которые вы используете в программе.

Если авторизоваться получилось и ошибки нет, значит, проблема была в том, что вы не приняли условия пользовательского соглашения сервисов Яндекса. Они принимаются автоматически, когда вы впервые авторизуетесь в веб-интерфейсе Яндекс.Почты.

Если вы состоите в организации и проблема воспроизводится во всех ящиках домена, нужно для каждого из них авторизоваться в веб-интерфейсе. Сделать это централизованно не получится, потому что каждый пользователь Почты должен принять условия самостоятельно.

Также попробуйте авторизоваться в Яндекс.Почте с теми же логином и паролем, которые вы используете в программе.

Если авторизоваться получилось и ошибки нет, значит, проблема была в том, что вы не приняли условия пользовательского соглашения сервисов Яндекса. Они принимаются автоматически, когда вы впервые авторизуетесь в веб-интерфейсе Яндекс.Почты.

Если вы состоите в организации и проблема воспроизводится во всех ящиках домена, нужно для каждого из них авторизоваться в веб-интерфейсе. Сделать это централизованно не получится, потому что каждый пользователь Почты должен принять условия самостоятельно.

Также попробуйте авторизоваться в Яндекс.Почте с теми же логином и паролем, которые вы используете в программе.

Если авторизоваться получилось и ошибки нет, значит, проблема была в том, что вы не приняли условия пользовательского соглашения сервисов Яндекса. Они принимаются автоматически, когда вы впервые авторизуетесь в веб-интерфейсе Яндекс.Почты.

Если вы состоите в организации и проблема воспроизводится во всех ящиках домена, нужно для каждого из них авторизоваться в веб-интерфейсе. Сделать это централизованно не получится, потому что каждый пользователь Почты должен принять условия самостоятельно.

Проверьте ваш компьютер на вирусы с помощью бесплатных антивирусных программ: CureIt! от Dr.Web и Virus Removal Tool от «Лаборатории Касперского».

В диагностических целях Microsoft Outlook для Windows включает ведение журнала для определенных Outlook функций. Эти журналы могут пригодиться специалистам по поддержке при устранении проблем.

В этой статье

Включение и отключение ведения журнала

Важно: Отключайте ведение журнала после устранения неполадок. Если этого не сделать, файлы журнала продолжат увеличиваться в размерах.

Для Outlook 2016, Outlook 2013 и Outlook 2010

В Outlook выберите Файл > Параметры > Дополнительно.

В разделе Другое установите или снимите флажок Включить ведение журнала устранения неполадок (необходим перезапуск Outlook).

Закройте и перезапустите Outlook.

В Outlook 2007

В Outlook выберите Сервис > Параметры.

На вкладке Другие выберите Дополнительные параметры.

Установите или снимите флажок Включить ведение журнала.

Закройте и перезапустите Outlook.

После перезапуска Outlook в заголовке окна Outlook появляется напоминание (Разрешено ведение журнала), если эта функция включена.

Чтобы данные записывались в файлы журнала, возможно, понадобится завершить работу Outlook.

Сведения, сохраняемые при ведении журнала

При ведении журнала регистрируются сведения о следующих возможностях:

Операции с календарем, вызванные функциями Outlook, действиями пользователя, объектной моделью или таблицей календаря MAPI, в том числе следующие:

Публикация сведений о занятости

Действия с элементами календаря (создание, изменение, удаление)

Журнал для календаря в основном ведется для того, чтобы быстро выявлять ситуации, в которых, например, собрания по неизвестной причине удаляются из папки "Календарь".

Внесение изменений в сведения о свободном и занятом времени

Автономная адресная книга

Операции с интерфейсом MAPI, используемым для работы с Microsoft Exchange, POP3, протокол IMAP, Протокол SMTP и протокол LDAP.

Для каждого действия отправки и получения, выполненному для этих учетных записей, создается отдельный журнал.

Связь с Exchange Server, POP3-, SMTP- и IMAP-серверами.

Просмотр файлов журнала

Большинство файлов журнала хранятся в виде обычного текста. Чтобы защитить данные, файл журнала календаря хранится в виде двоичного файла, который невозможно прочитать без преобразования. Для получения дополнительных сведений о файлах журнала календаря обратитесь в службу поддержки Майкрософт.

Местоположение файлов журнала

Файлы журнала хранятся во вложенных папках папки Temp. По умолчанию папка Temp находится в папке \AppData\Local:

c:\Пользователи\имя_пользователя\AppData\Local\Temp

По умолчанию папки Local Settings и AppData скрыты.

Чтобы отобразить скрытые папки в Windows:

В Windows откройте панель управления.

Откройте Параметры папки.

Чтобы найти Параметры папки, вверху окна в поле поиска введите Параметры папки.

На вкладке Вид в области Дополнительные параметры вобласти Файлы и папки вобласти Скрытые файлы и папки выберитеПоказывать скрытые файлы, папки и диски.

В следующей таблице показаны расположение и содержимое различных файлов журнала, хранящихся в виде обычного текста.

Тип файла журнала

Вложенная папка

имя_файла_данных.bin

имя_файла_данных.xml

дата-время-fb.log

Служба доступности, функция "нет на месте" и предложения о собрании

дата-время-AS.log

дата-время-PB4S.log

дата-время-UM.log

дата-время-UMCFG.log

дата-время-oof.log

Предложение о собрании

дата-время-ms.log

OLKCalLog_дата-время.etl

emailaddress-Outgoing-дата-время.log

emailaddress-Incoming-дата-время.log

IMAP-emailaddress-Incoming-дата-время.log

Соединитель Outlook Hotmail

OLC-emailaddress-дата-время.log

OLC-дата-время.log

адрес_электронной_почты.txt

дата-время-oof.log

PROF_OUTLOOK_threadID_action_год.месяц.день_час.минута.секунда.txt

Механизм общего доступа к данным Outlook

Sharing Engineдата.log

Индексация панели поиска Outlook и Windows

имя_файла_данных.log

Расширенная трассировки событий Windows для Outlook

Outlook-дата-время.etl

дата-время-mailtips.log

дата-время-fb.log

Механизм общего доступа к данным Outlook

Sharing Engineдата-время-mailtips.log

Процесс первого запуска Outlook

Сведения для администратора

Администратор может включить или отключить ведение журнала с помощью реестра, а также развернуть параметры ведения журнала для пользователей.

Сведения о том, как включить и отключить ведение журнала с помощью реестра, см. в microsoft KB 831053.

Параметры ведения журнала Outlook по умолчанию можно изменить с помощью центра развертывания Office на странице Изменение параметров пользователя. Кроме того, можно назначить обязательное использование параметров с помощью шаблона групповой политики Outlook (Outlk15.adm) в редакторе локальных групповых политик.

Важно: По соображениям производительности и безопасности не рекомендуется развертывать ведение журналов. Делайте это лишь в случае необходимости.

Чтобы задать обязательное использование параметров ведения журнала пользователями Outlook, выполните указанные ниже действия.

Установите или снимите флажок Включить ведение журнала устранения неполадок (необходим перезапуск Outlook).


Детальные логи Office 365 Outlook, извлечённые программой Magic-Unicorn-Tool: злоумышленник ищет счёт на оплату (payment invoice). Первая буква поискового запроса введена в 10:42:44.548, последняя в 10:43:07.214. Информация об активности хранится в логах шесть месяцев

Долгое время ходили слухи, что в Office 365 есть встроенный секретный инструмент для записи активности пользователей. В июне 2018 года эти слухи подтвердились в полной мере. Всё началось с видеоролика, опубликованного Anonymous, а потом уже специалисты CrowdSrtike выложили подробный отчёт.

Microsoft внедрила в почтовый клиент Activities API не для каких-то злонамеренных целей, а для задач цифровой криминалистики, то есть расследования инцидентов со взломом корпоративной почты и другими утечками данных. Для этого ведётся подробнейший лог активности за шесть месяцев даже если пользователь отключил журналирование.

Взлом корпоративных почтовых аккаунтов по всему миру приобрёл настолько массовый характер, что некоторые специалисты называют это эпидемией. Злоумышленники получают доступ к электронным таблицам с номерами социального страхования, подробной информации о финансовых накладных и торговым секретам. Они ищут сведения о банковских переводах и воруют деньги, пользуясь отсутствием цифровой подписи на документах. Различные виды мошенничества через компрометацию бизнес-почты описаны в брошюре CrowdStrike.

Например, в начале июня ФБР провело международную операцию и задержало 74 человека в нескольких странах, которые занимались этим бизнесом.

Когда факт взлома становится известен, важно понять: к каким данным получил доступ взломщик, что он видел и какую информацию скопировал. Произошла ли утечка конфиденциальных данных? Расследование инцидентов затрудняется тем, что журналирование в Office 365 выключено по умолчанию. В отсутствие каких-либо реальных сведений компания по закону вынуждена публично объявлять об утечке данных со всеми вытекающими последствиями — репутационными издержками, штрафами и т. д.

Но сейчас стало известно, что в Office 365 существуют Activities API с подробным журналированием, и многих таких скандалов можно было избежать, если бы компании знали об этом API. Возможно, доступ к этим секретным логам получали лишь некие привилегированные клиенты. Есть информация, что некоторые компании, которые специализируются на цифровой криминалистике, знали о секретном инструменте аудита Office 365 в прошлом году, а то и раньше. Кто-то считал их заявления маркетинговой бравадой, но это оказалось правдой. Удивительно, но Activities API существуют, и Microsoft действительно скрывала наличие такого важного и полезного инструмента, названного в профессиональных кругах «Волшебным Единорогом» (Magic Unicorn), отсюда и название программы для самостоятельного разбора логов, которая упомянута ниже.


Недокументированные Activities API являются подмножеством всех трёх версий Outlook REST API (1.0, 2.0 и бета). Как и с остальными подмножествами, вызов к API должен быть аутентифицирован по OAuth 2.0 или по базовой аутентификации.

Конечная точка следующая:

Обязателен также заголовок Authorization :

Для целей тестирования токен доступа OAuth 2.0 можно сгенерировать в песочнице Oauth. Он действует 60 минут.

Простейший вызов к API — запрос десяти последних своих активностей.


Пример ответа от API в формате JSON показывает стандартные свойства активностей:


Через API можно запрашивать активности не только для себя, но и для других пользователей, если получено разрешение через Shared Mailbox или Application Permission:


Activities API поддерживают несколько параметров запроса:

  • $orderby : сортировка результатов по заданному выражению
  • $filter : фильтрация результатов по дате и/или типу активности
  • $select : выбор возвращаемых свойств
  • $top : максимальное количество возвращаемых активностей
  • $skip : количество пропускаемых активностей в результатах

Специалисты CrowdStrike опубликовали модуль Python, который извлекает информацию по Office 365 Outlook Activities API и записывает полученные данные в файл CSV.

Программа Magic-Unicorn-Tool парсит логи Activities API, добытые вышеупомянутым питоновским модулем. В данный момент она способна разбирать и отображать следующую информацию:

Magic-Unicorn-Tool распространяется без подписи кода, но с открытыми исходниками.

Внедрение инструментов вроде Activities API без ведома пользователей поднимает ряд практических и этических вопросов для всей индустрии цифровой криминалистики. По умолчанию журналирование отключено на аккаунтах Office 365. Оно не входит в стандартные планы ProPlus и E1. За аудит аккаунтов компании вынуждены платить дополнительные деньги, а из-за отсутствия логов (как они думали) многие компании понесли убытки. В то же время степень детализации логов Activities API намного превышает детализацию документированных способов журналирования, таких как Unified Audit Log.

Специалисты по цифровой криминалистике из компании LMG Security призывают принять стандарты по журналированию активности и возложить его как обязательную нагрузку на облачных провайдеров, как сейчас обязательной нагрузкой является система пожарной сигнализации в дата-центрах.

Принятие стандартов требуется для того, чтобы провайдеры не только вели логи, но и предоставляли их в стандартном виде для клиентов и аудиторских компаний, а не держали в секрете для избранных клиентов, как часть более дорогого тарифного плана или как отдельную платную услугу.



АКЦИЯ GMO GlobalSign Russia для подписчиков Habr

date

06.09.2021

directory

Exchange, Microsoft 365, Office 365, PowerShell

comments

комментария 2

С помощью механизма аудита on-prem Exchange Server и облачном Exchange Online (Microsoft 365) вы можете отслеживать все действия пользователей с любыми элементами в почтовом ящике. Аудит действий пользователей в ящике поможет администратору Exchange ответить на популярный вопрос – “как найти пользователя, который удалил письмо в общем почтовом ящике”?

В этой статье мы покажем, как настроить аудит действий в ящиках Exchange Server и Microsoft 365, и выполнять поиск по событиям аудита.

Настройка аудита в ящиках Office 365 (Microsoft 365)

Сначала рассмотрим, особенности аудита в ящиках облачного тенанта Microsoft 365. Этот функционал доступен только для подписок уровня E3 и E5.

Откройте консоль PowerShell и подключитесь к своему Exchange Online с помощью модуля EXOv2:

В Exchange Online (Office 365) аудит событий по-умолчанию включен для всех тенантов с конца 2018.

Get-OrganizationConfig | Format-List AuditDisabled

Аудит можно включить/отключить в настройках каждого ящика. Выведем текущие настройки для всех ящиков:

Get-Mailbox -ResultSize Unlimited -Filter | Select UserPrincipalName,AuditEnabled

включить аудит событий действий пользователей в ящике exchange

Как вы видите, аудит включен. Можно отключить аудит для определенного ящика:

Set-Mailbox kbuldogov -AuditEnabled $false

В Exchange есть несколько уровней аудита в ящике:

В журнал аудита можно записывать следующие события:

  • Copy
  • Create
  • FolderBind
  • HardDelete
  • MailboxLogin
  • MessageBind
  • Move
  • MoveToDeletedItems
  • SendAs
  • SendOnBehalf
  • SoftDelete
  • Update
  • UpdateCalendarDelegation
  • UpdateFolderPermissions

Для каждого уровня аудита вы можете настроит те события, которые должны сохранятся в журнал. Текущие настройки аудита можно получить так:

Get-Mailbox kbuldogov| Select-Object -ExpandProperty AuditOwner
Get-Mailbox kbuldogov| Select-Object -ExpandProperty AuditDelegate
Get-Mailbox kbuldogov| Select-Object -ExpandProperty AuditAdmin

powershell настроить события аудита, которые нужно фиксировать в лог

Вы можете настроить, что в журнал аудита сохранялись только определенные действия, например удаление:

Set-Mailbox kbuldogov -AuditOwner HardDelete,SoftDelete

Если нужно только добавить некоторые события аудита к текущим:

Set-Mailbox kbuldogov -AuditOwner @

Журналы аудита хранятся непосредственно в ящике в папке Audits. Эта папка недоступна из почтового клиента Outlook или OWA.

Текущий размер журнала аудита в ящике можно получить с помощью команды:

папка Audits в ящике Exchange

Аудит в почтовых ящиках Exchange Server

В on-prem Exchange Server аудит почтовых ящиков доступен с версии 2010 SP1. По умолчанию аудит ящиков отключен.

Подключитесь к своему on-prem серверу Exchange с помощью PowerShell:

Вы можете включить аудит для одного почтового ящика:

Set-Mailbox kbuldogov -AuditEnabled $true

Или для всех почтовых ящиков в организации:

Get-Mailbox -ResultSize Unlimited -Filter | Set-Mailbox -AuditEnabled $true

В ящике Exchange Server включен аудит доступа администраторов и делегатов (здесь настройки по-умолчанию другие, чем в Exchange Online). Аудит действий владельца отключен. Включение аудита всех событий для владельца ящика может сильно увеличить размер журнала. Лучше всего включить выборочный аудит некоторых действий (например, удаления, перемещения):

Set-Mailbox kbuldogov -AuditOwner SoftDelete,HardDelete,MoveToDeletedItems,Move

События аудита хранятся 90 дней, после чего они удаляются. Вы можете управлять глубиной журнала аудита (и его размером). Например, уменьшите срок хранения событий для ящика с 90 до 30 дней:

Get-Mailbox kbuldogov |select AuditLogAgeLimit
Set-Mailbox kbuldogov -AuditLogAgeLimit 30 -Force

глубина аудита в Exchange Online

Кто удалил письмо из общего ящика Exchange?

Допустим в вашей организации/тенанте Exchange, есть некий общий или персональный почтовый ящик, к которому дан доступ другим пользователям. Кто-то из пользователей удалил важное письмо из ящика и вам нужно найти кто это сделал.

Для поиска в логах аудита почтового ящика используется командлет Search-MailboxAuditLog . Командлет доступен как в наземном Exchange Server, так и в облачном Exchange Online (некоторые параметры и опции могут отличаться).

Следующая команда выведет все операции аудита, которые выполнялись с элементами в указанном общем ящике с 5 сентября:

powershell командлет Search-MailboxAuditLog

Поиск может выполниться довольно долго в зависимости от количества событий аудита. В этом примере видно, кто удалил письмо с указанной темой.

Для поиска писем по всем ящикам Exchange используется командлет Search-Mailbox.

Вы можете более тонко отфильтровать журналы аудита. Например, мы хотим выбрать только события удаления (HardDelete, SoftDelete, MoveToDeletedItems), которые выполнялись не-владельцем ящика:

кто удалил письмо в общем ящике Exchange

Для асинхронного поиска по событиям аудита используется командлет New-MailboxAuditLogSearch . Он вызывает меньшую нагрузку на почтовый сервер, выполняется в фоне, позволяет более эффективно искать среди тысяч событий и отправляет результаты на указанный почтовый ящик.

Вы также можете выполнять поиск по логам аудита через Exchange Admin Center в разделе Compliance Management -> Auditing. Можно использовать отчет Run a non-owner mailbox access report или Export mailbox audit logs.

поиск по журналам аудита в Exchange Admin Center

Microsoft 365 Complicate Center поиск по событиям аудита

Вы можете выполнять поиск логов через Compliance Center с помощью командлета Search-UnifiedAuditLog .

Вы можете использовать события аудита чтобы проверить, что письмо прочитано.

1. Во вкладке Файл щелкните Параметры.

2. В диалоговом окне Параметры Outlook нажмите кнопку Дополнительно.

3. В разделе Другие выберите Включить ведения журнала устранения неполадок (необходим перезапуск Outlook), а затем нажмите кнопку ОК.

4. Закройте и перезапустите Outlook.

Примечание: при включении ведения журнала Outlook изменяет следующие реестра настраивается:

Ключ:

DWORD: EnableLogging
Значения: 1 = ведение журнала включено, 0 = ведение журнала отключено

Для Outlook 2007 и более ранних версий:

1. В меню Средства, нажмите кнопку Параметры.

7. Перезапустите Outlook.

Примечание: Очень важно отключить ведение журнала после сбоя связи с сервером записи журналов. Если этого не сделать, размер файла журнала будет расти неограниченно..

Расположение файлов журнала

Файлы журнала в формате обычного текстового файла располагаются в следующих местах.

Для Outlook 2010:

1. В меню Пуск, нажмите кнопку Выполнить.

2. Введите следующий текст и нажмите кнопку ОК.

The Opmlog.log файл также содержит информацию, которая относится к Outlook Connector.

%TEMP%\Outlook Logging\IMAP usernamedomainname Дата time.log

Пример: IMAP user1wingtiptoyscom-03_23_2010 12_49_31_798.log

    14 Журнала версий Outlook Connector

Для регистрации Outlook Connector версии 14, настройте следующие данные реестра:

DWORD: EnableLogging
Значение: 1

Ключ:

HKEY_CURRENT_USER\Software\Microsoft\Microsoft Office Outlook Connector

DWORD: TracingLevel
Значение: 3

%TEMP%\OLC Logging\OLC smtp_address Дата time.log

Пример: Этот адрес электронной почты защищён от спам-ботов. У вас должен быть включен JavaScript для просмотра. -03_23_2010-16_13_10_803.log

Чтобы отключить ведение журнала для соединителя Outlook версии 14 настройте следующие данные реестра:

Ключ:

DWORD: EnableLogging
Значение: 0

Ключ:

HKEY_CURRENT_USER\Software\Microsoft\Microsoft Office Outlook Connector

DWORD: TracingLevel
Значение: 0

Для Outlook 2007 и более ранних версиях:

  • POP3, SMTP и MAPI
    The POP3, SMTP, типы транспорта MAPI записываются в один файл журнала в следующих расположениях.
    В Microsoft Windows XP и Microsoft Windows 2000:

C:\Documents and Settings\ \Local Settings\temp\OPMLOG.LOG < имя >

В Microsoft Windows 98, Windows 98 второгоизданияи Microsoft Windows Millennium Edition (Me):

\Local Settings\temp\Outlook Logging\ < имя > C:\Documents and Settings\ <nameofimapserver>\IMAP0.LOG IMAP1.LOG, и т.д.

В Windows 98, Windows 98 Second Edition и Windows Me:

C:\Windows\temp\Outlook Logging\ <nameofimapserver>\IMAP0.LOG IMAP1.LOG, и т.д.

    Журналы службы Hotmail

C:\Documents and Settings\ < имя > \Local Settings\temp\Outlook Logging\Hotmail\Hotmail0.LOG, Hotmail1.LOG, и т.д.

В Windows 98, Windows 98 Second Edition и Windows Me:

Logging\Hotmail\Hotmail0.LOG C:\Windows\temp\Outlook, Hotmail1.LOG, и т.д.

Читайте также: