Exchange Server 2013 Mailbox Audit Logging

Günümüzde şirketlerde yazılı bir kanıt, delil  niteliği taşıdığı için Mail uygulamaları önemli bir yer tutmaktadır, dolayısıyla bu sistemin güvenliği ve takibi çok önemlidir. Ayrıca şöyle bir örnek vermek istiyorum binlerce kullanıcıya sahip bir şirket düşünün içerisinde onlarca belki de yüzlerce  departman müdürleri ve bu müdürlerin  maillerinin takibini yapabilmesi için full erişim yetkisi verilmiş 45-50 yaşlarında sekreterleri-yardımcıları oluyor ve bir sabah geldiğinde bu yaşlı teyzeler müdürlerinin maillerini yanlışlıkla tamamını yada bir kısmını silebiliyor J ve bu  hareketin  müeyyidesinin de ağır olacağını bildiğinden itiraf etmemektedirler, aslında çok komik bir durum ama maalesef bir kaç kez başıma geldi eminim sizlerin de başına gelmiştir. Siz bu durumda Backup’ dan  mailleri dönüyorsunuz buna rağmen yine de insanların içinde bir  güvensizlik ve sistemi sorgulama durumu ortaya çıkıyor size bu sorunun nedenini sorabiliyorlar, işte tam bu noktada yardımımıza Exchange server Audit  özelliği koşuyor. Bu özellik sayesinde bir mesaj üzerinde  erişim, taşıma, silme gibi aksiyon bilgilerinin yanında kim, IP adresi, hostname, bağlantı türü gibi bilgilerini Mailbox Owner ve Delegasyon yetkisi verilmiş kullanıcı bazlı alabiliyoruz. Burada dikkat edilmesi gereken nokta bu özelliklerin tamamı yerine sadece bize gereken bilgilerin loglarının tutulmasıdır aksi takdirde kullanıcı Mailboxları kapasite olarak hızlı bir şekilde dolacak ve depolama alanı sorunu yaşanacaktır.

 

Not: Audit loglar ilgili mailbox içerisinde tutulmaktadır, siz mailbox’ı farklı bir Database’e yada farklı bir Mailbox Sunucu’ya taşırsanız audit loglarda birlikte gidecektir.

 

Bu makalede Exchange Server 2013 Audit Logging özelliğini kullanarak yapılan işlem sonrası oluşan audit bilgilerini inceleyeceğiz. Default olarak audit özelliği kapalı gelmektedir, Audit ile  ilgili işlemleri Exchange Administration Center (EAC) ‘den yapamıyoruz Exchange Management Shell’i kullanmak zorundayız. Audit özelliğini açmadan önce örnek kullanıcımızın audit özelliğinin açık olup olmadığına tekrar  bakalım, EMS’de bu komutu  Get-Mailbox -Identity kullanıcı adı | fl *audit* çalıştırıyoruz ve kullanıcımızın audit özelliğinin kapalı olduğu görebiliyoruz,

 

 

 

 

 

Microsoft bütün kullanıcılar için değil de belirli kullanıcılar için audit özelliğini açmamızı tavsiye etmektedir,

 

Aşağıda Audit komutlarının tamamını görebilirsiniz,

 

Action	Description	Administrator	Delegate	Owner
Copy	An item is copied to another folder.	Yes	Yes	Not applicable
Create	An item is created in the mailbox. (For example, a message is sent or received.)	Yes*	Yes*	Yes
	Note: Folder creation isn’t audited.
FolderBind	A mailbox folder is accessed.	Yes*	Yes**	Yes
HardDelete	An item is deleted permanently from the Recoverable Items folder.	Yes*	Yes*	Yes
MessageBind	An item is accessed in the reading pane or opened.	Yes	Not applicable	Not applicable
Move	An item is moved to another folder.	Yes*	Yes	Yes
MoveToDeletedItems	An item is moved to the Deleted Items folder.	Yes*	Yes	Yes
SendAs	A message is sent using Send As permissions.	Yes*	Yes*	Not applicable
SendOnBehalf	A message is sent using Send on Behalf permissions.	Yes*	Yes	Not applicable
SoftDelete	An item is deleted from the Deleted Items folder.	Yes*	Yes*	Yes
Update	An item’s properties are updated.	Yes*	Yes*	Yes

 

* Audit aktif edildiğinde default olarak aktif olur.

 

Aşağıda 3 farklı logon tipiyle  ilgili örnek komutlar var bunları üstteki tabloya göre aksiyonları belirterek kullanabilirsiniz.

 

Bu komutta Test kullanıcısı üzerinde  Send As, SendOnBehalf yetkisi olan kullanıcıların loglama özelliğini devreye alır.

 

Set-Mailbox -Identity “testuser” -AuditDelegate SendAs,SendOnBehalf -AuditEnabled $true

 

 

Bu komut Test kullanıcısı üzerinde Administrator kullanıcıların  MessageBind,FolderBind hareketlerinin logunu aktif eder.

Set-Mailbox -Identity “testuser” -AuditAdmin MessageBind,FolderBind -AuditEnabled $true

 

Bu komutta Test kullanıcısı üzerinde Owner yetkisine sahip kullanıcıların sadece HardDelete  hareketlerinin logunu aktif eder.

Set-Mailbox -Identity “testuser” -AuditOwner HardDelete -AuditEnabled $true

 

Bu makalede örnek olarak üstteki bu 3 komutu da kullanabileceğimiz bir  senaryo üzerinden ilerleyeceğiz.

İlgili test kullanıcımızın üzerinde  Mailbox Owner yetki sahipleri için HardDelete , MailboxDelegate yetki sahipleri için SoftDelete, HardDelete, SendAs, SendOnBehalf ve Mailbox Admin yetki sahipleri için Update, Move, MoveToDeletedItems, SoftDelete aksiyonlarının loglarını tutmasını isteyeceğiz.

 

Komutumuz;

Set-mailbox  –Identity  ismailkizilirmak  -AuditOwner HardDelete –AuditDelegate SoftDelete, HardDelete, SendAs, SendOnBehalf –AuditAdmin Update, Move, MoveToDeletedItems, SoftDelete -AuditEnabled $true

 

 

İlgili komutumuzu çalıştırdıktan sonra son durumu görmek için Get-Mailbox -Identity kullanıcı adı | fl *audit* çalıştırdığımızda komutumuzun sağlıklı bir şekilde uygulandığını görüyoruz. Şimdi test kullanıcımızın ownerı ismailkizilirmak’ a  gelen bir maili bu hesap üzerinde Full yetkili Bugra kullanıcısı silecek ve bu hareketin nasıl loglandığını göreceğiz.

 

Öncelikle  silme  işlemini yapacak kullanıcı, full yetkiye sahip  olduğu kullanıcıya gelen bir  maili siliyor.

 

 

 

 

Gördüğünüz gibi mail silindi,

 

 

 

 

 

Şimdide sildiğimiz mailin loguna bakalım, birkaç farklı yöntem var ama biz  EMS’den kontrol edeceğiz.

Komutumuz; Search-MailboxAuditLog -Identity “ismailkizilirmak” –ShowDetails –ResultSize 1

 

Siz isterseniz Logon şekli ,başlangıç-bitiş süresi, mail konusu vb. Gibi detayları da komutta kullanabilirsiniz,

 

Gördüğünüz gibi ilgili mailbox üzerinde kim nezaman nasıl bir işlem yapmış hangi ip adresinden yapmış gibi detaylı bilgilere bu ekrandan ulaşabiliyorsunuz.  Bir başka makalede görüşmek üzere..

Kaynak: http://technet.microsoft.com/en-us/library/ff459237.aspx?lc=1033