El buzón, su auditoría y MailItemsAccessed

La auditoría de buzones viene activada por defecto en todas las organizaciones, y al crear un buzón nuevo ya está activa. No hay que encenderla buzón por buzón: Microsoft mantiene un conjunto predefinido de acciones que se registran para cada tipo de inicio de sesión. Hay tres: propietario (la persona dueña), delegado (quien tiene permiso de acceso total, de envío como o de envío en nombre de otra) y administrador (por ejemplo, una búsqueda de eDiscovery).

Si alguien cambia las acciones de un tipo con Set-Mailbox, Microsoft deja de administrar ese conjunto y las acciones nuevas que salgan ya no se añaden solas. Por eso en una investigación conviene comprobar que el buzón siga con el conjunto predeterminado.

No todas las acciones se registran para los tres tipos de inicio de sesión. La tabla acciones_buzon muestra algunas con la columna por_defecto_para. Las que dicen «ninguno» hay que añadirlas a mano, y eso se decide antes del incidente: después ya no hay registro de lo que ocurrió.

Hay una acción que registra los mensajes enviados, respondidos o reenviados, y no se registra por defecto para el delegado.

MailItemsAccessed es la acción que registra cuándo se accedió a correo por un protocolo o un cliente. Es parte de la auditoría estándar y viene activada para las cuentas con licencias E3 o E5. Cada registro trae ClientIPAddress, ClientInfoString y SessionId, y estos tres campos juntos dibujan el contexto de un acceso.

El SessionId es lo que separa lo que hace la dueña de lo que hace otra persona con la misma cuenta, aunque ambas lleguen al mismo buzón.

MailItemsAccessed distingue dos formas de acceso. Bind es el acceso a un mensaje concreto: el registro lleva el InternetMessageId de cada mensaje y agrupa en un solo registro todo lo que ocurre en un intervalo de dos minutos. Sync es una descarga de carpeta: solo la registran las versiones de escritorio de Outlook para Windows y Mac. Por el volumen, no se genera un registro por mensaje sino uno por carpeta sincronizada.

Quien descarga una carpeta puede desconectarse de internet y leerla en su equipo, y desde ese momento el servidor ya no ve nada. Por eso, ante un Sync en un contexto que no es de la dueña, la regla es suponer la carpeta entera comprometida.

Lo que se deja fuera del Sync se cuenta con los registros Bind. La columna mensajes dice cuántos mensajes agrupó cada registro en su intervalo de dos minutos, y la sesión sospechosa tiene dos registros de ese tipo. Los registros de otras sesiones de la misma cuenta no cuentan: son de la dueña.