El registro de auditoría unificado de Microsoft 365

El registro de auditoría unificado de Microsoft 365 forma parte de Microsoft Purview y guarda, en un solo lugar, miles de operaciones de personas usuarias y de administradores en decenas de servicios: el correo (Exchange), SharePoint, OneDrive, Teams y Microsoft Entra, entre otros. Antes de él había que ir servicio por servicio.

Cada registro dice en qué servicio ocurrió (el campo Workload) y de qué tipo es (RecordType), y a partir de ahí trae los campos propios de ese servicio. La auditoría estándar viene activada por defecto en las organizaciones con la suscripción adecuada; lo que hay que asignar son los permisos para poder buscar en ella.

La consola te muestra doce registros del jueves 15. Cada fila trae la hora en UTC, el servicio, la operación, la cuenta, el objeto y la dirección de origen. Para quedarte con un servicio se filtra por workload, que es la primera decisión de casi cualquier búsqueda en el registro.

Prueba auditoria, y luego auditoria | summarize registros = count() by workload para ver cómo se reparte el día. Después filtra por el servicio de archivos personales.

Los nombres de las operaciones no siguen una sola forma. Unos son verbos de lo que hizo la persona (FileDownloaded, SoftDelete), otros llevan el nombre de un comando de Exchange (Send es un mensaje enviado, pero New-InboxRule es una regla creada) y los de Entra hablan de inicios de sesión. Por eso se lee junto con el servicio: la misma palabra no significa lo mismo en todos.

El chat y las reuniones viven en un servicio propio, Teams, que en el registro se llama MicrosoftTeams.

Hay cuatro maneras de llegar a los registros: la herramienta de búsqueda del portal de Microsoft Purview, el comando Search-UnifiedAuditLog de Exchange Online PowerShell, la API de búsqueda de auditoría de Microsoft Graph y la API de actividad de Office 365. Esta última es la que se usa para llevar los registros a otro sistema y guardarlos más tiempo que los 180 días por defecto de la auditoría estándar.