Los campos de un evento de auditoría

Un registro de auditoría tiene decenas de campos, pero casi todo caso empieza con cuatro. Quién es UserId, la cuenta que actuó (un UPN, como [email protected]). Qué es Operation. Sobre qué es ObjectId, la ruta del archivo, de la carpeta o de la política afectada. Desde dónde es ClientIP, la dirección del equipo cliente.

Los demás campos dan contexto: CreationTime (cuándo, en UTC), Workload (el servicio), RecordType (el tipo de registro), ResultStatus (si salió bien o falló), UserType (si actuó una persona común, un administrador, el sistema o una aplicación) y Id (el identificador del registro, que sirve para citarlo en un informe).

La consola trae un registro del correo: una persona envió un mensaje en plena madrugada. Mira todos sus campos con evento_exchange. Verás también LogonType, que dice cómo entró a ese buzón: 0 es el propietario, 1 un administrador y 2 un delegado, y SessionId, que agrupa las acciones de una misma sesión.

CreationTime está siempre en UTC. En Colombia la hora local es UTC-5 todo el año, así que una persona que lee el registro sin restar cinco horas acusa a alguien de actuar de madrugada cuando en realidad actuó en la tarde, o al revés. Cuando la resta pasa la medianoche, además cambia el día.

En los eventos de archivos, ObjectId es la dirección completa del archivo y SourceFileName solo su nombre. Junto a ellos viene SiteUrl, el sitio donde está, y UserAgent, el navegador o el programa que hizo la petición. Un nombre de archivo es lo que se anota en un informe; la dirección completa es lo que permite encontrarlo.

En los registros de Exchange, ClientInfoString describe el protocolo y el programa con que se accedió: el navegador (Client=OWA), la sincronización de un teléfono (Client=ActiveSync), un programa que lee el correo por el protocolo IMAP (Client=IMAP4) o uno que usa los servicios web de Exchange (Client=WebServices). Sirve para ver si un acceso encaja con lo habitual de esa persona.