Microsoft 365 / Buscar registros de auditoría de usuarios y administradores en Purview

Para investigar las acciones de usuarios y administradores en Microsoft 365, utilice la búsqueda del registro de auditoría de Microsoft Purview. Delimite la persona, el tipo de actividad y el período, y examine después la hora, la operación y el elemento afectado. Estos registros ayudan a investigar actividades reales; no conservan sin límite todos los detalles de todos los servicios.

¿Qué se puede verificar con los registros de auditoría?

Puede consultar actividades como acceso y uso compartido de archivos, operaciones de buzón y cambios de grupos o configuración. Los eventos recopilados, el momento en que pueden buscarse y su conservación dependen del servicio y la licencia. Compruebe los requisitos de su organización en la guía de Microsoft para empezar con la auditoría de Purview.

Para investigar inicios de sesión correctos y fallidos, los registros de inicio de sesión de Microsoft Entra ofrecen información más directa que la auditoría de Purview. Para la entrega de correo, utilice el seguimiento de mensajes de Exchange. Elegir el registro adecuado es más útil que añadir términos a una búsqueda que consulta la fuente equivocada.

Preparación para búsquedas de auditoría

• Elija una pregunta que investigar. Por ejemplo: "¿Quién cambió la configuración de uso compartido de este archivo y cuándo?"
• Obtenga información de identificación del usuario objetivo, archivo/sitio o acción.
• Verifique la hora del evento y la zona horaria. La hora que se muestra en la pantalla puede diferir de la zona horaria del registro.
• Verifique los permisos de búsqueda de auditoría. La falta de permisos no significa que no haya resultados; puede significar que no puede realizar la búsqueda.

Verifique los permisos de visualización, el período de retención y los retrasos en la recopilación

La búsqueda y exportación requieren el rol Audit Logs o View-Only Audit Logs en Microsoft Purview. El grupo de roles Audit Reader incluye permisos de búsqueda y exportación; Audit Manager ofrece capacidades más amplias. Las unidades administrativas asignadas pueden limitar los registros accesibles. Quitar un filtro no amplía sus permisos. Ser administrador de Exchange o Teams no concede automáticamente acceso a todos los registros de Purview.

La Auditoría (Estándar) conserva los registros durante 180 días por defecto. Para los usuarios de Auditoría (Premium) con la licencia adecuada, las actividades de Microsoft Entra ID, Exchange y SharePoint tienen una retención predeterminada de un año; otras actividades y las políticas de retención configuradas pueden tener condiciones diferentes. Verifique la licencia del usuario que realizó la actividad, el servicio y la política de retención aplicable. Un solo administrador con licencia no hace que los registros de auditoría de todos sean elegibles para la retención de un año.

La actividad reciente puede no ser buscable de inmediato. Microsoft describe una disponibilidad típica de 60 a 90 minutos para servicios principales como Exchange, SharePoint, OneDrive y Teams, pero no garantiza ese intervalo. La latencia de colección es diferente del tiempo que tarda en ejecutarse un trabajo de búsqueda. Una consulta más amplia no puede recuperar eventos que nunca fueron recolectados o que están más allá del período de retención. Primero, verifique el estado de recolección de auditoría de la organización y si la actividad requerida es compatible.

Búsqueda en Purview

1. Abra Auditar → Buscar en el portal de Microsoft Purview y establezca Intervalo de fecha y hora (UTC), utilizando el tiempo universal coordinado. Una búsqueda puede abarcar como máximo 180 días; este límite de ventana es independiente del período de retención de sus registros. Divida un período retenido más amplio en ventanas de búsqueda más pequeñas.
2. Filtre por usuario objetivo y tipo de actividad. Comience con las condiciones clave en lugar de agregar demasiadas condiciones desde el principio.

3. Ejecute la búsqueda y abra los resultados para verificar la hora de la actividad, el usuario, objeto objetivo y detalles. Si es necesario, registre el ID del evento o el registro en el documento de investigación interna.
4. Si no hay resultados, compruebe el alcance y la zona horaria, los permisos de búsqueda, los retrasos en la recopilación de registros y si la actividad está sujeta a auditoría. No concluya que no ocurrió ninguna actividad solo porque no haya registros.

Si Auditoría no aparece en la página de inicio del portal, seleccione Ver todas las soluciones → Auditar. Una búsqueda crea un trabajo con estado En cola, En curso o Completado. Continúa después de cerrar el navegador, así que revise los trabajos existentes en lugar de iniciar búsquedas duplicadas.

La guía de Microsoft para buscar en el registro de auditoría explica los permisos, los resultados y la exportación. Las exportaciones utilizan valores separados por comas (CSV), un formato de datos tabulares, y pueden contener información personal o sensible para la seguridad. Guárdelas en la ubicación aprobada para la investigación y no adjunte exportaciones originales a publicaciones públicas.

Ejemplo de búsqueda para investigar cambios en el uso compartido de archivos

Suponga que está investigando "quién cambió la configuración de uso compartido de este archivo esta mañana." Dado que el propietario del archivo y la persona que realizó el cambio pueden ser diferentes, buscar solo con el propietario en la etapa en que el actor es desconocido podría hacer que se pierdan resultados importantes.

1. Obtenga la dirección del sitio donde se encuentra el archivo, la ruta del archivo y la hora en que se descubrió el problema. Use la ubicación real para distinguir archivos con el mismo nombre.
2. Convierta la hora del incidente a UTC utilizando el desplazamiento local correcto, incluyendo el horario de verano cuando sea relevante. Por ejemplo, la hora estándar de Corea (KST) es UTC+09:00: 10:00–12:00 KST es 01:00–03:00 UTC en la misma fecha. La medianoche puede cambiar la fecha: 00:30 KST el 14 de noviembre es 15:30 UTC el 13 de noviembre.
3. Seleccione actividades de uso compartido de archivos o carpetas en Actividades: nombres descriptivos. Si utiliza Actividades: nombres de operaciones, copie el nombre exacto del catálogo de actividades de auditoría de Microsoft; no traduzca ni invente los nombres de operación.
4. Especifique la dirección o el nombre necesarios para los filtros de archivo, carpeta o sitio. Si desconoce quién realizó el cambio, deje vacío el filtro de usuario. Utilice un identificador del incidente en el nombre de la búsqueda para distinguirla de otras.
5. Una vez que la tarea de búsqueda esté completa, compare actividades, marcas de tiempo, usuarios y elementos afectados juntos, y abra los detalles de los elementos relacionados. Si no hay resultados debido a condiciones demasiado restrictivas, ajuste el rango de archivos y las condiciones de actividad una por una.

La Búsqueda por Palabras Clave busca contenido indexado en el esquema de auditoría común; no busca cada propiedad en la carga útil detallada de AuditData. Esos detalles pueden estar representados en JavaScript Object Notation (JSON), un formato de datos estructurado. Si una consulta por palabra clave para una propiedad específica no encuentra nada, verifique si ese campo está indexado antes de sacar conclusiones. Comience con criterios claros como el período, la actividad y la ubicación real del archivo.

Puntos a tener en cuenta al interpretar los resultados

Pueden permanecer múltiples eventos relacionados para una actividad, o el momento de reflejo del registro puede diferir según el servicio. Las cuentas automatizadas, aplicaciones o tareas delegadas también pueden aparecer con diferentes nombres de usuario. Si se trata de un incidente importante, verifique los registros detallados y los registros de cambios de configuración del servicio con la explicación del usuario. Siga las normas de procesamiento de datos de la organización para que los resultados de la auditoría no se dupliquen innecesariamente o se retengan incluso después de completado el propósito de la investigación.

Un evento de creación de un vínculo compartido acredita que se creó un vínculo en ese momento. No demuestra que un destinatario externo leyera el contenido. Un evento de acceso o descarga tampoco prueba por sí solo la intención del usuario ni una copia externa posterior. Distinga las afirmaciones sobre el incidente de lo que respaldan los registros concretos.

Cuando no hay resultados o se necesitan exportaciones

• Actividad reciente: Permita la latencia de la recopilación y primero verifique si el trabajo de búsqueda existente se ha completado. Para consultar nuevamente, use Copiar esta búsqueda para reutilizar los criterios e iniciar una nueva búsqueda, ajustando el alcance si es necesario.
• Errores de Periodo/Tiempo: Compare la hora UTC y la hora local, verifique la fecha antes y después de la medianoche. Además, confirme el período de retención.
• Errores de Objetivo/Permiso: Verifique si la organización actual y el alcance del administrador, así como el actor y el repositorio reales, son correctos. No busque archivos de SharePoint en la ubicación del OneDrive de un usuario individual.
• Errores de Condición de Actividad: Verifique el nombre exacto de la operación, la disponibilidad del soporte del servicio y el estado de la recopilación de auditoría. Reduzca una condición a la vez para encontrar la causa.

Seleccione Exportar de una búsqueda completada para analizar los resultados como CSV. El portal admite hasta 50.000 filas exportadas para Auditoría (Estándar) y 1.000.000 para Auditoría (Premium). Divida una investigación más grande en rangos de fechas o destinatarios y verifique que sus exportaciones cubran los resultados deseados. Mantenga la exportación original sin cambios y convierta las zonas horarias en una copia de análisis para que pueda comparar su trabajo con los registros originales.

Los registros de investigación incluyen las condiciones de búsqueda y la zona horaria, el ID y la hora del trabajo de búsqueda, los eventos clave y cualquier rango que aún no se haya confirmado. Para fallos de inicio de sesión, consulte en relación con Investigación de inicio de sesión de Microsoft Entra, y para la entrega de correo, consulte en relación con seguimiento de mensajes, y no concluya que un incidente no ocurrió únicamente porque falta un registro.