使用 Exchange 2007 SP2 增强的访问审核

一，概览 SP2 中增强的审核功能
SP2 之前，我们使用系统的组策略来配置审核Exchange计算机。



SP2 之后我们可以配合使用诊断日志来配置审核



Exchange 2007 SP2 增加了管理诊断日志的图形界面，更加直观



 
Extended Send As 记录与代理启用邮箱的用户发送邮件相对应的事件
Extended Send On Behalf Of 记录与代表启用邮箱的用户发送邮件相对应的事件
Folder Access 记录与打开文件夹（如“收件箱”、“发件箱”或“已发送邮件”文件夹）相对应的事件
Message Access 记录与打开邮件相对应的事件
 
SP2 之前使用系统的安全日志来记录审核结果，SP2 之后增加了一条专门的日志 Exchange Auditing



Exchange 的审核日志默认存在于 Exchange 安装目录下的 Logging\AuditLogs\文件夹，通过属性页，你可以配置它的路径，大小，日志满了之后是否归档。




 
 
 
二，访问审核
Exchange 2007 SP2 中新增的审核叫做访问审核，这个新增的功能不是用来替代 AD 审核的，而是它的一个补充，相互配合达到合适的审核策略。下面看看具体如何设置吧。
 
Folder Access （文件夹访问审核）先来设置一个审核看看什么效果：



这里有效的级别分别为：
 
最低 lowest：级别 0
低 low：级别 1
中等 Medium：级别 3
高 high：级别 5
 
细心的TX已经发现了 2 和 4 并没有列出来，因为 2 和 4 必须要使用 cmdlet来进行设置，图形界面是不能设置滴。
 
先设置一个高，看看效果，然后慢慢讲不同的审核。级别设置好了之后，记得重启服务 Microsoft Exchange Information Service.



【图：重启Microsoft Exchange Information Store 服务】
 
下面我要赋给 user1 访问 user2的权限，然后用 user1 去访问 user2 邮箱中的文件夹，看看这个审核日志的结果。



【图：管理user2的完全访问权限】
 
 


【图：添加 user1 对 user2 的完全访问权限】
 



【图：登陆user1】
 
登陆user 1后，运行eventvwr.msc, 查看Exchange Auditing 日志, 发现14条邮箱访问的审核日志，来看看都是什么吧。



【图：user1访问自己的邮箱产生日志】
 
下面第一条日志：user1 的邮箱下的文件夹 /NON_IPM_SUBTREE 被 MOMO\user1 打开了（就是user1本人打开了自己的邮箱），访问邮箱的用户位于AD /o=First Organization/ou=Exchange Administrative Group (FYDIxxxxxx)/cn=recipients/cn=user1
Administrative Rights: false 表示并不是使用管理员权限去访问的。



【图：NON_IPM_SUBTREE 文件夹被打开日志】
 
同样下面的日志记录了user1 打开了自己的文件夹 /inbox



【图：inbox 文件夹被user1打开】
 
其它的日志也分别记录了user1 访问了自己的邮箱文件夹，这里要解释一下 NON_IPM_SUBTREE （非IPM子树）和 IPM_SUBTREE （IPM子树）
 
IPM子树：通俗来讲就是用户能看到的文件夹驻留的地方，比如 收件箱，已发送邮件箱
非IPM子树：驻留应用程序使用的文件夹，比如 搜索 （finder） 文件夹
 
下面让 user1 打开 user2 的邮箱



【图：user1 在OWA打开 user2 的邮箱】
 
当user1 打开了 user2 的邮箱，我们在日志中清楚的看到 user2 的收件箱 (inbox) 被用户 MOMO/user1 打开了。



【图：user1 访问 user2 的收件箱日志】
 
大部分时候，我们并不需要审核用户访问自己邮箱的动作，比如 user1 访问 user1 自己的邮箱，还记录个什么劲啊。还有的时候，我们并不需要记录 非IPM子树 对应的文件夹信息，比如搜索，我们只需要记录别的用户访问其它用户的收件箱等 IPM子树的信息就可以了。
好吧，满足你~~~
 
这个时候我们就需要设置日志的级别了，先来看下面这张表：

日志记录级别	需要管理员权限	操作用户	邮箱	结果
0	不适用	不适用	不适用	没有
1	否	不适用	不适用	没有
1	是	不适用	不适用	基本事件
2	不适用	用户 A	用户 A	没有
2	不适用	用户 A	用户 B	基本事件
3	不适用	用户 A	用户 A	基本事件
3	不适用	用户 A	用户 B	基本事件
4	不适用	用户 A	用户 A	没有
4	不适用	用户 A	用户 B	所有事件
5	不适用	用户 A	用户 A	所有事件
5	不适用	用户 A	用户 B	所有事件

 
解释一下，比如说最后一项，当日志级别设置为5的时候，用户A 访问 用户B 的邮箱会被记录所有事件，用户A访问自己的邮箱也会被记录所有的事件，所有事件的意思就是包含非IPM子树的访问事件，如果是基本事件，就不包含非IPM子树的访问事件，也就是只包含访问那些你看的到的文件夹的事件。
 
日志记录级别为零 (0) 时，不会做任何记录。在此日志记录级别，不会对文件夹访问做任何记录。
日志记录级别为一 (1) 时，仅记录使用管理权限的访问。
日志记录级别为二 (2) 和四 (4) 时，仅记录一个启用邮箱用户对其他启用邮箱用户的访问。
日志记录级别为三 (3) 和五 (5) 时，记录所有用户对文件夹的访问。
 
如何设置级别 2 和 4
运行下面的两个cmdlets 就可以设置文件夹访问的审核级别为 2
Set-Location "HKLM:\System\CurrentControlSet\Services\MSExchangeIS\Diagnostics\9000 Private"

Set-ItemProperty -Path . -Name "9074 Folder Access" -Value 2

 

如果想要查看当前的级别，运行完第一条cmdlet 后运行下面 cmdlet, 不要忘记后面那个点

Get-ItemProperty .

 

其实这个命令就是修改注册表，你可以直接到注册表中去修改相应的数值





更改级别后别忘了重启Information Store服务。

 

其余三项的设置大同小异

 

Message Access 邮件访问审核

日志记录级别	需要管理员权限	操作用户	邮箱	结果
0	不适用	不适用	不适用	没有
1	否	不适用	不适用	没有
1	是	不适用	不适用	基本事件
2	不适用	不适用	不适用	不适用
2	不适用	不适用	不适用	不适用
3	不适用	不适用	不适用	不适用
3	不适用	不适用	不适用	不适用
4	不适用	用户 A	用户 A	没有
4	不适用	用户 A	用户 B	所有事件
5	不适用	用户 A	用户 A	所有事件
5	不适用	用户 A	用户 B	所有事件

日志user2 邮箱的一封邮件被user1 打开了，邮件位于Calendar文件夹中。我们看下面的信息，显示了访问计算机名，由于我是在服务器通过 OWA 打开用户的邮件的，会显示服务器名字 EX07SP2, Client= OWA.





上面记录的邮件是一长串邮件ID组成的，我们并不知道到底是那封邮件，没有关系，可以利用 Message Tracking 找到这封邮件。

 





找到了，邮件的标题可以清楚的看到，这个时候，我们最好配合 Journal 日记功能使用，就可以轻松的找到user1访问过的邮件。





 

Extended Send As 扩展代理发送审核

日志记录级别	需要管理员权限	操作用户	邮箱	结果
0	不适用	不适用	不适用	没有
1	否	用户 A	用户 A	不适用
1	是	用户 A	用户 B	所有事件
2	不适用	不适用	不适用	不适用
2	不适用	不适用	不适用	不适用
3	不适用	不适用	不适用	不适用
3	不适用	不适用	不适用	不适用
4	不适用	不适用	不适用	不适用
4	不适用	不适用	不适用	不适用
5	不适用	用户 A	用户 A	不适用
5	不适用	用户 A	用户 B	所有事件

 

Extended Send On Behalf Of

日志记录级别	需要管理员权限	操作用户	邮箱	结果
0	不适用	不适用	不适用	没有
1	否	用户 A	用户 A	不适用
1	是	用户 A	用户 B	所有事件
2	不适用	不适用	不适用	不适用
2	不适用	不适用	不适用	不适用
3	不适用	不适用	不适用	不适用
3	不适用	不适用	不适用	不适用
4	不适用	不适用	不适用	不适用
4	不适用	不适用	不适用	不适用
5	不适用	用户 A	用户 A	不适用
5	不适用	用户 A	用户 B	所有事件

 

 

三，总结

Exchange 2007 SP2 中的访问审核提供了一种新的审核方法，它不会记录一些无用的信息，比如free/busy访问的信息，比如Exchange 自身服务访问的信息，只记录用户实际打开邮箱，邮件的操作。

 

如果我们安装了一些应用程序需要访问用户的邮件或邮箱，我们可以设置这个服务绕过审核，这样就不会产生大量无用的审核日志。

get-mailboxdatabase -Identity "Server01\StorageGroup01\MailboxDatabase01" | Add-ADPermission -User example\ServiceAccount -ExtendedRights ms-Exch-Store-Bypass-Access-Auditing -InheritanceType All

 

默认情况下，由于 域管理员拥有所有扩展权限，也就有了ms-Exch-Store-Bypass-Access-Auditing 的权限，所以Exchange 访问审核并不会对这些管理员做的审核。另外，SP2中的访问审核，并不会记录用户删除邮件操作。由于Exchange本身的管理员也具有删除日志，更改自己权限绕过审核，所以制定审核策略的时候要留意。

 

使用 Exchange 2007 SP2 中的访问审核并不是要替代 Windows 的审核功能，Exchange 2007 SP2 中的审核只是整个企业环境中审核的一小部分，如果要考虑全面的审核策略，建议你看看下面的白皮书

http://technet.microsoft.com/en-us/library/ee331009.aspx