找出修改信箱規則的人

本指南說明如何調查 Exchange Online 中信箱規則的變更，包括如何查看信箱目前的收件匣與轉寄規則，以及如何搜尋 Microsoft Purview 稽核日誌以辨識誰創建、修改或刪除了這些規則。

請運用以下方法進行調查：

  • 電子郵件轉寄規則變更
  • 導致郵件不會出現在預期資料夾的規則
  • 未經授權的規則修改

開始之前

要查詢信箱規則修改，你需要：

  • Microsoft Purview 中指派的 稽核日誌 角色
  • 使用 Connect-ExchangeOnline 連接 Exchange Online PowerShell

如何辨識信箱規則修改

使用 Get-InboxRule 查看最新的信箱規則，Search-UnifiedAuditLog 尋找信箱規則的修改。

請查看現行信箱規則

Get-InboxRule 輸出顯示：

  • 目前規則配置：規則配置
  • 規則操作：移動、刪除或轉接
  • 規則狀態：啟用或停用

要查看信箱中目前存在的規則，請執行以下指令：

Get-InboxRule -Mailbox <mailbox> | FL Name,Description,DeleteMessage,MoveToFolder,Enabled

搜尋規則修改稽核紀錄

Search-UnifiedAuditLog 指令尋找：

  • 新收件匣規則：新規則建立
  • Set-InboxRule：修改現有規則
  • 移除收件匣規則：規則已刪除

要查詢是誰創建、修改或刪除了信箱規則，請執行以下指令：

Search-UnifiedAuditLog -StartDate 01/06/2020 -EndDate 01/20/2020 -UserIds <user1,user2> -Operations New-InboxRule,Set-InboxRule,Remove-InboxRule -ResultSize 1000

搜尋結果未回來時該怎麼辦

如果你的稽核搜尋找不到規則修改紀錄：

  1. 擴大日期範圍 以捕捉較早的變更：
Search-UnifiedAuditLog -StartDate 01/01/2020 -EndDate 03/31/2020 -UserIds <user1,user2> -Operations New-InboxRule,Set-InboxRule,Remove-InboxRule -ResultSize 1000
  1. 啟用未來規則變更的稽核 功能：
Set-Mailbox <mailbox> -AuditEnabled $true -AuditOwner @{Add="Create","Update"}

快速參考

規則調查的關鍵操作

下表列出出現在稽核結果中的信箱規則操作。

作業 描述
New-InboxRule 新增信箱規則。
Remove-InboxRule 信箱規則已刪除。
Set-InboxRule 現有信箱規則已修改。

基本指令

以下指令是調查信箱規則變更的主要工具。

命令 用途
Get-InboxRule -Mailbox <mailbox> 請檢查目前的規則設定。
Search-UnifiedAuditLog -Operations New-InboxRule,Set-InboxRule,Remove-InboxRule 找出是誰做了規則變更。

後續步驟

  • 上次更新時間：