Die Auditlogs von Diensten aus Microsoft 365 können berechtigte Accounts auswerten und als csv-Datei exportieren. Mit ein wenig Anpassung ist es eine vollwertige Übersicht die über Excel auswertbar ist.
In den Auditlogs protokolliert Microsoft Aktivitäten aller Azure AD Accounts um auf Anforderung die Logs für definierte Aktivitäten auszuwerten. Für Details beachte den Blogpost. Die Ergebnisse einer Abfrage kann ein berechtigter Account in eine csv-Datei exportieren. Ohne Nachbesserung am Export kann es mit Excel nicht wie gewohnt ausgewertet oder gefiltert werden. In dem Post soll es eine Anleitung sein wie der Standardexport von Microsoft so angepasst wird damit eine vollständige Auswertung und Filteroptionen möglich sind.
- Du solltest den ersten Blogpost zum Thema M365 Auditlogs kennen.
- Öffne mit einem berechtigten Account das neue Microsoft 365 Compliance Center und wähle in der linken Navigationsbar Audit. Vielleicht musst du alle Navigationspunkte einblenden lassen damit du Audit findest.
- Dort kannst du die gewünschte Auswertung definieren und eine Suche starten. Beachte den Zeitraum wie lange Microsoft die Daten pro Lizenz durchsuchen lässt.
| Lizenz | Zeitraum |
|---|---|
| Microsoft 365 E5 und Office 365 E5 | 365 Tage |
| Alle anderen Lizenzen | 90 Tage |
- Die Ergebnisse kannst du mit der Exportoption exportieren. Es wird zwischen zwei Optionen unterschieden.
- Save loaded results
Exportiert alles was im Moment angezeigt wird. - Download all results
Exportiert alle Ergebnisse für diese Abfrage. Das Maximum sind 50.000 Ergebnisse pro Export. Im GUI zeigt es die Summe aller gefundenen Items an. Sind es mehr solltest du die Abfrage verändern. Den Export kannst du trotzdem durchführen. Es wird dir nur 50.000 Ergebnisse exportieren.
- Save loaded results
- Den Export für alle Ergebnisse speichert es in eine csv-Datei. Die Datei hat standardmässig 4 Spalten: CreationDate, UserIds, Operations, AuditData
- Die relevanten Informationen sind in der Spalte AuditData inkludiert. Daten in der Spalte sind in JSON formatiert. Excel kann JSON ebenfalls konvertieren. Das Ziel ist diese Werte für eine Auswertung in Excel aufzubereiten.
- In der Ribbon-Bar von Excel unter Daten wähle Daten abrufen > Power Query-Editor starten.
- Es öffnet sich ein leerer Power Query-Editor. Den csv-Export von vorhin musst du als neue Datenquelle in den Editor einbinden. Wähle im Menü Neue Quelle > Datei > Text/CSV und wähle deinen csv-Export.
- Es wird dir die ersten 200 Zeilen zur Vorschau anzeigen. Bestätige den Import.
- Insgesamt hat es alle 4 Spalten importiert, relevant ist nur die Spalte AuditData. Um die Daten aus der Spalte in ein für Excel lesbares Format zu konvertieren muss der Editor wissen wie es die Spalte konvertieren soll.
- Rechtsklick auf die Spalte AuditData > Transformieren > JSON.
- Der Header dieser Spalte verändert sich. Das Zeichen mit den zwei Pfeilen wird dir eine Vorschau zeigen welche Spaltennamen es im JSON erkannt hat. Damit gibst du an welche Werte es konvertieren soll.
- Bestätigst du die Auswahl wird der Editor die JSON-Werte in Spalten konvertieren.
- Das lesbare Format in Excel ist damit soweit fertig. Über den Power Query-Editor kann das Ergebnis in die Excel-Datei übertragen werden. Wähle in der Ribbon-Bar Schliessen & laden. Damit erstellt es in Excel ein neues Tabellenblatt und überträgt die Ergebnisse aus dem Editor.
- Als letzten Schritt solltest du die zuvor importierte Datenquelle (die csv-Datei) wieder entfernen. Da die Konvertierung abgeschlossen ist benötigt es die angefügte Datenquelle nicht mehr. Im Excel zeigt es dir auf der rechten Seite “Abfragen und Verbindungen” an. Über Rechtsklick auf die Datenquelle ist es möglich diese aus der Excel-Datei zu entfernen.
- Im Excel kannst die Spalten nun wie gewohnt ausblenden, löschen, filtern usw. Die Bezeichnungen der Spalten sind praktisch selbstbeschreibend.
