Búsqueda en el registro de auditoría con la búsqueda clásica

  • Artículo

Importante

A partir del 30 de noviembre de 2023, La búsqueda clásica se retirará en lugar de Nueva búsqueda. La nueva búsqueda incluye mejoras como tiempos de búsqueda más rápidos, opciones de búsqueda adicionales, capacidad de guardar búsquedas y mucho más.

Antes de realizar búsquedas en el registro de auditoría

Asegúrese de revisar los siguientes elementos antes de empezar a buscar en el registro de auditoría.

  • La búsqueda en el registro de auditoría está activada de forma predeterminada para organizaciones de Microsoft 365 y Office 365 Enterprise. Para comprobar que la búsqueda de registros de auditoría está activada, puede ejecutar el siguiente comando en Exchange Online PowerShell:

    Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabled

    El valor de True para la propiedad UnifiedAuditLogIngestionEnabled indica que la búsqueda de registros de auditoría está activada. Para obtener más información, consulte Desactivar o activar la búsqueda de registros de auditoría.

    Importante

    Asegúrese de ejecutar el comando anterior en Exchange Online PowerShell. Aunque el cmdlet Get-AdminAuditLogConfig también está disponible en PowerShell de cumplimiento de seguridad & , la propiedad UnifiedAuditLogIngestionEnabled siempre Falsees , incluso cuando la búsqueda de registros de auditoría está activada.

  • Debe tener asignados los roles Registros de auditoría o Registros de auditoría de solo vista en el portal de cumplimiento Microsoft Purview para buscar en el registro de auditoría. De forma predeterminada, estos roles se asignan a los grupos de roles Administrador de auditoría y Lector de auditoría en la página Permisos del portal de cumplimiento. Para obtener más información, vea Configurar auditoría (estándar) en Microsoft 365. También puede crear grupos de roles personalizados con la capacidad de buscar en el registro de auditoría agregando los roles Registros de auditoría de solo vista o Registros de auditoría a un grupo de roles personalizado. Para obtener más información vea Permisos en el portal de cumplimiento de Microsoft Purview.

  • Cuando un usuario o administrador realiza una actividad auditada, se genera un registro de auditoría y se almacena en el registro de auditoría de la organización. La cantidad de tiempo que se retiene un registro de auditoría (y que se puede buscar en el registro de auditoría) depende de la suscripción a Office 365 o Microsoft 365 Enterprise y, específicamente, del tipo de licencia que se ha asignado a usuarios específicos.

    • Para los usuarios asignados a una licencia de Office 365 E5 o Microsoft 365 E5 (o a los usuarios con una licencia de complemento Cumplimiento de Microsoft 365 E5 o Microsoft 365 E5 eDiscovery y Audit), registros de auditoría para Microsoft Entra La actividad de ID, Exchange y SharePoint se conserva durante un año de forma predeterminada. Las organizaciones también pueden crear directivas de retención de registros de auditoría para conservar registros de auditoría de actividades en otros servicios durante un año. Para obtener más información, vea administrar directivas de retención de los registros de auditoría.

      Nota:

      Si su organización ha participado en el programa de vista previa privado para la retención de registros de auditoría de un año, la duración de la retención de los registros de auditoría que se generaron antes de la fecha de lanzamiento de disponibilidad general no se restablecerá.

    • Para los usuarios asignados a cualquier otra licencia (que no sea E5) Office 365 o Microsoft 365, los registros de auditoría se conservan durante 180 días. Para obtener una lista de las suscripciones de Office 365 y Microsoft 365 que admiten el registro de auditoría unificado, consulte los requisitos de suscripción de Auditoría (Estándar) y Auditoría (Premium).

      Importante

      El período de retención predeterminado de Auditoría (estándar) ha cambiado de 90 días a 180 días. Los registros de auditoría (estándar) generados antes del 17 de octubre de 2023 se conservan durante 90 días. Los registros de auditoría (estándar) generados el 17 de octubre de 2023 o después siguen la nueva retención predeterminada de 180 días.

      Nota:

      Incluso cuando la auditoría de buzones está activada de forma predeterminada, es posible que observe que los eventos de auditoría de buzones de correo de algunos usuarios no se encuentran en las búsquedas de registros de auditoría en el portal de cumplimiento o a través de la API de actividad de administración de Office 365. Para obtener más información, vea Más información sobre el registro de auditoría del buzón de correo.

  • Si desea desactivar la búsqueda de registros de auditoría de su organización, puede ejecutar el siguiente comando en el PowerShell de Exchange Online:

    Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $false

    Para volver a activar la búsqueda de auditoría, puede ejecutar el comando siguiente en PowerShell de Exchange en línea :

    Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true

    Para obtener más información, consulteDesactivar la búsqueda de registros de auditoría.

  • El cmdlet subyacente que se usa para buscar en el registro de auditoría es un cmdlet de Exchange Online, que es Search-UnifiedAuditLog. Esto significa que puede usar este cmdlet para buscar en el registro de auditoría en lugar de usar la herramienta de búsqueda en la página Auditoría del portal de cumplimiento. Tiene que ejecutar este cmdlet en Exchange Online PowerShell. Para obtener más información, consulte Search-UnifiedAuditLog.

    Para obtener información sobre cómo exportar los resultados de búsqueda devueltos por el cmdlet Search-UnifiedAuditLoga un archivo CSV, consulte la sección "sugerencias para exportar y ver el registro de auditoría" exportar, configurar y ver el registro de auditoría registros.

  • Si desea descargar mediante programación los datos del registro de auditoría, le recomendamos que use la API de Actividad de administración de Office 365 en lugar de usar un script de PowerShell. La API de Actividad de administración de Office 365 es un servicio REST de la web que puede usar para desarrollar operaciones, soluciones de supervisión de seguridad y cumplimiento para su organización. Para obtener más información, consultela referencia de la API de Actividad de administración de Office 365.

  • Microsoft Entra id. es el servicio de directorio de Microsoft 365. El registro de auditoría unificado contiene las actividades del usuario, dominio, aplicación, grupo y directorio que se realizaron en el Centro de administración de Microsoft 365 o en el portal de administración de Azure. Para obtener una lista completa de eventos de Microsoft Entra, consulte Microsoft Entra auditar eventos de informe.

  • Microsoft no garantiza una hora específica después de que se produzca un evento para que el registro de auditoría correspondiente se devuelva en los resultados de una búsqueda de registros de auditoría. Para los servicios principales (como Exchange, SharePoint, OneDrive y Teams), la disponibilidad de registros de auditoría suele ser de 60 a 90 minutos después de que se produzca un evento. Para otros servicios, la disponibilidad de los registros de auditoría puede ser más larga. Sin embargo, algunos problemas que son inevitables (como una interrupción del servidor) pueden producirse fuera del servicio de auditoría que retrasa la disponibilidad de los registros de auditoría. Por estas razones, Microsoft no se compromete a un tiempo de entrega específico.

  • Para buscar actividades de Power BI en el registro de auditoría, debe habilitar la auditoría en el portal de administración de Power BI. Para obtener instrucciones, consulte la sección "registros de auditoría"en el portal de administración de Power BI.

Búsquedas en el registro de auditoría

Aquí se muestra el proceso para buscar el registro de auditoría en Microsoft 365.

  1. Vaya a https://compliance.microsoft.com e inicie sesión.

    Sugerencia

    Use una sesión de exploración privada (no una sesión normal) para acceder al portal de cumplimiento, ya que esto impedirá que se use la credencial con la que ha iniciado sesión actualmente. Presione CTRL+MAYÚS+N para abrir una sesión de Exploración de InPrivate en Microsoft Edge o una sesión de exploración privada en Google Chrome (denominada ventana de incógnito).

  2. En el panel izquierdo del portal de cumplimiento, seleccione Auditar.

    Aparecerá la página Auditoría.

    Configure los criterios y, a continuación, seleccione Buscar para ejecutar el informe.

    Nota:

    Si se muestra el vínculoIniciar el registro de la actividad administrativa y de usuario, haga clic en él para activar la auditoría. Si no ve este vínculo, la auditoría está habilitada para la organización.

  3. En la pestaña Búsqueda clásica , configure los siguientes criterios de búsqueda:

    1. Fecha de inicio y Fecha de finalización: los últimos siete días se seleccionan de manera predeterminada. Seleccione un intervalo de fecha y hora para mostrar los eventos que han sucedido en ese período. La fecha y hora se presentan en hora universal coordinada (UTC). El intervalo de fechas máximo que puede especificar es de 180 días. Se muestra un error si el intervalo de fechas seleccionado es mayor que 180 días.

    Sugerencia

    Si usa el intervalo de fechas máximo de 180 días, seleccione la hora actual para la fecha de inicio. De otro modo, recibirá un error que dice que la fecha de inicio es anterior a la fecha de finalización. Si ha activado la auditoría en los últimos 180 días, el intervalo de fechas máximo no puede comenzar antes de la fecha en que se ha activado la auditoría.

    1. Actividades: seleccione la lista desplegable para mostrar las actividades que puede buscar. Las actividades administrativas y de usuario se organizan en grupos de actividades relacionadas. Puede seleccionar actividades específicas o puede hacer clic en el nombre del grupo de actividades para seleccionar todas las actividades del grupo. También puede hacer clic en una actividad seleccionada para borrar la selección. Después de que ejecute la búsqueda, solo se muestran las entradas seleccionadas del registro de auditoría de las actividades. Al seleccionarMostrar los resultados de todas las actividades, se mostrarán los resultados de todas las actividades que el usuario o el grupo de usuarios seleccionado ha realizado.

      Se registran más de 100 actividades de usuario y de administrador en el registro de auditoría. Consulte el artículo Audit log activities (Actividades de registro de auditoría) para ver las descripciones de cada actividad en cada uno de los distintos servicios.

    2. Usuarios: seleccione en este cuadro y, a continuación, seleccione uno o varios usuarios para mostrar los resultados de la búsqueda. Las entradas del registro de auditoría de la actividad seleccionada realizada por los usuarios que selecciona en este cuadro, se muestran en la lista de resultados. Deje este cuadro en blanco para devolver las entradas de todos los usuarios (y cuentas de servicio) de su organización.

    3. Archivo, carpeta o sitio: escriba algunos o todos los nombres de carpeta o de archivo para buscar las actividades relacionadas con el archivo de la carpeta que contengan la palabra clave especifica. También puede especificar una dirección URL de un archivo o carpeta. Si usa una dirección URL, asegúrese de que escriba la ruta de acceso de dirección URL completa o que, si escribe una parte de la dirección URL, no incluya caracteres ni espacios especiales (sin embargo, se admite el uso del carácter comodín (*) .

      Deje este cuadro en blanco para devolver las entradas de todos los archivos y carpetas de la organización.

    Sugerencia

    • Si busca todas las actividades relacionadas con un sitio, agregue el carácter comodín (*) después de la dirección URL para devolver todas las entradas de ese sitio; por ejemplo, "https://contoso-my.sharepoint.com/personal*".

    • Si busca todas las actividades relacionadas con un archivo, agregue el carácter comodín (*) antes del nombre de archivo para devolver todas las entradas de ese archivo; por ejemplo, "*Customer_Profitability_Sample.csv".

  4. Haga clic en Búsqueda para ejecutar la búsqueda mediante sus criterios de búsqueda.

    Los resultados de la búsqueda se cargan y, después de unos instantes, se muestran en una página nueva. Cuando finaliza la búsqueda, se muestra el número de resultados que se ha encontrado. Se muestra un máximo de 50 000 eventos en incrementos de 150 eventos. Si más de 50 000 eventos cumplen los criterios de búsqueda, solo se muestran los 50 000 eventos no ordenados devueltos.

    El número de resultados se muestra al acabar la búsqueda.

Sugerencias para buscar el registro de auditoría

  • Puede seleccionar actividades específicas de búsqueda haciendo clic en el nombre de la actividad. O bien, puede buscar todas las actividades de un grupo (como las actividades archivo y carpeta) seleccionando el nombre del grupo. Si se selecciona una actividad, puede hacer clic en ella para cancelar la selección. También puede usar el cuadro de búsqueda para mostrar las actividades que contengan la palabra clave que usted escriba.

    Seleccione el nombre del grupo de actividades para seleccionar todas las actividades.

  • Tiene que seleccionar Mostrar resultados para todas las actividades en la lista deActividades para mostrar los eventos del registro de auditoría de administración de Exchange. Los eventos de este registro de auditoría muestran un nombre de cmdlet (por ejemplo,Set-Mailbox) en la columna deActividaden los resultados. Para obtener más información, seleccione la pestaña Actividades auditadas en este artículo y, a continuación, seleccione Actividades de administrador de Exchange.

    De forma similar, hay algunas actividades de auditoría que no tienen un elemento correspondiente en la lista Actividades. Si conoce el nombre de la operación para estas actividades, puede buscar todas las actividades y, a continuación, filtrar las operaciones después de exportar los resultados de la búsqueda a un archivo CSV.

  • Haga clic en Borrar para borrar los criterios actuales de búsqueda. El intervalo de fecha vuelve al predeterminado de los últimos siete días. También puede seleccionar Borrar todo para mostrar los resultados de todas las actividades para cancelar todas las actividades seleccionadas.

  • Si se encuentran 50 000 resultados, puede suponer que probablemente existen más de 50 000 eventos que cumplen los criterios de búsqueda. Puede refinar los criterios de búsqueda y volver a ejecutar la búsqueda para devolver menos resultados, o bien puede exportar los 50 000 resultados de búsqueda seleccionando Exportar resultados>Descargar todos los resultados.

Paso 2: Ver los resultados de la búsqueda

Los resultados de una búsqueda de registro de auditoría se muestran en Resultados en la página Búsqueda de registros de auditoría. Como se mencionó anteriormente, se muestran un máximo de 50 000 eventos (más recientes) en incrementos de 150 eventos. Use la barra de desplazamiento o pulse MAYÚS + Fin para mostrar los 150 eventos siguientes.

Los resultados contienen la siguiente información sobre cada evento que la búsqueda ha devuelto:

  • Fecha: fecha y hora (en UTC) en que se produjo el evento.

  • Dirección IP: la dirección IP del dispositivo que se ha usado cuando la actividad se ha registrado. La dirección IP se muestra en el formato de dirección IPv4 o IPv6.

    Nota:

    Para ciertos servicios, el valor que se visualiza en este campo podría ser la dirección IP de una aplicación de confianza (por ejemplo, aplicaciones de Office en la web) que llama al servicio en nombre de un usuario y no de la dirección IP del dispositivo utilizado por la persona que realizó la actividad. Además, para la actividad de administrador (o actividad realizada por una cuenta del sistema) para Microsoft Entra eventos relacionados, la dirección IP no se registra y el valor mostrado en este campo es null.

  • Usuario: el usuario (o cuenta de servicio) que ha realizado la acción que ha desencadenado el evento.

  • Actividad: la actividad que ha realizado el usuario. Este valor corresponde a las actividades que ha seleccionado en la lista desplegable de Actividades. Para un evento del registro de auditoría de administración de Exchange, el valor de esta columna es un cmdlet de Exchange.

  • Elemento: el objeto que se ha creado o modificado como resultado de la actividad correspondiente. Por ejemplo, el archivo que se ha visto o modificado, o la cuenta de usuario que se ha actualizado. No todas las actividades tienen un valor en esta columna.

  • Detalle: información adicional sobre una actividad. Nuevamente, no todas las actividades tendrán un valor.

Sugerencia

Haga clic en un encabezado de columna en Resultados para ordenarlos. Puede ordenar los resultados de la A hasta la Z o de la Z hasta la A. Haga clic en el encabezado Fecha para ordenar los resultados del más antiguo al más nuevo o al revés.

Ver los detalles de un evento específico

Puede ver más detalles sobre un evento al hacer clic en el registro de eventos de la lista de resultados de búsqueda. Se muestra una página de control flotante que contiene las propiedades detalladas del registro de eventos. Las propiedades que se muestran dependen del servicio en el que se produce el evento.

Paso 3: Exportar los resultados de la búsqueda a un archivo

Puede exportar los resultados de una búsqueda de registro de auditoría a un archivo de valores separados por comas (CSV) en su computadora local. Puede abrir este archivo en Microsoft Excel y usar características como buscar, ordenar, filtrar y dividir una sola columna (que contiene múltiples propiedades) en columnas múltiples.

  1. Ejecute una búsqueda de registro de auditoría, y luego revise los criterios de búsqueda hasta que tenga los resultados deseados.

  2. En la página de resultados de búsqueda, seleccione Exportar>Descargar todos los resultados.

    Todas las entradas del registro de auditoría que cumplen los criterios de búsqueda, se exportan a un archivo CSV. Los datos sin procesar del registro de auditoría se guardan en un archivo CSV. Se incluye información adicional de la entrada del registro de auditoría en una columna denominada AuditData en el archivo CSV.

    Importante

    Puede descargar un máximo de 50 000 entradas en un archivo CSV desde una única búsqueda de registros de auditoría. Si se descargan 50 000 entradas en el archivo CSV, probablemente puede suponer que existen más de 50 000 eventos que cumplen los criterios de búsqueda. Para exportar más de este límite, pruebe a usar un intervalo de fecha para reducir el número de entradas de registro de auditoría. Puede que tenga que ejecutar varias búsquedas con intervalos de fecha de menor tamaño para exportar más de 50 000 entradas.

  3. Una vez completado el proceso de exportación, se muestra un mensaje en la parte superior de la ventana que le pide que abra el archivo CSV y lo guarde en el equipo local. También puede acceder al archivo CSV en la carpeta Descargas.

Obtener más información sobre exportar y visualizar resultados de la búsqueda del registro de auditoría

  • Al descargar todos los resultados de la búsqueda, el archivo CSV contiene las columnas CreationDate, UserIds, Operations y AuditData. La columna AuditData contiene información adicional sobre cada evento (similar a la información detallada que se muestra en la página de control flotante al ver los resultados de la búsqueda en el portal de cumplimiento). Los datos en esta columna se componen de un objeto JSON que contiene varias propiedades del registro de auditoría. Cadapropiedad: valorpar del objeto JSON es separado por una coma. Puede usar la herramienta de transformación de JSON en el editor de Power Query en Excel para dividir la columnaAuditData en columnas múltiples de forma que cada propiedad del objeto JSON tenga su propia columna. Esto le permitirá ordenar y filtrar en una o más de estas propiedades. Para obtener instrucciones paso a paso para usar el editor de Power Query para transformar el objeto JSON, consulteexportar, configurar y ver los archivos de registros de auditoría.

    Después de que divida la columna AuditData, puede filtrar en la columna deOperaciones para mostrar las propiedades detalladas de un tipo de actividad específico.

  • Cuando descargue todos los resultados de una consulta de búsqueda que contenga eventos de diferentes servicios, la columnaAuditData del archivo CSV contiene diferentes propiedades en función del servicio en que se ha realizado la acción. Por ejemplo, las entradas de Exchange y Microsoft Entra registros de auditoría incluyen una propiedad denominada ResultStatus que indica si la acción se realizó correctamente o no. Esta propiedad no se incluye para los eventos en SharePoint. De manera similar, los eventos de SharePoint tienen una propiedad que identifica la dirección URL del sitio para las actividades relacionadas con la carpeta y el archivo. Para mitigar este comportamiento, considere la posibilidad de usar diferentes búsquedas para exportar los resultados de las actividades de un único servicio.

    Para obtener una descripción de las propiedades que se enumeran en la columna AuditData del archivo CSV cuando descarga todos los resultados, y el servicio al que se aplica cada uno, consulte Propiedades detalladas del registro de auditoría.

Ámbito del acceso a los registros de auditoría

El acceso para buscar el registro de auditoría se limita en función de las unidades administrativas asignadas al usuario que accede al registro de auditoría en el portal de cumplimiento. Un administrador restringido solo puede buscar y exportar registros de auditoría generados por el usuario dentro del ámbito de sus unidades administrativas. Un administrador sin restricciones tiene acceso a todos los registros de auditoría, incluidos los generados por cuentas que no son de usuario y del sistema.

Administración unidades asignadas a administradores Administración unidades disponibles para realizar búsquedas con ámbito en Acceso a registros de auditoría de búsqueda y exportación
Ninguno (valor predeterminado): administrador sin restricciones Todas las unidades administrativas están disponibles Acceso a todos los registros de actividad desde cualquier cuenta de usuario, no usuario o sistema.
Una o más unidades administrativas: administrador restringido Solo están disponibles las unidades administrativas asignadas al administrador. Acceso a los registros de actividad de los usuarios con una asignación de unidad administrativa coincidente.

Nota:

Los cmdlets Search-MailboxAuditLog y Search-AdminAuditLog no admiten actualmente el acceso con ámbito. Las solicitudes de búsqueda que usan estos cmdlets siempre incluyen registros de actividad sin ámbito de Exchange, incluso cuando el usuario que realiza la búsqueda es un administrador con ámbito. Para acceder a los registros de actividad con ámbito desde cualquier servicio de Microsoft, incluidos los registros de actividad del buzón de Exchange, use el cmdlet Search-UnifiedAuditLog .

Las siguientes actividades de auditoría solo son accesibles por las consultas de búsqueda realizadas por un administrador sin restricciones. Estamos trabajando para garantizar que estos registros sean accesibles cuando los consulta un administrador restringido. Para ver una lista completa de los registros de auditoría de estas actividades, envíe una solicitud de búsqueda mediante una cuenta de administrador sin restricciones.

Servicio Operación
Azure Information Protection Detectar
Dynamics 365 CrmDefaultActivity
Prevención de perdida de datos en el punto de conexión FileCreated
FileCreatedOnNetworkShare
FileCreatedOnRemovableMedia
FileDeleted
Exchange Set-Mailbox
Set-MailboxPlan
SupervisionBulkEmailExclusion
Microsoft Forms ViewRuntimeForm

Para obtener más información sobre las unidades administrativas, vea Permisos en el portal de cumplimiento Microsoft Purview.

Preguntas más frecuentes

¿Qué servicios de Microsoft 365 se auditan actualmente?

Se auditan los servicios más usados, como Exchange Online, SharePoint Online, OneDrive para la Empresa, identificador de Microsoft Entra, Microsoft Teams, Dynamics 365, Defender para Office 365 y Power BI. Consulte el principio de este artículo para obtener una lista de los servicios que se van a auditar.

¿Qué actividades audita el servicio de auditoría en Microsoft 365?

Consulte el artículo Audit log activities (Actividades de registro de auditoría) para obtener una lista y una descripción de las actividades auditadas.

¿Cuánto tiempo tarda un registro de auditoría en disponible después de que se produzca un evento?

La mayoría de los datos de auditoría están disponibles en un plazo de entre 60 y 90 minutos, pero pueden tardar hasta 24 horas después de que se produzca un evento para que la entrada de registro de auditoría correspondiente se muestre en los resultados de la búsqueda. Consulte la sección Antes de buscar en el registro de auditoría de este artículo que muestra el tiempo que tardan los eventos en los distintos servicios en estar disponibles.

¿Durante cuánto tiempo se conservan los registros de auditoría?

Los registros de auditoría de las actividades realizadas por los usuarios asignados a una licencia Office 365 E5 o Microsoft E5 (o a los usuarios con una licencia de complemento de Microsoft 365 E5) se conservan durante un año. Para todas las demás suscripciones que admiten el registro de auditoría unificado, los registros de auditoría se conservan durante 180 días.

Importante

El período de retención predeterminado de Auditoría (estándar) ha cambiado de 90 días a 180 días. Los registros de auditoría (estándar) generados antes del 17 de octubre de 2023 se conservan durante 90 días. Los registros de auditoría (estándar) generados el 17 de octubre de 2023 o después siguen la nueva retención predeterminada de 180 días.

¿Puedo tener acceso a los datos de auditoría mediante programación?

Sí. La API de Actividad de administración de Office 365 se usa para capturar los registros de auditoría mediante programación. Para empezar, consulte Empezar con el APÏ de Office 365 Management.

¿Hay otras formas de obtener registros de auditoría que no sean en el portal de seguridad y cumplimiento o con la API de Actividad de administración de Office 365?

Sí, puede recuperar los registros de auditoría mediante los siguientes métodos:

¿Necesito habilitar individualmente la auditoría en cada servicio en el que deseo capturar registros de auditoría?

En la mayoría de los servicios, la auditoría se habilita de forma predeterminada tras activarla inicialmente para la organización (como se describe en la sección Antes de realizar búsquedas en el registro de auditoría de este artículo).

¿El servicio de auditoría admite la desduplicación de registros?

No. La canalización del servicio de auditoría está casi en tiempo real y, por tanto, no puede admitir la desduplicación.

¿Dónde se almacenan los datos de auditoría?

Actualmente, tenemos auditorías de canalización de implementaciones en las regiones NA (Norteamérica), EMEA (Europa, Oriente Medio y África) y APAC (Asia Pacífico). Los inquilinos hospedados en estas regiones tienen sus datos de auditoría almacenados en la región. En el caso de los inquilinos multigeográficos, los datos de auditoría recopilados de todas las regiones del inquilino solo se almacenan en la región principal del inquilino. Sin embargo, es posible que flujos los datos en estas zonas para equilibrar la carga y solo durante las cuestiones de sitio en directo. Cuando realizamos estas actividades, los datos en tránsito se encriptan.

¿Está la auditoría de datos encriptada?

Los datos de auditoría se almacenan en buzones de Exchange (datos en reposo) en la misma región donde se implementa la canalización de auditoría unificada. Exchange no cifra los datos del buzón en reposo. Sin embargo, el cifrado de nivel de servicio cifra todos los datos de los buzones, ya que los servidores de Exchange en centros de datos de Microsoft se cifran mediante BitLocker. Para obtener más información, consulte Cifrado de Microsoft 365 para Skype Empresarial, OneDrive para la Empresa, SharePoint Online y Exchange Online.

Los datos de correo en tránsito siempre se cifran.