Exchange Server lokalt og hybrid: logkilder

Forside › E-mail forensics · Gennemgået oktober 2026 · Af John Nielsen

En lokal Exchange-server har ikke én samlet auditlog som Microsoft 365. Sporene ligger spredt i tekstfiler på transportlaget, i IIS-logs på klientadgangen, i postkassernes egen auditlog og i en skjult postkasse med administratorhandlinger. Hver kilde har sin egen opbevaring, og flere af dem roterer efter størrelse, så en travl server kan have mistet uger af historikken, før nogen spørger.

Haster det? Message tracking- og IIS-logs roterer efter alder eller størrelse, og postkassernes auditlog gemmes som standard kun i 90 dage. Se akut forensisk sikring; hastesager koster ekstra.

Artiklen gennemgår kilderne på Exchange Server 2016, 2019 og Subscription Edition, hvordan de sikres, og hvad de kan bruges til i en civil sag eller en intern undersøgelse. Leveringsspor generelt er beskrevet i Message trace og transportlogs; her er fokus på det, der er særligt for den lokale installation.

Overblik over kilderne

• Message tracking · Hvad den viser: Mailflow: modtagelse, levering, videresendelse · Typisk placering: TransportRoles\Logs\MessageTracking under installationsmappen
• IIS-logs · Hvad den viser: Klientforbindelser via OWA, ActiveSync, EWS og MAPI over HTTP · Typisk placering: inetpub\logs\LogFiles på serveren
• Protokollogs (SMTP, POP, IMAP) · Hvad den viser: Forbindelser og kommandoer på protokolniveau · Typisk placering: Under TransportRoles\Logs og Logging
• Mailbox audit · Hvad den viser: Handlinger i den enkelte postkasse · Typisk placering: Mappen Audits under Recoverable Items i postkassen
• Admin audit · Hvad den viser: Cmdlets kørt af administratorer · Typisk placering: Skjult arbitreringspostkasse
• Windows-hændelseslogs · Hvad den viser: Logon, tjenester, MSExchange Management · Typisk placering: Security, Application og egne kanaler

Message tracking

Message tracking-loggen er CSV-filer med navne som MSGTRK, MSGTRKMD (levering til postkasser) og MSGTRKMS (afsendelse fra postkasser), efterfulgt af datoen i UTC og et løbenummer. Hver linje er en hændelse med felter som date-time, client-ip, event-id, source, message-id, recipient-address, sender-address og message-subject. Emnefeltet logges som standard, men kan være slået fra af hensyn til persondata.

Feltet source er nyttigt i undersøgelser. Værdien MAILBOXRULE viser, at en mail er genereret af en indbakkeregel, og feltet reference peger da tilbage på den indgående mail, der udløste reglen. Det giver en lokal parallel til det, der i Microsoft 365 er beskrevet i Indbakkeregler og videresendelse.

Loggen bruger cirkulær logning, der sletter de ældste filer, når enten maksimal alder eller maksimal mappestørrelse er nået. Standardværdierne er 30 dage og 1.000 MB for mappen, og på postkasseservere kan mappen samlet fylde op til tre gange den værdi. På en travl server kan størrelsesgrænsen derfor slette filer længe før de 30 dage. Notér derfor de aktuelle værdier fra transporttjenestens konfiguration som en del af sikringen. Det forklarer senere, hvorfor loggen starter, hvor den gør.

Kopiér filerne direkte fra alle postkasse- og Edge-servere, hash dem, og supplér eventuelt med en eksport fra cmdleten Get-MessageTrackingLog. Råfilerne er det primære bevis; eksporten er et arbejdsredskab.

IIS-logs og klientadgang

Alle webbaserede klientprotokoller går gennem IIS. Loggene i W3C-format viser tidspunkt i UTC, klientens IP-adresse, brugernavn, URL-sti, user agent og statuskode. Stien afslører protokollen: /owa for webadgang, /Microsoft-Server-ActiveSync/ for mobiltelefoner, /EWS/ for programmer og synkronisering og /mapi for Outlook.

I sager om overtagne konti er IIS-loggen ofte den eneste lokale kilde til, hvilke IP-adresser der har brugt en konto. ActiveSync-linjer indeholder desuden enheds-id og enhedstype, som kan kobles til postkassens liste over mobile enheder. Feltbeskrivelser og faldgruber ved proxy og load balancer er gennemgået i Webserverlogs.

IIS sletter som standard ikke selv gamle logs, men mange driftsmiljøer har et oprydningsscript, der gør. Kontrollér planlagte opgaver, før du regner med, at historikken er komplet. Står serveren bag en load balancer eller reverse proxy, skal også den enheds log sikres, ellers ser alle forbindelser ud til at komme fra samme interne adresse.

Mailbox audit

Postkassens auditlog skelner mellem tre logontyper: Owner, Delegate og Admin. En administrator med Full Access regnes som delegeret. Posterne gemmes i postkassen selv, under Recoverable Items i undermappen Audits, og flytter med postkassen. Standardopbevaringen er 90 dage via AuditLogAgeLimit.

Hvilke handlinger der logges, afhænger af konfigurationen pr. postkasse. Ejerens handlinger logges kun, hvis de er valgt eksplicit, og MailboxLogin for ejeren registreres kun ved POP3, IMAP4 eller OAuth, ikke ved NTLM eller Kerberos. Auditing slås til pr. postkasse med Set-Mailbox og parameteren AuditEnabled, og man kan ikke gå ud fra, at det er sket. Kun egenskaben på den konkrete postkasse viser, om der overhovedet findes poster.

Konfigurationen er derfor lige så vigtig som loggen. Kør Get-Mailbox med audit-egenskaberne for de berørte postkasser og gem output. Tjek også, om konti er undtaget fra auditing via bypass-indstillingen; det bruges til tjenestekonti, men kan også dække over en konto, der burde være logget.

Søgning sker med Search-MailboxAuditLog for én postkasse eller New-MailboxAuditLogSearch for flere, hvor resultatet sendes som XML-vedhæftning. Vedhæftningen er en afledt kopi og bør gemmes uændret med hash.

Administratorernes auditlog

Admin audit logging er slået til i nye installationer og registrerer cmdlets kørt i Exchange Management Shell og via administrationscentret. Hver post har cmdlet-navn, parametre, ændret objekt, kalder, tidspunkt i UTC og server. Standardopbevaringen er 90 dage.

Loggen viser, hvad der blev kørt, men ikke de gamle og nye værdier, medmindre LogLevel står på Verbose. Den viser heller ikke læsning af objekter. Ændringer af selve auditkonfigurationen logges altid, så forsøg på at slå logning fra eller forkorte opbevaringen kan ses. Det er relevant, når en administrator selv er i fokus; se Undersøgelse af en administrator, der kan slette log.

Supplerende spor findes i hændelseskanalen MSExchange Management og i Logging\CmdletInfra under installationsmappen.

Hybrid: to sæt logs

I en hybrid opsætning kan postkasser ligge både lokalt og i Exchange Online, og mail mellem dem går over hybridforbindelsen. En mail fra en lokal postkasse til en online postkasse optræder derfor i lokal message tracking og i Microsoft 365’s sporing, med samme message-id men forskellige interne id’er.

Flyttede postkasser tager deres mailbox audit med, men administratorloggen bliver i det miljø, hvor handlingen skete. Lokale handlinger på synkroniserede objekter kan desuden afspejles i Entra ID. Kortlæg tidligt, hvor de berørte postkasser lå i den periode, sagen drejer sig om, og sikr begge sider.

Sikring i praksis

1. Notér servernavne, roller, version og opdateringsniveau.
2. Eksportér konfigurationen af transportlogs, mailbox audit og admin audit.
3. Kopiér message tracking-, protokol- og IIS-logs fra alle relevante servere, og hash filerne.
4. Kør audit-søgningerne for de relevante postkasser og perioder, og gem output uændret.
5. Eksportér Security- og Exchange-kanalerne, se Eksport af Windows-hændelseslogs.
6. Forlæng opbevaringen midlertidigt, hvis undersøgelsen trækker ud, og notér ændringen med tidspunkt.

Rækkefølgen betyder noget: logs, der roterer efter størrelse, sikres først.

Faldgruber

• Message tracking-tid er UTC, mens Outlook og mailens egne headere ofte viser lokal tid.
• En hændelse kan optræde flere gange, fordi mailen passerer flere servere eller skyggekopieres i en DAG.
• Manglende linjer kan skyldes cirkulær logning eller en server, der ikke er sikret, ikke at mailen aldrig blev sendt.
• MessageBind for administratorer viser åbning af et emne, men en eksport via eDiscovery logges som administratoradgang til hele postkassen.

Hvad loggene kan og ikke kan bevise

Samlet kan kilderne vise, hvornår en mail passerede serveren, hvilken klient og IP-adresse der brugte en konto, og hvilke ændringer en administrator foretog. De viser ikke, hvem der sad ved tastaturet, og de dækker kun det, konfigurationen faktisk har logget. Konklusioner bør derfor altid ledsages af den konfiguration, der var gældende i perioden.

Kilder og versioner

• Message tracking i Exchange Server (Microsoft Learn)
• Konfiguration af message tracking og standardværdier (Microsoft Learn)
• Mailbox audit logging i Exchange Server (Microsoft Learn)
• Administrator audit logging i Exchange Server (Microsoft Learn)

Gennemgangen dækker Exchange Server 2016, 2019 og Subscription Edition.

Senest gennemgået: oktober 2026.

Næste skridt

• Mailformater i forensics: EML, MSG og MBOX, og hvad de bevarer
• Er mailen ægte? En samlet metode ud over headerne
• Kompromitteret konto, spoofing eller lookalike-domæne? Sådan skelnes de

Del af: E-mail forensics

Læs også: Kalenderdata og mødeinvitationer teknisk · IMAP-postkasser hos webhoteller: sikring og serverlogs

→ E-mail forensics · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT