Forside › Microsoft 365 og Entra ID: logkilderne · Gennemgået oktober 2026 · Af John Nielsen
Microsoft 365 har tre værktøjer, som ofte forveksles, når en hændelse skal undersøges. Message trace viser, hvordan en mail bevægede sig gennem Exchange Online: afsender, modtager, tidspunkt og leveringsstatus. Indholdssøgning i Purview viser, hvad der ligger i postkasser, OneDrive, SharePoint og Teams lige nu, plus det, der er bevaret. Auditloggen viser, hvad konti og administratorer har gjort. Det første skridt i enhver undersøgelse er at oversætte spørgsmålet til den kilde, der kan besvare det, og at kende kildens tidsgrænse.
Haster det? Message trace kan kun søge 90 dage tilbage, klientens IP-adresse findes kun for de seneste 10 dage, og loginloggen gemmes ofte kortere end auditloggen. Kontakt os via akut forensisk sikring; hastesager koster ekstra.
Det er et opslag til IT-drift og MSP’er. De enkelte værktøjer er gennemgået i dybden i egne artikler: leveringssporet i Message trace og transportlogs og auditloggen i Unified Audit Log.
Spørgsmål og værktøj
- Blev mailen leveret, afvist eller sat i karantæne? · Message trace
- Hvornår ankom mailen til vores system, og fra hvilken server? · Message trace og mailens header
- Hvad stod der i mailen, og hvem har den stadig? · Indholdssøgning i eDiscovery
- Findes en mail, som brugeren har slettet? · Indholdssøgning, hvis den er bevaret
- Hvem oprettede en indbakkeregel? · Auditloggen
- Hvem læste eller åbnede mails i postkassen? · Postkassens revision via auditloggen
- Hvem downloadede eller delte en fil? · Auditloggen
- Hvem loggede ind, fra hvor og med hvilken klient? · Entra ID’s loginlog
- Blev mailen sendt videre til en ekstern adresse? · Message trace for selve forsendelsen, auditloggen for reglen
Message trace
Message trace bygger på transportlogs i Exchange Online. Den indeholder metadata om forsendelsen: afsender- og modtageradresser, emne, Message-ID, tidspunkter, størrelse, klient- og server-IP samt hændelser som modtaget, leveret, mislykket, sat i karantæne eller videresendt. Den indeholder ikke mailens indhold.
Søgevinduet er begrænset. Microsoft har angivet, at nyere data kan søges direkte, mens ældre data inden for en længere periode hentes som en rapport, der genereres asynkront. Grænserne og brugerfladen har ændret sig, og der er indført en ny udgave af message trace med cmdlet’en Get-MessageTraceV2. På tidspunktet for gennemgangen (oktober 2026) kunne den nye udgave søge op til 90 dage tilbage, men højst 10 dage ad gangen, og visse felter som klientens IP-adresse fandtes kun for de seneste 10 dage. Ældre leveringsspor end vinduet findes ikke i Exchange Online, medmindre de er eksporteret eller sendt videre til et SIEM-system. Dybden er gennemgået i Message trace og transportlogs.
Indholdssøgning og eDiscovery
Indholdssøgning finder elementer ud fra søgeord, datoer, afsendere, modtagere og placeringer. Den viser, hvad der findes nu. En mail, som brugeren har slettet, og som ikke er bevaret af et hold eller en politik, findes ikke. Til gengæld giver eDiscovery adgang til indhold, metadata og vedhæftninger og kan eksportere dem med dokumentation. Den viser ikke, hvem der har gjort hvad med elementerne. Se Microsoft Purview eDiscovery.
Auditloggen
Auditloggen registrerer handlinger på tværs af tjenesterne: filhændelser, delinger, administrative ændringer, ændringer i postkasser og meget mere. Den har en opbevaringstid, der afhænger af licens, og hvilke postkassehandlinger der registreres, afhænger af postkassens revisionsindstillinger. Se Unified Audit Log i Microsoft 365.
Spørgsmålet om, hvilke mails en angriber eller en kollega har læst, besvares af postkassens revision og hændelsen MailItemsAccessed, som har sine egne forudsætninger. Se MailItemsAccessed og mailbox-auditlog.
Loginloggen
Logins registreres i Entra ID, ikke i Exchange. Loginloggen har sin egen opbevaringstid, som afhænger af licensen, og den er ofte kortere end auditloggens: ved gennemgangen 7 dage uden og 30 dage med betalt Entra ID-licens, mod som standard 180 dage for standardrevisionen i Purview. Felterne er gennemgået i Entra ID-loginlogs.
Tidsgrænser i overblik
Kilderne har forskellige levetider, og den korteste afgør, hvilken der skal sikres først. Som tommelfingerregel er rækkefølgen ved en hændelse:
- Loginlog og message trace, fordi de har de korteste vinduer.
- Auditloggen, fordi den udløber efter en fast periode.
- Hold på postkasser og websteder, så indholdet ikke forsvinder, mens resten sikres.
- Indholdssøgning og eksport, når holdet er aktivt.
Kontrollér de konkrete grænser i tenanten ved sagens start, og skriv dem ned. De afhænger af licens, tilkøb og indstillinger og kan ændres af Microsoft.
Når vinduet er overskredet
Er en hændelse ældre end det vindue, en kilde dækker, er der stadig muligheder, men de skal undersøges konkret:
- SIEM og logopsamling. Mange organisationer sender revisions- og loginlogs videre til et SIEM-system eller et logarbejdsområde med længere opbevaring. Spørg efter det, før kilden opgives.
- Mailens egen header. Den modtagne mail indeholder Received-linjer med servere og tidspunkter. Den kan delvis erstatte message trace for leveringsvejen, hvis mailen stadig findes.
- Modpartens system. Afsenders eller modtagers egen mailserver har sine egne logs, som kan bevares efter anmodning.
- Tidligere eksporter. IT-afdelingen eller MSP’en kan have lavet udtræk til en tidligere sag eller en sikkerhedshændelse.
Brug af en erstatningskilde skal fremgå af rapporten, så læseren ved, at oplysningen ikke kommer fra den primære kilde.
Rettigheder og spor efter undersøgeren
Hvert værktøj kræver sine egne roller. Message trace kræver Exchange-rettigheder, indholdssøgning kræver eDiscovery-roller, og auditloggen kræver adgang til revision i Purview. Tildel rollerne målrettet og tidsbegrænset, og notér, hvem der havde dem. Undersøgerens egne søgninger og eksporter registreres også i auditloggen. Det er en fordel, fordi forløbet kan efterprøves, men det betyder også, at undersøgelsen selv efterlader spor, som skal kunne forklares.
Kombination af kilderne
De stærkeste konklusioner opstår, når kilderne bekræfter hinanden. Et eksempel på en kæde: Loginloggen viser et login fra en ny IP-adresse. Auditloggen viser, at samme session oprettede en indbakkeregel. Message trace viser, at mails derefter blev sendt videre til en ekstern adresse. Indholdssøgningen viser, hvad de videresendte mails indeholdt. Hver kilde dækker et led, og ingen af dem kan alene vise hele forløbet.
Til koblingen bruges fælles nøgler: kontoens id, IP-adresse, session-id hvor det findes, Message-ID for mails og tidspunkt i UTC. Notér, hvilken nøgle der er brugt til hver kobling.
Typiske fejl
- At søge i indholdssøgning efter en mail, der er slettet uden bevaring, og konkludere, at den aldrig fandtes. Message trace kan vise, at den blev leveret.
- At bruge message trace til at vise, at en mail er læst. Den viser levering, ikke læsning.
- At antage, at auditloggen dækker alle postkassehandlinger. Det afhænger af indstillinger og licens.
- At vente med loginloggen, fordi den virker mindre vigtig. Den forsvinder ofte først.
- At blande tidszoner, fordi brugerflader viser lokal tid og eksporter UTC.
Dokumentation
For hver kilde: hvem der søgte, hvornår, med hvilke kriterier og i hvilket vindue, antallet af resultater, eksportformatet og hashværdien af eksportfilen. Notér også, hvilke kilder der blev overvejet, men ikke kunne bruges, fordi data var udløbet. En samlet oversigt over logkilderne i Microsoft 365 og deres eksportveje findes på Microsoft 365 og Entra ID: logkilderne samlet.
Hvad værktøjerne kan og ikke kan bevise
Message trace kan vise, at en mail blev leveret til en postkasse, ikke at den blev læst eller forstået. Indholdssøgningen kan vise, hvad der findes, ikke hvad der er sket med det. Auditloggen kan vise, at en konto udførte en handling, ikke hvem der betjente kontoen. Først når kilderne sammenholdes, og når forbeholdene er skrevet ned, kan de bære en konklusion.
Kilder og versioner
- Microsoft Learn: New message trace in the Exchange admin center
- Microsoft Learn: Microsoft Entra data retention
- Microsoft Learn: Learn about auditing solutions in Microsoft Purview
Senest gennemgået: oktober 2026.
Næste skridt
- Teams teknisk: hvor chats, filer og optagelser gemmes, og hvordan de eksporteres
- Slettede og redigerede Teams-beskeder: hvad Purview kan finde
- Power Automate og Logic Apps som skjult dataflow
Del af: Microsoft 365 og Entra ID: logkilderne
Læs også: Purview-opbevaringspolitikker og etiketter: hvad er slettet, og hvad er bevaret · Eksport via Microsoft Graph og PowerShell: dokumentation af kommandoerne
→ Microsoft 365-forensik · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
