Forside › Microsoft 365 og Entra ID: logkilderne · Gennemgået oktober 2026 · Af John Nielsen
I Microsoft 365 afgør licensen, hvor langt tilbage en undersøgelse kan se i auditloggen. Med Audit (Standard) gemmes poster som udgangspunkt i 180 dage. Med Audit (Premium) gemmes poster for Exchange, SharePoint, OneDrive og Entra ID som udgangspunkt i et år, og opbevaringen kan forlænges med opbevaringspolitikker. Spørgsmålet om licens er derfor ofte det første, der skal besvares, når en sag handler om hændelser, der ligger måneder tilbage.
Haster det? Med Audit (Standard) forsvinder poster efter 180 dage, så hver uge, der går, kan flytte starten af hændelsen uden for rækkevidde. Se akut forensisk sikring; hastesager koster ekstra.
Artiklen forklarer forskellen teknisk og peger på de faldgruber, der opstår, når en sag starter sent. Hvordan auditloggen bruges som bevis, er beskrevet i Unified Audit Log i Microsoft 365. Ledelsens vinkel på licensvalg findes på bevissikring-digitalt.dk.
Forskellen i overblik
- Standardopbevaring · Audit (Standard): 180 dage · Audit (Premium): 1 år for Exchange, SharePoint, OneDrive og Entra ID; 180 dage for øvrige
- Opbevaringspolitikker · Audit (Standard): Nej · Audit (Premium): Ja, op til 1 år, og op til 10 år med tilkøb
- Særlige hændelser · Audit (Standard): Grundlæggende hændelser · Audit (Premium): Flere hændelser om adgang til mail og søgninger
- Båndbredde ved API-adgang · Audit (Standard): Standard · Audit (Premium): Højere
Microsoft hævede standardopbevaringen for Audit (Standard) fra 90 til 180 dage den 17. oktober 2023. Poster, der var oprettet før denne dato, fulgte den gamle opbevaring. Licensbetingelserne ændres jævnligt. På tidspunktet for gennemgangen (oktober 2026) kræver opbevaring ud over 180 dage, at brugeren har en E5-licens eller et af Microsofts tilkøb til compliance eller eDiscovery og audit. Brugere uden en sådan licens og gæstebrugere får 180 dage.
Opbevaring pr. bruger, ikke pr. organisation
Premium-opbevaringen gælder for de brugere, der har den rette licens. Har organisationen en blanding af licenser, får brugere uden Premium-licens og gæstebrugere som udgangspunkt kun standardopbevaring. Det betyder, at to medarbejdere i samme sag kan have forskellig historik. Undersøgelsen bør derfor fastlægge licensen for hver relevant konto i hele den relevante periode, ikke kun på undersøgelsestidspunktet. En medarbejder, der er fratrådt, og hvis licens er fjernet, kan have mistet historik.
Poster fra tjenesteprincipaler, systemhændelser og programmer har ifølge Microsoft en fast opbevaring, som opbevaringspolitikker ikke ændrer.
Opbevaringspolitikker virker fremad
En opbevaringspolitik for auditloggen kan sikre, at bestemte hændelser eller bestemte brugeres hændelser gemmes længere. Den kan typisk ikke genskabe poster, der allerede er slettet efter den tidligere opbevaringstid. Microsoft skriver desuden, at en posts udløbstid fastsættes, når posten registreres, og at senere ændringer i licens eller politik ikke påvirker poster, der allerede er gemt. En politik, der oprettes, når sagen starter, hjælper derfor kun fremadrettet, også for poster, der endnu ikke er udløbet. Det er grunden til, at opbevaring hører til den forberedelse, der skal være på plads før en hændelse.
Hændelser om adgang til mail
Hændelsen MailItemsAccessed registrerer, at mails er åbnet eller synkroniseret, og er afgørende, når spørgsmålet er, hvilke mails en angriber har læst. Den var oprindelig en Premium-funktion. Siden 2024 logges MailItemsAccessed og Send også for brugere med standardaudit, og begge indgår i postkassens standardhandlinger. SearchQueryInitiated er derimod ikke slået til som standard og skal tilføjes for den enkelte postkasses ejer. Postkasser, hvor handlingerne er tilpasset manuelt, får ikke nye standardhandlinger automatisk. Se MailItemsAccessed og mailbox-auditloggen.
Søgehændelser, der viser, hvad en bruger har søgt efter i Exchange og SharePoint, har traditionelt krævet Premium og skulle ofte slås til særskilt for den enkelte postkasse. Fravær af søgehændelser kan derfor skyldes konfiguration, ikke at der ikke blev søgt.
Hvad det betyder i praksis
- Sag om fratræden for fire måneder siden: med Standard er der stadig data, men vinduet lukker. Eksportér straks.
- Sag om hændelser for ti måneder siden: med Standard er de fleste poster sandsynligvis væk. Med Premium findes poster for de centrale tjenester for licenserede brugere.
- Databrud, hvor omfanget skal fastlægges: uden
MailItemsAccessedkan det være umuligt at afgøre, hvilke mails der blev læst, og vurderingen må bygge på worst case. - Sag, hvor licensen er nedgraderet undervejs: historikken kan afhænge af licensen på det tidspunkt, posterne blev skrevet, og ved skiftet.
Alternativer, når licensen ikke rækker
Organisationer, der ikke har Premium, kan forlænge opbevaringen ved løbende at hente auditloggen via Office 365 Management Activity API eller eksport og gemme den i en SIEM eller et logarkiv. Det kræver, at opsamlingen er sat op, før hændelsen sker, og at integriteten af det eksporterede kan dokumenteres. Tredjepartsbackup af Microsoft 365 indeholder typisk data, men ikke auditlog.
Andre kilder med egen opbevaring kan delvist udfylde hullerne: Entra ID-loginlogs, message trace, Defender-data og postkassens egne mapper. De har hver deres opbevaringstider, som også afhænger af licens. Se Microsoft 365 og Entra ID: logkilderne samlet.
Sådan dokumenteres licensen
Licensen er en del af beviset, fordi den forklarer, hvad der kunne og ikke kunne findes. Rapporten bør angive:
- tenantens licenser og de relevante brugeres licenser i perioden, så vidt det kan fastslås,
- om auditlogning var slået til for organisationen og for postkasserne,
- eventuelle opbevaringspolitikker for auditloggen, deres oprettelsestidspunkt og omfang,
- tidspunktet for eksporten og den periode, eksporten faktisk dækker,
- hvilke hændelsestyper der var tilgængelige, og hvilke ikke var.
Licensoplysninger kan hentes fra administrationscentret og via Graph, og ændringer i licenstildelinger fremgår af Entra ID’s auditlog, så længe den rækker. Hash eksporterne, og beskriv kommandoer og filtre. En tjekliste findes i tjekliste: logs at sikre i Microsoft 365.
Sådan kontrolleres konfigurationen
Før eksporten bør det kontrolleres, hvad tenanten faktisk har slået til. I Exchange Online PowerShell viser Get-AdminAuditLogConfig i egenskaben UnifiedAuditLogIngestionEnabled, om indsamling til den samlede auditlog er aktiv, og Get-OrganizationConfig viser i AuditDisabled, om postkasse-auditering er slået fra for hele organisationen. For den enkelte postkasse viser Get-Mailbox i DefaultAuditSet, om Microsofts standardhandlinger bruges, og i AuditOwner, AuditDelegate og AuditAdmin, hvilke handlinger der auditeres. I Purview-portalen fremgår eksisterende opbevaringspolitikker for auditloggen med prioritet og omfang, og de kan også hentes med Get-UnifiedAuditLogRetentionPolicy.
Resultatet af kontrollen gemmes som tekst eller skærmbilleder med dato og administratorkonto, så det senere kan vises, hvordan konfigurationen så ud på sikringstidspunktet. Hvis noget er slået til undervejs, skal tidspunktet stå i rapporten, så poster fra før og efter ændringen ikke blandes sammen.
Eksport og grænser
Portalens søgning og eksport har grænser for antal poster pr. søgning, og store perioder skal ofte deles op. Via PowerShell eller Graph kan eksporten automatiseres, men kommandoer, filtre og antal returnerede poster skal dokumenteres, så eksporten kan gentages og efterprøves. Se eksport via Microsoft Graph og PowerShell. Kontrollér altid, at antallet af poster i eksporten svarer til antallet i søgningen, og at tidsvinduet er dækket uden huller.
Typiske fejl
- At antage, at alle brugere har samme opbevaring, fordi organisationen har nogle Premium-licenser.
- At oprette en opbevaringspolitik, når sagen starter, og forvente, at den redder ældre poster.
- At konkludere, at en hændelse ikke fandt sted, fordi den ikke er i loggen, uden at kontrollere, om hændelsestypen blev logget.
- At eksportere via portalen med standardgrænser og overse, at eksporten er afkortet.
- At glemme tidszonen. Auditloggens tidsstempler er i UTC, mens portalen og regneark kan vise lokal tid.
- At vente med eksporten, mens sagen afklares juridisk. Hver dag uden eksport kan koste en dags historik i den ældste ende af loggen.
Hvad licensen ikke ændrer
Licensen ændrer opbevaringen og antallet af hændelsestyper, men ikke auditloggens grundlæggende karakter. Posterne skrives af Microsoft på serversiden og kan ikke redigeres af brugere, hvilket giver dem høj bevisværdi. Til gengæld viser de kun de handlinger, tjenesten registrerer, og de kobler handlinger til en konto og en IP-adresse, ikke til en person. Koblingen til en person må bygges op af andre spor, fx enhed, placering og samtidige handlinger.
Kilder og versioner
- Microsoft Learn: Learn about auditing solutions in Microsoft Purview
- Microsoft Learn: Manage audit log retention policies
- Microsoft Learn: Audit (Premium)
- Microsoft Learn: Manage mailbox auditing
Senest gennemgået: oktober 2026.
Næste skridt
- Microsoft Purview eDiscovery: hold, søgning og eksport
- Exchange Online: Recoverable Items, hold og hvad der reelt er tilbage
- Indbakkeregler og videresendelse: opdagelse og datering i Microsoft 365
Del af: Microsoft 365 og Entra ID: logkilderne
Læs også: Power Automate og Logic Apps som skjult dataflow · Entra Connect og hybrid identitet: hvor blev ændringen lavet?
→ Microsoft 365-forensik · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
