Exchange 감사 레코드의 속성에 대해 알아보기

이 문서에서는 Search-UnifiedAuditLog에서 반환된 Exchange 감사 레코드에 표시되는 속성과 필드를 설명합니다. 사서함 활동을 조사하거나 감사 출력을 구문 분석하는 스크립트를 빌드하는 Exchange 및 Microsoft 365 관리자를 위해 작성되었습니다. 기본 속성에 대한 간결한 설명, 일반적인 작업에 대한 대표 AuditData JSON, PowerShell 추출 예제 및 일반적인 속성 값 및 조사 시나리오에 대한 빠른 참조를 찾을 수 있습니다.

이 참조를 사용하여 다음을 이해합니다.

• 감사 레코드 결과의 주요 속성
• 각 필드가 나타내고 포함하는 항목
• 공통 속성 값 및 해당 의미
• 감사 데이터에서 기본 정보를 추출하는 방법

감사 레코드 구조 참조

Exchange 감사 레코드에는 감사된 활동에 대한 다양한 유형의 정보를 제공하는 몇 가지 주요 속성이 포함되어 있습니다.

기본 감사 레코드 속성

Search-UnifiedAuditLog를 실행하면 각 결과에는 다음과 같은 기본 속성이 포함됩니다.

AuditData JSON 구조체 참조

AuditData 속성에는 JSON 형식의 자세한 정보가 포함되어 있습니다. 다음은 일반적인 작업에 대한 몇 가지 일반적인 JSON 응답 구조입니다.

• Email 삭제(SoftDelete/HardDelete)

{   
  "CreationTime": "2025-11-17T14:30:15",   
  "Id": "00aa00aa-bb11-cc22-dd33-44ee44ee44ee",   
  "Operation": "SoftDelete",   
  "OrganizationId": "00aa00aa-bb11-cc22-dd33-44ee44ee44ee",   
  "RecordType": 2,   
  "ResultStatus": "Success",   
  "UserKey": "user@domain.com",   
  "UserType": 0,   
  "Version": 1,   
  "Workload": "Exchange",   
  "ClientIP": "192.168.1.100",   
  "ObjectId": "AAMkADM2NDIyMzUzLWE1ZjQtNGVkNS04OGE3LTg5NzY4ZDc1ZTZhNwBGAAAAAAC7...",   
  "UserId": "user@domain.com",   
  "ClientInfoString": "Client=OWA;Mozilla/5.0...",   
  "ExternalAccess": false,   
  "InternalLogonType": 0,   
  "MailboxGuid": "87654321-4321-4321-4321-210987654321",   
  "MailboxOwnerUPN": "mailboxowner@domain.com",   
  "LogonType": 0,   
  "Item": {   
    "Id": "AAMkADM2NDIyMzUzLWE1ZjQtNGVkNS04OGE3LTg5NzY4ZDc1ZTZhNwBGAAAAAAC7...",   
    "Subject": "Meeting Request - Q4 Planning",   
    "ParentFolder": {   
      "Id": "AAMkADM2NDIyMzUzLWE1ZjQtNGVkNS04OGE3LTg5NzY4ZDc1ZTZhNwAuAAAAAAC7...",   
      "Name": "Inbox",   
      "Path": "[\\Inbox](file:///\\inbox\)"   
    }   
  },   
  "SessionId": "11111111-2222-3333-4444-555555555555"   
}

• 사서함 규칙 만들기(New-InboxRule)

{   
  "CreationTime": "2025-11-17T14:45:22",   
  "Id": "98765432-8765-8765-8765-876543218765",   
  "Operation": "New-InboxRule",   
  "OrganizationId": "00aa00aa-bb11-cc22-dd33-44ee44ee44ee",   
  "RecordType": 1,   
  "ResultStatus": "Success",   
  "UserKey": "user@domain.com",   
  "UserType": 0,   
  "Version": 1,   
  "Workload": "Exchange",   
  "ClientIP": "10.0.0.50",   
  "ObjectId": "InboxRule:aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb",   
  "UserId": "user@domain.com",   
  "ClientInfoString": "Client=WebServices;ExchangeWebServices",   
  "MailboxGuid": "87654321-4321-4321-4321-210987654321",   
  "MailboxOwnerUPN": "mailboxowner@domain.com",   
  "Parameters": \[   
    {   
      "Name": "Name",   
      "Value": "Move Microsoft Security Emails"   
    },   
    {   
      "Name": "MoveToFolder",   
      "Value": "[\\Inbox\\Security](file:///\\inbox\Security)"   
    },   
    {   
      "Name": "From",   
      "Value": "security-noreply@microsoft.com"   
    }   
  \],   
  "SessionId": "22222222-3333-4444-5555-666666666666"   
} 

• 사서함 액세스(MailItemsAccessed)

{   
  "CreationTime": "2025-11-17T15:00:10",   
  "Id": "13579246-1357-1357-1357-135792468135",   
  "Operation": "MailItemsAccessed",   
  "OrganizationId": "00aa00aa-bb11-cc22-dd33-44ee44ee44ee",   
  "RecordType": 50,   
  "ResultStatus": "Success",     
  "UserKey": "user@domain.com",   
  "UserType": 0,   
  "Version": 1,   
  "Workload": "Exchange",   
  "ClientIP": "203.0.113.45",   
  "UserId": "user@domain.com",   
  "ClientInfoString": "Client=ActiveSync;Apple-iPhone/1309.63",   
  "MailboxGuid": "87654321-4321-4321-4321-210987654321",   
  "MailboxOwnerUPN": "mailboxowner@domain.com",   
  "ClientAppId": "00000002-0000-0ff1-ce00-000000000000",   
  "Folders": \[   
    {   
      "Id": "AAMkADM2NDIyMzUzLWE1ZjQtNGVkNS04OGE3LTg5NzY4ZDc1ZTZhNwAuAAAAAAC7...",   
      "Path": "[\\Inbox](file:///\\inbox\)",   
      "FolderItems": \[   
        {   
          "Id": "AAMkADM2NDIyMzUzLWE1ZjQtNGVkNS04OGE3LTg5NzY4ZDc1ZTZhNwBGAAAAAAC7...",   
          "Subject": "Weekly Status Report"   
        }   
      \]   
    }   
  \],   
  "OperationCount": 5,   
  "SessionId": "33333333-4444-5555-6666-777777777777"   
} 

범주별로 구성된 주요 필드는 다음과 같습니다.

사용자 및 세션 정보

활동 세부 정보

대상 정보

기본 데이터 추출 기술

JSON 데이터 변환

JSON에서 AuditData 정보를 추출하려면 다음 명령을 사용합니다.

\$AuditData = ConvertFrom-Json \$Results[0].AuditData \$AuditData.UserId \$AuditData.ClientIP \$AuditData.MailboxOwnerUPN

키 속성 표시

기본 속성을 읽을 수 있는 형식으로 보려면 다음 명령을 사용합니다.

\$Results \| Select CreationDate, UserIds, Operations, @{Name="MailboxOwner";Expression={(ConvertFrom-Json \$\_.AuditData).MailboxOwnerUPN}} \| Format-Table -AutoSize

일반적인 속성 값 이해

다음 표는 감사 레코드 속성에 있는 일반적인 값을 이해하는 데 도움이 됩니다.

작업 유형

RecordType 값

UserType 값

ClientInfoString 예제

빠른 참조

조사를 위한 필수 속성

유용한 PowerShell 기술

다음 단계

• 특정 사서함에서 사서함 활동에 대한 감사 로그 검색: Exchange 감사 속성에 대한 지식을 적용하여 특정 사서함 활동을 검색합니다.
• PowerShell 스크립트를 사용하여 감사 로그 검색: 자동화된 감사 로그 검색에서 이 문서의 PowerShell 기술을 사용합니다.
• MailItemsAccessed를 사용하여 손상된 계정 조사: MailItemsAccessed 감사 작업을 사용하여 Exchange 사서함 액세스 패턴 조사