在 SharePoint Online 中审核文件删除：找出谁从 Office 365 中删除了文件

我经常被问及如何审核 SharePoint Online 和 OneDrive 中已删除的文件。使用 Office 365 审核日志，这非常简单。如果您仍然不确定如何跟踪文件删除以及谁删除了文件，那么您来对地方了。

如何在 Office 365 中审核已删除的文件？

文件可能会被有意或无意地删除。因此，审计文件删除对于确保数据安全至关重要。您可以使用 Office 365 审核日志搜索或 PowerShell 来查找已删除的文件。

审核日志搜索：通过过滤“已删除文件”操作，您可以查看已删除的文件以及删除时间和删除文件的用户。但是，结果结合了 SharePoint Online 和 OneDrive 您无法筛选和查看对特定工作负载执行的已删除操作。

PowerShell：由于 PowerShell 具有快速数据检索、简单 UI 等更多优点，因此大多数管理员更喜欢它。 Search-UnifiedAuditLog cmdlet 可帮助您检测 Office 365 环境中已删除的文件。但是，您需要使用多个过滤器和 cmdlet 才能获得所需的结果。

为了简化您的工作，我们编写了一个 PowerShell 脚本来审核电子邮件删除。使用内置的过滤参数，您可以生成更精细的审核报告。

脚本下载：AuditFileDeletion.ps1

脚本亮点：

该脚本使用新式身份验证来连接到 Exchange Online。
该脚本也可以使用启用 MFA 的帐户来执行。
将报告结果导出到 CSV 文件。
帮助生成自定义期间的审核报告。
在您确认后自动安装 EXO V2（如果尚未安装）。
该脚本调度程序友好。即，凭证可以作为参数传递，而不是保存在脚本内。

文件删除审核报告 - 示例输出：

导出的报告包含以下属性：删除时间、删除类型、删除文件名、删除者、删除文件扩展名、文件 URL、站点 URL、工作负载

审核文件删除 PowerShell 脚本 - 执行方法：

您可以根据需要选择以下任意一种方法。

方法 1：使用 MFA 或非 MFA 帐户执行脚本。

.\AuditFileDeletion.ps1

方法 2：通过明确提及凭据来执行脚本（适合调度程序）。

.\AuditFileDeletion.ps1 -UserName admin@contoso.com -Password XX

如果管理员帐户具有 MFA，您需要使用条件访问策略禁用 MFA 才能使此方法发挥作用。

释放“审核文件删除脚本”的全部潜力：

如前所述，我们的脚本支持高级过滤参数以快速获得所需的结果。下面列出了支持的参数，

FilesDeletedBy - 标识由特定用户删除的文件。
开始日期和结束日期 - 帮助生成自定义期间的审核报告
SharePointOnline - 审核 SharePoint Online 中的文件删除
OneDrive - 审核 OneDrive for Business 中已删除的文件
用户名和密码 - 安排 PowerShell 脚本，无需交互式登录。

识别特定用户删除的文件：

要找出特定人员删除的文件，您可以使用 -FilesDeletedBy 参数及其 UPN 运行脚本。

.\AuditFileDeletion.ps1 -FilesDeletedBy John@contoso.com

导出的报告显示 John 在过去 90 天内删除的所有文件。

检测谁从 SharePoint Online 删除了文件：

要跟踪谁从 SharePoint 中删除了文件，您可以使用-SharePointOnline，如下所示。

.\AuditFileDeletion.ps1 -SharePointOnline

通过参考此报告，管理员可以根据需要恢复已删除的文件。

找出谁删除了 Microsoft OneDrive 文件：

要审核 OneDrive for Business 中的文件删除，您可以使用 -OneDrive 开关参数运行脚本。例如，

.\AuditFileDeletion.ps1 -OneDrive

导出的报告有助于查看谁从 OneDrive 中删除了文件以及何时删除。您可以根据需要从回收站恢复已删除的文件。

在自定义时间段内跟踪已删除的文件：

默认情况下，该脚本将检索过去 90 天内删除的文件。如果您希望审核特定日期范围内的文件删除，请使用 -StartDate 和 -EndDate 运行脚本参数。

.\AuditFileDeletion.ps1 -StartDate 11/25/21 -EndDate 12/01/21

上面的示例显示了从 2021 年 11 月 25 日到 2021 年 12 月 1 日删除的文件列表。

安排“审核文件删除报告”：

由于Search-UnifiedAuditLog可以检索过去 90 天内执行的文件删除活动，因此您可能需要旧数据进行分析。通过自动执行脚本，您可以在所需的时间内保留审核日志。

要在任务计划程序中安排 PowerShell 脚本，您可以遵循以下格式。

.\AuditFileDeletion.ps1 -Username Admin@constoso.com -Password XXX

您还可以使用任何支持的参数来获取详细报告。如果管理员帐户具有 MFA，您无法直接使用它进行安排。您需要通过条件访问策略禁用 MFA 才能使其正常工作。

获取有关文件删除的月度报告：

有时，重要的文件会在不知不觉中被删除。在这种情况下，定期监控文件删除将帮助您在文件从回收站中永久删除之前恢复文件。

要获取月度报告，请执行以下脚本。

.\AuditFileDeletion.ps1 -StartDate ((Get-Date).AddDays(-30)) -EndDate (Get-Date)

导出的报告包含已删除文件的最近 30 天的审核记录。

获取更详细的审核报告：

您可以组合一个或多个参数来获取更详细的审核报告。例如，

要查找过去 30 天内在 SharePoint Online 中删除的文件，请执行以下脚本：

.\AuditFileDeletion.ps1 -StartDate ((Get-Date).AddDays(-30)) -EndDate (Get-Date) -SharePointOnline

要获取特定人员在过去 90 天内删除的 OneDrive 文件列表，请运行如下所示的脚本：

.\AuditFileDeletion.ps1 -FilesDeletedBy John@contoso.com -OneDrive

我希望此博客将帮助您监控 Microsoft 365 环境中的文件删除情况。如果您有任何疑问或要求，可以通过评论部分联系我们。

使用 AdminDroid 报告有效跟踪 SharePoint Online 文件删除

审核日志和 PowerShell 脚本都提供原始数据，可能需要额外的处理或分析才能生成可操作的见解。 AdminDroid 的 SharePoint Online 文件删除报告提供了有关文件删除的更全面且用户友好的信息，例如文件扩展名、结果状态等。这种全面的概述可以帮助管理员更好地了解和管理文件删除，确保安全以及 SharePoint Online 环境的完整性。

AdminDroid 提供以下独特功能，使其能够提供有关文件删除的全面报告。

使用图表进行可视化 - AdminDroid 的图形 AI 图表提供活动模式和趋势的可视化表示，包括地理地图和热图，以便做出明智的决策。
自动安排报告 - 自动执行报告的日常监控并通过电子邮件接收实时更新。
委派对报告的访问权限 - 委派团队成员对报告、仪表板和租户的访问权限。
以任何格式导出 - 以各种格式导出报告，如 CSV、HTML 和 PDF 等，

AdminDroid 的 SharePoint Online 审核工具提供有关 SPO 操作的广泛信息，包括监视组成员身份、外部共享、网站集成员身份和访问相关活动。 AdminDroid 的 SharePoint Online 管理工具可提供超过 180 多个关于组织中网站集、非活动 SPO 网站、列表、库和 SPO 网站使用情况的报告，使管理员能够更有效地管理 SPO 环境。

为什么选择 AdminDroid？

通过15 天免费高级版探索 AdminDroid 的所有特性和功能。
访问提供全面见解的高级报告功能。
识别 AdminDroid 警报的潜在问题并轻松采取纠正措施。
根据准确的数据和分析做出明智的决策。

立即开始 AdminDroid 的 15 天免费试用，体验与众不同！