Cuando necesite demostrar quién accedió, compartió o eliminó un archivo en OneDrive para la Empresa, debe exportar pruebas de auditoría que cumplan con los estándares legales o de cumplimiento. Microsoft 365 registra cada acción en el registro de auditoría unificado, pero encontrar y exportar los datos correctos requiere pasos específicos en el portal de Microsoft 365 Defender. Este artículo explica cómo buscar en el registro de auditoría los eventos de OneDrive, exportar los resultados a un archivo CSV y preparar las pruebas para que las revisen los investigadores o los equipos legales.
Puntos clave: Cómo exportar pruebas de auditoría de OneDrive
- Portal de Microsoft 365 Defender > Auditoría: La ubicación única para buscar todos los eventos de OneDrive, incluidos el acceso a archivos, el uso compartido, la eliminación y los cambios de permisos.
- Criterios de búsqueda: intervalo de fechas, usuario, actividad y ruta de archivo: Limite el registro de auditoría a los eventos relevantes antes de exportar para evitar una sobrecarga de datos.
- Exportar > Descargar todos los resultados: Genera un archivo CSV con todos los registros coincidentes, listo para analizar en Excel o importar en herramientas de exhibición electrónica (eDiscovery).
Qué captura el registro de auditoría unificado para OneDrive
Microsoft 365 registra todas las actividades de OneDrive para la Empresa en el registro de auditoría unificado. Este registro forma parte de Microsoft 365 Purview y almacena datos durante 90 días de forma predeterminada para los usuarios con una licencia E3 y 365 días para las licencias E5 o complementarias. Cada registro de auditoría contiene el usuario que realizó la acción, la hora exacta en UTC, el archivo o la carpeta afectados, el tipo de acción y el dispositivo cliente o la dirección IP.
El registro de auditoría captura estos eventos de OneDrive:
Operaciones de archivos y carpetas
Se registran todas las cargas, descargas, eliminaciones, cambios de nombre, movimientos, copias y cambios de versión. Por ejemplo, FileDeletedFirstStageRecycleBin registra cuándo un usuario elimina un archivo a la papelera de reciclaje, y FileDeletedSecondStageRecycleBin registra la eliminación permanente de la papelera de reciclaje.
Cambios de uso compartido y permisos
Las acciones de uso compartido incluyen SharingInvitationCreated cuando un usuario envía un vínculo para compartir, AnonymousLinkCreated para los recursos compartidos con cualquier persona que tenga el vínculo, y PermissionChange cuando alguien modifica los niveles de acceso. El registro anota el usuario o grupo de destino y el tipo de permiso.
Sincronización y actividad del cliente
Eventos como FileSyncUploadedFull y FileSyncDownloadedFull muestran cuándo se sincronizan los archivos desde el cliente de OneDrive. Estos datos ayudan a verificar si se accedió a un archivo desde un dispositivo específico.
Para exportar pruebas, debe tener el rol Registros de auditoría en Microsoft 365 Purview. Los administradores globales, los administradores de cumplimiento y los administradores de registros de auditoría tienen este permiso de forma predeterminada. Los usuarios sin estos roles no pueden buscar ni exportar datos de auditoría.
Pasos para exportar pruebas de auditoría de OneDrive en el portal de Microsoft 365 Defender
Siga estos pasos para buscar en el registro de auditoría los eventos de OneDrive y exportar los resultados a un archivo CSV. El proceso tarda unos 10 minutos para una investigación estándar.
- Inicie sesión en el portal de Microsoft 365 Defender
Abra el explorador y vaya a https://security.microsoft.com. Inicie sesión con una cuenta que tenga el rol Registros de auditoría o privilegios de administrador global. - Abra la página de búsqueda de auditoría
En el panel de navegación izquierdo, seleccione Auditoría en la sección Soluciones. Si no ve Auditoría, haga clic en Mostrar todo en la parte inferior del panel de navegación. - Establezca el intervalo de fechas para la investigación
En la lista desplegable Intervalo de fechas y horas, seleccione un intervalo personalizado. Para la mayoría de las investigaciones, elija un período que cubra la ventana del incidente más un día antes y después. El intervalo máximo es de 90 días para las licencias estándar. - Seleccione las actividades específicas de OneDrive
En Actividades, haga clic en la lista desplegable y busque Archivo o Uso compartido. Marque las casillas de las actividades relevantes, como FileAccessed, FileDeleted, FileModified, SharingInvitationCreated y AnonymousLinkCreated. Puede seleccionar varias actividades a la vez. - Especifique el usuario o la ruta de archivo
En el campo Usuarios, escriba la dirección de correo electrónico del usuario cuyo OneDrive está investigando. Para limitar a un archivo específico, escriba la ruta URL completa en el campo Archivo, carpeta o sitio. El formato de la ruta es https://tenant-my.sharepoint.com/personal/user_domain_com/Documents/filename.docx. - Ejecute la búsqueda
Haga clic en Buscar. El portal muestra los resultados en una tabla debajo del formulario de búsqueda. Los resultados pueden tardar hasta 30 minutos en aparecer para los eventos recientes. - Revise los resultados de la búsqueda
Examine las columnas Fecha, Usuario, Actividad y Elemento para confirmar que los registros coinciden con el alcance de su investigación. Haga clic en cualquier fila para ver los detalles completos del evento, incluida la dirección IP y la aplicación cliente. - Exporte todos los resultados a CSV
Haga clic en el botón Exportar en la parte superior del panel de resultados. Seleccione Descargar todos los resultados. El portal genera un archivo CSV llamado AuditLogSearch_yyyy-MM-dd_HHmmss.csv y lo descarga en la carpeta de descargas predeterminada del explorador. - Verifique el archivo exportado
Abra el CSV en Excel. El archivo contiene columnas para CreationDate, UserIds, Operations, AuditData y Item. La columna AuditData incluye detalles en formato JSON. Use los filtros de Excel para ordenar por usuario o tipo de actividad.
Si la exportación de auditoría no contiene los eventos esperados
No aparecen resultados para el intervalo de fechas seleccionado
El registro de auditoría tiene un retraso de procesamiento de hasta 30 minutos para la mayoría de los eventos de OneDrive. Si está buscando eventos de la última hora, espere 30 minutos y vuelva a ejecutar la búsqueda. Para eventos anteriores a 90 días, necesita una licencia Microsoft 365 E5 o un complemento Purview Audit (Standard). Sin la retención extendida, los eventos anteriores a 90 días no están disponibles.
Faltan eventos de uso compartido o permisos
El registro de auditoría registra los eventos de uso compartido solo cuando se crea o modifica el vínculo para compartir. Si un usuario copió un vínculo para compartir y lo envió fuera del sistema, esa acción no se registra. Para obtener pruebas completas de uso compartido, revise también el informe Vínculos para compartir en el centro de administración de OneDrive, en Uso compartido > Administrar vínculos para compartir.
El archivo de exportación contiene demasiados eventos irrelevantes
Use filtros más específicos antes de exportar. Agregue la ruta de archivo exacta en el campo Archivo, carpeta o sitio y seleccione solo unos pocos tipos de actividad. También puede filtrar por Usuario para limitar los resultados a una sola persona. Ejecutar una búsqueda amplia y luego filtrar en Excel es más lento y puede omitir registros críticos si el tamaño de la exportación supera el límite de 50.000 filas.
Registro de auditoría unificado vs. informe de actividad del centro de administración de OneDrive: comparación para la recopilación de pruebas
| Elemento | Registro de auditoría unificado (Microsoft 365 Defender) | Informe de actividad del centro de administración de OneDrive |
|---|---|---|
| Retención de datos | 90 días de forma predeterminada, 365 días con E5 o complemento | 30 días |
| Formato de exportación | CSV con AuditData JSON completo | CSV con columnas limitadas |
| Tipos de actividad cubiertos | Todos los eventos de archivo, carpeta, uso compartido, sincronización y administración | Solo vistas, ediciones, usos compartidos y eliminaciones de archivos |
| Búsqueda por usuario | Sí, por dirección de correo electrónico | Sí, por nombre de usuario |
| Búsqueda por ruta de archivo | Sí, URL exacta | No |
| Dirección IP en los resultados | Incluida en AuditData JSON | No incluida |
| Adecuado para pruebas legales | Sí, incluye todos los metadatos | No, detalle insuficiente |
Para las investigaciones que requieren pruebas legalmente admisibles, use siempre el registro de auditoría unificado en el portal de Microsoft 365 Defender. El informe del centro de administración de OneDrive es útil para revisiones operativas rápidas, pero no contiene los metadatos detallados que requieren los auditores y los equipos legales.
Después de exportar el archivo CSV, ábralo en Excel y use filtros para aislar los eventos por usuario, fecha o tipo de actividad. Convierta la columna JSON AuditData a un formato legible usando Power Query de Excel o el visor de JSON en un editor de texto. Guarde el archivo limpio como un libro de Excel protegido con contraseña para enviarlo al equipo de investigación.
Para prepararse para futuras investigaciones, habilite el registro de auditoría para todos los usuarios en el portal de Microsoft 365 Defender, en Auditoría > Configuración. Verifique que al menos un administrador tenga asignado el rol Registros de auditoría. Para una retención extendida, actualice a una licencia Microsoft 365 E5 o compre el complemento Purview Audit (Standard) para su inquilino.