Office 365 の監査ログを設定する方法

Microsoft Office 365 は、Microsoft Teams、Exchange Online、Azure AD、SharePoint Online、OneDrive for Business など複数のサービスで構成される、堅牢で多様なエコシステムです。管理対象が多く、全体（グローバル）管理者はしばしば 複数のサブ管理者 そして場合によっては数千人のユーザーを監督する必要があります。

Office 365 の監査ログは、管理者とユーザーの活動を追跡するのに役立ちます。たとえば、特定のドキュメントに誰がアクセスしたのか、誰が閲覧または移動したのか、またリソースがどのように使われているのかを確認できます。これらのログは、セキュリティインシデントの調査や コンプライアンスの立証 に不可欠です。とはいえ、ネイティブのログには複数の制限があるため、活動を効果的に監視し、システムを安全に保ち、規制へのコンプライアンスを確実にするには、通常は追加のサービスが必要になります。

Office 365 の監査ログを設定する方法

ネイティブのログ監査はデフォルトでは有効になっていません。ネイティブのログ監査を有効にするには：

1. Office 365 の「Security & Compliance Center（セキュリティ & コンプライアンス センター）」にアクセスしてください。
2. 「Search」に移動してから、「Audit log search」を選択します。
3. 「Turn on auditing」をクリックします。

別の方法として、次の PowerShell コマンドでログ監査を有効にできます：

      Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true
      

Power BI やその他の補助アプリケーションの監査ログもデフォルトでは有効になっていません。これらの監査記録を取得するには、別々の管理ポータルで有効化する必要があります。

ライセンス要件を確認して、ログ データをどのくらいの期間保存できるかを確認してください。たとえば、現在の上限は Office 365 E3 ライセンスでは 90 日、Office 365 E5 ライセンスでは 1 年です。

監査ログ検索を実行する方法

前提条件

監査ログ検索を実行する前に、管理者がアカウントに権限を割り当てる必要があります。“View-Only Audit Logs” または “Audit Logs” のいずれかを指定してください。

ログ監査を有効にしてから、監査ログ検索を実行できるようになるまで、数時間待つ必要がある場合があります。

統合監査ログの検索では、複数の Office 365 サービスからの分析情報を 1 つのログ レポートに集約します。この処理の完了には、30 分から 24 時間の範囲で時間がかかる場合があります。

手順

監査ログの検索を実行するには、次の手順に従ってください。

1. ログインします。

次のURLでサインインします: https://protection.office.com。

ヒント： 現在の認証情報が自動的に使用されないようにするには、プライベート ブラウズ セッションを開きます：

• Internet Explorer または Edge では、CTRL+SHIFT+P を押します。
• その他のほとんどのブラウザーでは、CTRL+SHIFT+N を押します。

2. 新しい検索を開始します。

Security & Compliance Center で、左側のペインにある「Search」をクリックします。次に「Audit log search」を選択します。

3. 検索条件を設定します。

指定する主な条件は次のとおりです。

• アクティビティ — 「Microsoft’s list of audited activities」を参照してください。100件以上あるため、Microsoftが関連するアクティビティごとにグループ化しています。絞り込みを行わない場合、指定した期間中に実行されたすべてのアクティビティが監査レポートに含まれます。
• 日付 — 初期の時間範囲は直近7日間ですが、過去90日間の任意の期間で検索を設定できます。
• ユーザー — レポートに含めたいユーザーまたはユーザー グループを指定します。
• 場所 — 特定のファイル、フォルダー、またはサイトに検索を絞り込みたい場合は、場所またはキーワードを入力します。

その他の検索条件には次のものがあります：

• Webサイトに関連するアクティビティ — URL の後ろにアスタリスク（*）を追加すると、そのサイトのすべてのエントリが返されます。たとえば、「https://contoso-my.sharepoint.com/personal/*」。
• 特定のファイルに関連するアクティビティ — ファイル名の前にアスタリスク（*）を追加すると、そのファイルのすべてのエントリが返されます。たとえば、「*Customer_Profitability_Sample.csv」。

4. 検索結果をフィルターします。

検索条件のオプションは全体の概要を把握するのに役立ちますが、検索結果をフィルターするとデータをより効果的に確認できます。キーワード、特定の日付、ユーザー、項目、またはその他の詳細情報を入力できます。

また、検索は「最新のイベント 5,000 件」までに制限されます。検索結果がちょうど 5,000 件の場合、検索結果の上限に達している可能性があります。重要な情報を見落とさずに、指定した日付・時間範囲内の関連データをすべて確認できるよう、検索条件をさらに絞り込んでください。

代わりに、データを csv に取り込むことで、検索条件に合致する生データのレポートを作成できます。これにより、5,000 件ではなく最大 50,000 件のイベントをダウンロードできます。50,000 件をさらに超える分を生成するには、より短い日付範囲でバッチ処理を行い、その結果を手動で結合してください。

5. 結果を保存します。

結果を保存するには、「Export results」をクリックし、「Save loaded results」を選択して、データを含む CSV ファイルを生成します。Microsoft Excel を使ってファイルにアクセスするか、結果をレポートとして共有できます。

「AuditData」という列が表示されます。この列は、監査ログのレコードから取得した複数のプロパティを含む JSON オブジェクトで構成されています。これらのプロパティで並べ替えやフィルターを可能にするには、Excel の Power Query エディター内の JSON 変換ツールを使用して「AuditData」列を分割し、各プロパティにそれぞれ独自の列を割り当てます。

詳細については Export, configure, and view audit log records を参照してください。

Office 365 におけるネイティブ監査ログ検索の制限

Office 365 の監査ログを手作業で掘り下げるのは、多くの場合難しく、時間もかかります。検索ツールは役立ちますが、組織における監査の扱い方を決める際には、次の欠点を考慮してください。

• 異常なアクティビティを見つけるのは難しいことがあります。データを解釈するには訓練された目が必要で、特に特定のユーザーやファイルに問題があることを事前に把握していない場合はなおさらです。
• 監査データを安全に保つのは難しいです。— システム内のあらゆるイベントに関する詳細データは、非常に機微性の高い情報です。既定のエクスポート オプションは便利ですが、ファイルがより脆弱になる可能性があります。
• 人が読みやすいレポートを作成するのは非常に難しいです。— レポートを作るには、特定の監査データを CSV ファイルにエクスポートし、その後、実行可能な内容になるまで並べ替えと解釈が必要です。
• フィルタリング オプションが限られています。— ネイティブの監査ログ検索では包括的なフィルタリング機能が提供されないため、洞察を得たり探している内容を見つけたりするのが難しくなります。
• 利用できる事前定義済みのログ レポートはごくわずかです。— 別のレポートが必要な場合は、自分で手動で作成しなければなりません。さらに、レポートのサブスクリプション オプションや、カスタマイズした検索を保存するためのネイティブ機能もありません。
• ほとんどのプロパティが 1 つの JSON にまとめられます。— AuditData JSON には、監査イベントに応じてさまざまなプロパティが含まれます。これにより、監査データから得たい重要な詳細とあなたの間に、不要なノイズが大量に生じます。
• 監査データは限られた期間のみ保存されます。Microsoft の標準サブスクリプションでは、監査ログのデータ保持期間が 90 日間に限られているため、監査ログを定期的にダウンロードして保存し、その後それらをまとめて統合して、より長期的な活動の全体像を把握する必要があります。ログの保存を忘れると、記録に欠け（ギャップ）が生じます。

監査ログデータにアクセスするその他の方法

Office 365 Management Activity API

Office 365 Management Activity API では、Office 365 および Azure AD のアクティビティ ログから、管理システム、ユーザー、ポリシー イベントに関するデータを表示できます。このツールは、監査データの監視、分析、可視化に役立ちます。

Netwrix Auditor

Netwrix Auditor IT 環境におけるアクティビティを常に把握するという作業を大幅に簡素化し、問題を事前に防止してデータを整理した状態に保つことも可能にします。 このソリューションは、OneDrive for Business、SharePoint Online、Exchange Online の各環境に加え、Azure AD におけるアクティビティと構成についての可視性を高めます。