Microsoft Entra IDの監視：疑わしい活動の検出

2025年前半にアイデンティティベースの攻撃が32％増加し、その97％以上がパスワードスプレーやブルートフォース攻撃だったと、Microsoft Digital Defense Report 2025で報告されています。Microsoft Entra IDは、サインインから役割変更、同意付与までほぼすべての攻撃行動を記録しているため、データ不足はほとんど問題になりません。

制約は、どのイベントがアラートに値するか、そしてそれらが別々の場所に記録された後に誰かがそれらを結びつけられるかどうかを知ることです。役割の割り当て、OAuth同意の付与、一時的な管理者の有効化はいずれも通常の管理作業として扱われます。

ライセンス階層、ポータルビュー、ハイブリッドディレクトリの境界が証拠をシステム間で分散させるため、誰かがそれをつなぎ合わせるまで攻撃の連続性は明らかになりません。

検出は、どの信号が重要で、ネイティブツールがどこで限界に達し、残った信号をアイデンティティセキュリティの状態信号に関連付けるかに依存します.

Microsoft Entra ID モニタリングとは何ですか？

Microsoft Entra IDはマイクロソフトのクラウドベースの アイデンティティおよびアクセス管理サービスです。ユーザーを認証し、アクセス方針を適用し、Microsoft 365、Azureリソース、および接続されたSaaSアプリケーションへのアクセスを許可するトークンを発行します。

一般的なAzureインフラ監視は、稼働時間、ディレクトリ同期の状態、サービス状況をカバーし、プラットフォームが稼働していることを確認します。セキュリティ重視のEntra ID監視は異なり、サインインログ、監査ログ、特権ID管理（PIM）活動を継続的に監視し、侵害や不正な変更の兆候を検出します。

どの実務者も、監視は定期的ではなく継続的でなければならないことを知っています。実際に機能する実務と誰も見ないダッシュボードを分けるのは、どのEntra IDの信号が本当に重要かを知ることです。

そのリストは見た目より狭いです。これはIdentity Protectionで検出されたリスクのあるサインイン、役割にメンバーを追加 PIM外のイベント、OAuth同意の付与のような委任された権限の付与を追加、そしてポリシーを静かに緩めるConditional Accessの編集を含みます。

セキュリティチームがMicrosoft Entra IDを監視する理由

Entra IDは組織が運営するすべての中心にあり、適切に監視することで管理環境全体に効果があります。 Netwrix 2025年サイバーセキュリティ動向レポートによると、回答者の46%が2025年にアカウント侵害を経験し、2020年の16%と比べられています。

• 攻撃につながる小さな変化を明らかにします: Microsoftの対応者ガイダンス - Midnight Blizzard の侵入は、MFAなしでレガシーの非本番テストテナントアカウントを侵害したパスワードスプレー攻撃を説明します。攻撃者は続いて権限の高いレガシーテストOAuthアプリを侵害し、それを使ってOffice 365 Exchange Onlineのfull_access_as_appロールを自分に付与し、メールボックスにアクセスしました。各ステップは通常の管理作業に似ており、侵入は2023年11月下旬から2024年1月12日にMicrosoftが検出するまで続きました。
• ハイブリッドADとEntra IDを一つの検出面に統合します：ほとんどの組織は両方のディレクトリを運用しています。両方を監視することで、例えばEntra Connect Syncを悪用して攻撃者が両者間を移動するのを検出できます。そうでなければ、両者は無関係な低重大度のイベントとして扱われます。
• 事後に質問に答えます：ログをエクスポートして保持する監視は、監査人、経営陣、およびインシデント対応者がネイティブの保持期限を大幅に超えて利用できる前後の値を含む証拠の記録を保持します。

ネイティブのMicrosoft Entra ID監視が不十分な点

Entra IDは3つの主要なログソースを提供します。監査ログは何が変更されたかを記録し、サインインログは誰がどこからどのリスクレベルで認証したかを記録し、PIMログは特権がどのように有効になったかを記録します。これらを持つことは検出の第一歩に過ぎません。

保持期間はほとんどのチームが予想するより短いです

監査およびサインインログは、P1またはP2ライセンスで30日間保持され、無料プランでは7日間のみ保持されます。これはマイクロソフトのデータ保持基準に準拠しています。保持期間のアップグレードは遡及適用されないため、無料からP1に移行しても既に期限切れのデータは回復しません。チームが1か月後にイベントを調査しても、照会できるデータがない場合があります。

リスクの詳細はP1/P2ライセンスで制限されています

リスクポリシー、完全なリスキーなユーザーの詳細、およびリスクベースの条件付きアクセスはすべて、MicrosoftのIdentity ProtectionドキュメントによりEntra ID P2が必要です。無料およびP1テナントはサインインログにアクセスできますが、リスク検出、リスキーサインイン、および異常を対応可能にする詳細なリスクコンテキストにはEntra ID P2が必要です。低ライセンスのチームは制限されたデータセットで監視します。

ログは組み込みの関連付けなしに別々のビューに表示されます

チームは異なるビューでサインイン、監査イベント、条件付きアクセスの変更、PIMアクティビティを確認するため、それらを結びつけるにはエクスポートされたログや定常クエリが必要です。2:14に追加された条件付きアクセスの除外と2:31の役割割り当ては同じ画面に表示されません。手動での照合は少数のインシデントを超えると効率が悪くなります。

オンプレミスのADとEntra IDのアクティビティはデフォルトで分離されています

ネイティブビューは、ドメインコントローラー上でグループメンバーシップの変更をWindowsイベントID 4728として記録し、Entra IDの監査ログの役割割り当てとは別に扱います。オンプレミスADとEntra IDは異なる識別子を使用するため、エクスポートされたログでも関連付けには意図的なIDマッピングが必要です。クロスディレクトリの攻撃経路はデフォルトで見えません。

Microsoft Entra IDで疑わしい活動を検出する方法

Entra IDでの疑わしい活動は通常、それぞれ正当そうに見える管理者の操作の連鎖として発生します。以下の検出カテゴリは、監視の優先順位をつける必要があるアイデンティティチームに最も高い信号対雑音比を提供します。

不可能な移動とリスクのあるサインインに注意してください

リスキーなサインインはアカウント侵害の最速の指標です。Microsoft Entra ID Protectionの名前付きリスク検出でトリガーし、生の信号だけではありません。異常な移動は地理的に不可能な場所を示します。匿名IPアドレスはTor出口ノードやその他の匿名化サービスを示します。

不慣れなサインインのプロパティは、新しいまたは不慣れなデバイスやブラウザの組み合わせを示します。また、POP、IMAP、SMTP AUTHなどの旧式認証プロトコルにも注意してください。これらは多要素認証（MFA）を強制できません 多要素認証（MFA）。

攻撃者が地理情報のみの検出を回避するために住宅用IPサービスを使用するため、地理情報をデバイス、ブラウザ、自律システム番号（ASN）信号と関連付けてください。

権限昇格が定着する前に検出する

ディレクトリの役割割り当てやPIMの有効化は直接的な権限昇格であるため、アクセス権の定期的な確認よりも発生時に追跡すべきです。 Netwrix 2026年データおよびアイデンティティセキュリティレポートによると、76％の組織が不要になったアクセス権を即座に取り消せず、発生時にすべての昇格イベントを捕捉する価値が高まっています。

同じ最小権限の作業はしばしばアクセス認証に続き、役割の所有権と承認が最新の状態に保たれます。監査操作でトリガーされます。役割へのメンバー追加 および 役割へのメンバー追加完了（PIM有効化）はTier-0ロールを意味し、グローバル管理者や特権ロール管理者などの最高権限の資産を指します。PIM外で行われた役割の割り当ては即時エスカレーションが必要であり、Microsoft Sentinelにはコミュニティルールがあり、PIM外での「役割へのメンバー追加」に正確に対応しています。

条件付きアクセス ポリシーの弱体化をフラグ付け

条件付きアクセス ポリシーの改ざんは、MITRE ATT&CK 技術 T1556.009に対応し、攻撃者が行動前に検知される制御を緩めることを可能にします。監査活動の条件付きアクセス ポリシーの更新および条件付きアクセス ポリシーの削除をトリガーし、次に変更されたプロパティを調査します。有効から報告のみへの状態変更、新しいユーザーまたはグループの除外、付与またはセッション制御の緩和が含まれます。具体的な変更は一般的な更新イベント内に隠されているため、イベント名だけで警告するとリスクの半分しかカバーできません。

OAuthアプリの同意許可を追跡

同意を得たOAuthアプリケーションは、パスワードリセット後もアクセス権を保持し、MFA変更後も有効です。これは単一の侵害ユーザーよりも広範囲に及ぶ持続メカニズムであり、ユーザー中心の監視では決して検出されません。

次のタイミングでトリガーします: アプリケーションの同意、サービスプリンシパルへのアプリロール割り当ての追加、および 委任された権限の付与を追加 監査イベント、特に管理者の同意が広範なMicrosoft Graphのスコープをカバーする場合。アプリケーション権限として、Mail.Readはすべてのメールボックスを読み取り、Sites.FullControlはサインインユーザーなしで完全なSharePoint制御を付与します。

特権アカウントの認証方法および資格情報の変更を監視する

多くのアカウント乗っ取りは、アカウント自体ではなく認証能力の乗っ取りから始まります。ユーザー登録のセキュリティ情報に反応し、ユーザーがセキュリティ情報を削除した場合、特権アカウントのパスワードリセット時にもトリガーされます。

マイクロソフトの特権アカウントガイダンスは、新しいセキュリティ情報の登録を攻撃者が継続的なアクセスを確保している可能性のある兆候として示しており、短期間でのパスワードリセットとMFA再登録は監査ログで最も強い侵害の指標の一つです。

実用的なMicrosoft Entra ID監視ワークフローの構築方法

検出パターンは、稼働中のワークフロー内でのみ機能します。以下の各コントロールは前のものに依存しており、順番に構築することで孤立したログエントリが動作する検出プログラムになります。

1. ログを集中管理し、ネイティブの制限を超えて保持する

インシデント発生前に、Entra 診断設定を構成して、サインイン、監査、および PIM アクティビティをセキュリティ情報およびイベント管理（SIEM）プラットフォーム、ログ分析ワークスペース、または長期保存にエクスポートします。

上記の各検出パターンは、調査開始時にデータがまだ利用可能であることに依存しており、Microsoftはセキュリティ分析のために少なくとも90日間のデータ保持を推奨しています。エクスポートには非対話型およびサービスプリンシパルのサインインカテゴリを含めてください。これらは対話型ユーザーのサインイン以外の活動をキャプチャします。

2. アラートを設定する前に基準値を設定する

上記のすべての検出カテゴリは、実際に異常なものではなく毎回発生するとノイズとなり、そのノイズが重要なアラートを埋もれさせます。各管理者と役割ごとに、典型的なサインイン場所、PIMの有効化頻度、同意量を含めて正常な状態を確立してください。

監視対象イベントのすべての発生ではなく、その基準値からの逸脱時にアラートを出します。Red Houndは、結果をアラートに変換する前に30日間の履歴でハントを実行することを推奨します。基準値がまだない場合、Microsoftのデフォルト設定は ユーザーは60分間に4回の変更、特権アカウントは2回です。

3. サインイン、監査、PIMログのイベントを関連付ける

チェーンパターンのための定常クエリを作成します。始める価値があるのは、条件付きアクセス ポリシーが弱体化されてから30分以内に役割が割り当てられる場合と、サービスプリンシパルが作成されて1時間以内にテナント全体の管理者同意が付与される場合で、これはMicrosoft Sentinelのコミュニティルールで既に実装されています。

4. 相関をオンプレミスのADに拡張する

オンプレミスのADセキュリティイベントを、Entra IDログと同じSIEMまたはハイブリッド監視ツールにエクスポートします。グループメンバーシップの変更（イベントID 4728、4732、4756）、ディレクトリオブジェクトの変更（5136）、および次の複製イベントを含みます：DCSync攻撃（4662および4932-4934シリーズ）

オンプレミスのSIDとEntraオブジェクトIDを正規化し、IDと時間ウィンドウで相関付けします。短時間内に両方のディレクトリで同じ管理者アカウントが動作するパターンは注目すべきもので、単独の行動は通常です。両ディレクトリを横断する単一の相関ビューが、2つの低重大度イベントを1つの明確なシグナルに変えます。

5. 調査と対応のプレイブックを作成する

まず監査イベントの詳細、実行者のサインイン履歴、影響範囲（どのアカウント、アプリ、メールボックス、権限に影響するか）を優先的に確認することを決めてください。

封じ込め前に証拠を保存してください。マイクロソフトのトークン盗難プレイブックは調査中に役割割り当てと疑わしいルールを記録するよう対応者に指示します。疑わしい主体の無効化やリフレッシュトークンの取り消しなど封じ込め手順を定義し、OAuth同意の付与は別途取り消す必要があることを忘れないでください。パスワードリセットではアプリのアクセス権は削除されません。各手順に責任者を割り当ててください。

変更を検出することと、それが承認されたことを知ることは別の問題です。役割の割り当てや条件付きアクセスの編集は、変更管理が事前に承認したか、管理者が独自に判断したかに関わらず、監査ログに同じように表示されます。

したがって、プレイブックはイベントが発生したことを確認するだけでなく、承認された変更チケットやメンテナンスウィンドウと照合する方法が必要です。その調整手順がないチームは、調査のたびに日常的な変更を再検討することになります。

次のインシデントに備え、持続的な管理者の露出を減らすチームは、即時昇格ではなく常時アクセス権を持つ役割を再検討すべきです。常時管理者が少ないほど、このプレイブック実行時の影響範囲は小さくなります。

NetwrixがMicrosoft Entra IDの監視をサポートする方法

上記のワークフローには、ネイティブツールが欠く2つの要素が必要です。1つ目はMicrosoftの保持期間を超える変更記録、2つ目はオンプレミスとクラウドのアイデンティティイベントを同時に検出することです。Netwrix AuditorとNetwrix Threat Managerは、既存のSIEMと連携してこれら2つの役割を担い、「Data Security that Starts with Identity™」のアプローチを実現します。

ネイティブ制限を超えたディレクトリと権限変更履歴の保持

Netwrix AuditorはオンプレミスのActive DirectoryとMicrosoft Entra IDの両方で、役割の割り当て、グループメンバーシップの変更、権限の変更を追跡します。Netwrix Auditorは30分で導入でき、数時間以内に最初の実用的なレポートを提供します。

Netwrix Auditorは変更前後の値を記録し、Microsoftの標準保存期間を超えて監査データを保持します。遅れて開始される調査のために長期アーカイブ保存も提供します。上記の相関関係およびプレイブックの手順はこのデータに依存しています。

Enjoy.ingはGDPRとISO 27001の準備として、オンプレミスAD、Microsoft Entra ID、VMwareの監査証跡を一元化し、数時間かかっていたインシデント調査が数分で完了するようになりました。

特権昇格および疑わしいサインインパターンの検出

Netwrix Threat Manager は、不可能な移動、重要な役割の変更、アプリケーションの権限変更など、上記のEntra IDパターンのいくつかをネイティブに検出し、Microsoftのネイティブ信号とSentinelの上に重ねて置き換えるのではありません。

持続的な管理者権限の露出を減らすチーム向けに、Netwrix Privilege Secureは常時有効の管理者権限を一時的なアカウントに置き換え、作業終了時に期限切れとなるタスク限定の特権セッションを提供します。これにより、ゼロスタンディング特権が実際に適用されます。

1回の検索で監査とインシデントの質問に回答する

ベロイト第一国立銀行および信託は17か所での手動証拠収集をNetwrix Auditorの報告に置き換え、通貨監督局（OCC）コンプライアンスおよび監査準備にかかっていた1週間を1時間に短縮しました。より広範なガバナンスプログラムでは、アイデンティティガバナンスツールが 監査結果をアクセスレビューとライフサイクル管理に変えます。

検出は誰かが見ている場合にのみ機能します

Entra IDはすでにログを生成しています。ほとんどの環境では、それらを証拠に変えるための定常的な運用が必要です。上記の5つの検出カテゴリは、ハイブリッドADとEntra ID全体で一貫して適用され、チームが単発のイベントではなく疑わしい連続動作に対応できるよう支援します。保持、基準、相関、対応をつなぐワークフローにより、インシデントではなく日常的な運用となります。

完全なSIEM構築は後で行えます。実際的な次のステップは、相関分析を日常業務の一部にすることであり、今週は診断エクスポートの設定を行うか、特権ロールが依然として常時アクセス権を保持しているかを確認することを意味します。

デモをリクエストして、NetwrixがハイブリッドEntra IDとActive Directoryの活動を監視し、ログソース間でIDシグナルを関連付け、監査準備済みの証拠を保持する方法をご覧ください。