Netwrix Auditor for Sharepoint
- Netwrix Auditor を実行 → 「Search」に移動 → 未選択の場合は「Advanced mode」をクリックします。
- 次のフィルターを設定してください：
- フィルター = “Data source”
演算子 = “Equals”
値 = “SharePoint Online” - フィルター = “Details”
演算子 = “Contains”
値 = “Members” - フィルター = “Details”
演算子 = “Contains”
値 = “Permissions” - フィルター = “What”
演算子 = “Does not contain”
値 = “ Members” - フィルター = “What”
演算子 = “Does not contain”
値 = “ Visitors”
- フィルター = “Data source”
- をクリックし、Search を実行してレポートを確認してください：
レポート内容に関するメモ：- 権限が直接割り当てられていた場合、“Who” 列で actor の UPN の下に表示される詳細は「Permissions:」で始まり、付与された権限は引用符の中で指定されます。
- ユーザーがグループに追加された場合、詳細は「Members:」で始まり、グループ名は「What」列に表示されます。
- 検索結果をさらに絞り込むには、結果内で望ましくない行を選択し、Exclude from search を詳細パネルでクリックして、除外したい結果を選択することで、特定のグループ、サイト、または actor を除外できます。
詳しくはこちら：Netwrix Auditor for SharePoint
ネイティブ ソリューション
- Office 365 のセキュリティ & コンプライアンス ダッシュボードを開きます。
- 次へ移動：Search -> 監査ログの検索。
- 「アクティビティ」フィルターで “Shared file, folder, or site” と “Unshared file, folder, or site”。
- クリック 検索。
検索結果には、次のイベントが一覧表示されます。アクセス権を直接付与する操作、ユーザーをグループに追加する操作、グループ権限を変更する操作。出力テーブルには、次の基本的な詳細が含まれます：- ユーザー — 操作を実行したユーザーの名前
- 項目 — 変更が行われた SharePoint サイトまたは Team の URL
- 詳細 — 変更が適用されたユーザーまたはグループ
- 権限昇格が発生したかどうかを判断するには、さらに調査する必要があります。1つの方法として、イベントを展開し、event をクリックして Details タブを順に確認することで、情報をレビューできます。実行されたアクティビティに応じて、次の情報を検索する必要があります：
- ユーザーが「Full Control（完全制御）」権限のあるグループに追加された場合：
EventData: <Added to group> には、ユーザーが追加されたグループ名が表示されます。
（なお、デフォルトでは、サイトまたはチームに対する「Full Control（完全制御）」権限のグループ名は「[SiteName] Owners」です。）
- 権限がユーザーに直接付与された場合： EventData: <Permissions granted> フィールドに付与された権限が表示されます。最優先は、「Full Control（完全制御）」が付与されたユーザーを把握して追跡することです。
ただし、監査ログ（Audit Log）の検索フィルター機能はかなりシンプルで、無関係な結果を除外できません。そのため、この方法ではすべてのイベントを1件ずつクリックして確認する必要があります。特権昇格（privilege escalation）を見つける代替手段として、Excelでデータを解析する方法があります：
- 以下をクリックして検索結果をCSVに出力します：Export Results -> Download all results.
- 空のブックを開きます -> Data タブの Get & Transform Data セクションで、 From Text/CSV -> ダウンロードした CSV ファイルを開きます -> Transform Data をクリックします。
- Query Editor, で AuditData 列のタイトルを右クリック -> Transform -> を選択します JSON。
- AuditData 列 の右上隅で、展開アイコンをクリック -> Load more -> 含めたくないプロパティの選択を解除 -> OK をクリックします。
作成されたテーブルには、次の情報が含まれます：- AuditData.CreationTime — イベントのタイムスタンプ
- AuditData.ClientIP — イベントが実行された IP アドレス
- AuditData.UserId — アクションを実行したユーザーの名前
- AuditData.EventData — 実行されたアクション
- AuditData.SiteUrl — 変更が行われた SharePoint サイトまたはチームの URL
- AuditData.TargetUserOrGroupName — 変更が適用されたユーザーまたはグループ
特権昇格を常に把握して、被害が出る前に脅威アクターを阻止しましょう
SharePoint Online と Microsoft Teams により、前例のないレベルのコラボレーションとファイル共有が可能になります。ユーザーは IT スタッフの支援なしで、メールアドレスを持つ誰でもサイトまたはチームに参加できるよう招待できます。対象には社内の同僚だけでなく、顧客、サプライヤー、請負業者などの外部ユーザーも含まれます。
このセルフサービスの仕組みはユーザーにとって便利ですが、IT チームにはアクセス制御戦略を改善する必要があることは明らかです。自社環境へのアクセス権を誰が取得しているのかを常に把握し、たとえばユーザーがオーナー グループに追加されたり、チームやサイトに対して誰かに Full Control 権限が付与されたりするなど、権限昇格（privilege escalation）の兆候を迅速に見つけられるようにする必要があります。たとえば、外部ユーザーにサイトまたはチームに対する Full Control が与えられた場合、そのユーザーはサイトやチーム内で自由に行動でき、そこに保存されたデータの閲覧や削除まで可能なため、これは環境に対する直接的な脅威となります。社内ユーザーの場合も、権限昇格は悪意のある意図やアカウント侵害の兆候である可能性があります。
標準のツールだけでは、これらの脅威を見つけてブロックするために必要な洞察を得るのが大変です。Office 365 の監査ログは、グループのメンバーシップや権限の変更を記録しますが、これらの活動を追跡するのは簡単ではありません。詳細を確認するには、各イベントを細かく一つずつ掘り下げるか、データを CSV ファイルとしてダウンロードしてそこで分析する必要があります。
Netwrix Auditor は、膨大なイベント ログ エントリを手間ひまかけて一つずつ探し回る必要をなくします。インタラクティブ検索により、検索条件を簡単に調整して、関連するイベントを素早く絞り込めます。さらに、誰に新しい権限が付与されたのか、そして権限昇格がグループ メンバーシップの変更によるものなのか、それとも直接の割り当てによるものなのか、といった重要な詳細がすべてすぐに分かります。
さらに、検索設定を購読できるカスタム レポートとして簡単に保存したり、アラートの作成に活用したりできます。これにより、MS Teams および SharePoint Online 環境における権限昇格イベントを容易に把握できます。
共有する