purview-audit

Microsoft Purview Audit

Microsoft Purview Audit は、Microsoft 365 サービス全体のユーザーと管理者のアクティビティを記録し、セキュリティ調査、フォレンジック、コンプライアンス対応のために検索できるようにします。インシデント対応チームがまず頼りにする機能であり、設定をもっと適切にしておけばよかったと経営陣が真っ先に思う機能でもあります。

使用する場面

インシデントの調査、eDiscovery／コンプライアンス対応、Microsoft 365 サービスに関する規制上のログ要件への対応に使用します。

サインイン／ID ログにはこのスキルを使用しないでください（Entra ID サインインログ／Defender XDR を使用します）。Azure リソースのアクティビティにも使用しないでください（Sentinel 経由で Azure Activity Log を使用します）。

適切なプランと保持期間を選ぶ

ニーズ	プラン	保持期間
日常運用に必要な中核的な管理者／ユーザー操作	Audit (Standard)	既定で約 180 日
侵害調査（MailItemsAccessed、Send、SearchQueryInitiated）	Audit (Premium)	既定で 1 年
規制対象業界／リーガルホールドのシナリオ	Audit (Premium) + 10 年間アドオン	最大 10 年
長期的な SIEM／UEBA 相関分析	Office 365 コネクタ経由で Sentinel にストリーミング	Sentinel の保持期間

経験則：インシデント発生前にプランと保持期間を確認してください。既定の保持期間は、「監査ログはある」が「必要なログはない」という事態を招く、最もよくある原因です。

アプローチ

1. プランを確認する - Audit (Standard) では、既定の保持期間で中核的なログ記録が提供されます。Audit (Premium) では、既定の保持期間の延長（1 年、アドオンで最長 10 年まで延長可能）、より高い帯域幅、フォレンジックに役立つ重要度の高い／価値の高いイベント（例：MailItemsAccessed、Send、SearchQueryInitiated）が追加されます。 確認方法：既知のユーザーを指定した MailItemsAccessed のサンプルクエリで結果が返ることを確認します。
2. 監査が有効であることを確認する - テナントで監査ログが有効になっていることを確認します（最新のテナントでは既定で有効ですが、古いテナントでは無効になっている場合があります）。 確認方法：Get-AdminAuditLogConfig／ポータルで監査データの取り込みがアクティブであることを確認します。
3. 保持ポリシーを構成する - 監査ログの保持ポリシーでは、特定のレコードの種類、ワークロード、アクティビティについて保持期間を延長または短縮できます。主要な調査プレイブックを基準にポリシーを作成します。 確認方法：最低限、経営幹部を対象に MailItemsAccessed、FileAccessed、SearchQueryInitiated が保持ポリシーの対象になっていることを確認します。
4. 検索する - Purview ポータルの監査検索（または Office 365 Management Activity API／Microsoft Graph audit API）を使い、ユーザー、アクティビティ、ワークロード、時間でクエリを実行します。 確認方法：調査用のテストクエリが、監査検索に期待される SLA 内に返ることを確認します。
5. 運用に組み込む - 相関分析と長期的な分析のために監査データを Sentinel／SIEM にストリーミングし、調査担当者が使用するプレイブックを文書化します。 確認方法：Sentinel の Office 365 コネクタでデータが取り込まれていること、およびワークブックが用意されていることを確認します。
6. 訓練する - 監査ログを使った机上演習を実施し、「誰が、いつ、何を持ち出したか」に答えます。保持期間や Premium イベントに関する不足があれば記録します。

注意事項

• インシデント発生前に、保持期間が規制要件を満たしていることを検証してください。既定の保持期間では、業界の要件や侵害の発見にかかる時間を満たせない場合があります。
• Premium 専用イベント（例：MailItemsAccessed）は侵害調査に不可欠です。ライセンスと、調査対象となり得るすべてのユーザーについてイベントが流れていることを確認してください。
• 監査検索には遅延があります。遅延を考慮して調査を設計し、ホットデータを反復的に絞り込む場合は Sentinel／KQL を優先してください。
• レビュアーのアクセス範囲を厳密に限定してください。監査データから機密性の高いアクティビティが明らかになる場合があります。Global Admin ではなく、eDiscovery／Audit のロールグループを使用してください。
• 監査の構成は、変更管理を伴うセキュリティ制御として扱ってください。無効化する操作は監査可能にし、アラートを設定してください。

よくあるアンチパターン

• ユーザーごとのライセンスを確認せずに、Premium イベントが自動的に流れると思い込むこと。
• 既定の保持期間のままにしておき、侵害発生の可能性がある期間が過去 9 か月に及ぶことに後から気づくこと。
• 時間に追われて、Sentinel で事前に作成した KQL を使わずに Purview ポータルで調査すること。
• 重要なイベントに保持ポリシーを設定しないこと。その結果、最も重要なレコードの保持期間が既定値に戻ります。
• テナント全体の監査閲覧者権限を大人数のグループに付与すること。

プロンプトの例

• Microsoft 365 監査ログを検索して、ユーザーのアクティビティを調査してください。
• 監査ログの保持期間を設定し、Audit Premium イベントを確認してください。
• Microsoft Graph 監査 API 経由で監査データをエクスポートするにはどうすればよいですか？
• 重要な監査イベントのフォレンジックログを設定してください。
• Microsoft 365 監査ログを Sentinel にストリーミングし、調査用ブックを作成してください。

Microsoft Learn

• 監査ソリューションの概要：https://learn.microsoft.com/purview/audit-solutions-overview
• Audit Standard と Premium の比較：https://learn.microsoft.com/purview/audit-premium
• 監査ログの検索：https://learn.microsoft.com/purview/audit-search
• 監査ログの保持ポリシー：https://learn.microsoft.com/purview/audit-log-retention-policies
• Office 365 Management Activity API：https://learn.microsoft.com/office/office-365-management-api/office-365-management-activity-api-reference