Written by WizLANSCOPE編集部
目 次
Microsoft 365 には、ユーザーの操作履歴を記録する「監査ログ」機能が搭載されています。
監査ログを活用することで、「誰が・いつ・どのサービスで・どのような操作を行ったのか」を確認できるため、情報漏洩や内部不正、不正アクセスなどのセキュリティインシデントの調査や、日常的な運用管理に役立ちます。
一方で、Microsoft 365 の監査ログは設定項目が多く、継続的に取得・確認・管理するには、一定の運用工数がかかります。
本記事では、Microsoft 365 の監査ログの種類や有効化する方法、ログの確認・取得方法について解説します。
▼本記事でわかること
- Microsoft 365 の監査ログの種類
- Microsoft 365 の監査ログを有効化する方法
- Microsoft 365 の監査ログの取得方法
また本記事では、Microsoft 365 の監査ログを自動で収集・保存し、利用状況を効率的に可視化できる「LANSCOPE エンドポイントマネージャー クラウド版」のオプション機能「Microsoft 365監査ログ管理機能」についても紹介します。
Microsoft 365 の監査ログを効率的に管理したい企業・組織の方は、ぜひご一読ください。
【Microsoft 365もまとめて管理！】
LANSCOPE エンドポイントマネージャー クラウド版
エンドポイントマネージャー クラウド版ならPC・スマホ管理に加えて、Microsoft 365の利用状況も見える化できます。
Microsoft 365 の監査ログとは
監査ログとは、ITシステムにおいて、「誰が・いつ・どこで・何をしたか」といった操作履歴を記録する機能です。
操作履歴を時系列で確認できるため、不正アクセスや情報漏洩などのセキュリティインシデントが発生した際の原因調査や、日常的な監査・運用管理などに活用されます。
Microsoft 365 には、この監査ログを取得・保存する機能が標準で搭載されています。
本記事では、Microsoft 365 の監査ログがどのような場面で活用されるのかをはじめ、監査ログを有効化する方法や確認方法、取得方法について詳しく解説します。
監査ログ具体的な活用シーン
まずは、Microsoft 365 の監査ログがどのような場面で活用されるのかを確認していきましょう。
本記事では、代表的な3つの活用シーンを紹介します。
退職者による情報持ち出しの確認
監査ログは、退職予定者や退職者による機密情報の持ち出しが行われていないかを確認する際に活用できます。
例えば、機密情報が保存されたファイルへのアクセスやダウンロード、外部共有などの操作履歴を確認することで、不正な情報持ち出しの有無を調査できます。
また、万が一不正が発覚した場合には、監査ログが事実確認のための重要な証跡となるため、必要な期間ログを保存しておくことも重要です。
情報漏洩や不正操作などの内部不正への備え
監査ログは、情報漏洩や不正操作などの内部不正を防止するためにも有効です。
従業員に対して、操作ログを取得・記録していることを周知することで、「操作履歴は記録されている」という意識が浸透し、不正なファイル持ち出しや権限外の操作などを抑止する効果が期待できます。
また、実際に情報漏洩などのインシデントが発生した場合でも、操作履歴をもとに原因や影響範囲を迅速に調査できます。
監査への備え
監査ログは、内部監査や外部監査に備えるためにも活用されます。
監査では、システムやデータへのアクセス状況や、適切な権限管理が行われているかなどを確認されることがあります。
そこで、監査ログを継続的に取得・保存しておくことで、「誰が・いつ・どの情報にアクセスし、どのような操作を行ったのか」を客観的に確認でき、組織の透明性向上やガバナンス強化につながります。
Microsoft 365 監査ログの主な種類
Microsoft 365 の監査ログでは、Microsoft 365 を構成する各サービスの操作履歴を記録・確認できます。
取得できる監査ログはサービスごとに異なり、「サインイン」「ファイルの閲覧・共有」「ユーザー管理」など、さまざまな操作が記録されます。
代表的な監査ログの対象サービスは、以下の通りです。
- Microsoft Entra ID（旧 Azure Active Directory）
- Microsoft Teams
- SharePoint Online
- OneDrive
それぞれのサービスで取得できる主な監査ログについて確認していきましょう。
Microsoft Entra ID
Microsoft Entra ID （旧 Azure Active Directory）とは、Microsoftが提供するクラウドサービス専
Microsoft Entra ID（旧 Azure Active Directory）は、Microsoft が提供するクラウドベースのID・アクセス管理サービスです。
Microsoft 365 をはじめとする各種クラウドサービスの認証やユーザー管理を一元化でき、多要素認証（MFA）や条件付きアクセスなどのセキュリティ機能も提供しています。
Microsoft Entra ID の監査ログでは、ユーザーやグループ、アプリケーションに対する追加・変更・削除などの管理操作を確認できます。
また、サインインログでは、ユーザーのサインイン日時やアクセス元、認証結果なども確認できるため、不正アクセスの調査にも活用できます。
Microsoft Teams
Microsoft Teams は、チャットやオンライン会議、ファイル共有などを行える Microsoft のコラボレーションツールです。
Teams の監査ログでは、チームやチャネルの作成・削除、設定変更、メンバーの追加・削除などの管理操作に加え、チャットや会議、ファイル共有に関する操作履歴なども記録されます。
これらのログを確認することで、Teams の利用状況を把握できるほか、情報漏洩や不正利用が疑われる場合の調査にも役立ちます。
SharePoint Online
SharePoint Online は、Microsoft 365 に搭載されているファイル共有・情報共有サービスです。
SharePoint Online の監査ログでは、ファイルやフォルダーの閲覧、ダウンロード、アップロード、編集、削除、共有などの操作履歴を確認できます。
また、サイトの作成・削除や権限変更、ゲストユーザーの利用状況なども記録されるため、管理者による運用状況の把握や監査にも活用できます。
OneDrive
OneDrive は、Microsoft が提供するクラウドストレージサービスです。
OneDrive の監査ログでは、ファイルのアップロードやダウンロード、編集、削除、共有などの操作履歴が記録されます。
また、SharePoint Online と同様に、外部ユーザーとの共有状況やゲストユーザーによるアクセス状況も確認できるため、情報漏洩対策や監査対応にも役立ちます。
Microsoft 365 の監査ログを有効化する方法
Microsoft 365 の監査ログを利用するには、まず監査機能が有効になっていることを確認しましょう。
通常、Microsoft 365 テナントでは監査機能が既定で有効になっていますが、有効になっていない場合は Microsoft Purview ポータルまたは Exchange Online PowerShell から有効化できます。
Microsoft Purview ポータルで有効化する方法
以下の手順で、Microsoft Purview ポータルから監査ログを有効化することができます。
| 手順 | 内容 |
|---|---|
| 1 | Microsoft Purview ポータルにサインインする |
| 2 | 画面左側メニューから「監査」を選択する |
| 3 | 「ユーザーと管理アクティビティの記録を開始する」が表示されている場合は、クリックする |
変更が反映されるまでには、最大60分程度かかる場合があります。
監査が有効になっていない場合は「ユーザーと管理者のアクティビティの記録を開始する」という表示が出現します。
なお、「ユーザーと管理者のアクティビティの記録を開始する」というバナーが表示されない場合は、監査機能は既に有効になっています。
PowerShell で有効化する方法
PowerShell から有効化する場合は、Exchange Online PowerShell に接続したうえで、以下のコマンドを実行します。
なお、Exchange Online の基本認証はすでに廃止されているため、接続には Exchange Online PowerShell モジュール（V2以降）を利用してください。
| PowerShell コマンド： Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true |
監査が有効になっているかどうかを確認するには、以下のコマンドを実行します。
| 有効化を確認するコマンド: Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabled |
UnifiedAuditLogIngestionEnabled が True と表示されれば、監査機能は有効になっています。
Microsoft 365 で監査ログを確認・取得する方法
Microsoft 365 の監査ログは、主に以下の3つの方法で確認・取得できます。
- Microsoft Purview ポータルで確認する
- Exchange Online PowerShell で取得する
- Office 365 Management Activity API を利用する
取得方法によって適した用途が異なるため、利用目的に応じて使い分けることが重要です。
それぞれの方法について詳しく見ていきましょう。
Microsoft Purview ポータルで確認する方法
特定のユーザーやファイルの操作履歴を素早く確認したい場合は、Microsoft Purview ポータルで検索する方法が適しています。
Microsoft Purview ポータルへサインイン後、左側のメニューから「監査」を選択し、「検索」画面で期間やユーザー、アクティビティなどの条件を指定して検索できます。
ここでは、検索条件として、「ファイル、フォルダー、またはサイト」や操作の種類などを指定することも可能です。
また、特定のサイトやファイルを検索したい場合には、URLやファイル名にワイルドカード（*）を利用した検索にも対応しています。
なお、検索条件を指定せずにすべての結果を表示させたい場合は、ボックスを空欄のままにします。
検索結果には、1回の検索で最大5,000件まで表示され、画面上で確認できるほか、CSV形式でエクスポートすることも可能です。
Exchange Online PowerShell で取得する方法
長期間にわたるログの調査や、より詳細な条件で検索したい場合は、Exchange Online PowerShell を利用する方法が適しています。
PowerShell の Search-UnifiedAuditLog コマンドレットを利用することで、Microsoft Teams や SharePoint Online、OneDrive、Exchange Online など、Microsoft 365 各サービスの監査ログを取得できます。
取得したログはCSV形式で出力できるため、インシデント調査やレポート作成にも活用できます。
Office 365 Management Activity API を利用する方法
大量の監査ログを継続的に取得したい場合は、Office 365 Management Activity API の利用が適しています。
API を利用するには、Microsoft Entra ID にアプリケーションを登録し、必要なアクセス権限を付与したうえで認証を行う必要があります。
その後、取得対象となるサービスのサブスクリプションを開始することで、Microsoft 365 の監査ログを継続的に取得できるようになります。
API は大量の監査ログを自動収集・分析したい大規模な企業・組織や、監査ログを SIEMなどのセキュリティ運用基盤と連携して活用したい場合に適しています。
Microsoft 365 の監査ログ管理における課題
Microsoft 365 の監査ログは、情報漏洩対策や内部監査などに役立つ機能ですが、効果的に活用するには、保存期間やログの分析、監視方法などを理解したうえで運用することが重要です。
ここでは、Microsoft 365 の監査ログを運用する際に押さえておきたい3つのポイントを紹介します。
保存期間における課題
Microsoft 365 の監査ログの保存期間は、標準では180日間です。
一方で、企業のセキュリティポリシーや監査ログの活用方法によっては、180日を超える長期間の保存が求められるケースも少なくありません。
そのため、180日以上の長期間保存したい場合は、定期的に監査ログをエクスポートして保管するか、長期保持に対応したライセンスの利用を検討する必要があります。
例えば、監査ログを最大1年間保持するには、Microsoft 365 E5、Office 365 E5、Microsoft 365 E5 Compliance、または E5 eDiscovery and Audit アドオンなどの対象ライセンスが必要です。
さらに、最長10年間保持するには、対象ユーザーへ監査ログ長期保持用のアドオンライセンスを割り当てる必要があります。
参考： Microsoft Learn ｜監査ログの保持ポリシーを管理する
ログ確認方法とアクティビティ解析における課題
監査ログの件数が多い場合は、期間やユーザー、操作内容などの条件を指定して検索する必要があります。
一方で、Microsoft 365 の監査ログでは、フィルターの条件を保存できる仕様は現在搭載されておらず、検索条件を毎回設定する必要があります。
また、大量のログをCSVで出力した場合は、必要な情報を抽出・分析するまでに時間がかかることも少なくありません。
さらに、Exchange Online PowerShell や Office 365 Management Activity API を利用する方法は柔軟性が高い反面、一定の技術的な知識が求められます。
つまり、Microsoft 365 の監査ログを継続的に確認・分析し、活用するためには、運用負荷が課題となるケースが少なくありません。
アラート設定における課題
Microsoft 365 では、Microsoft Purview や Microsoft Defender などでアラート機能を利用できますが、監査ログを確認するだけでは、不審な操作をリアルタイムで把握することは容易ではありません。
例えば、社外ユーザーへの大量のファイル共有や機密情報のダウンロードなど、リスクの高い操作が発生した場合でも、監査ログを後から確認する運用では、対応が遅れる可能性があります。
そのため、セキュリティリスクを早期に把握するには、監査ログの取得だけでなく、重要な操作を自動で通知・可視化できる仕組みを組み合わせて運用することが重要です。
Microsoft 365 の監査ログを効率的に管理するなら「LANSCOPE エンドポイントマネージャークラウド版」
Microsoft 365 の監査ログを継続的に活用するには、ログの収集・保存・確認・分析を効率的に行える環境を整えることが重要です。
そこで本記事では、オプションとして「Microsoft 365監査ログ管理機能」を提供しているIT資産管理・MDMツール「LANSCOPE エンドポイントマネージャー クラウド版」を紹介します。
本機能では、Microsoft 365 上で従業員が行った操作や、管理者の意図しない設定変更などの監査ログを自動で収集・保存し、管理コンソール上で分かりやすく可視化できます。
これにより、「誰が」「いつ」「どのサービスで」「どのような操作を行ったのか」を一目で把握できるため、不審な操作や情報漏洩につながるリスクを迅速に確認できます。
さらに、社外ユーザーの招待やファイル共有、ダウンロードなど、リスクの高い操作はアラートで把握できるため、不審な操作の早期発見や内部不正の抑止にも役立ちます。
また、Microsoft 365 の標準ライセンスでは監査ログの保存期間は180日間ですが、「LANSCOPE エンドポイントマネージャー クラウド版」では、監査ログを2年間保存できます。
加えて、監査ログの一括エクスポートにも対応しているため、インシデント発生時の原因調査や監査対応も効率的に行えます。
Microsoft 365 の監査ログを効率的に管理し、セキュリティ対策を強化したい企業・組織の方は、ぜひ「LANSCOPE エンドポイントマネージャー クラウド版」の「Microsoft 365監査ログ管理機能」をご活用ください。
【Microsoft 365もまとめて管理！】
LANSCOPE エンドポイントマネージャー クラウド版
エンドポイントマネージャー クラウド版ならPC・スマホ管理に加えて、Microsoft 365の利用状況も見える化できます。
まとめ
本記事では、Microsoft 365 の監査ログについて、概要や活用シーン、有効化・取得方法、運用時の課題などを解説しました。
本記事のまとめ
- Microsoft 365 には監査ログ機能が搭載されており、「誰が・いつ・どのサービスで・どのような操作を行ったのか」を記録・確認できる
- Microsoft 365 の監査ログは、Microsoft Purview ポータル、Exchange Online PowerShell、Office 365 Management Activity API の3つの方法で確認・取得できる
- Microsoft 365 の標準ライセンスでは監査ログの保存期間は180日間だが、対象ライセンスやアドオンを利用することで長期間保持することも可能
- 監査ログは情報漏洩や内部不正の抑止だけでなく、セキュリティインシデント発生時の原因調査や監査対応にも役立つ
監査ログを継続的に取得・管理することは、情報漏洩や内部不正の防止に加え、セキュリティインシデント発生時の迅速な原因調査や影響範囲の特定にもつながります。
一方で、監査ログの長期保存や継続的な確認・分析には一定の運用負荷が伴います。
効率的に監査ログを管理したい場合は、本記事で紹介した「LANSCOPE エンドポイントマネージャー クラウド版」の活用もぜひご検討ください。
【Microsoft 365もまとめて管理！】
LANSCOPE エンドポイントマネージャー クラウド版
エンドポイントマネージャー クラウド版ならPC・スマホ管理に加えて、Microsoft 365の利用状況も見える化できます。
おすすめ記事
