Microsoft Purview 監査ログの基本

By Mirko Peters · 2026-08-28

ポッドキャスト関連ブログへようこそ。今回の記事では、クラウド環境内でユーザーの操作を追跡し、確認するための基本的な仕組みを詳しく解説します…

Automatically translated with AI from the original post. Read the English original

ポッドキャスト関連ブログへようこそ。今回の記事では、クラウド環境内でユーザーの操作を追跡し、確認するための基本的な仕組みを詳しく解説します。テナントを保護し、セキュリティインシデントを調査し、規制への準拠を徹底するには、統合監査ログ（Unified Audit Log）の理解が欠かせません。この話題について音声による詳しい解説を聴くには、関連するポッドキャストエピソードAudit Microsoft 365 User Activity with Purviewをご覧ください。

クラウドへのワークロード移行が進むにつれ、ユーザーと管理者の操作を可視化する作業は格段に複雑になります。体系的な監査戦略がなければ、内部と外部のセキュリティ脅威に対して、いわば無防備な状態で運用することになります。この記事では、環境を検証し、適切なガバナンスロールを割り当て、Microsoft Purview ポータルから実用的なインテリジェンスを引き出すために必要な手順を順に説明します。

Microsoft Purview 監査ログの概要

クラウド環境全体での、ユーザーと管理者の操作の監視は、現代のサイバーセキュリティ態勢の重要な要素です。Microsoft Purview は、テナントにおけるコンプライアンス、ガバナンス、監査の中核となるハブです。Exchange Online、SharePoint、OneDrive、Microsoft Teams、Microsoft Entra ID からアクティビティの記録を集約し、1 つの検索可能なリポジトリにまとめます。

これらの監査レコードを活用する方法を理解すると、管理者はセキュリティ調査でタイムラインを再構築し、許可されていない構成のずれを検出し、HIPAA、GDPR、PCI DSS といった厳格なコンプライアンス フレームワークにも対応できるようになります。単純なユーザーのサインインを追跡する場合でも、ファイル共有リンクを介した複雑なデータ流出のパターンを追う場合でも、Purview は安全性を維持するために必要な詳細なテレメトリを提供します。

監査の前提条件：アクセス許可とロール

アクセス許可とロール

セキュリティの異常を調べたり、コンプライアンス レポートを作成したりする前に、適切な管理上の境界と、ロールベースのアクセス制御（RBAC）が整備されていることを確認する必要があります。すべての管理者に未加工の監査データへの完全なアクセス権が必要なわけではありません。ここでは最小特権の原則を徹底することで、機密性の高い企業のテレメトリを保護できます。

これらの特定のロールを Microsoft Entra 管理センターまたは Microsoft Purview コンプライアンス ポータルから割り当てると、コンプライアンス担当者とセキュリティ アナリストが、業務を効率的に遂行するために必要なアクセス権を正確に持つことができます。

監査ログの有効化

多くの最新の Microsoft 365 サブスクリプションでは、標準の監査が既定で有効になっていますが、テナントの監査状態を確認することは、常に必須の最初の手順です。監査が無効になっていると、セキュリティ イベントに至るまでのユーザー操作の履歴が一切残らなくなります。

1. 目的のログ記録の深度に対応できるよう、組織が適切なサブスクリプション レベル（Microsoft 365 E3 や E5 など）を保有していることを確認してください。
2. Exchange Online PowerShell コマンドを使用するか、Purview ポータルを確認して、統合監査ログが有効になっていることを確認してください。
3. 指定したセキュリティ担当者に、必要な監査閲覧者または監査管理者のロールを割り当ててください。
4. 企業で長期間のログ保持や重要度の高いイベントの取得が必要な場合は、Microsoft Purview Audit（Premium）などの高度な機能を構成してください。
5. 複雑なテナント移行や管理業務の引き継ぎの際に、監査状態が意図せずオフに切り替わらないよう、継続的な確認の手順を確立してください。

Purview ポータルで監査ログにアクセスする

Purview ポータルの操作

アクセス許可の設定が完了し、監査が有効であることを確認したら、コンプライアンス インターフェイス内の中核となる検索ツールを利用できます。Microsoft Purview コンプライアンス ポータルにサインインし、左側のナビゲーション ウィンドウで [監査] ソリューションを選択してください。そこから [検索] をクリックすると、パラメーター ビルダーが開きます。

お使いの環境でイベントが発生してから、そのテレメトリが完全に取り込まれ、インデックスされ、ポータルの検索ツールで利用できるようになるまでには、通常15分から60分ほどかかることを覚えておいてください。リアルタイムのインシデント対応では、落ち着いて待つことが大切です。

ログのフィルタリングとエクスポート

企業環境では毎日数百万件のテレメトリ レコードが生成されるため、手作業でスクロールして確認することは現実的ではありません。Purview には、調査を効率的に絞り込むための細かなフィルター機能があります。

• 日付と時刻の範囲 (UTC): 調査対象の期間を正確に指定できます。標準の検索期間は最大 180 日間です。
• キーワード: 基になる JSON ペイロード内で特定の文字列を検索します。
• アクティビティ (フレンドリ名): 内部のバックエンド メソッド名ではなく、人が読みやすい操作名を選択します。
• レコードの種類: SharePoint のファイル ダウンロードや Exchange のメールボックス アクセスなど、特定のサービスに検索対象を絞り込みます。

オフラインで詳細な分析が必要な場合は、検索結果をカンマ区切り値 (.csv) 形式でエクスポートできます。このエクスポートでは、詳細なイベント情報が AuditData 列に構造化された JSON オブジェクトとして格納されます。これらは Excel の Power Query や外部の SIEM パイプラインなどのツールで解析できます。

監査ログの理解と分析

監査エントリの元データは、クライアント IP アドレス、ユーザー エージェント、対象アイテム ID、明示的な操作の詳細などのコンテキスト情報を含む、豊富な JSON ドキュメントです。これらのログを読み解くことで、セキュリティ チームは正当なユーザーの行動と、悪意のある社内の脅威を区別できるようになります。

これらのアクティビティ カテゴリを学習することで、セキュリティ オペレーション センター (SOC) は、重大な情報漏えいに至る前に、データの持ち出し、構成のずれ、権限昇格の兆候を見つけ出せるようになります。

監査のベスト プラクティス: スケジュールとコンプライアンス

安全な環境を維持するには、ログを事後に確認するだけでなく、先回りしたガバナンスが必要です。特権アカウントの監査、管理グループのメンバーシップ変更の確認、自動アラート ポリシーのテストを定期的に行うスケジュールを設定してください。

Purview の監査テレメトリを Microsoft Graph Activity API または Azure Event Hubs 経由で外部の SIEM (Security Information and Event Management) システムと連携させると、組織は対応を自動化できます。たとえば、監査イベントで大量のファイル削除に関するアラートが発生した場合、接続された Logic Apps がユーザー セッションを自動的に取り消したり、多要素認証の再設定を強制したりできます。

さらに、堅牢なプライバシー管理も適用してください。ログの保持ポリシーでは、法令や規制への準拠要件と組織のデータプライバシー基準のバランスを取ってください。適切な場合には、自動削除や仮名化などの手段を活用します。

アクセスとログの完全性のトラブルシューティング

ログのクエリやテレメトリの対象範囲の確認では、管理者がつまずくことがよくあります。レコードが欠けている場合やアクセスがブロックされる場合は、次の体系的なトラブルシューティング チェックリストに沿って確認してください。

• テナントの監査が有効か確認する: PowerShell の検証スクリプトを実行し、監査が停止していないことを確かめます。
• RBAC の割り当てを検証する: ユーザー アカウントに適切な監査ログの閲覧者 (Audit Reader) またはコンプライアンス管理のロールが付与されていることを確認します。
• 取り込みの遅延を確認する: 一時的なバックエンドの取り込みキューにより、リアルタイム検索で短時間のデータ欠落が生じる場合があることを覚えておいてください。
• 診断設定を確認する: データのエクスポート パイプラインと診断プロファイルが、対象となるすべてのワークロード イベントを取得するように正しくマッピングされていることを確認します。

問題が解決しない場合は、Microsoft の公式トラブルシューティング ドキュメントを参照するか、PowerShell で対象を絞ったプログラムによるクエリを実行して、欠落しているレコードのセットを特定してください。

まとめ

Microsoft Purview の監査ログのエコシステムを習得することは、Microsoft 365 環境の セキュリティを強化したいすべてのクラウド管理者やセキュリティ担当者にとって欠かせないステップです。基本的なアクセス許可の理解や統合ログの有効化から、複雑な JSON エクスポートや SIEM 連携まで、ユーザーのアクティビティを追跡する能力が、組織全体のセキュリティ成熟度を直接左右します。

学習を続け、ユーザー監視に関する実践的な実例を知りたい方は、ぜひ完全版のコンパニオンエピソード Audit Microsoft 365 User Activity with Purview をお聴きください。今日からこれらの厳格な監査の取り組みを実践することで、企業の資産を守り、明日もコンプライアンスを揺るぎなく維持できます。