Microsoft 365 のサインイン、アプリ利用、ファイル操作を一元的に“見える化”し、最小の運用負荷で確実に検知・抑止までつなげる――本記事はそのための実践ガイドです。Microsoft Defender for Cloud Apps（MDCA）を使い、初期構築から誤検知対策、運用の定着化まで、現場でそのまま使える手順・テンプレート・チェックリストをまとめました。
目的と前提：本記事で解決すること
読者が抱える代表的な疑問を、この記事では次の観点で解決します。
- 目的： Microsoft 365 のサインイン・アプリ利用状況・アラートを MDCA で可視化する。
- 疑問1： Microsoft 365 用に追加のコネクター設定は必要か？
- 疑問2： 監視を始める際に必ず有効化すべき既定ポリシーは？
- 疑問3： 初期設定時に誤検知やアラート過多を抑えるコツは？
到達ゴール（運用像）
以下の状態を“初期1～2週間”で実現します。
- Microsoft 365 と MDCA の接続が完了し、監査ログが安定的に取り込まれる。
- 推奨ポリシー一式が アラートのみ で稼働し、誤検知と過検知を段階的に低減。
- 役割分担・エスカレーション・KPI が定義され、運用が回る。
全体アーキテクチャ：何をどこで可視化するか
MDCA はクラウドアプリの「アクティビティ」「ファイル」「セッション」「OAuth（同意）」の各レイヤーを監視します。Microsoft 365 の場合、監査ログ（Microsoft Purview 監査）を土台に、アプリ コネクターで深い可視化を実現します。 監視データの流れ（概念）
ユーザー操作
│
├─> Microsoft 365 サービス（Exchange/SharePoint/Teams など）
│ │
│ ├─> Microsoft Purview 監査ログ
│ └─> アプリ固有 API（ファイル/共有/同意 等）
│
└─> MDCA（App Connector）
│
├─> ポリシー評価（アクティビティ/ファイル/OAuth/異常検出）
├─> アラート・ガバナンスアクション
└─> ダッシュボード / エクスポート / SIEM 連携
前提条件とライセンス・ロール
| 項目 | 必須/推奨 | ポイント |
|---|---|---|
| MDCA ライセンス | 必須 | Microsoft Defender for Cloud Apps の権利。テナントで有効か確認。 |
| Microsoft Purview 監査 | 必須 | 監査ログ保持期間を要件（90/180/365日 など）で決定。 |
| 管理ロール | 推奨 | MDCA 管理者、セキュリティ運用担当、テナント管理者で職責分離。 |
初期セットアップ：3ステップで“監視が動く”状態へ
ステップ1：Microsoft 365 側の監査を有効化
監査は すべての可視化の土台 です。次を漏れなく ON にします。
| サービス | 設定の要点 | 備考 |
|---|---|---|
| Microsoft Purview 監査（旧 Office 365 監査） | テナント全体で監査ログを有効化 | 保持期間は要件に合わせ設定 |
| Exchange Online | メールボックス監査既定有効（確認）・管理操作の監査 | 受信トレイルールの変化検知に必須 |
| SharePoint / OneDrive | サイト・ファイル・共有操作の監査 | 外部共有・大量ダウンロード検知に活用 |
| Teams | チャネル/チーム操作・会議関連の監査 | テナント横断のコラボ変化を把握 |
| Power BI / Dynamics 365 等 | 必要に応じて各サービスで監査を確認 | 重要部門の利用がある場合は必ず |
ステップ2：アプリ コネクターを設定
- MDCA ポータル → 設定 > クラウド アプリ > アプリ コネクター。
- 「＋ アプリの接続」 → Microsoft 365 を選択。
- 必要なワークロード（SharePoint / OneDrive / Exchange / Teams など）にチェック。
- ファイル操作を追いたい場合は 「ファイル監視」 を有効化。
- コネクターの状態が緑（正常）になるまで待機。ログ取り込みは安定化まで 24–72 時間かかる場合があります。
よくあるつまずき（接続時）
- 権限不足：接続に必要な API 権限が承認されていない。
- 監査未有効：Purview 監査 OFF のまま接続してもデータが来ない。
- 範囲不足：特定ワークロードのチェック漏れで期待するイベントが欠落。
ステップ3：初期ポリシーを“アラートのみ”で展開
まずは 広く検知、狭く抑止 の原則で。以下テンプレートを基準に、1 週間の観測期間で誤検知を洗い出します。
| ポリシー種別 | 主目的 | 推奨初期状態 |
|---|---|---|
| アクティビティ ポリシー | 異常サインイン・管理者アクション検出 | アラートのみ |
| アプリ検出ポリシー | シャドー IT / OAuth 連携アプリの発見 | アラートのみ |
| OAuth アプリ ポリシー | 危険権限の OAuth アプリ検出・多用アプリの監視 | アラートのみ |
| ファイル保護ポリシー | 機密ファイルの共有・ダウンロードの監視 | アラートのみ |
観測期間中は次のチューニングを最優先します。
- 社内固定 IP を 信頼済み に登録（通常の出社アクセスを除外）。
- 自動化ツール/バッチ/管理アカウントを 除外条件 に追加。
- “大量ダウンロード”の 閾値 はネットワーク帯域や業務特性に合わせて段階調整。
- テスト部門や検証環境は 低優先度 に分類し、通知先を分離。
Microsoft 365 に“追加コネクターは必要？”への回答
結論： 基本は MDCA の「Microsoft 365」アプリ コネクターを 1 度接続 すれば、Exchange / SharePoint / OneDrive / Teams など必要ワークロードをまとめて監視できます。個別に追加コネクターを乱立させる必要はありません（ただし、Cloud Discovery でネットワーク経由の SaaS 利用を広く把握したい場合は、Defender for Endpoint 連携またはログ コレクターを別途有効化します）。
“必ず有効化すべき既定ポリシー”の実践リスト
以下は Microsoft 365 監視で効果が高く、誤検知調整もしやすいテンプレートの例です。まずは Severity（重要度） と通知先（メール/Teams Webhook/SIEM）を設定し、アラートのみ で運用開始します。
| カテゴリ | テンプレート例 | 主な検出 | 初期チューニング |
|---|---|---|---|
| サインイン/異常検出 | 不可能な移動（Impossible travel） | 短時間に地理的に矛盾するログイン | 信頼済み IP を除外、移動常態ユーザーは閾値緩和 |
| サインイン/異常検出 | 匿名プロキシ/既知の悪性 IP からのアクセス | Tor/VPN/不審 ASN 経由のサインイン | 海外出張者の一時許可ルールを別途用意 |
| 管理操作 | 特権ロールの割り当て/剥奪 | グローバル管理者・Exchange 管理者などの変化 | 自動化アカウントを除外、二重承認フローに連携 |
| メール保護 | 受信トレイ ルールの大量作成/転送設定 | アカウント侵害時に多い隠蔽操作 | 運用端末のルール配布ツールを除外 |
| ファイル/共有 | 匿名リンクの作成・外部共有の急増 | 外部公開の広がり・機密漏えいの兆候 | 部門配布用の既定共有サイトは別ルートで監視 |
| ファイル/ダウンロード | 単一ユーザーによる大量ダウンロード | 退職前持ち出し・不正持出しの早期兆候 | 業務バッチの閾値緩和/除外 |
| OAuth/アプリ同意 | 高権限の OAuth アプリ、急速に普及する新規アプリ | メール送信/ファイル読み取り等の広範権限 | 承認済みベンダーを許可リスト化 |
段階的な“抑止”への切り替え
誤検知が十分に下がったら、ガバナンス アクション（例：ユーザー強制ログアウト、共有リンク自動無効化、OAuth アプリ承認の取り消し）を 高重要度ケースのみ から有効化します。最初から広範囲にブロックすると業務影響が大きく、逆にチューニングの難度が上がります。
誤検知・アラート疲労を抑える 10 の具体策
- MFA を先行展開： サインイン系のリスクを土台から低減。
- 信頼 IP と既知ロケーション： 本社/拠点の固定回線を信頼済みに。
- 役割別ポリシー： 役員・特権管理者は個別の厳格ポリシーで分離。
- サービスアカウントの除外： 自動化と人手操作を分ける。
- 閾値は“最小始動”： 大量ダウンロード等は控えめに設定し、観測に応じて引き上げ。
- OAuth 許可リスト： 信頼ベンダーを登録、未知アプリには高感度で。
- 通知の多重化： メールだけでなく Teams Webhook や SIEM へ分配。
- Cloud Discovery の併用： EDR/Firewall ログでシャドー IT の母集団を把握。
- アラートの相関： “不可能な移動”＋“受信トレイルール変更”など重畳時に重要度を引き上げ。
- レビューの定例化： 月次または四半期でポリシー/アラート統計を棚卸し。
チューニングの型（サンプル）
・条件（場所 × デバイス × アクション）
- 場所：信頼 IP / 国・地域 / ASN
- デバイス：準拠デバイス / モバイル / ブラウザー種別
- アクション：ダウンロード / 共有リンク作成 / 管理権限付与
・フィルター例
- User in group != "ServiceAccounts"
- IP in "TrustedLocations"
- File label != "Public" AND External sharing == True
ダッシュボードと“見える化”の作り方
MDCA のダッシュボードを「リスクの全体像」「業務変化の早期兆候」「即応すべき重大アラート」の 3 枠で整理します。
| 枠 | 可視化の例 | 狙い |
|---|---|---|
| 全体像 | アプリ別アクティビティ件数、国/ASN 別サインイン、OAuth アプリ数 | 平常時の基準線（ベースライン）を作る |
| 早期兆候 | 外部共有の急増、匿名リンクの推移、大量ダウンロードの傾向 | 攻撃・持ち出し・設定ミスの前兆を捉える |
| 即応 | 高重要度アラート TopN、同一ユーザーに集中する複数アラート | 今日/今週の“まず対応すべき事案”を可視化 |
運用プロセス：インシデント対応までの一連フロー
- 検知： MDCA でアラートを受領（メール/Teams/SIEM）。
- トリアージ： 重要度・影響範囲・再現性で優先度付け。
- 初動： アカウント一時停止、セッション強制切断、共有リンク無効化等。
- 調査： Activity log を時系列で追跡、ファイル/共有の拡散を確認。
- 是正： ルール修正、許可リスト更新、ポリシー閾値の調整。
- 再発防止： 条件付きアクセス/MFA/デバイス準拠化、ユーザー教育。
- レビュー： 月次で KPI と誤検知率を評価し、ポリシーを棚卸し。
Activity log のエクスポート活用
重大インシデント時は MDCA の Activity log を CSV でエクスポートし、時系列で“誰が・いつ・どこから・何をしたか”を再構成します。調査用ワークシートの雛形を用意しておくと、エスカレーションが迅速になります。
Cloud Discovery と App Connector の使い分け
| 観点 | App Connector（Microsoft 365） | Cloud Discovery |
|---|---|---|
| データ源 | API/監査ログ（深い操作単位） | ネットワークログ/EDR テレメトリ（広いアプリ利用） |
| 強み | ファイル・共有・同意の詳細、即時ガバナンス | シャドー IT の全体把握、リスク評価 |
| 用途 | Microsoft 365 の内部可視化・制御 | 未承認 SaaS の発見と是正 |
| 組み合わせ | — | Defender for Endpoint/Firewall 連携で網羅性向上 |
“初期 1 週間”の運用スプリント計画（例）
| 日 | タスク | 成果物 | 注意点 |
|---|---|---|---|
| Day 1 | 監査 ON、アプリ コネクター接続 | 接続完了記録、権限承認ログ | 監査 OFF のままになっていないか再確認 |
| Day 2 | 推奨ポリシーを“アラートのみ”で展開 | 通知先設定（メール/Teams/SIEM） | 高頻度アラートは一時的に要観測タグを付与 |
| Day 3–4 | 誤検知の除外ルール整備 | 信頼 IP・サービスアカウント・閾値の定義 | 除外は“明確な根拠”と有効期限を付ける |
| Day 5 | KPI 設定とダッシュボード整形 | ベースライン（平常値）策定 | 日/週の粒度で最低 1 サイクル回す |
| Day 6–7 | 高重要度のみ抑止アクション試行 | 運用 Runbook とエスカレーション表 | 影響が出た場合の即時ロールバック手順を準備 |
サンプル：アクティビティ ポリシーの条件設計
“場所 × デバイス × アクション” で分岐させると、誤検知を抑えつつ過検知も避けられます。
ポリシー名：外部共有リンクの大量作成（高）
対象：SharePoint / OneDrive
条件：
- Actor not in "ServiceAccounts"
- Location not in "TrustedLocations"
- Action == "Create sharing link" AND LinkType == "Anonymous"
- Count >= 5 within 10 minutes
アクション（段階適用）：
- フェーズ1：アラート通知（Teams + メール）
- フェーズ2：対象アイテムの共有リンク自動無効化（ガバナンス）
- フェーズ3：ユーザー強制ログアウト（重大時）
メール保護の要点：受信トレイ ルールと転送
アカウント侵害の初期兆候として多いのが「自動転送設定」「迷惑メールフォルダーへ自動移動」などのルール改ざんです。Exchange の監査が前提となるため、メールボックス監査の有効化を再確認 してください。
- ルール大量作成・既定外転送・特定件名の自動削除は 高重要度。
- 運用ツールが配る正規ルールは 除外条件 に登録。
OAuth（同意）監視：攻撃の新定番に備える
ユーザーが同意した SaaS/OAuth アプリの権限はしばしば広範です。MDCA の OAuth ポリシーで「高権限（メール送信/ファイル読み取り等）」や「短期間で急増する新規アプリ」を監視し、許可リスト を整備します。危険度が高い場合は 承認の取り消し をガバナンスで実行します。
セッション制御（必要に応じて）
条件付きアクセス アプリ コントロールと連携させると、リアルタイムのダウンロード制御 や セッションの監視 が可能です。最初は可視化（監査）とアラート主体で始め、影響範囲が明確なユースケースから段階的に 適用します。
トラブルシューティング：データが来ない/多すぎる時
| 症状 | 確認ポイント | 対処 |
|---|---|---|
| 監査イベントが表示されない | Purview 監査が ON か、保持期間は十分か | 監査有効化後の反映待ち・保持延長の検討 |
| コネクターが黄色/赤 | 必要権限の承認、期限切れトークン、API 制限 | 再承認、失敗ログの確認、時間を空けて再試行 |
| アラートが多すぎる | 信頼 IP 未設定、サービスアカウント未除外 | 除外と閾値の段階調整、相関ルールで集約 |
| 誤検知が目立つ | 出張/ローミングユーザーの扱い | 国・ASN の許容と“期間限定”の例外ルール |
セキュリティ運用の KPI とレポーティング
| KPI | 定義 | 目安 |
|---|---|---|
| 誤検知率 | 誤陽性アラート / 総アラート | < 15% を目指す（初月は 30% 程度でも可） |
| MTTA | 検知から初動までの平均時間 | 高重要度で 15 分以内 |
| MTTR | 検知から是正完了までの平均時間 | 高重要度で当日中 |
| アラート集中度 | Top 5 ユーザー/アプリの割合 | 偏在が大きければポリシー/教育の見直し |
これらは MDCA ダッシュボードに加え、月次レポートでトレンド化すると改善の議論が進みます。
導入チェックリスト（最終確認）
- MDCA ライセンスと Purview 監査の有効化を確認した。
- Microsoft 365 アプリ コネクターを接続し、必要ワークロードにチェックした。
- ファイル監視が必要な場合は有効化した。
- 推奨ポリシーを アラートのみ で展開し、通知経路を設定した。
- 信頼 IP・サービスアカウントの除外・閾値を定義した。
- 高重要度のみ段階的にガバナンス アクションを有効化した。
- 活動ログのエクスポート手順とエスカレーション表を共有した。
よくある質問（FAQ）
Q1：Microsoft 365 用に追加コネクターは必要？
基本は MDCA の「Microsoft 365」アプリ コネクター 1 本で十分です。監視対象ワークロードの選択とファイル監視の有効化を忘れずに。広範な SaaS の把握は別途 Cloud Discovery を併用します。
Q2：最初に必ず有効化すべき既定ポリシーは？
“不可能な移動”“匿名/悪性 IP アクセス”“大量ダウンロード”“受信トレイ ルール改ざん”“高権限 OAuth アプリ”など、影響が大きく・誤検知調整がしやすい ものから開始します。初期は アラートのみ が原則です。
Q3：誤検知やアラート過多を抑えるコツは？
MFA の先行、信頼 IP 登録、サービスアカウント除外、閾値の段階調整、通知の多重化、相関による優先度制御、月次レビューの定例化――この 7 点を守れば、初期の疲労感は大きく軽減できます。
まとめ：小さく始め、素早く回し、段階的に強くする
MDCA による Microsoft 365 監視は、監査の有効化とアプリ コネクターの接続だけで“可視化”を素早く立ち上げられます。初期はアラート主体で、誤検知と過検知を丁寧に減らしながら、影響の大きいユースケースに限定して抑止を導入する――この段階的アプローチが、運用の持続性と検知品質を同時に引き上げる近道です。月次の棚卸しでポリシーと例外を整理し、新サービス導入時は監査とポリシーをセットで追加していきましょう。これらを継続すれば、過剰なアラートに振り回されることなく、Microsoft 365 環境のリスクを確実に可視化・制御できます。
コメント