MENU
  1. ホーム
  2. PowerShell
  3. PowerShellでMicrosoft 365監査ログを取得する方法とセキュリティ監査の実践

PowerShellでMicrosoft 365監査ログを取得する方法とセキュリティ監査の実践

PowerShell

PowerShellを使用してMicrosoft 365の監査ログを取得することは、セキュリティ監査やコンプライアンス遵守において非常に重要です。監査ログは、組織内のアクティビティを記録し、潜在的なセキュリティリスクを特定する手助けとなります。本記事では、Microsoft 365の監査ログを効率的に取得し、それを活用してセキュリティ監査を実施する具体的な手順を解説します。初心者にもわかりやすい説明を心がけ、必要なツールやスクリプトの例も紹介します。これにより、Microsoft 365環境のセキュリティ強化に役立てる知識を習得できます。

目次

Microsoft 365監査ログの基本と重要性

Microsoft 365監査ログは、組織内で発生するさまざまな操作やイベントを記録する重要なデータ源です。このログは、管理者がユーザーアクティビティを追跡し、潜在的なセキュリティリスクや不正行為を特定するために使用されます。

監査ログの基本的な役割

Microsoft 365監査ログには、次のような情報が記録されます：

  • ユーザーがサインインした時刻やIPアドレス
  • ファイルやフォルダへのアクセスや変更の履歴
  • メールボックスの操作記録（例：メールの送受信、削除）
  • 管理者による設定変更や権限の割り当ての履歴

これらのデータを分析することで、内部統制やセキュリティの透明性が向上します。

監査ログが重要な理由

監査ログは、次のようなシナリオで重要な役割を果たします：

  1. セキュリティ監視：異常なユーザーアクティビティを検出し、迅速に対応できます。
  2. コンプライアンス遵守：GDPRやHIPAAなどの規制に基づく監査の記録を提供します。
  3. トラブルシューティング：ユーザーや管理者の操作履歴を確認し、問題解決に役立ちます。
  4. 証拠保全：セキュリティインシデント発生時に、問題の根本原因を追跡する証拠として活用できます。

監査ログの取得と活用の概要

Microsoft 365の監査ログを活用するには、以下のステップが必要です：

  1. Microsoft 365環境で監査ログを有効にする。
  2. PowerShellやMicrosoft Purviewコンプライアンスポータルを使用してログを取得する。
  3. ログを分析して、必要なデータを抽出しセキュリティリスクを特定する。

監査ログを適切に利用することで、セキュリティを強化し、組織の信頼性を向上させることが可能です。

監査ログの取得に必要なPowerShellモジュールのセットアップ

PowerShellを使用してMicrosoft 365の監査ログを取得するためには、必要なモジュールをインストールおよび設定する必要があります。このステップでは、監査ログ取得に必須となるツールのセットアップ方法を解説します。

必要なPowerShellモジュール

監査ログを取得するには以下のモジュールが必要です：

  • Exchange Online Management モジュール
    Microsoft 365の監査ログ操作に不可欠です。
  • Microsoft.Graph モジュール
    Microsoft Graph APIを使用した拡張操作が可能になります。

モジュールのインストール手順

以下の手順に従ってPowerShellモジュールをインストールします：

1. PowerShellのバージョン確認

モジュールのインストール前に、PowerShellのバージョンが5.1以上であることを確認してください。以下のコマンドを実行して確認します：

$PSVersionTable.PSVersion

バージョンが古い場合は、最新バージョンをインストールしてください。

2. 必要なモジュールのインストール

以下のコマンドを実行して、Exchange Online ManagementとMicrosoft.Graphモジュールをインストールします：

Install-Module -Name ExchangeOnlineManagement -Scope CurrentUser
Install-Module -Name Microsoft.Graph -Scope CurrentUser

3. モジュールのインポート

モジュールをインポートして、利用できるようにします：

Import-Module ExchangeOnlineManagement
Import-Module Microsoft.Graph

セットアップ時の注意点

  • インストール時に「NuGetプロバイダーをインストールしますか？」と尋ねられた場合、Yを入力して続行してください。
  • インターネット接続が必要です。また、インストール先のPCに適切な権限があることを確認してください。

動作確認

モジュールが正常にインストールされ、動作していることを確認するため、以下のコマンドを実行してみましょう：

Get-Module -Name ExchangeOnlineManagement, Microsoft.Graph -ListAvailable

インストール済みモジュールが表示されれば準備完了です。

これで、監査ログを取得するためのPowerShell環境のセットアップが完了しました。次は、Microsoft 365に接続する方法を学びましょう。

Microsoft 365への接続と認証方法

PowerShellを使用してMicrosoft 365の監査ログを取得するには、まずMicrosoft 365に接続して認証を行う必要があります。このセクションでは、接続と認証の手順を解説します。

必要な準備

接続前に以下を確認してください：

  1. 管理者権限のアカウント：Microsoft 365環境にアクセスできるアカウントが必要です。
  2. 多要素認証の有効化：多要素認証（MFA）が有効な場合、適切な手順に従う必要があります。

Exchange Onlineへの接続手順

Exchange Online Managementモジュールを使用して接続を行います。

1. PowerShellでの接続

以下のコマンドを実行して、Exchange Onlineに接続します：

Connect-ExchangeOnline

このコマンドを実行すると、Microsoft 365の認証ウィンドウが表示されます。認証情報を入力してログインしてください。

2. 多要素認証のサポート

多要素認証が有効な場合、認証後に必要な確認コードを入力する手順が求められます。プロセスは自動的に案内されます。

Microsoft Graph APIへの接続手順

Microsoft Graphモジュールを使用して接続を行います。

1. 認証スコープの設定

Microsoft Graph APIを使用する際には、必要なスコープを指定して接続を行います。以下のコマンドを実行します：

Connect-MgGraph -Scopes "AuditLog.Read.All"

このコマンドで監査ログ取得に必要な権限を付与しながら認証を行います。

2. 認証情報の入力

認証ウィンドウが表示されるため、管理者アカウントを使用してログインします。

接続の確認

接続が正常に完了したか確認するため、以下のコマンドを実行します：

Exchange Onlineの場合：

Get-EXOMailbox

Microsoft Graphの場合：

Get-MgUser

いずれのコマンドでもデータが返されれば接続は成功しています。

セッションの管理

作業終了後、セッションを終了することを忘れないようにしてください。セッションを閉じるには以下のコマンドを使用します：

Exchange Onlineの場合：

Disconnect-ExchangeOnline

Microsoft Graphの場合：

Disconnect-MgGraph

これで、Microsoft 365への接続と認証が完了しました。次は、監査ログを取得する具体的な手順について学びます。

監査ログの取得コマンドと使用例

PowerShellを使用してMicrosoft 365の監査ログを取得する具体的な方法を解説します。このセクションでは、監査ログを取得するための基本的なコマンドと実行例を紹介します。

監査ログの取得に使用するコマンド

Microsoft 365の監査ログを取得するには、以下のコマンドを使用します。

1. 監査ログ検索のコマンド

Microsoft 365で監査ログを検索するには、Search-UnifiedAuditLog コマンドを使用します。基本構文は以下の通りです：

Search-UnifiedAuditLog -StartDate <開始日> -EndDate <終了日> -RecordType <ログタイプ>

2. 主なパラメーターの説明

  • -StartDate：検索開始日を指定します（例："2025-01-01"）。
  • -EndDate：検索終了日を指定します（例："2025-01-15"）。
  • -RecordType：取得するログの種類を指定します。主な種類は以下の通り：
  • AzureActiveDirectory：Azure ADに関する操作ログ
  • ExchangeAdmin：Exchange Onlineの管理ログ
  • SharePoint：SharePoint Onlineの操作ログ
  • OneDrive：OneDrive for Businessの操作ログ

基本的な実行例

1. 全てのログを取得

指定期間内の全ての監査ログを取得する場合：

Search-UnifiedAuditLog -StartDate "2025-01-01" -EndDate "2025-01-15"

2. 特定のログタイプを取得

Azure Active Directory関連のログを取得する場合：

Search-UnifiedAuditLog -StartDate "2025-01-01" -EndDate "2025-01-15" -RecordType AzureActiveDirectory

3. 特定のユーザーに絞ったログを取得

特定ユーザーの操作ログを取得する場合：

Search-UnifiedAuditLog -StartDate "2025-01-01" -EndDate "2025-01-15" -UserIds "user@domain.com"

4. 結果をCSVファイルにエクスポート

取得した監査ログをCSVファイルに保存するには以下を実行します：

Search-UnifiedAuditLog -StartDate "2025-01-01" -EndDate "2025-01-15" | Export-Csv -Path "AuditLog.csv" -NoTypeInformation

結果の確認

コマンドを実行すると、取得した監査ログが出力されます。ログには以下のような情報が含まれます：

  • 操作日時
  • 実行したユーザー
  • 操作内容
  • 操作対象のリソース

トラブルシューティング

  • ログが取得できない場合：
  • Microsoft 365監査ログ機能が有効化されているか確認してください。
  • 必要な権限（監査ログの読み取り権限）を持っているか確認してください。
  • エラーメッセージが表示される場合：
  • 認証が切れている可能性があります。再接続して再試行してください。

この手順を使用することで、Microsoft 365の監査ログを効率的に取得できるようになります。次は、取得したログを分析してセキュリティリスクを特定する方法を解説します。

取得した監査ログの分析とフィルタリング

Microsoft 365の監査ログを取得した後、そのデータを効果的に分析し、必要な情報を抽出することが重要です。このセクションでは、監査ログの内容を確認し、特定の条件でフィルタリングする方法を解説します。

監査ログデータの基本構造

監査ログには、以下のような主要なフィールドが含まれます：

  • Date：操作が行われた日時
  • UserId：操作を実行したユーザー
  • Operation：実行された操作の種類（例：ログイン、ファイルの編集）
  • ObjectId：操作対象のリソース（例：ファイル名、フォルダ名）
  • ClientIP：操作が行われたデバイスのIPアドレス

これらのフィールドを活用して、ログを詳細に分析することができます。

監査ログの分析方法

1. ログ全体を表示

取得した監査ログを確認するには、次のコマンドを実行します：

Search-UnifiedAuditLog -StartDate "2025-01-01" -EndDate "2025-01-15" | Select-Object Date, UserId, Operation, ClientIP

このコマンドは、重要なフィールドのみを表示します。

2. 特定の操作をフィルタリング

例えば、ログイン試行のみを抽出する場合は次のように実行します：

Search-UnifiedAuditLog -StartDate "2025-01-01" -EndDate "2025-01-15" | Where-Object { $_.Operation -eq "UserLoggedIn" }

3. 特定のユーザーのログを確認

特定ユーザーの操作履歴を確認するには以下を使用します：

Search-UnifiedAuditLog -StartDate "2025-01-01" -EndDate "2025-01-15" -UserIds "user@domain.com"

4. 特定IPアドレスからのアクセスを調査

セキュリティインシデント調査の一環として、特定IPアドレスの操作を調べるには次のコマンドを使用します：

Search-UnifiedAuditLog -StartDate "2025-01-01" -EndDate "2025-01-15" | Where-Object { $_.ClientIP -eq "192.168.1.1" }

フィルタリング結果の保存

分析した結果を保存し、後で参照する場合はCSVファイルにエクスポートします：

Search-UnifiedAuditLog -StartDate "2025-01-01" -EndDate "2025-01-15" | Export-Csv -Path "FilteredAuditLog.csv" -NoTypeInformation

ログデータの可視化

分析結果をさらにわかりやすくするため、ExcelやBIツールに取り込み、以下のような視覚化を行うことを推奨します：

  • アクティビティ頻度を日時別にグラフ化
  • ユーザーごとの操作履歴を棒グラフで表示
  • クライアントIPの地理的分布をマッピング

注意点

  • ログデータの機密性：監査ログには重要な情報が含まれるため、適切なアクセス制御を行ってください。
  • ログ保持期間：Microsoft 365では監査ログの保持期間が制限されています。必要に応じてデータを定期的にエクスポートして保存してください。

この方法を使用して監査ログを詳細に分析し、セキュリティリスクを特定するための有用な情報を得ることができます。次は、監査プロセスを効率化するPowerShellスクリプトの作成例を紹介します。

セキュリティ監査に役立つPowerShellスクリプトの作成

監査ログの分析作業を効率化するには、繰り返し利用可能なPowerShellスクリプトを作成することが効果的です。このセクションでは、セキュリティ監査を自動化するためのスクリプト例を紹介します。

スクリプトの目的と概要

以下のスクリプトは、指定期間内のMicrosoft 365監査ログを取得し、不審なアクティビティ（例：異常なログイン試行）を特定してCSVファイルに出力します。

スクリプト例

以下は、PowerShellで実行可能な監査ログ分析スクリプトの例です。

# === 変数の設定 ===
# ログの取得期間
$StartDate = "2025-01-01"
$EndDate = "2025-01-15"

# 出力ファイルのパス
$OutputFile = "SuspiciousActivities.csv"

# === Microsoft 365 への接続 ===
# Exchange Online に接続
Connect-ExchangeOnline

# === 監査ログの取得 ===
Write-Host "監査ログを取得中..." -ForegroundColor Green
$AuditLogs = Search-UnifiedAuditLog -StartDate $StartDate -EndDate $EndDate -ResultSize 5000

# === ログのフィルタリング ===
# 不審なアクティビティ条件（例：特定のクライアントIP、ログインエラー）
$SuspiciousLogs = $AuditLogs | Where-Object {
    $_.Operation -eq "UserLoggedIn" -and
    ($_.ResultStatus -eq "Failed" -or $_.ClientIP -eq "192.168.1.1")
}

# === フィルタ結果の出力 ===
Write-Host "フィルタリング結果を保存中..." -ForegroundColor Green
$SuspiciousLogs | Select-Object Date, UserId, Operation, ClientIP, ResultStatus | Export-Csv -Path $OutputFile -NoTypeInformation

# === 接続の終了 ===
Disconnect-ExchangeOnline

Write-Host "監査プロセスが完了しました。結果は $OutputFile に保存されています。" -ForegroundColor Cyan

スクリプトの機能解説

  1. ログの取得
    Search-UnifiedAuditLog コマンドを使用して監査ログを取得します。-ResultSize パラメーターで取得するログの最大数を指定します。
  2. 条件によるフィルタリング
    Where-Object を使用して、不審なアクティビティに該当するログを抽出します。上記スクリプトでは、以下の条件でフィルタリングを行っています：
  • ログイン操作（Operation が "UserLoggedIn"）
  • 結果が失敗（ResultStatus が "Failed"）
  • 特定のIPアドレスからのアクセス（ClientIP が "192.168.1.1"）
  1. 結果の出力
    フィルタリングされた結果をCSV形式で保存します。このファイルは、Excelやその他のツールでさらに分析できます。
  2. セッションの終了
    接続を明示的に終了し、セッションが不要に残らないようにします。

スクリプト実行の手順

  1. スクリプトをPowerShellエディタにコピーします（例：VS Code、PowerShell ISE）。
  2. $StartDate と $EndDate を適宜変更して、分析したい期間を設定します。
  3. スクリプトを実行します。必要に応じてMicrosoft 365に認証します。
  4. 結果のCSVファイルを確認します。

注意点

  • 監査ログのサイズ：大規模な環境ではログデータが膨大になる可能性があります。必要に応じて期間を短くしてください。
  • スクリプトの保護：スクリプトには機密データが含まれる可能性があるため、適切な権限管理を行ってください。

このスクリプトをカスタマイズすることで、特定のセキュリティ要件に応じた監査プロセスを簡単に自動化できます。次は記事のまとめを解説します。

まとめ

本記事では、PowerShellを使用してMicrosoft 365の監査ログを取得し、セキュリティ監査を実施する方法を解説しました。監査ログの基本的な役割から、必要なPowerShellモジュールのセットアップ、Microsoft 365への接続、ログ取得コマンドの使用例、取得したログの分析とフィルタリング、さらに監査作業を効率化するスクリプトの作成まで、実践的な手順を紹介しました。

監査ログの適切な活用により、セキュリティリスクを早期に検出し、インシデント対応を迅速に行うことが可能になります。定期的なログの取得と分析を自動化することで、セキュリティ監査の効率と精度を向上させることができます。

Microsoft 365環境のセキュリティを強化し、コンプライアンス遵守を実現するために、この記事で学んだ知識を活用してください。

PowerShell
PowerShell セキュリティ Microsoft 365 監査ログ

コメント

コメントする

目次