MENU

PowerShellでOffice 365監査ログを取得し、不正アクセスを検知する手順

PowerShell

Office 365環境において、セキュリティ管理は極めて重要です。不正アクセスや不審なアクティビティを早期に検知することで、情報漏洩やシステムの損害を未然に防ぐことができます。PowerShellは、Office 365の監査ログを効率的に取得し、詳細な分析を可能にする強力なツールです。本記事では、PowerShellを活用して監査ログを取得し、不正アクセスを検知する手順をステップごとに詳しく解説します。この手順を習得することで、Office 365環境のセキュリティ管理をさらに強化する方法を学ぶことができます。

目次

Office 365監査ログの概要


Office 365監査ログは、組織内で発生したアクティビティの記録を提供する重要なツールです。このログを活用することで、ユーザー操作や管理者による変更、不審なログイン活動などを追跡できます。監査ログは、セキュリティインシデントの調査やコンプライアンス対応においても欠かせない情報源です。

監査ログが記録する情報


Office 365監査ログには、以下のような情報が記録されます。

  • ログイン活動：ユーザーのログイン日時、IPアドレス、成功/失敗の結果。
  • データ操作：SharePointやOneDriveのファイルのアクセスや変更履歴。
  • メールアクティビティ：メールの送受信や削除の履歴。
  • 管理者操作：ユーザーやグループの設定変更、ライセンスの割り当て。

監査ログの活用シナリオ


Office 365監査ログは、以下のような場面で利用できます。

  • 不正アクセスの検知：通常とは異なる時間帯や地域からのログインを検出。
  • ユーザーアクティビティの確認：特定ユーザーの操作を追跡し、トラブルシューティングを支援。
  • コンプライアンス監査：内部ポリシーや法規制に基づく操作履歴の記録と証明。

Office 365監査ログを適切に管理・分析することで、システム全体の安全性を向上させることが可能です。

必要なPowerShellモジュールの準備


Office 365監査ログを取得するためには、適切なPowerShellモジュールを準備することが重要です。これにより、Office 365環境とスムーズに接続し、監査ログの取得や分析を実行できるようになります。

必要なモジュール


以下のPowerShellモジュールをインストールし、利用する必要があります。

  • Exchange Online PowerShell V2モジュール (EXO V2)
    監査ログの取得やユーザーアクティビティの追跡に必要なコマンドレットを提供します。
  • Microsoft Graph PowerShellモジュール
    より詳細なログ取得や分析が可能で、特に高度な操作に対応します。

モジュールのインストール方法


以下の手順でモジュールをインストールします。

1. PowerShellを管理者権限で起動


Windowsの「スタート」メニューからPowerShellを右クリックし、「管理者として実行」を選択します。

2. NuGetプロバイダーの確認とインストール


NuGetプロバイダーが必要な場合、以下のコマンドを実行してインストールします。

Install-PackageProvider -Name NuGet -Force -Scope CurrentUser

3. 必要なモジュールのインストール


Exchange Online PowerShell V2モジュールをインストールします。

Install-Module -Name ExchangeOnlineManagement -Force -Scope CurrentUser

Microsoft Graph PowerShellモジュールをインストールします。

Install-Module -Name Microsoft.Graph -Force -Scope CurrentUser

モジュールのバージョン確認


インストール後、以下のコマンドでバージョンを確認し、最新であることを確認します。

Get-Module -Name ExchangeOnlineManagement -ListAvailable
Get-Module -Name Microsoft.Graph -ListAvailable

サインインの準備


モジュールインストール後、Office 365環境への接続が必要です。これには以下のコマンドを使用します。
Exchange Onlineへの接続：

Connect-ExchangeOnline -UserPrincipalName <ユーザー名>

Microsoft Graphへの接続：

Connect-MgGraph -Scopes "AuditLog.Read.All"

これらのモジュールを準備することで、監査ログの取得と分析をスムーズに進めることができます。

監査ログの取得に必要な前提条件


Office 365の監査ログをPowerShellで取得するためには、いくつかの前提条件を満たしている必要があります。これを確認することで、スムーズなログ取得と分析が可能になります。

1. 管理者権限の確認


監査ログの取得には、以下のいずれかの管理者権限が必要です。

  • 全体管理者 (Global Administrator)
  • 監査ログ管理者 (Audit Logs Administrator)

自分のアカウントが適切なロールに含まれているかを確認するには、以下の手順を実行します。

  1. Microsoft 365管理センターにログインします。
  2. [ロール] セクションを開き、自分のロールを確認します。
  3. 必要に応じて、全体管理者にロールの割り当てを依頼してください。

2. 監査ログ検索が有効化されていることの確認


Office 365の監査ログはデフォルトで有効になっていない場合があります。有効化されていない場合は、以下の手順で有効化してください。

監査ログの有効化手順

  1. Microsoft 365コンプライアンスセンターにアクセスします。
  2. [監査] セクションを開きます。
  3. 画面に「監査ログの検索を有効化」というオプションが表示されている場合、それをクリックして有効化します。
    有効化には数時間かかる場合があるため、作業の進行に注意が必要です。

3. 監査ログの保持期間の確認


Office 365監査ログの保持期間はサブスクリプションプランによって異なります。

  • 標準プラン：90日間
  • Microsoft 365 E5プラン：最大1年
  • アドオン (Advanced Audit)：最大10年

保持期間を確認し、必要に応じてプランのアップグレードやアドオンの追加を検討してください。

4. ネットワークとアクセス要件の確認


PowerShellからOffice 365に接続するには、次の要件を満たしている必要があります。

  • 必要なポート (443) が開いていること。
  • 組織のファイアウォールやプロキシ設定がPowerShell接続を許可していること。

5. 必要な監査データの種類を確認


監査ログは以下のカテゴリに分かれています。事前に取得したいデータの種類を確認してください。

  • ログインアクティビティ
  • メールボックス操作
  • SharePointファイル操作

これらの前提条件を確認し、必要な設定を整えることで、スムーズに監査ログを取得し分析に進むことができます。

PowerShellで監査ログを取得する手順


PowerShellを使用してOffice 365の監査ログを取得する手順を詳しく解説します。これには、必要なモジュールのロード、環境への接続、そして監査ログの取得コマンドの実行が含まれます。

1. 必要なモジュールをインポート


監査ログを取得するには、以下のモジュールを事前にインストールしておく必要があります。インストール済みの場合、次のコマンドでモジュールをインポートします。

Import-Module ExchangeOnlineManagement
Import-Module Microsoft.Graph

2. Office 365環境に接続


Exchange OnlineとMicrosoft Graph APIに接続します。それぞれ以下のコマンドを使用してください。
Exchange Online接続:

Connect-ExchangeOnline -UserPrincipalName <ユーザー名>

Microsoft Graph接続:

Connect-MgGraph -Scopes "AuditLog.Read.All"

成功すると、ログ取得に必要な環境が整います。

3. 監査ログを検索


以下のコマンドで監査ログを取得します。必要に応じて、特定の条件を設定してデータを絞り込むことができます。

基本的なログ取得コマンド

Search-UnifiedAuditLog -StartDate "<開始日>" -EndDate "<終了日>" -RecordType "Audit.General" -ResultSize 1000

取得したい情報に応じた条件設定

  • ログインアクティビティを取得する場合:
Search-UnifiedAuditLog -StartDate "<開始日>" -EndDate "<終了日>" -Operations "UserLoggedIn" -ResultSize 1000
  • SharePointのファイル操作ログを取得する場合:
Search-UnifiedAuditLog -StartDate "<開始日>" -EndDate "<終了日>" -RecordType "SharePointFileOperation" -ResultSize 1000

4. 取得したデータの保存


ログデータをCSVファイルに保存することで、後で分析しやすくなります。以下のコマンドを使用します。

Search-UnifiedAuditLog -StartDate "<開始日>" -EndDate "<終了日>" -ResultSize 1000 | Export-Csv -Path "C:\AuditLogs.csv" -NoTypeInformation

5. 特定ユーザーやIPアドレスでの絞り込み


特定ユーザーやIPアドレスでフィルタリングするには、以下のような構文を使用します。

Search-UnifiedAuditLog -StartDate "<開始日>" -EndDate "<終了日>" -UserIds "<ユーザーID>" -ResultSize 1000

6. 検索結果の確認


取得した監査ログはPowerShell上で確認できます。特に興味のあるフィールドに焦点を当てるには、Select-Objectを使用します。

Search-UnifiedAuditLog -StartDate "<開始日>" -EndDate "<終了日>" -ResultSize 1000 | Select-Object CreationDate, UserIds, Operations

この手順により、Office 365監査ログを効率的に取得できます。次のステップでは、取得したログを分析して不審な活動を検出する方法を説明します。

取得した監査ログの基本分析


監査ログを取得した後は、その内容を確認し、重要な情報を抽出する必要があります。このセクションでは、ログデータの基本的な分析手法と、注目すべき情報の特定方法を解説します。

1. 監査ログの構造を確認する


監査ログのデータはJSON形式で記録されており、以下のような主要フィールドを含みます。

  • CreationDate: イベントの発生日時
  • UserIds: 操作を実行したユーザー
  • Operations: 実行された操作 (例: UserLoggedIn, FileAccessed)
  • ClientIP: 操作が実行されたIPアドレス
  • AuditData: 詳細な操作情報

以下のコマンドで取得したログの構造を確認できます。

Search-UnifiedAuditLog -StartDate "<開始日>" -EndDate "<終了日>" -ResultSize 10 | Select-Object -First 1 | ConvertTo-Json -Depth 2

2. 注目すべきフィールドの抽出


分析の際に注目すべきフィールドを抽出し、必要な情報だけを効率的に確認します。例として、ユーザー、操作、IPアドレスを抜き出す方法を示します。

Search-UnifiedAuditLog -StartDate "<開始日>" -EndDate "<終了日>" -ResultSize 1000 | Select-Object CreationDate, UserIds, Operations, ClientIP

3. 特定の操作に注目した分析


ログイン失敗やファイルアクセスなど、特定の操作をフィルタリングして分析します。

  • ログイン失敗の抽出
Search-UnifiedAuditLog -StartDate "<開始日>" -EndDate "<終了日>" -Operations "UserLoginFailed" -ResultSize 1000
  • ファイル操作ログの確認
Search-UnifiedAuditLog -StartDate "<開始日>" -EndDate "<終了日>" -RecordType "SharePointFileOperation" -ResultSize 1000

4. 統計情報の作成


取得したログデータを集計して、操作の頻度やユーザーごとのアクティビティを可視化します。
以下の例では、操作別のイベント数を集計します。

Search-UnifiedAuditLog -StartDate "<開始日>" -EndDate "<終了日>" -ResultSize 1000 | Group-Object -Property Operations | Select-Object Name, Count

5. データの保存と共有


分析結果をCSV形式で保存し、他のチームメンバーと共有することで、さらなる検討が可能です。

Search-UnifiedAuditLog -StartDate "<開始日>" -EndDate "<終了日>" -ResultSize 1000 | Select-Object CreationDate, UserIds, Operations, ClientIP | Export-Csv -Path "C:\AnalyzedAuditLogs.csv" -NoTypeInformation

6. 不正アクセスの予兆を検知


以下のパターンが見られる場合は、不正アクセスの可能性があります。

  • 通常とは異なる時間帯や地域からのログイン試行
  • 複数回のログイン失敗後の成功ログイン
  • 特定のユーザーによる大量のファイル操作

これらのシグナルを検知した場合は、すぐに調査を開始し、必要に応じてセキュリティ対応を実施してください。

基本的な分析を実施することで、監査ログから有用な情報を引き出し、不審なアクティビティを特定するための基盤を築けます。次は、異常検知に焦点を当てた詳細な分析手法を説明します。

不正アクセス検知のためのログ分析手法


監査ログの分析により、不審なアクティビティを早期に検知することが可能です。このセクションでは、PowerShellを用いた異常検知の具体的な手法を解説します。

1. 異常なログインアクティビティの検出


不正アクセスの兆候として、次のようなログインアクティビティに注目します。

  • 失敗が多いログイン試行
  • 異常な地理的場所からのログイン
  • 通常とは異なる時間帯でのログイン

以下のコマンドを使用してこれらを検出します。

  • 失敗したログイン試行の確認
Search-UnifiedAuditLog -StartDate "<開始日>" -EndDate "<終了日>" -Operations "UserLoginFailed" -ResultSize 1000 | Group-Object -Property UserIds | Select-Object Name, Count
  • 異常なIPアドレスの特定
Search-UnifiedAuditLog -StartDate "<開始日>" -EndDate "<終了日>" -Operations "UserLoggedIn" -ResultSize 1000 | Where-Object { $_.ClientIP -notmatch "^(社内IP範囲|信頼済みIP)" } | Select-Object CreationDate, UserIds, ClientIP

2. ファイル操作の異常検出


異常なファイル操作は、情報漏洩や内部不正の兆候である可能性があります。特定の条件でログを絞り込みます。

  • 大量のファイルダウンロード
Search-UnifiedAuditLog -StartDate "<開始日>" -EndDate "<終了日>" -RecordType "SharePointFileOperation" | Where-Object { $_.Operations -eq "FileDownloaded" } | Group-Object -Property UserIds | Select-Object Name, Count
  • 権限のないファイルアクセス
Search-UnifiedAuditLog -StartDate "<開始日>" -EndDate "<終了日>" -RecordType "SharePointFileOperation" | Where-Object { $_.Operations -eq "FileAccessed" -and $_.ResultStatus -ne "Success" } | Select-Object CreationDate, UserIds, ObjectId

3. ユーザーアクティビティのトレンド分析


ユーザーごとのアクティビティを時系列で分析することで、通常のパターンから外れた操作を検知できます。以下のコマンドでアクティビティの頻度を確認します。

Search-UnifiedAuditLog -StartDate "<開始日>" -EndDate "<終了日>" -ResultSize 1000 | Group-Object -Property CreationDate | Select-Object Name, Count

4. 異常検知のカスタムルール


PowerShellスクリプトで特定の条件を設定し、異常検知を自動化できます。以下は、異常なIPアドレスからのログインを検知する例です。

$trustedIPs = @("192.168.1.0/24", "203.0.113.0/24")
Search-UnifiedAuditLog -StartDate "<開始日>" -EndDate "<終了日>" -Operations "UserLoggedIn" | Where-Object { $trustedIPs -notcontains $_.ClientIP } | Select-Object CreationDate, UserIds, ClientIP

5. リアルタイムモニタリングの導入


異常検知をリアルタイムで行うためには、監査ログを定期的に取得して分析するスクリプトをタスクスケジューラなどで自動実行します。以下は、ログを定期的に収集して保存する例です。

$startTime = (Get-Date).AddMinutes(-30) # 過去30分間
$endTime = Get-Date
Search-UnifiedAuditLog -StartDate $startTime -EndDate $endTime -ResultSize 1000 | Export-Csv -Path "C:\AuditLogs\RecentLogs.csv" -NoTypeInformation

6. 不審な結果に基づく対応策


不審なログが検出された場合、以下の対応を検討します。

  • 該当ユーザーのアカウントを一時的に無効化する。
  • 影響を受けたシステムやデータへのアクセス権を制限する。
  • セキュリティログを専門家に提供してさらなる調査を行う。

これらの分析手法を組み合わせることで、Office 365環境の不正アクセスを早期に検知し、対応することが可能になります。次は、分析結果を可視化してレポートを作成する手順を解説します。

分析結果の可視化とレポート作成


取得した監査ログを分析した後は、結果を可視化して分かりやすいレポートを作成することが重要です。このセクションでは、PowerShellを使用してデータを可視化する方法と、実用的なレポートを作成する手順を解説します。

1. 監査データの基本的な整理


まず、分析結果を視覚化に適した形式に整える必要があります。次のコマンドで必要なフィールドを抽出し、CSVファイルとして保存します。

Search-UnifiedAuditLog -StartDate "<開始日>" -EndDate "<終了日>" -ResultSize 1000 | Select-Object CreationDate, UserIds, Operations, ClientIP | Export-Csv -Path "C:\AuditLogs\AnalyzedLogs.csv" -NoTypeInformation

2. データのグラフ化


PowerShellのImport-CsvとOut-GridViewを使って簡易的にデータを確認したり、PythonやExcelを利用して高度なグラフを作成します。

PowerShellで操作別の集計


以下のコマンドで操作の種類ごとにイベント数を集計し、テキストベースのサマリを作成します。

Import-Csv -Path "C:\AuditLogs\AnalyzedLogs.csv" | Group-Object -Property Operations | Select-Object Name, Count | Out-GridView

Excelでグラフ作成

  1. CSVファイルをExcelで開く
    C:\AuditLogs\AnalyzedLogs.csvをExcelにインポートします。
  2. データを整形
    操作ごとの頻度やユーザー別のアクティビティをピボットテーブルで集計します。
  3. グラフを挿入
    棒グラフや折れ線グラフを挿入し、視覚的に分かりやすい形に仕上げます。

3. レポート作成


分析結果をレポート形式にまとめ、関係者に共有します。以下はレポート作成のポイントです。

レポートの内容構成

  1. 概要: 監査ログの取得期間や目的を記載。
  2. 異常検知結果: 不審なアクティビティの詳細（例: 不明なIPアドレスからのログイン試行）。
  3. 統計情報: ユーザー別や操作別のイベント頻度。
  4. 推奨アクション: セキュリティ改善のための具体的な提案。

サンプルレポートの出力


PowerShellで簡易レポートをテキストファイルに出力する例を示します。

$logs = Import-Csv -Path "C:\AuditLogs\AnalyzedLogs.csv"
$summary = $logs | Group-Object -Property Operations | Select-Object Name, Count
$summary | Out-File -FilePath "C:\AuditLogs\Report.txt"

4. 自動化されたレポート配信


レポート作成から配信までを自動化することで、作業効率を向上させます。以下は、レポートを定期的にメールで送信する例です。

$reportPath = "C:\AuditLogs\Report.txt"
Send-MailMessage -From "[email protected]" -To "[email protected]" -Subject "監査ログレポート" -Body (Get-Content $reportPath -Raw) -SmtpServer "smtp.example.com"

5. 高度な可視化ツールの活用


Power BIやGrafanaを使用して監査ログを可視化することで、さらに高度なレポートを作成できます。

  • Power BI: 監査ログのCSVデータをインポートし、ダッシュボードを作成。
  • Grafana: ログデータをリアルタイムでモニタリング可能。

可視化とレポート作成を通じて、監査ログの分析結果を効果的に共有し、迅速な対応を促進します。次は、監査ログ取得と分析の自動化手法を解説します。

応用例: 自動化スクリプトの作成


監査ログの取得と分析を効率化するためには、自動化スクリプトを作成するのが効果的です。このセクションでは、PowerShellスクリプトを使用して監査ログの取得、保存、分析を自動化する方法を解説します。

1. 基本スクリプトの構成


以下は、監査ログを定期的に取得してCSV形式で保存する基本的なスクリプト例です。

# 定数設定
$StartDate = (Get-Date).AddDays(-1) # 昨日から
$EndDate = Get-Date # 今日まで
$OutputPath = "C:\AuditLogs\DailyLogs.csv"

# Exchange Online接続
Connect-ExchangeOnline -UserPrincipalName "<ユーザー名>"

# 監査ログの取得と保存
Search-UnifiedAuditLog -StartDate $StartDate -EndDate $EndDate -ResultSize 1000 | 
    Select-Object CreationDate, UserIds, Operations, ClientIP | 
    Export-Csv -Path $OutputPath -NoTypeInformation

# 接続終了
Disconnect-ExchangeOnline

このスクリプトを実行すると、監査ログが指定した期間内で取得され、CSVファイルに保存されます。

2. 自動実行の設定


このスクリプトを定期的に実行するには、Windowsタスクスケジューラを利用します。

タスクスケジューラの設定手順

  1. タスクスケジューラを開く: Windowsメニューから「タスクスケジューラ」を検索して起動。
  2. 新しいタスクの作成: 「タスクの作成」を選択し、タスク名を設定。
  3. トリガーを設定: 「トリガー」タブで実行頻度を選択（例: 毎日）。
  4. 操作を設定: 「操作」タブで「プログラム/スクリプト」にpowershell、引数にスクリプトのパスを入力。
    例: -File "C:\AuditLogs\AuditLogScript.ps1"
  5. タスクを保存: 設定を確認し、タスクを保存。

3. スクリプトによるログ分析の自動化


取得したログを自動的に分析し、不審なアクティビティを特定するスクリプトを作成します。

不正アクセスの検出例


次のスクリプトは、異常なIPアドレスからのログイン試行を特定します。

# 信頼済みIPリスト
$TrustedIPs = @("192.168.1.0/24", "203.0.113.0/24")

# ログデータの読み込み
$LogData = Import-Csv -Path $OutputPath

# 異常なIPのフィルタリング
$SuspiciousLogs = $LogData | Where-Object { $TrustedIPs -notcontains $_.ClientIP }

# 結果の保存
$SuspiciousLogs | Export-Csv -Path "C:\AuditLogs\SuspiciousLogs.csv" -NoTypeInformation

4. 通知機能の追加


異常が検出された場合にメールで通知する機能を追加します。

# 異常ログが存在する場合の通知
if ($SuspiciousLogs.Count -gt 0) {
    Send-MailMessage -From "[email protected]" -To "[email protected]" -Subject "異常なログイン検出" -Body "異常なログが検出されました。" -SmtpServer "smtp.example.com"
}

5. スクリプトの統合


監査ログ取得、分析、通知を統合した完全な自動化スクリプトの例です。これにより、定期的な監視が可能になります。

# 定数設定
$StartDate = (Get-Date).AddDays(-1)
$EndDate = Get-Date
$OutputPath = "C:\AuditLogs\DailyLogs.csv"
$SuspiciousPath = "C:\AuditLogs\SuspiciousLogs.csv"
$TrustedIPs = @("192.168.1.0/24", "203.0.113.0/24")

# Exchange Online接続
Connect-ExchangeOnline -UserPrincipalName "<ユーザー名>"

# 監査ログ取得
Search-UnifiedAuditLog -StartDate $StartDate -EndDate $EndDate -ResultSize 1000 | 
    Select-Object CreationDate, UserIds, Operations, ClientIP | 
    Export-Csv -Path $OutputPath -NoTypeInformation

# ログ分析
$LogData = Import-Csv -Path $OutputPath
$SuspiciousLogs = $LogData | Where-Object { $TrustedIPs -notcontains $_.ClientIP }
$SuspiciousLogs | Export-Csv -Path $SuspiciousPath -NoTypeInformation

# 異常検出の通知
if ($SuspiciousLogs.Count -gt 0) {
    Send-MailMessage -From "[email protected]" -To "[email protected]" -Subject "異常なログイン検出" -Body "異常ログが検出されました。" -SmtpServer "smtp.example.com"
}

# 接続終了
Disconnect-ExchangeOnline

6. 自動化のメリット

  • 手動作業の削減: 定期的な監査作業を完全に自動化できます。
  • 迅速な対応: 異常検知時の通知により、迅速な対応が可能です。
  • 可視化の向上: 分析データを自動生成し、運用効率を向上させます。

これにより、監査ログの管理が効率化され、Office 365環境のセキュリティを強化できます。次は記事のまとめに進みます。

まとめ


本記事では、PowerShellを活用してOffice 365の監査ログを取得・分析し、不正アクセスを検知する手順を解説しました。監査ログの基本的な取得方法から、異常検知の具体的な手法、さらに取得と分析を自動化するスクリプトの構築までを網羅しました。

適切な監査ログ管理は、Office 365環境のセキュリティを維持するうえで欠かせないプロセスです。特に自動化による効率化と、異常検知の迅速な対応は、運用負担を軽減しながらセキュリティリスクを最小限に抑える効果が期待できます。

これらの手順を実践することで、組織のセキュリティ体制を強化し、Office 365の安全な運用を実現してください。

PowerShell
PowerShell セキュリティ Office 365 監査ログ

この記事を書いた人

佐藤健司のアバター 佐藤健司

実務の現場で詰まりがちなポイントを地図にするITブログ「IT trip」を運営。Windows／Office（Teams・Excel）からSQL、サーバ運用、ガジェットまで、再現性のある手順と“なぜそうなるか”を丁寧に解説します。読んだらすぐ試せること、そして迷った人の次の一歩が見えることを大切にしています。

関連記事

コメント

コメントする

目次