監査ログは、Microsoft サービス全体の特定のアクティビティを調査するのに役立ちます。 Microsoft Sentinel のデータ レイクアクティビティとグラフ アクティビティは監査され、監査ログで検索できます。 監査ログには、ユーザーと管理者が Microsoft Sentinel データ レイクとグラフで実行したアクティビティの記録が表示されます。次に例を示します。
- KQL クエリを使用してレイク内のデータにアクセスする
- Data Lake でのノートブックの実行
- ジョブの作成、編集、実行、削除
- グラフ クエリを実行する
- MCP ツールの作成と実行
Microsoft Sentinel データ レイクとグラフの監査は自動的に有効になります。 監査対象の機能は、監査ログに自動的にログされます。
[前提条件]
Microsoft Sentinel のデータ レイクとグラフでは、 Microsoft Purview 監査ソリューションが使用されます。 監査データを確認する前に、Microsoft Purview ポータルで監査を有効にする必要があります。 詳しくは、「監査のオンとオフを切り替える」をご覧ください。
監査ログにアクセスするには、Exchange Online での閲覧限定監査ログまたは監査ログ ロールが必要です。 既定では、これらのロールはコンプライアンス管理と組織管理のロール グループに割り当てられます。
注
Office 365 と Microsoft 365 のグローバル管理者は、Exchange Online の組織管理ロール グループのメンバーとして自動的に追加されます。
Von Bedeutung
グローバル管理者は高い特権を持つロールであり、既存のロールを使用できないシナリオに限定する必要があります。 Microsoft は、アクセス許可が最も少ないロールを使用することを推奨しています。 より低いアクセス許可を持つアカウントを使うと、組織のセキュリティ向上に役立ちます。
Microsoft Sentinel のデータ レイク アクティビティとグラフ アクティビティ
Microsoft Sentinel Data Lake のユーザーアクティビティと管理者アクティビティについてログに記録されるすべてのイベントの一覧については、次の記事を参照してください。
- Microsoft Sentinel Data Lake のオンボーディング アクティビティ
- Microsoft Sentinel データ レイクのノートブック アクティビティ
- Microsoft Sentinel データ レイクのジョブ アクティビティ
- Microsoft Sentinel データ レイクの KQL アクティビティ
- Microsoft Sentinel AI ツールのアクティビティ
- Microsoft Sentinel グラフ アクティビティ
監査ログ スキーマの詳細については、 Microsoft Sentinel データ レイクとグラフ スキーマに関する記事を参照してください。
監査ログを検索する
監査ログの検索は、次の手順に従って行います。
Microsoft Purview ポータルに移動し、[監査] を選択します。
[新しい検索] ページで、監査対象のアクティビティ、日付、ユーザーをフィルター処理します。
[検索] を選びます
詳細な分析のために結果を Excel にエクスポートします。
詳細な手順については、「 Microsoft Purview ポータルで監査サインインを検索する」を参照してください。
監査ログ レコードの保持は、Microsoft Purview のデータ保持ポリシーに基づきます。 詳しくは、「監査ログの保持ポリシーを管理する」をご覧ください。
PowerShell スクリプトを使用してイベントを検索する
次の PowerShell コード スニペットを使って Office 365 Management API のクエリを実行し、Microsoft Defender XDR のイベントに関する情報を取得できます。
$cred = Get-Credential
$s = New-PSSession -ConfigurationName microsoft.exchange -ConnectionUri https://outlook.office365.com/powershell-liveid/ -Credential $cred -Authentication Basic -AllowRedirection
Import-PSSession $s
Search-UnifiedAuditLog -StartDate 2023/03/12 -EndDate 2023/03/20 -RecordType <ID>
注
レコードの種類の値については、含まれる監査アクティビティの API の列を参照してください。
詳しくは、「PowerShell スクリプトを使用して監査ログを検索する」をご覧ください。