Data/Locales/checks/ja/M365AuditChecks.json
|
{ "_family": "M365AuditChecks.json", "M365AUDIT-001": { "name": { "value": "統合監査ログの有効化", "status": "machine-draft" }, "description": { "value": "Microsoft 365 統合監査ログは、Exchange Online、SharePoint Online、OneDrive、Azure AD、Microsoft Teams、その他のサービスにわたるユーザーおよび管理者のアクティビティを記録し、セキュリティ調査の基盤となるデータソースを提供します。統合監査が無効の場合、組織はメールボックスアクセス、ファイル共有、権限変更、管理操作などの重要なアクティビティへの可視性を失います。監査ログの無効化は、テナントを侵害した後に痕跡を隠すために使用される既知の攻撃者の手法です。", "status": "machine-draft" }, "recommendedValue": { "value": "統合監査ログが組織全体で有効化され、監査を無効にするユーザーごとまたはメールボックスごとのオーバーライドが存在しない", "status": "machine-draft" }, "remediationSteps": { "value": "Get-AdminAuditLogConfig を実行し、UnifiedAuditLogIngestionEnabled が True に設定されていることを確認して、統合監査ログが有効であることを検証します。監査が無効の場合は直ちに有効にし、これがセキュリティ侵害を示している可能性があるため、いつ誰が無効にしたかを監査履歴で調査します。将来の統合監査ログ無効化の試みを検出する監視アラートを設定し、監査ログ設定の変更に必要な権限を、信頼できる最小限の管理者に制限します。", "status": "machine-draft" } }, "M365AUDIT-002": { "name": { "value": "監査ログの保持ポリシー", "status": "machine-draft" }, "description": { "value": "既定では、Microsoft 365 の監査ログレコードは 180 日間 (標準ライセンスの場合は 90 日間) 保持されますが、これは長期間実行される攻撃の検出や規制コンプライアンス要件を満たすには不十分な場合があります。高度な持続的脅威は検出前に数か月間環境内で活動する可能性があり、十分なログ保持がなければ、調査に必要なフォレンジック証拠がすでに消去されている可能性があります。監査ログの保持を延長することで、必要なときに履歴的なアクティビティデータが利用可能になることを確実にします。", "status": "machine-draft" }, "recommendedValue": { "value": "監査ログの保持が少なくとも 365 日に設定されている。優先度の高いアクティビティタイプはより長期間保持され、ログは長期保管のため外部 SIEM にエクスポートされている", "status": "machine-draft" }, "remediationSteps": { "value": "Microsoft Purview コンプライアンスポータルで監査ログの保持ポリシーを構成し、すべての監査ログレコードを少なくとも 365 日間保持し、MailItemsAccessed、FileAccessed、UserLoggedIn などの優先度の高いレコードタイプについては保持期間を延長します。Microsoft 365 E5 または同等のライセンスを持つ組織では、長期のフォレンジック調査をサポートするため、重要な監査レコードタイプに 10 年間の保持ポリシーを構成します。ネイティブの保持期間を超えた長期保管と高度な相関分析のため、Microsoft Sentinel などの外部 SIEM またはログ分析プラットフォームへのログエクスポートを実装します。", "status": "machine-draft" } }, "M365AUDIT-003": { "name": { "value": "監査ログの検索機能", "status": "machine-draft" }, "description": { "value": "監査ログデータを効果的に検索および分析する能力は、セキュリティ調査、コンプライアンス監査、インシデント対応の活動に不可欠です。検証された検索機能と訓練された担当者がなければ、存在する監査ログデータも時間的制約のあるセキュリティインシデントの最中に活用できません。組織は、監査ログの検索ツールがアクセス可能で機能しており、対応手順に監査ログ分析が含まれていることを確実にする必要があります。", "status": "machine-draft" }, "recommendedValue": { "value": "監査ログ検索がセキュリティチームにアクセス可能である。一般的な調査シナリオについて検索クエリがテストおよび文書化され、SIEM 統合が稼働している", "status": "machine-draft" }, "remediationSteps": { "value": "セキュリティ運用およびインシデント対応チームのメンバーが、統合監査ログを検索するための適切なロール割り当て (監査ログまたは表示専用監査ログのロール) を持っていることを確認します。メールボックス侵害、不正なファイルアクセス、管理者権限昇格など、一般的な調査シナリオの標準検索クエリを作成して文書化します。監査ログの検索機能を定期的にテストし、自動検出と相関分析のために SIEM 統合が監査イベントを正しく取り込みインデックス化していることを検証します。", "status": "machine-draft" } } } |