ここでは、Microsoft Sentinelでcybozu.comの監査ログを取得する方法について説明します。

このページに記載されている他社製品・サービスの操作手順や画面イメージは、執筆時点の情報に基づいています。
そのため、実際の画面や操作手順がこのページの記載と異なる場合があります。あらかじめご了承ください。

Microsoft Sentinelで監査ログを取得するには、Microsoft Azureからcybozu.comへのアクセスを許可する必要があります。
ただし、Microsoft Azureが利用するIPアドレスは変更される可能性があるため、cybozu.comへのアクセスを許可するIPアドレスにMicrosoft SentinelのIPアドレスを設定することは推奨しません。
cybozu.comに対するアクセスをIPアドレスで制限したい場合は、SAML認証で利用するIdPでIPアドレスによるアクセス制限を設定することを検討してください。

SAML認証の設定については、次のページを参照してください。
SAML認証の設定

Microsoft Sentinelでcybozu.comの監査ログを取得する手順は、次のとおりです。

cybozu.comで、［Audit Log Read］スコープのAPIトークンを生成します。
APIトークンを生成する方法は、次のページを参照してください。
SIEM連携用のAPIトークンを生成する

Microsoft Azureポータルでリソースグループを作成し、cybozu.comから監査ログを取得するための設定をします。

1. GitHubから、次のファイルをダウンロードします。
   azuredeploy.json

2. Microsoft Azureポータルのカスタム デプロイにアクセスします。
   カスタム デプロイ

3. ［エディターで独自のテンプレートを作成する］をクリックします。

4. ［ファイルの読み込み］をクリックし、手順1でダウンロードしたファイルを読み込みます。ファイルの内容が表示されたら、［保存］をクリックします。

5. ［プロジェクトの詳細］で次の内容を入力し、［確認と作成］をクリックします。

   ［サブスクリプション］

   有効なサブスクリプションを設定します。

   ［リソースグループ］

   リソースグループを選択します。または、新規のリソースグループを作成します。

   ［リージョン］

   リソースを作成するリージョンを指定します。

   ［Workspace Name］

   Microsoft Sentinelのテーブルを作成するワークスペース名を入力します。

   ［Dce Name］

   Azure上に作成するData Collection Endpointのリソース名を入力します。デフォルトは「dce-cybozu-audit-logs」です。

   ［Dcr Name］

   Azure上に作成するData Collection Ruleのリソース名を入力します。デフォルトは「dcr-cybozu-audit-logs」です。

6. ［確認と作成］タブの内容を確認し、［作成］をクリックします。

Microsoft Defenderポータルで、cybozu.comのログインURLとAPIトークンを入力し、監査ログの取得を開始します。

1. Microsoft Defenderポータルを開きます。
   Microsoft Defenderポータル

2. 左側のメニューから、［Microsoft Sentinel］をクリックし、［構成］をクリックします。その後、［データコネクタ］をクリックします。

3. 右上の［ワークスペース］をクリックし、「Microsoft Azureポータル：リソースグループを作成する」で作成したワークスペースを選択します。

4. ［データコネクタ］で、［Cybozu Audit Logs］の右側の「…」アイコン（3点リーダー）をクリックし、［コネクタ ページを開く］をクリックします。

5. ［コネクタの詳細］の［構成］に、次の内容を入力し、［Connect］をクリックします。

   Domain URL

   監査ログを取得するcybozu.comのログインURLを入力します。例：https://example.cybozu.com

   API Token

   「cybozu.com：APIトークンを生成する」で生成したAPIトークンを入力します。

   「Microsoft Azureポータル：リソースグループを作成する」で指定したワークスペースに、ログを保存するテーブルが作成されます。
   ［Connect］をクリックすると、Microsoft Sentinelが監査ログの取得を開始します。［Connect］をクリック後、最大10分前のログから取得されます。

Microsoft Azureポータルで、cybozu.comの監査ログが取得されているかを確認します。

1. Microsoft Azureポータルで、［Log Analytics workspaces］を検索して開きます。 Microsoft Azureポータル

2. 「Microsoft Azureポータル：リソースグループを作成する」の手順5で［Workspace Name］として指定したワークスペースを選択します。

3. 左側のメニューから［ログ］をクリックします。

4. ［テーブル］をクリックし、［カスタムログ］から［CybozuAuditLogs_CL］を選択します。
   cybozu.comの監査ログが取得されていれば、最新のログが表示されます。

作成したCybozuAuditLogs_CLには、次のデータ保持期間が適用されます。

• Analytics retention
  監視、トラブルシューティング、リアルタイム分析のための保持期間です。デフォルトは30日です。
• Total retention
  長期保存用の保持期間です。デフォルトは、Analytics retentionと同じ30日です。

データ保持期間を変更するには、次のマイクロソフトのページを参照してください。
Log Analytics ワークスペース内のデータ保持を管理する

Microsoft Sentinelに設定したcybozu.comのAPIトークンを更新する手順は、次のとおりです。

新しいAPIトークンを生成します。
詳細な手順は、次の項目を参照してください。
cybozu.com：APIトークンを生成する

Microsoft Defenderポータルで、更新前のAPIトークンを使用した監査ログの取得を停止します。

1. Microsoft Defenderポータルを開きます。
   Microsoft Defenderポータル

2. 左側のメニューから、［Microsoft Sentinel］をクリックし、［構成］をクリックします。その後、［データコネクタ］をクリックします。

3. 右上の［ワークスペース］をクリックし、「Microsoft Azureポータル：リソースグループを作成する」で作成したワークスペースを選択します。

4. ［データコネクタ］で、［Cybozu Audit Logs］の右側の「…」アイコン（3点リーダー）をクリックし、［コネクタ ページを開く］をクリックします。

5. ［コネクタの詳細］の［構成］で、［Disconnect］をクリックします。

次の手順で、Microsoft Defenderポータルで新しいAPIトークンを使用して監査ログの取得を開始します。
Microsoft Defenderポータル：cybozu.comの監査ログの取得を開始する