Microsoft Entra ID 監査ログを収集する

このドキュメントでは、Google Security Operations フィードを設定して Microsoft Entra ID（AD）のログを収集する方法について説明します。

Azure Active Directory（AZURE_AD）は Microsoft Entra ID に名称変更されました。Azure AD 監査ログ（AZURE_AD_AUDIT）は、Microsoft Entra ID 監査ログになりました。

詳細については、Google Security Operations　へのデータの取り込みの概要をご覧ください。

取り込みラベルによって、未加工のログデータを構造化 UDM 形式に正規化するパーサーが識別されます。

始める前に

次の前提条件を満たしていることを確認します。

• ログインできる Azure サブスクリプション
• グローバル管理者または Azure AD 管理者のロール
• Azure の Azure AD（テナント）

Azure AD の構成方法

1. Azure ポータルにログインします。
2. [Home] > [App registration] に移動し、登録済みのアプリケーションを選択するか、まだアプリケーションを作成していない場合はアプリケーションを登録します。
3. アプリケーションを登録するには、[App registration] セクションで [New registration] をクリックします。
4. [Name] フィールドに、アプリケーションの表示名を入力します。
5. [Supported account types] セクションで、必要なオプションを選択して、アプリケーションを使用できるユーザーまたは API にアクセスできるユーザーを指定します。
6. [Register] をクリックします。
7. [Overview] ページに移動し、Google Security Operations フィードの構成に必要なアプリケーション（クライアント）ID とディレクトリ（テナント）ID をコピーします。
8. [API 権限] をクリックします。
9. [Add a permission] をクリックし、新しいペインで [Microsoft Graph] を選択します。
10. [Application permissions] をクリックします。
11. [AuditLog.Read.All]、[Directory.Read.All]、[SecurityEvents.Read.All] 権限を選択します。権限が [委任された権限] ではなく、[アプリケーション権限] であることを確認します。
12. [Grant admin consent for default directory] をクリックします。同意プロセスの一環としてユーザーまたは管理者から権限が付与された場合、アプリケーションは API を呼び出す権限を付与されます。
13. [Settings] > [Manage] に移動します。
14. [Certificates and secrets] をクリックします。
15. [New client secret] をクリックします。[Value] フィールドにクライアント シークレットが表示されます。
16. クライアント シークレットの値をコピーします。この値は作成時にのみ表示され、Azure アプリの登録と Google Security Operations フィードの構成に必要です。

詳細については、Microsoft Entra ID アプリを設定する方法をご覧ください。

権限の Microsoft Entra の詳細については、権限の Microsoft Entra をご覧ください。

フィードを設定する

Google SecOps プラットフォームでフィードを設定するには、次の 2 つのエントリ ポイントがあります。

• [SIEM 設定] > [フィード]
• [Content Hub] > [Content Packs]

[SIEM 設定] > [フィード] でフィードを設定する

このプロダクト ファミリー内で異なるログタイプに対して複数のフィードを構成するには、プロダクトごとにフィードを構成するをご覧ください。

1 つのフィードを設定する手順は次のとおりです。

1. [SIEM 設定] > [フィード] に移動します。
2. [Add New Feed] をクリックします。
3. 次のページで、[単一フィードを設定] をクリックします。
4. [フィード名] フィールドに、フィードの名前を入力します（例: Azure AD Audit Logs）。
5. [ソースタイプ] として [サードパーティ API] を選択します。
6. [ログタイプ] として [Azure AD Directory Audit] を選択します。
7. [次へ] をクリックします。
8. 次の必須入力パラメータを構成します。
   • OAUTH クライアント ID: 前の手順で取得したクライアント ID を指定します。
   • OAUTH クライアント シークレット: 前の手順で取得したクライアント シークレットを指定します。
   • テナント ID: 前の手順で取得したテナント ID を指定します。
9. [次へ] をクリックしてから、[送信] をクリックします。

Google Security Operations　フィードの詳細については、Google Security Operations　フィードのドキュメントをご覧ください。各フィードタイプの要件については、タイプ別のフィード構成をご覧ください。 フィードの作成時に問題が発生した場合は、Google Security Operations　サポートにお問い合わせください。

コンテンツ ハブからフィードを設定する

次のフィールドに値を指定します。

• OAUTH クライアント ID: 前の手順で取得したクライアント ID を指定します。
• OAUTH クライアント シークレット: 前の手順で取得したクライアント シークレットを指定します。
• テナント ID: 前の手順で取得したテナント ID を指定します。

詳細オプション

• フィード名: フィードを識別する事前入力された値。
• ソースタイプ: Google SecOps にログを収集するために使用される方法。
• Asset Namespace: フィードに関連付けられた名前空間。
• Ingestion Labels: このフィードのすべてのイベントに適用されるラベル。

フィールド マッピング リファレンス

このパーサーは、JSON 形式の Azure AD ディレクトリ監査ログを処理します。関連するフィールドを抽出し、統合データモデル（UDM）に変換して、ユーザーの詳細、IP アドレス、セキュリティ結果などの追加コンテキストでデータを拡充します。パーサーは、イベントの特性に基づいてイベントを分類し、分析を容易にするために特定の UDM イベントタイプにマッピングします。

UDM マッピング テーブル

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。