Microsoft Graph アクティビティ ログを収集する

以下でサポートされています。

Google SecOpsSIEM

注: この機能には、Google Security Operations Service 固有の規約のpre-GA サービス規約が適用されます。pre-GA の機能についてはサポートが制限されます。また、pre-GA の機能の変更は pre-GA の他のバージョンと互換性がない可能性があります。 詳細については、Google Security Operations 技術サポート サービス ガイドラインと Google Security Operations サービス固有の規約をご覧ください。

概要

このパーサーは、Microsoft Graph アクティビティ ログからフィールドを抽出し、統合データモデル（UDM）に変換します。UDM フィールドを初期化し、ペイロードを解析し、タイムスタンプを抽出し、さまざまなプロパティを UDM フィールドにマッピングし、IP アドレスとポートを処理し、プリンシパルとネットワーク情報の有無に基づいてイベントタイプを分類します。

始める前に

• Google SecOps インスタンスがあることを確認します。
• Microsoft Entra ID と Azure ストレージ アカウントに対する特権アクセス権があることを確認します。

Azure ストレージ アカウントを構成する

1. Azure コンソールで、ストレージ アカウントを検索します。
2. [作成] をクリックします。
3. 次の入力パラメータの値を指定します。
   • 定期購入: 定期購入を選択します。
   • リソース グループ: リソース グループを選択します。
   • リージョン: リージョンを選択します。
   • パフォーマンス: 必要なパフォーマンス レベルを選択します（標準が推奨されます）。
   • 冗長性: 必要な冗長性レベルを選択します（GRS または LRS を推奨）。
   • ストレージ アカウント名: 新しいストレージ アカウントの名前を入力します。
4. [Review + create] をクリックします。
5. アカウントの概要を確認し、[作成] をクリックします。
6. [ストレージ アカウントの概要] ページで、[セキュリティとネットワーキング] のサブメニュー [アクセスキー] を選択します。
7. [key1] または [key2] の横にある [表示] をクリックします。
8. [クリップボードにコピー] をクリックして、鍵をコピーします。
9. キーは、後で参照できるように安全な場所に保存します。
10. [ストレージ アカウントの概要] ページで、[設定] のサブメニュー [エンドポイント] を選択します。
11. [クリップボードにコピー] をクリックして、Blob サービスのエンドポイント URL（https://.blob.core.windows.net など）をコピーします。
12. エンドポイント URL を安全な場所に保存して、後で参照できるようにします。

ストレージ アカウントへの Microsoft Graph アクティビティ ログのエクスポートを構成する

1. Azure コンソールで [Entra ID] を検索します。
2. [モニタリング] > [診断設定] を選択します。
3. [+ 診断設定を追加] をクリックします。
4. 設定に一意の名前を付けます（例: ms-graph-activity）。
5. Google SecOps にエクスポートする MicrosoftGraphActivityLog カテゴリを選択します。
6. [宛先の詳細] で、[ストレージ アカウントにアーカイブ] を選択します。
7. 前の手順で作成したサブスクリプションとストレージ アカウントを選択します。
8. [保存] をクリックします。

注: ストレージ アカウントに Blob Storage が表示されるまでに、最長で 72 時間かかることがあります。

Microsoft Graph アクティビティ ログを取り込むように Google SecOps でフィードを構成する

1. [SIEM 設定] > [フィード] に移動します。
2. [新しく追加] をクリックします。
3. [フィード名] フィールドに、フィードの名前を入力します（例: Microsoft Graph アクティビティ ログ）。
4. [ソースタイプ] として [Microsoft Azure Blob Storage] を選択します。
5. [ログタイプ] として [Microsoft Graph アクティビティ ログ] を選択します。
6. [次へ] をクリックします。

7. 次の入力パラメータの値を指定します。

   • Azure uri: Blob エンドポイントの URL。

     ENDPOINT_URL/BLOB_NAME

     次のように置き換えます。

     • ENDPOINT_URL: blob エンドポイント URL（https://<storageaccountname>.blob.core.windows.net）
     • BLOB_NAME: blob の名前（例: insights-logs-）

   • URI is a: ログストリームの構成に応じて URI タイプを選択します（単一ファイル | ディレクトリ | サブディレクトリを含むディレクトリ）。

   • ソース削除オプション: 必要に応じて削除オプションを選択します。

   注: [転送されたファイルを削除] または [転送されたファイルと空のディレクトリを削除] オプションを選択する場合は、サービス アカウントに適切な権限を付与していることを確認してください。
   • 共有キー: Azure Blob Storage へのアクセスキー。
   • アセットの名前空間: アセットの名前空間。
   • 取り込みラベル: このフィードのイベントに適用されるラベル。

8. [次へ] をクリックします。

9. [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

UDM マッピング テーブル

ログフィールド	UDM マッピング	ロジック
callerIpAddress	principal.asset.ip	元のログフィールド callerIpAddress が UDM フィールドにコピーされます。
callerIpAddress	principal.ip	元のログフィールド callerIpAddress が UDM フィールドにコピーされます。
category	security_result.category_details	元のログフィールド category が UDM フィールドにコピーされます。
correlationId	security_result.detection_fields.value	元のログフィールド correlationId が UDM フィールドにコピーされます。キーは correlationId です。
Level	security_result.detection_fields.value	未加工ログフィールド Level は文字列に変換され、UDM フィールドにコピーされます。キーは Level です。
operationName	metadata.product_event_type	元のログフィールド operationName が UDM フィールドにコピーされます。
operationVersion	additional.fields.value.string_value	元のログフィールド operationVersion が UDM フィールドにコピーされます。キーは operationVersion です。
properties.apiVersion	metadata.product_version	元のログフィールド properties.apiVersion が UDM フィールドにコピーされます。
properties.appId	target.resource.product_object_id	元のログフィールド properties.appId が UDM フィールドにコピーされます。
properties.atContent	additional.fields.value.string_value	元のログフィールド properties.atContent が UDM フィールドにコピーされます。キーは atContent です。
properties.clientAuthMethod	extensions.auth.auth_details	properties.clientAuthMethod の値に基づいて、UDM フィールドは「公開クライアント」（0）、クライアント ID/クライアント シークレット（1）、クライアント証明書（2）のいずれかに設定されます。
properties.clientRequestId	additional.fields.value.string_value	元のログフィールド properties.clientRequestId が UDM フィールドにコピーされます。キーは clientRequestId です。
properties.durationMs	network.session_duration.seconds	元のログフィールド properties.durationMs はミリ秒から秒に変換され、UDM フィールドにコピーされます。
properties.identityProvider	security_result.detection_fields.value	元のログフィールド properties.identityProvider が UDM フィールドにコピーされます。キーは identityProvider です。
properties.ipAddress	principal.asset.ip	元のログフィールド properties.ipAddress の IP アドレスが抽出され、UDM フィールドにコピーされます。
properties.ipAddress	principal.ip	元のログフィールド properties.ipAddress の IP アドレスが抽出され、UDM フィールドにコピーされます。
properties.location	principal.location.name	元のログフィールド properties.location が UDM フィールドにコピーされます。
properties.operationId	security_result.detection_fields.value	元のログフィールド properties.operationId が UDM フィールドにコピーされます。キーは operationId です。
properties.requestMethod	network.http.method	元のログフィールド properties.requestMethod が UDM フィールドにコピーされます。
properties.requestId	metadata.product_log_id	元のログフィールド properties.requestId が UDM フィールドにコピーされます。
properties.responseSizeBytes	network.received_bytes	未加工ログフィールド properties.responseSizeBytes は符号なし整数に変換され、UDM フィールドにコピーされます。
properties.responseStatusCode	network.http.response_code	未加工ログフィールド properties.responseStatusCode は整数に変換され、UDM フィールドにコピーされます。
properties.roles	additional.fields.value.string_value	元のログフィールド properties.roles が UDM フィールドにコピーされます。キーは roles です。
properties.scopes	additional.fields.value.string_value	元のログフィールド properties.scopes が UDM フィールドにコピーされます。キーは Scopes です。
properties.servicePrincipalId	principal.user.userid	properties.userId が空の場合、元のログフィールド properties.servicePrincipalId が UDM フィールドにコピーされます。
properties.signInActivityId	network.session_id	元のログフィールド properties.signInActivityId が UDM フィールドにコピーされます。
properties.tenantId	metadata.product_deployment_id	元のログフィールド properties.tenantId が UDM フィールドにコピーされます。
properties.tokenIssuedAt	additional.fields.value.string_value	元のログフィールド properties.tokenIssuedAt が UDM フィールドにコピーされます。キーは tokenIssuedAt です。
properties.userAgent	network.http.user_agent	元のログフィールド properties.userAgent が UDM フィールドにコピーされます。
properties.userId	principal.user.userid	元のログフィールド properties.userId が UDM フィールドにコピーされます。
properties.wids	security_result.detection_fields.value	元のログフィールド properties.wids が UDM フィールドにコピーされます。キーは wids です。
resourceId	target.resource.attribute.labels.value	元のログフィールド resourceId が UDM フィールドにコピーされます。キーは Resource ID です。
resultSignature	additional.fields.value.string_value	元のログフィールド resultSignature が UDM フィールドにコピーされます。キーは resultSignature です。
time	metadata.event_timestamp	未加工のログフィールド time は解析され、タイムスタンプに変換されて UDM フィールドにコピーされます。UDM フィールド event.idm.read_only_udm.metadata.event_type は、has_principal が true で network.http が空でない場合、「NETWORK_HTTP」に設定されます。has_principal が true で network.http が空の場合、「STATUS_UPDATE」に設定されます。それ以外の場合は、「GENERIC_EVENT」に設定されます。UDM フィールドが「Microsoft Graph」に設定されています。UDM フィールドが「Microsoft」に設定されています。

変更点

2024-05-27

• 「metadata.vendor_name」を「Microsoft」に、「metadata.product_name」を「Microsoft Graph」に設定します。

2024-03-01

• 新しく作成されたパーサー。