zcrLogはMicrosoft Entra ID(Azure AD)のログをどこまで収集できるか、今使える範囲を徹底検証
zcrLogはMicrosoft Entra IDのサインイン・監査ログを収集できますが、Microsoft側の保持期間は30日のみです。実画面で検証します。
zcrLogはMicrosoft Entra ID(Azure AD)のログをどこまで収集できるか
「zcrLogでAzure ADのログは取れますか?」という質問はよくあるので、この記事でまとめて答えておきます。結論を先に言うと「取れます」ですが、実際に使えるかどうかを判断する前に知っておくべき範囲があります。
先に名前の整理をしておきましょう。MicrosoftはAzure Active Directoryの名称をMicrosoft Entra IDへと改称しましたが、今でも「Azure AD」と呼ぶ管理者は少なくありません。この記事でも文脈に応じて両方の呼び方を使いますが、指しているのは同じサービスです。
今、実際に連携できる範囲
zcrLogのCustom Integrationsカタログには、「Cloud Identity Integrations」のセクションにMicrosoft Entra IDがAvailableのステータスで掲載されています。Azure ADからサインインログ・監査ログ・ディレクトリのアクティビティを収集し、タグは次の4つです(最新の連携一覧はzcrLogの製品ページで確認できます)。
- Sign-in Logs — 誰がいつ、どこからログインを試みたか(成功・失敗を含む)
- Audit Logs — 誰が何を変更したか。新規ユーザーの追加、権限変更、アプリ登録の作成など
- Directory Sync — ディレクトリ自体で記録される動き
- Multi-tenant — 1つのアカウントで複数テナントに接続可能
ここまでは「今日、実際に使える」範囲で、将来のロードマップではありません。また、Microsoft側で取り込めるのはEntra IDだけではありません。zcrLogはExchange、SharePoint、TeamsのMicrosoft 365監査ログも収集できます。経路が別なので、詳しくは後述します。
まだ対応していない範囲と、Microsoft 365の扱い
Google WorkspaceとOktaには、まだComing Soonのステータスが付いています。現時点では未対応で、有効化するボタンなども用意されていません。一方、AWS CloudTrailはzcrLogですでに収集できます。
もっと混同しやすいのは、Exchange、SharePoint、TeamsといったMicrosoft 365側のアプリです。これらはCloud Identity Integrationsのカテゴリには入っていません。理由は、これらアプリのアクティビティはEntra ID自体のログとは別物であるUnified Audit Log(UAL)に記録されており、Microsoft Purview Auditという別のパイプライン・別の保持ポリシーで管理されているためです。zcrLogはこのUAL側にも接続できます。Entra IDのサインイン・監査・ディレクトリに加えて、Office 365 Management API経由でExchange、SharePoint、Teamsの監査ログを収集します。ExchangeやSharePointのアクティビティログが必要な場合も、zcrLogで扱えます。なお、別製品のzcrSIEMにもMicrosoft 365の連携があり、Office 365 Management API経由でExchange、SharePoint、Teamsの監査アクティビティを収集します。
つまり、Microsoft 365のログをzcrLogだけで押さえたい場合も対応できます。Entra IDからはサインインログと監査ログ、Exchange、SharePoint、Teamsからはアプリ内の操作ログです。ただし、この2つはMicrosoft側の別々のパイプラインから届くので、導入計画の段階でその点を押さえておいてください。
Microsoftが保持しているのに、なぜ外に出して保存する必要があるのか
次に出てくる疑問はこれです。「Microsoftがサインインログと監査ログを保持しているなら、わざわざ他に送る必要はないのでは?」答えは保持期間にあります。Microsoft公式ドキュメント(learn.microsoft.com のEntra IDレポートのデータ保持ページ)によると、保持期間は多くの人が思っているより短いのです。
| レポート | Entra ID Free | Entra ID P1 | Entra ID P2 |
|---|
| 監査ログ | 7日間 | 30日間 | 30日間 |
| サインイン | 7日間 | 30日間 | 30日間 |
| MFA使用状況 | 30日間 | 30日間 | 30日間 |
| リスクのあるサインイン | 7日間 | 30日間 | 90日間 |
注目すべきは、最上位ライセンスのP2を契約していても、基本のサインインログ・監査ログは30日間しか保持されないという点です。90日まで延びるのは「リスクのあるサインイン」レポートだけです。もう一つ見落としがちなのが、この保持期間は遡って適用されないということです。30日を過ぎて消えたログは、翌日にライセンスをアップグレードしても復元できません。Microsoftが削除する前に、誰かが外部へログを転送しておく以外に方法はないのです。
ここで、90日や1年という数字を以前どこかで見た方のために補足しておきます。それらの数字はUnified Audit Log(UAL)の話で、前述のMicrosoft Purview Auditで管理されているものです。上の表のEntra IDサインイン/監査ログとはまったく別のデータセットです。Microsoft自身もドキュメントの中で、UALの保持期間はEntra IDのライセンス変更とは連動しないと明記しています。つまり、Entra ID自体のサインインログ・監査ログについて正しい数字は上表の30日間であり、一部の情報源が混同しがちな90日や1年ではありません。
30日は一見十分に思えるかもしれませんが、それより長く遡って調べる必要が出てくるケースは意外と多いものです。社内監査チームが45日前のログを求めてきたり、インシデントに気づくのが1か月以上あとになったりすることは珍しくありません。ここが、長期保存用にログを外部へ送っておくことの意味が出てくるところです。zcrLogに転送しておけば、Microsoftのライセンス階層に縛られず30日を超えて保持できます。
実際にこのログで検知できる攻撃
サインインログと監査ログは「誰がいつログインしたか」を確認するためだけのものではありません。Microsoft自身もこの2種類のログを根拠に、いくつかの異常検知の仕組みを組んでいます。中でも押さえておく価値があるのが次の2つです。
Atypical Travel — 通常と異なる場所からのログイン
Microsoft Entra ID Protectionには「Atypical travel」という検知項目があります。公式ドキュメントの定義では、地理的に離れた2つの場所から行われた2回のサインインを検出するもので、少なくとも一方の場所がそのユーザーの過去の行動パターンと比べて異常である可能性がある場合が対象です。この検知にはP2ライセンスが必要で、計算はオフラインで行われます。つまり「何が異常か」を判断するには、比較対象となるサインインログの履歴が事前に蓄積されている必要があるということです。ここが先ほどの保持期間の話と直結してきます。ログが30日ごとに消えていくなら、比較に使える行動履歴もそれだけ短くなってしまいます。
Consent Phishing — パスワードを盗まずにアカウントを乗っ取る
Microsoftがはっきり警告しているもう一つの攻撃がconsent phishingです。攻撃者はEntra ID上に不正なアプリを登録し、ユーザーを騙してOAuthの同意画面で「許可」をクリックさせます。結果として攻撃者は、ユーザーがパスワードを後で変更しても消えない、恒久的なアクセス権を手に入れます。しかもそのアクセスを維持するのにMFAの再認証すら必要ありません。この攻撃が興味深いのは、純粋にID層への攻撃であるという点です。どのマシンのWindowsイベントログにも痕跡は残りません。Entra IDの監査ログだけが、不審な同意が発生したことを教えてくれます。
クラウドIDとオンプレミスのActive Directory、何が違うのか
今日Entra IDを使っている企業の多くは、完全にクラウドへ移行しているわけではなく、ハイブリッド構成でオンプレミスのADも併用しています。この2つのシステムは記録するログの種類も、答えてくれる問いの種類もまったく異なります。
| 項目 | オンプレミスActive Directory | Microsoft Entra ID(クラウド) |
|---|
| 主なログソース | ドメインコントローラー上のWindowsイベントログ | Microsoft API経由のサインインログ・監査ログ |
| 見えるものの例 | Kerberoasting、ラテラルムーブメント、権限グループの変更 | 不審なIPからのログイン、不正アプリへの同意、テナント全体の権限変更 |
| オンプレサーバーの要否 | ドメインコントローラーが必要 | 不要。完全にクラウド上のサービス |
| Microsoft側の初期保持期間 | なし。すべて自前で保持する必要あり | ライセンスにより7〜30日間(上表参照) |
zcrLogの料金プランを見る →
コンプライアンスとコンピュータ犯罪防止法
タイ国内の企業でログの法定保持期間について確認が必要な場合は、コンピュータ犯罪防止法(仏暦2560年)の記事で数字と要件を別途まとめています。この記事で扱っているMicrosoftの保持期間とは論点が異なるので、両方を分けて確認する必要があります。手短に言うと、Entra IDの保持期間はMicrosoftが削除するまでどれだけ猶予があるかを示すものであり、法律が定めるのは企業自身がどれだけの期間ログを保持しなければならないかという話です。後者は通常、Microsoftの30日間よりずっと長くなります。
アカウントが乗っ取られたとき、最初にどこへ兆候が現れるか
Entra IDのサインインログと監査ログは、事後調査だけに役立つわけではありません。事態が深刻化する前に最初の警告サインを示してくれるデータでもあります。実際の現場でこうした兆候がどう見えるのか知りたい方は、以前公開したフィッシング後のアカウント乗っ取りの記事も参考にしてください。段階を追った具体的な兆候の例を紹介しています。
よくある質問
zcrLogはExchange、SharePoint、Teamsのログも取得できますか?
できます。Microsoft Entra ID側(サインインログ、監査ログ、ディレクトリのアクティビティ)に加えて、zcrLogはOffice 365 Management API経由でExchange、SharePoint、Teamsの監査ログを収集します。これらのアプリのログはEntra IDではなく、Unified Audit Logという別のパイプラインから届きます。なお、別製品のzcrSIEMもOffice 365 Management API経由でExchange、SharePoint、Teamsの監査アクティビティを収集できます。
Google WorkspaceやAWS CloudTrailはどうですか?
AWS CloudTrailは、zcrLogで現在収集できます。別製品のzcrSIEMでも収集できます。Google WorkspaceとOktaはzcrLogではまだComing Soonのステータスで、Google Workspaceは現時点でどちらの製品でも収集していません。
zcrLogと連携するには、Entra IDのP1やP2ライセンスを先に購入する必要がありますか?
上表の保持期間はFree、P1、P2いずれのティアもMicrosoftが公開している数字です。ただし、zcrLog側がAPIでログを取得するために必要な最低ライセンスについては未確認のため、設定を始める前に、貴社が現在お使いのライセンスティアを添えて、記事末尾の連絡先から確認してください。なお、Atypical travelのようなリスク検知機能はMicrosoft側の機能であり(zcrLogの機能ではありません)、これにはP2ライセンスが必要です。
お問い合わせ
御社が今お持ちのEntra IDログがそのままzcrLogに接続できるか知りたい方、あるいはCustom Integrationsのページを実際に試してみたい方は、お気軽にご相談ください。
参考資料