zcrLog เก็บ Log Microsoft Entra ID (Azure AD) ได้แค่ไหน เจาะขอบเขตจริงที่ใช้งานได้วันนี้
zcrLog ต่อ Microsoft Entra ID (Azure AD) ได้จริง เก็บ sign-in log และ audit log แต่ Microsoft เก็บให้แค่ 30 วันเท่านั้น เจาะขอบเขตจริงที่ใช้งานได้วันนี้
zcrLog เก็บ Log Microsoft Entra ID (Azure AD) ได้แค่ไหน เจาะขอบเขตจริงที่ใช้งานได้วันนี้
"zcrLog ดึง log จาก Azure AD ได้ไหม" เป็นคำถามที่พบบ่อยพอจะเขียนตอบให้ชัดทั้งบทความ เพราะคำตอบสั้น ๆ คือ "ได้" แต่คำตอบที่ครบกว่านั้นมีขอบเขตที่ควรรู้ก่อนตัดสินใจว่าพอสำหรับงานที่ต้องการหรือเปล่า
ก่อนอื่นขอเคลียร์เรื่องชื่อก่อน — Microsoft เปลี่ยนชื่อ Azure Active Directory เป็น Microsoft Entra ID ไปแล้ว แต่แอดมินจำนวนไม่น้อยก็ยังเรียกติดปากว่า Azure AD อยู่ดี บทความนี้จะใช้สองชื่อสลับกันไปตามบริบท เพราะพูดถึงบริการตัวเดียวกัน
zcrLog ต่อกับ Entra ID แบบไหนได้จริงตอนนี้
แคตตาล็อก Custom Integrations ของ zcrLog มี Microsoft Entra ID อยู่ในหมวด "Cloud Identity Integrations" ขึ้นสถานะ Available พร้อมคำอธิบายว่าเก็บ sign-in log, audit log และกิจกรรมของ directory จาก Azure AD และมีแท็กกำกับไว้สี่อย่าง (ดูรายการ integration ล่าสุดได้ที่ หน้าสินค้า zcrLog)
- Sign-in Logs — ใครล็อกอินเข้ามาบ้าง จากที่ไหน ผ่านหรือไม่ผ่าน
- Audit Logs — ใครเปลี่ยนอะไรในระบบ เช่น เพิ่ม user ใหม่ แก้สิทธิ์ สร้าง app registration
- Directory Sync — กิจกรรมของ directory ที่ Entra ID บันทึกไว้
- Multi-tenant — รองรับการเชื่อมต่อมากกว่าหนึ่ง tenant ในบัญชีเดียว
ทั้งหมดนี้ "ใช้งานได้จริงวันนี้" ไม่ใช่สิ่งที่วางแผนไว้ในอนาคต และฝั่ง Microsoft ก็ไม่ได้มีแค่ Entra ID เพราะ zcrLog ยังเก็บ audit log ของ Microsoft 365 จาก Exchange, SharePoint และ Teams ได้ด้วย แต่มาคนละ pipeline เดี๋ยวอธิบายต่อด้านล่าง
แล้วอะไรที่ยังไม่ครอบคลุม ส่วน Microsoft 365 ล่ะ
ที่ยังขึ้นสถานะ Coming Soon อยู่คือ Google Workspace กับ Okta — ยังไม่รองรับตอนนี้ และไม่มีปุ่มเปิดใช้งานให้กด ขณะที่ AWS CloudTrail นั้น zcrLog เก็บได้แล้ววันนี้
ส่วนที่มักทำให้สับสนกว่านั้นคือแอปฝั่ง Microsoft 365 อย่าง Exchange, SharePoint และ Teams — ของพวกนี้ไม่ได้อยู่ในหมวด Cloud Identity Integrations เพราะกิจกรรมในแอปเหล่านี้ถูกบันทึกอยู่ใน Unified Audit Log (UAL) ซึ่งเป็นคนละระบบกับ log ของ Entra ID เอง บริหารจัดการผ่าน Microsoft Purview Audit คนละ pipeline คนละ retention policy กันไปเลย ฝั่ง UAL นี้ zcrLog ก็ต่อได้ นอกจาก sign-in, audit และ directory ของ Entra ID แล้ว zcrLog ยังเก็บ audit log ของ Exchange, SharePoint และ Teams ผ่าน Office 365 Management API ด้วย ถ้าองค์กรต้องการ log กิจกรรมใน Exchange หรือ SharePoint ก็ใช้ zcrLog เก็บได้เลย ส่วน zcrSIEM ซึ่งเป็นคนละผลิตภัณฑ์กัน ก็ดึง audit activity ของ Exchange, SharePoint และ Teams ผ่าน Office 365 Management API ได้เช่นกัน
สรุปคือใครที่อยากเก็บ log ฝั่ง Microsoft 365 ด้วย zcrLog ตัวเดียวก็ทำได้ ทั้ง sign-in log กับ audit log จาก Entra ID และกิจกรรมในแอปจาก Exchange, SharePoint และ Teams แค่ควรรู้ไว้ก่อนวางแผนขึ้นระบบว่าสองส่วนนี้มาจากคนละ pipeline ของ Microsoft
ทำไมต้องดึงออกมาเก็บที่อื่น ทั้งที่ Microsoft ก็เก็บให้อยู่แล้ว
คำถามที่ตามมาคือ Microsoft เก็บ sign-in log กับ audit log ให้อยู่แล้วในตัว ไม่จำเป็นต้องส่งไปเก็บที่ไหนเพิ่มไม่ใช่เหรอ — คำตอบอยู่ที่ระยะเวลาที่ Microsoft เก็บให้ ซึ่งสั้นกว่าที่หลายคนคิด ตามเอกสารทางการของ Microsoft เอง (learn.microsoft.com หน้า data retention ของ Entra ID reports):
| รายงาน | Entra ID Free | Entra ID P1 | Entra ID P2 |
|---|
| Audit logs | 7 วัน | 30 วัน | 30 วัน |
| Sign-ins | 7 วัน | 30 วัน | 30 วัน |
| MFA usage | 30 วัน | 30 วัน | 30 วัน |
| Risky sign-ins | 7 วัน | 30 วัน | 90 วัน |
สังเกตว่าแม้จ่าย license ระดับ P2 ซึ่งเป็นระดับสูงสุด sign-in log และ audit log พื้นฐานก็ยังเก็บได้แค่ 30 วันเท่านั้น — ตัวที่ยืดไปถึง 90 วันมีแค่รายงาน risky sign-ins อย่างเดียว และอีกจุดที่มักลืมกันคือ retention นี้ ไม่ย้อนหลัง ถ้า log ที่อายุเกิน 30 วันหายไปแล้ว ต่อให้อัปเกรด license ในวันถัดมาก็ดึงกลับมาไม่ได้ ต้องมีคนต่อ log ออกมาเก็บไว้ ก่อน ที่ Microsoft จะลบทิ้งเท่านั้น
ตรงนี้ขอกันความสับสนอีกจุดหนึ่ง เผื่อใครเคยได้ยินตัวเลข 90 วันหรือ 1 ปีมาก่อน — ตัวเลขนั้นเป็นของ Unified Audit Log (UAL) ที่บริหารผ่าน Microsoft Purview Audit ตามที่พูดถึงไปข้างต้น ซึ่งเป็นคนละชุดข้อมูลกับตาราง Entra ID sign-in/audit log ด้านบนนี้โดยสิ้นเชิง Microsoft เองก็เขียนกำกับไว้ในเอกสารตรง ๆ ว่า retention ของ UAL ไม่ผูกกับ license ของ Entra ID เลย เพราะฉะนั้นตัวเลข 30 วันในตารางข้างบนคือของจริงสำหรับ sign-in และ audit log ของ Entra ID เอง ไม่ใช่ 90 วันหรือ 1 ปีตามที่บางแหล่งข้อมูลอาจเข้าใจผิดปนกัน
30 วันฟังดูเหมือนพอ จนกว่าจะเจอเคสที่ต้องสืบย้อนหลังนานกว่านั้น — ทีม audit ภายในขอดู log 45 วันก่อน หรือมีเหตุการณ์ที่เพิ่งรู้ตัวหลังผ่านไปเดือนกว่า ซึ่งเป็นเรื่องปกติมากกว่าที่คิด นี่คือช่องว่างที่การส่ง log ออกมาเก็บสำรองระยะยาวใน zcrLog เข้ามาปิดได้พอดี เพราะเก็บได้นานกว่า 30 วันโดยไม่ผูกกับ license tier ของ Microsoft
เคสจริงที่ log พวกนี้จับได้
log สองประเภทนี้ไม่ใช่แค่ไว้ตอบคำถาม "ใครเข้าระบบตอนไหน" เฉย ๆ แต่เป็นข้อมูลตั้งต้นของการตรวจจับความผิดปกติหลายแบบที่ Microsoft เองก็อ้างอิงจาก log ชุดนี้เหมือนกัน สองเคสที่คุ้มค่าจะรู้จักไว้คือ
Atypical Travel — ล็อกอินจากตำแหน่งที่ผิดปกติ
Microsoft Entra ID Protection มีการตรวจจับที่ชื่อ Atypical travel ระบุไว้ในเอกสารทางการว่าเป็นการพบสองครั้งของการล็อกอินที่มาจากตำแหน่งทางภูมิศาสตร์ที่ห่างกัน โดยอย่างน้อยหนึ่งตำแหน่งอาจผิดปกติเมื่อเทียบกับพฤติกรรมเดิมของ user คนนั้น การตรวจจับนี้ต้อง license ระดับ P2 และคำนวณแบบ offline คือต้องมีประวัติ sign-in log ย้อนหลังให้เทียบก่อนถึงจะบอกได้ว่าอะไร "ผิดปกติ" — ซึ่งย้อนกลับไปที่ประเด็นก่อนหน้าพอดี ถ้า log หายไปตามรอบ 30 วัน ฐานข้อมูลพฤติกรรมที่ใช้เทียบก็สั้นตามไปด้วย
Consent Phishing — ยึดบัญชีได้โดยไม่ต้องขโมยรหัสผ่าน
อีกเคสที่ Microsoft เขียนเตือนไว้ตรง ๆ คือ consent phishing — คนร้ายสร้างแอปปลอมใน Entra ID แล้วหลอกให้ user กด "อนุญาต" (OAuth consent) ให้แอปนั้นเข้าถึงข้อมูลบัญชี ผลคือคนร้ายได้สิทธิ์เข้าถึงแบบถาวรที่อยู่รอดแม้ user จะเปลี่ยนรหัสผ่านทีหลัง และไม่ต้องผ่าน MFA ซ้ำเพื่อคงสิทธิ์นั้นไว้เลย เคสนี้น่าสนใจตรงที่มันเป็นการโจมตีระดับ identity ล้วน ๆ ไม่มีอะไรไปโผล่ใน Windows Event Log ของเครื่องไหนทั้งนั้น ต้องดูจาก audit log ของ Entra ID เท่านั้นถึงจะเห็นว่ามีการให้ consent แปลก ๆ เกิดขึ้น
Cloud Identity กับ On-prem Active Directory ต่างกันตรงไหน
หลายองค์กรที่ใช้ Entra ID วันนี้ก็ยังมี on-prem AD ควบคู่ไปด้วยแบบ hybrid ไม่ได้ย้ายไปฝั่งคลาวด์ล้วน ๆ ทั้งหมด สองระบบนี้เก็บ log กันคนละชุดและตอบคำถามคนละแบบ
| ประเด็น | On-prem Active Directory | Microsoft Entra ID (Cloud) |
|---|
| แหล่งข้อมูลหลัก | Windows Event Log บน Domain Controller | Sign-in log / Audit log ผ่าน API ของ Microsoft |
| ตัวอย่างสิ่งที่เห็น | Kerberoasting, การเคลื่อนที่ในเครือข่าย (lateral movement), การเปลี่ยนกลุ่มสิทธิ์ | Login จาก IP แปลก, consent ของแอปแปลกปลอม, การเปลี่ยนสิทธิ์ระดับ tenant |
| ต้องมี on-prem server ไหม | ต้องมี Domain Controller | ไม่ต้อง เป็นบริการบนคลาวด์ทั้งหมด |
| Retention เริ่มต้นจาก Microsoft | ไม่มี ต้องเก็บเองทั้งหมด | 7-30 วัน แล้วแต่ license (ดูตารางด้านบน) |
ดูแพ็กเกจและราคา zcrLog →
เรื่อง Compliance และ พ.ร.บ. คอมพิวเตอร์ฯ
สำหรับองค์กรในไทยที่ต้องตอบคำถามเรื่องระยะเวลาเก็บ log ตามกฎหมาย เราแยกเขียนรายละเอียดตัวเลขและข้อกำหนดไว้ต่างหากแล้วที่ พ.ร.บ. คอมพิวเตอร์ฯ 2560 เพราะเป็นคนละประเด็นกับ retention ของ Microsoft ที่พูดถึงในบทความนี้ — สรุปสั้น ๆ คือทั้งสองเรื่องต้องดูแยกกัน retention ของ Entra ID บอกได้แค่ว่า Microsoft เก็บให้นานแค่ไหนก่อนลบทิ้ง ส่วนกฎหมายกำหนดว่าองค์กรต้องเก็บของตัวเองไว้นานแค่ไหน ซึ่งมักยาวกว่า 30 วันของ Microsoft อยู่แล้ว
ถ้าบัญชีถูกยึด จะเห็นสัญญาณตรงไหนก่อน
sign-in log กับ audit log ของ Entra ID ไม่ได้มีประโยชน์แค่ตอนสืบสวนย้อนหลัง แต่เป็นข้อมูลชุดแรกที่บอกสัญญาณเตือนก่อนเรื่องจะบานปลาย ถ้าอยากเห็นตัวอย่างจริงว่าสัญญาณพวกนี้หน้าตาเป็นยังไงในทางปฏิบัติ ลองอ่าน บัญชีถูกยึดหลังโดน Phishing ที่เราเขียนไว้ก่อนหน้านี้ มีตัวอย่างสัญญาณแบบเป็นขั้นเป็นตอน
คำถามที่เจอบ่อย
zcrLog ดึง log จาก Exchange, SharePoint หรือ Teams ได้ไหม
ได้ นอกจากฝั่ง Microsoft Entra ID (sign-in log, audit log, directory activity) แล้ว zcrLog ยังเก็บ audit log ของ Exchange, SharePoint และ Teams ผ่าน Office 365 Management API ด้วย log ของแอปพวกนี้มาจากคนละ pipeline คือ Unified Audit Log ของ Microsoft ไม่ได้มาจาก Entra ID ส่วน zcrSIEM ซึ่งเป็นคนละผลิตภัณฑ์กัน ก็เก็บ audit activity ของ Exchange, SharePoint และ Teams ผ่าน Office 365 Management API ได้เช่นกัน
แล้ว Google Workspace หรือ AWS CloudTrail ล่ะ
AWS CloudTrail เก็บได้แล้ว ทั้งใน zcrLog และใน zcrSIEM ซึ่งเป็นคนละผลิตภัณฑ์กัน ส่วน Google Workspace กับ Okta ใน zcrLog ยังเป็น Coming Soon และ Google Workspace ตอนนี้ทั้ง zcrLog และ zcrSIEM ยังเก็บให้ไม่ได้
ต้องซื้อ license Entra ID P1 หรือ P2 ก่อนไหมถึงจะต่อกับ zcrLog ได้
ตารางด้านบนคือ retention ที่ Microsoft เผยแพร่ไว้ครอบคลุมทั้ง Free, P1 และ P2 — แต่เงื่อนไข license ขั้นต่ำที่จำเป็นสำหรับสิทธิ์ดึง log ผ่าน API เข้า zcrLog นั้น เรายังไม่ได้ยืนยันเองว่าต้องใช้ระดับใด จึงควรยืนยันก่อนตั้งค่าจริง โดยแจ้ง tier ที่องค์กรคุณใช้อยู่ผ่านช่องทางติดต่อท้ายบทความ ส่วนฟีเจอร์ตรวจจับความเสี่ยงอย่าง Atypical travel เป็นฟีเจอร์ฝั่ง Microsoft เอง (ไม่ใช่ของ zcrLog) ซึ่งต้องมี license ระดับ P2 ถึงจะใช้ได้
ติดต่อทีมงาน
อยากรู้ว่า Entra ID log ที่องค์กรคุณมีอยู่ตอนนี้ ต่อเข้า zcrLog ได้เลยไหม หรืออยากทดลองดูหน้า Custom Integrations ด้วยตัวเอง คุยกับทีมเราได้ฟรี
แหล่งอ้างอิง