前回「リモートワークを支えるSplunkソリューションのご紹介「Microsoft 365 App for Splunk」では、Appについてご紹介しました。
今回は、実際の設定画面を見ながら、Microsoft 365のデフォルトにある「監査ログ」を使った可視化について解説します。前編はMicrosoft365側の設定、具体的なセットアップ方法です。簡単に可視化ができますのでぜひトライしてみてください。
＜前編＞
1.準備
2.Microsoft 365側の設定
＜後半＞
3.Splunk側の設定
4.カスタマイズ
5.ダッシュボードの完成
Microsoft 365の「監査ログ」を使った可視化
1.準備
まずは、Splunkを用意します。ダウンロード版のSplunk Enterpriseでも、Splunk Cloud Trial でもかまいません。無料トライアルはこちらから。
1.1.ダウンロード版のSplunk Enterpriseをお使いの方
Splunk Add-on for Microsoft Office 365
Sankey Diagram - Custom Visualization
Timeline - Custom Visualization
1.2.Splunk CloudあるいはSplunk Cloud Trial版をお使いの方
[Appの管理]ページから、[Browse more apps]より、
「Microsoft 365 App for Splunk」
「Splunk Add-on for Microsoft Office 365」
「Sankey Diagram - Custom Visualization」
「Timeline - Custom Visualization」
を選んでインストールします。
2.Microsoft 365側の設定
2.1.監査ログ取得開始
「 Microsoft 365 管理センター」画面から、「Office 365 キュリティ/コンプライアンス」画面にアクセスします。画面左の「検索」ー「監査ログの検索」から、画面上部の「監査を有効にする」ボタンを押して、監査ログ取得をスタートします。
しばらく経つと、監査ログが取得できるようになります。
2.2.「Setup Guide」の参照
Splunkにログインして、「Microsoft 365 App for Splunk」の画面にアクセスし、「Help」ー「Setup Guide」メニューを選択します。
2.3.「Azure Portal」へのアクセス
Setup Guideは英語で書かれていますが、分かりやすく明確に手順が説明されていますので、ぜひご参考ください。「Login to the Azure Portal」というところはリンクになっていますので、クリックします。このリンクは、「https://aad.portal.azure.com」 になっていて、Azure Active Directoryの管理画面になっています。
2.4.「アプリの登録」
「Azure Active Directory」にアクセスして、「アプリの登録」に進みます。
2.5.「アプリの登録」
「新規登録」に進みます。
2.6.「アプリの登録」
適当な名前でアプリケーション登録をおこないます。
2.7.「APIアクセス」
次に「APIのアクセス許可」に進みます。
2.8.「APIアクセス」
次に「アクセス許可の追加」に進みます。
2.9.「APIアクセス」
次に「Office 365 Management APIs」を選択します。
2.10.「APIアクセス」
次に「ActivityFeed」「ActivityReports」「ActivityHealth」「ThreatIntelligence」をすべて選択します。
2.11.「APIアクセス」
次に「個人に管理者の同意を与えます」を選択します。
2.12.「APIアクセス」
次に確認画面がでますので、「はい」を選択します。
2.13.「証明書とシークレット」
次に「証明書とシークレット」メニューを選択します。
2.14.「証明書とシークレット」
次に「新しいクライアントシークレット」を選択します。
2.15.「証明書とシークレット」
次に「クライアントシークレットの追加」をします。
2.16.「証明書とシークレット」
次に「クライアントシークレットの値」をメモします。
2.17.各ID情報の取得
次に「概要」に移動して、「アプリケーション(クライアント)ID」「ディレクトリ(テナント)ID」をメモします。
ここまでがMicrosoft365側の設定です。引き続きSplunk側の設定とカスタマイズについては後編で解説します。
ブログ関連情報
毎月１回、Splunkブログの更新情報をメールでお届けします。ぜひMonthly Digest をこちらからご登録ください！
----------------------------------------------------
Thanks!
小松原 貴司
