クイックにMicrosoft Office 365 App for Splunkを導入する方法 - Vol.1

前回「リモートワークを支えるSplunkソリューションのご紹介「Microsoft 365 App for Splunk」では、Appについてご紹介しました。

今回は、実際の設定画面を見ながら、Microsoft 365のデフォルトにある「監査ログ」を使った可視化について解説します。前編はMicrosoft365側の設定、具体的なセットアップ方法です。簡単に可視化ができますのでぜひトライしてみてください。

＜前編＞
1.準備
2.Microsoft 365側の設定

＜後半＞
3.Splunk側の設定
4.カスタマイズ
5.ダッシュボードの完成

Microsoft 365の「監査ログ」を使った可視化

1.準備

まずは、Splunkを用意します。ダウンロード版のSplunk Enterpriseでも、Splunk Cloud Trial でもかまいません。無料トライアルはこちらから。

1.1.ダウンロード版のSplunk Enterpriseをお使いの方

Microsoft 365 App for Splunk

Splunk Add-on for Microsoft Office 365

Sankey Diagram - Custom Visualization

Timeline - Custom Visualization

1.2.Splunk CloudあるいはSplunk Cloud Trial版をお使いの方

[Appの管理]ページから、[Browse more apps]より、
「Microsoft 365 App for Splunk」
「Splunk Add-on for Microsoft Office 365」
「Sankey Diagram - Custom Visualization」
「Timeline - Custom Visualization」
を選んでインストールします。

2.Microsoft 365側の設定

2.1.監査ログ取得開始

「 Microsoft 365 管理センター」画面から、「Office 365 キュリティ/コンプライアンス」画面にアクセスします。画面左の「検索」ー「監査ログの検索」から、画面上部の「監査を有効にする」ボタンを押して、監査ログ取得をスタートします。

しばらく経つと、監査ログが取得できるようになります。

2.2.「Setup Guide」の参照

Splunkにログインして、「Microsoft 365 App for Splunk」の画面にアクセスし、「Help」ー「Setup Guide」メニューを選択します。

2.3.「Azure Portal」へのアクセス

Setup Guideは英語で書かれていますが、分かりやすく明確に手順が説明されていますので、ぜひご参考ください。「Login to the Azure Portal」というところはリンクになっていますので、クリックします。このリンクは、「https://aad.portal.azure.com」 になっていて、Azure Active Directoryの管理画面になっています。

2.4.「アプリの登録」

「Azure Active Directory」にアクセスして、「アプリの登録」に進みます。

2.5.「アプリの登録」

「新規登録」に進みます。

2.6.「アプリの登録」

適当な名前でアプリケーション登録をおこないます。

2.7.「APIアクセス」

次に「APIのアクセス許可」に進みます。

2.8.「APIアクセス」

次に「アクセス許可の追加」に進みます。

2.9.「APIアクセス」

次に「Office 365 Management APIs」を選択します。

2.10.「APIアクセス」

次に「ActivityFeed」「ActivityReports」「ActivityHealth」「ThreatIntelligence」をすべて選択します。

2.11.「APIアクセス」

次に「個人に管理者の同意を与えます」を選択します。

2.12.「APIアクセス」

次に確認画面がでますので、「はい」を選択します。

2.13.「証明書とシークレット」

次に「証明書とシークレット」メニューを選択します。

2.14.「証明書とシークレット」

次に「新しいクライアントシークレット」を選択します。

2.15.「証明書とシークレット」

次に「クライアントシークレットの追加」をします。

2.16.「証明書とシークレット」

次に「クライアントシークレットの値」をメモします。

2.17.各ID情報の取得

次に「概要」に移動して、「アプリケーション(クライアント)ID」「ディレクトリ(テナント)ID」をメモします。

ここまでがMicrosoft365側の設定です。引き続きSplunk側の設定とカスタマイズについては後編で解説します。

ブログ関連情報

毎月１回、Splunkブログの更新情報をメールでお届けします。ぜひMonthly Digest をこちらからご登録ください！

----------------------------------------------------
Thanks!
小松原 貴司