Microsoft 365 との統合 Office 365 管理アクティビティ API による認証 CloudWatch パイプラインの設定サポートされているオープンサイバーセキュリティスキーマフレームワークイベントクラス

Microsoft 365 のソース設定

Microsoft 365 との統合

Microsoft 365 は、Microsoft が所有する生産性ソフトウェア、コラボレーション、およびクラウドベースサービスからなる製品群です。CloudWatch パイプラインは、Office 365 管理アクティビティ API を使用して、Office 365 および Microsoft Entra アクティビティログからユーザー、管理者、システム、およびポリシーのアクションとイベントに関する情報を取得します。Office 365 管理アクティビティ API (別称: 統合監査 API) は、Office 365 のセキュリティおよびコンプライアンスサービスの一部です。お客様とパートナーは、この情報を使用して、エンタープライズ向けの運用、セキュリティ、およびコンプライアンスモニタリングソリューションを新たに作成したり、既存のものを強化したりできます。

Office 365 管理アクティビティ API による認証

Office 365 のアクティビティを取得するには、パイプラインがアカウントで認証される必要があります。Office 365 管理 API の手順に従います。

Azure でアプリケーションをサポートされているアカウントタイプに登録します。この組織ディレクトリのアカウントのみ (単一テナント)。登録が完了したら、アプリケーション (クライアント) ID とディレクトリ (テナント) ID を書き留めます。
アプリケーションの新しいキーを生成します。キーはクライアントシークレットとも呼ばれ、アクセストークンの認可コードを交換するときに使用されます。
AWS Secrets Manager でシークレットを作成し、アプリケーション (クライアント) ID を client_id キーの下に、クライアントシークレットを client_secret キーの下に保存します。
アプリケーションが Office 365 管理 API にアクセスするために必要なアクセス許可を指定します。必要なアクセス許可は次のとおりです。
- ActivityFeed.Read: Audit.AzureActiveDirectory、Audit.Exchange、Audit.SharePoint、Audit.General など、リストしたすべての監査コンテンツタイプに必要です。
- ActivityFeed.ReadDlp: DLP.All コンテンツタイプに特に必要です。
Office 365 管理アクティビティ API を介してデータにアクセスする前に、Office 365 組織の統合監査ログを有効にする必要があります。これを行うには、Office 365 監査ログをオンにします。手順については、「Office 365 監査ログの検索を有効または無効にする」を参照してください。

CloudWatch パイプラインの設定

Office 365 からアクティビティを読み込むようにパイプラインを設定するときは、データソースとして Microsoft 365 を選択します。ディレクトリ (テナント) ID を使用したテナント ID や、client_id と client_secret が保存されているシークレットなどの必要な情報を入力します。パイプラインを作成すると、選択した CloudWatch Logs ロググループでデータを使用できます。

サポートされているオープンサイバーセキュリティスキーマフレームワークイベントクラス

この統合では OCSF スキーマバージョン v1.5.0 がサポートされ、Exchange、SharePoint、Teams、Azure Active Directory などのさまざまなワークロードからのアクションは、アカウント変更 (3001)、認証 (3002)、ユーザーアクセス管理 (3005)、グループ管理 (3006)、E メールアクティビティ (4009)、ウェブリソースアクティビティ (6001)、ファイルホスティングアクティビティ (6006)、アプリケーションライフサイクル (6002)、コンプライアンス検出結果 (2003)、検出結果 (2004)、インシデント検出結果 (2005)、脆弱性検出結果 (2002)、および不明 (0) にマッピングされます。