監査を使用して監査ログとレポートを分析する

applies to:Azure SQL DatabaseAzure Synapse Analytics

この記事では、Azure SQL Database および Azure Synapse Analytics の監査を使用した監査ログの分析の概要について説明します。 監査を使用して、次の場所に格納されている監査ログを分析できます。

• ログ解析
• Event Hubs
• Azure ストレージ

Log Analyticsを使用してログを分析する

監査ログをLog Analyticsに書き込む場合:

1. Azure ポータルで、SQL データベースを検索してデータベースを選択するか、SQL サーバー を検索してサーバーを選択します。

2. [ セキュリティ] の下のリソース メニューで、[ 監査] を選択します。

3. [監査] ページの上部にある [監査ログの表示] を選択します。

   

[監査レコード] ページからログを表示するには、次の 2 つの方法があります。

• ページの上部にある Log Analytics を選択して、Log Analytics ワークスペースでログ ビューを開きます。ここで、時間範囲と検索クエリをカスタマイズできます。
• ページの上部にある [ ダッシュボードの表示 ] を選択して、監査ログ情報を表示するダッシュボードを開きます。そこで、 Security Insights または 機密データへのアクセスにドリルダウンできます。 このダッシュボードは、データのセキュリティに関する分析情報を得るのに役立ちます。 時間の範囲と検索クエリをカスタマイズすることもできます。

Log Analyticsで監査ログを直接照会する

監査ページを移動せずに、Log Analytics ワークスペースから直接監査ログにアクセスすることもできます。 この方法は、サーバー レベルの監査のみがある場合や、複数のデータベースに対してカスタム クエリを実行する場合に便利です。

1. Azure ポータルで、Log Analytics ワークスペースを開きます。
2. [ 全般 ] セクションで、[ ログ] を選択します。
3. 監査ログを表示する search "SQLSecurityAuditEvents" など、簡単なクエリから始めます。

ここから、Azure Monitor ログを使用して、監査ログ データに対して高度な検索を実行できます。 Azure Monitorログでは、統合された検索とカスタム ダッシュボードを使用してリアルタイムの運用分析情報を取得し、すべてのワークロードとサーバーで数百万件のレコードを簡単に分析できます。 ログ検索言語とコマンドAzure Monitorの詳細については、Azure Monitor ログ検索リファレンスを参照してください。

Event Hubs を使用してログを分析する

監査ログを Event Hubs に書き込む場合:

• Event Hubs の監査ログ データを使用するには、イベントを処理し、そのイベントをターゲットに書き込むようにストリームを設定する必要があります。 詳細については、Azure Event Hubs ドキュメントを参照してください。
• Event Hubs の監査ログは Apache Avro イベントの本文でキャプチャされ、UTF-8 エンコードで JSON 形式を使用して格納されます。 監査ログを読み取るために、Avro Tools、Microsoft Fabric イベント ストリーム、またはこの形式を処理する同様のツールを使用できます。

Azure ストレージ アカウントのログを使用してログを分析する

Azure ストレージ アカウントに監査ログを書き込む場合は、ログを表示するために使用できるいくつかの方法があります。

• 監査ログは、設定時に選択したアカウントで集計されます。 監査ログを調べるには、Azure Storage Explorer などのツールを使用します。 Azure ストレージでは、監査ログは、sqldbauditlogs という名前のコンテナー内の BLOB ファイルのコレクションとして保存されます。 ストレージ フォルダーの階層、名前付け規則、およびログ形式の詳細については、 SQL Database 監査ログの形式を参照してください。

  1. Azure ポータルで、SQL データベースを検索してデータベースを選択するか、SQL サーバー を検索してサーバーを選択します。
  2. [ セキュリティ] の下のリソース メニューで、[ 監査] を選択します。
  3. [監査] ページの上部にある [監査ログの表示] を選択します。 [監査レコード] ページが開き、ログを表示できます。
  4. 特定の日付を表示するには、[監査レコード] ページの上部にある [フィルター] を選択します。
  5. [監査ソース] を切り替えることで、サーバー監査ポリシーによって作成された監査レコードとデータベース監査ポリシーを切り替えることができます。

• システム関数 sys.fn_get_audit_file (T-SQL) を使用して、監査ログ データを表形式で返します。 この関数の使用方法の詳細については、 sys.fn_get_audit_fileを参照してください。

• SQL Server Management Studioで Merge Audit Files を使用します (SSMS 17 以降)。

  1. [SSMS] メニューから[ファイル]>開く>監査ファイルのマージを選択します。

     

  2. [ 監査ファイルの追加 ] ダイアログ ボックスが開きます。 Add オプションのいずれかを選択して、監査ファイルをローカル ディスクからマージするか、Azure Storageからインポートするかを選択します。 Azure Storageの詳細とアカウント キーを指定する必要があります。

  3. マージするすべてのファイルが追加されたら、[ OK] を 選択してマージ操作を完了します。

  4. 統合されたファイルを SSMS で開くと、ファイルを表示および分析し、XEL または CSV ファイルまたはテーブルにエクスポートすることができます。

• Power BIを使用します。 監査ログ データは、Power BIで表示および分析できます。 詳細については、「 Power BIを参照してください。

• ポータルまたは Azure Storage Explorer。

  • ログ ファイルをローカルでダウンロードした後に、ファイルをダブルクリックし、SSMS でログを開き、表示し、分析します。
  • Azure Storage Explorerで複数のファイルを同時にダウンロードすることもできます。 これを行うには、特定のサブフォルダーを右クリックし、[ 名前を付けて保存] を選択してローカル フォルダーに保存します。

• その他の方法:

  • 複数のファイルまたはログ ファイルが含まれるサブフォルダーをダウンロードした後、前述の SSMS 監査ファイルの統合の指示に従って、ローカルでマージすることができます。
  • BLOB 監査ログをプログラムで表示する: PowerShell を使用して 拡張イベント ファイルにクエリ を実行します。

関連コンテンツ

• Azure SQL Database および Azure Synapse Analytics の監査
• Azure SQL Managed Instance監査を開始します
• SQL Server の監査