Microsoft 365の監査ログで何が分かる？Purview・Exchange等を調査

2026年9月9日 2026年9月23日

デジタル・フォレンジック調査ラボ

Microsoft 365では、契約ライセンス、監査設定、保持期間などの条件に応じて、OneDrive・SharePointのファイル操作、Exchangeのメール関連イベント、Teamsの操作、Entra IDのサインインなどを確認できます。

ただし、監査ログだけで「誰が何の目的で操作したか」「実際に会社情報を社外へ持ち出したか」まで断定できるとは限りません。実務では、Microsoft 365側の記録と、対象PC、ブラウザ、OneDrive同期フォルダ、USB、メール、対象ファイルを時系列で照合します。

いま不正ログインやアカウント乗っ取りが続いている場合は、被害停止が優先されることがあります。 サインインの停止、セッション失効、認証情報の変更などを進め、実施時刻と変更内容を記録してください。一方、過去の操作を調べる場合は、ログの書き出しやデータ保全を進める前に、アカウント削除やPC初期化を行わないことが重要です。Microsoft公式：侵害されたメールアカウントへの対応

この記事では、Microsoft 365を企業のデジタル証拠源として捉え、確認できる情報と、その限界を整理します。

運営：株式会社赤井事務所／デジタルフォレンジックPRO
Microsoft公式仕様の確認日：2026年9月9日

Microsoft 365だけでなく、Google Workspace、SharePoint、Teamsなどクラウドサービスに残る証拠全体を確認したい場合は、クラウドフォレンジックで、主な監査ログと調査方法をまとめています。

Microsoft 365では、どのサービスから何を調べられるか

監査ログとは、サービス上の操作や管理変更などを記録したものです。記録には、操作の種類、アカウント、対象ファイルやリソース、時刻、接続元などが含まれます。ただし、記録項目はイベントによって異なります。

調べたい内容に応じて、次の証拠源を使い分けます。

証拠源	主に確認する情報	ログだけでは不足する情報
OneDrive・SharePoint	ファイルのアクセス、ダウンロード、同期、共有、削除など	PCの保存先、USBへのコピー、操作の目的
Exchange Online	送信、メールボックス操作、受信トレイルール、転送設定など	実際のメール本文・添付、受信者が読んだか
Teams	チーム・チャネル・メンバー・設定等の操作。メッセージやファイルは保存先も確認	全チャット本文、すべての会議内容
Entra ID	サインイン、対象アプリ、IP、認証結果、デバイス情報など	実際に操作した人物、サインイン後の具体的なファイル操作
Microsoft Purview Audit	複数サービスの監査イベントの検索・出力	ファイルやメールの内容そのもの
Microsoft Purview eDiscovery	条件に応じたメール・ファイル等の検索、保持、エクスポート	既に失われたすべてのデータの復元

Purview Auditは操作の記録を調べる機能、eDiscoveryは対象コンテンツの検索・保持・取得に用いる機能です。両者を組み合わせることで、「操作が記録されているか」と「対象データが何だったか」を別々に確認できます。Microsoft公式：監査の概要、eDiscoveryの概要

調査の前に確認する監査設定・権限・保持期間

Microsoft 365の契約があっても、同じログが残るとは限らない

まず確認したいのは、現在の設定だけでなく、調べたい操作が行われた当時の状態です。

対象サービスと、操作したユーザーに割り当てられていたライセンス
当時の監査の有効状態と、監査対象になっていた操作
ログの保持期間と、独自の保持ポリシー
調査担当者に付与された検索・出力権限
別の保管先へログを継続出力していたか

特に、Microsoft 365 Business Basic／Standard／Premiumでは、Microsoft公式資料に監査が既定で無効とされる扱いがあります。「Microsoft 365を契約しているから監査済み」と判断せず、実際の有効状態を確認してください。後から有効化しても、無効だった期間の操作がさかのぼって記録されるわけではありません。Microsoft公式：監査の有効化・無効化

また、監査検索にはAudit LogsやView-Only Audit Logsなどの適切なロールが必要です。監査ログを検索できる権限と、eDiscoveryでメール本文等を取得できる権限は同一ではありません。Microsoft公式：監査ログの検索

監査ログはいつまで残るか

主な保持期間は次のとおりです。ここでは標準的なユーザー操作の確認に関係する既定値を示しています。

証拠源	主な既定の保持期間	確認する条件
Purview Audit Standard	180日	対象イベント、監査状態、別途保存したデータの有無
Purview Audit Premiumの対象ログ	条件を満たすEntra ID・Exchange・OneDrive・SharePointの監査ログは1年	操作したユーザーの対象ライセンス、保持ポリシー
Premium環境のその他の監査ログ	原則180日	別途設定した保持ポリシー等
Entra IDのサインインログ	Freeは7日、P1／P2は30日	Entraのライセンス、外部保存設定
Exchange OnlineのMessage Trace	90日	期限内の検索・出力

Purviewの1年保持は、組織がPremiumを利用していれば全ユーザー・全イベントへ一律に適用される、という意味ではありません。対象ユーザーへのE5系ライセンスや対応アドオンの割り当てなどが関係し、ゲストや対象外ユーザーの扱いも異なります。独自の保持ポリシーが既定値より優先される場合もあります。10年保持には別の追加ライセンスと設定が必要です。Microsoft公式：監査ログ保持ポリシー

EntraのサインインログとPurviewの統合監査ログは別の記録です。Purviewで長期保持しているからといって、Entraのサインインログも同じ期間検索できるとは限りません。Microsoft公式：Entraのデータ保持

Message Traceの90日保持も、監査ログやメール本文の保持とは別です。Microsoft公式：Message Trace FAQ

「保持期間」と「一度に検索できる期間」を分ける

Purviewの監査検索では、1回の検索で指定できる期間に制限があります。現在の公式仕様では検索期間は最大180日であり、1年分を保持していても、期間を分けた検索が必要です。「検索画面で指定できない」ことと「ログが消えている」ことは同じではありません。Microsoft公式：監査ログの検索

検索・出力時には、対象テナント、対象アカウント、期間、タイムゾーン、サービス、イベント、ファイルURLなどの条件を残します。画面のスクリーンショットだけでなく、利用可能な詳細を含む元のエクスポートデータも保管してください。

時刻の比較では、UTCと日本時間を混同しないことも重要です。監査レコードのCreationTimeはUTCの生成時刻として定義されています。元の値を保持したうえで比較用の時刻をそろえ、端末の時計のずれや、ログが検索可能になるまでの遅延も考慮します。Microsoft公式：監査ログの詳細プロパティ

OneDrive・SharePointのダウンロード履歴は分かるか

条件を満たしてログが残っていれば、OneDriveやSharePointからのダウンロードに関するイベントを確認できます。ただし、通常のダウンロードと同期クライアントによる取得を分けて調べる必要があります。

イベント	公式仕様上の意味	調査での注意点
`FileDownloaded`	サイトからドキュメントをダウンロードした記録	これだけでブラウザのボタン操作やPC保存先まで確定しない
`FileSyncDownloadedFull`	OneDrive同期アプリによってPCへファイルをダウンロードした記録	同期による取得を、明示的な持ち出し操作と混同しない
`FileAccessed`	ユーザーまたはシステムによるファイルアクセス	人が内容を読んだことや、ファイル全体を保存したことを単独で証明しない

イベントの定義は、Microsoftの監査アクティビティ一覧に示されています。Microsoft公式：監査ログアクティビティ

SharePointのダウンロードについて、FileDownloadedと同期による取得の違いまで詳しく確認したい場合は、SharePointのダウンロード履歴は分かる？監査ログからファイル取得を調査をご覧ください。

Webダウンロードか同期かをどう確かめるか

ブラウザ上で明示的にダウンロードしたのかを調べる場合は、イベント名に加え、記録されているクライアント情報、対象PCのブラウザダウンロード履歴、保存先にあるファイルを確認します。

同期による取得が疑われる場合は、対象PCで同期していた組織・アカウント、OneDriveの同期対象、同期フォルダ内のファイル状態を照合します。個人用OneDriveと会社のOneDriveを混同しないことも必要です。

OneDriveのファイルオンデマンドでは、エクスプローラーにファイル名が表示されていても、オンライン専用で本文がPCに保存されていない場合があります。一方、「このデバイス上で常に保持する」などの設定によって内容が取得される場合もあります。ファイル名の存在、内容のローカル保存、利用者による閲覧は別々に確認します。Microsoft公式：OneDriveのファイルオンデマンド

保全前にオンライン専用ファイルを開いたり、同期設定を変更したりすると、新たな取得や状態変更が発生することがあります。確認のための操作自体が何を変えるかも意識してください。

誰がダウンロードしたか分かるか

ログに記録された操作アカウントを確認できる場合はあります。しかし、それが直ちに本人の操作を意味するわけではありません。保存済みセッション、共有端末、アカウント共有、認証情報の漏洩、遠隔操作などの可能性があるためです。

また、ダウンロード件数だけで不正とは判断できません。次の情報を組み合わせます。

対象ファイルの内容と、本人の職務上の必要性
通常の利用状況と比べた対象ファイル数・時間帯・取得方法
退職や担当変更の時期
PCへの保存、圧縮、外部媒体やメールへの移動
社内で承認されていた作業か

件数を集計するときは、監査イベント数と、重複を除いた対象ファイル数を分けます。複数の記録があることを、そのまま同じ数のファイル持ち出しと数えないためです。

外部共有は、リンク作成・権限付与・アクセスを分けて確認する

OneDriveやSharePointの外部共有調査では、「共有した」という一つの言葉で結論をまとめないことが重要です。

段階	確認する記録の例	その段階で分かること
リンクを作った	`AnonymousLinkCreated`、`SecureLinkCreated`	共有リンクの作成。実際の利用とは別
招待・共有対象を設定した	`SharingInvitationCreated`、`AddedToSecureLink`	誰を招待・共有対象にしたか
招待が承諾された	`SharingInvitationAccepted`	招待の承諾と、それに伴うアクセス権の付与
リンクやファイルにアクセスした	`AnonymousLinkUsed`、`FileAccessed`など	リンク利用やファイルアクセスの記録
ファイルを取得した	`FileDownloaded`など	ダウンロードに関する記録

「特定のユーザー」向けのリンクには社内利用もあります。外部共有かどうかは、リンクの種類だけでなく、共有先のユーザー・グループ等を確認します。また、共有操作をしたアカウントと、共有先として指定された相手を取り違えないようにします。Microsoft公式：共有の監査ログ

匿名リンクが利用された記録があっても、アクセスした人物の氏名まで分かるとは限りません。反対に、アクセス記録が見つからなくても、公開範囲の設定に問題がないとはいえません。取得できるログの範囲を確認したうえで、リンクの有効期間、権限、対象データ、実際の利用記録を分けて整理します。

最終的には、「外部共有の設定があった」「外部アカウントのアクセスが記録された」「ダウンロードが記録された」など、証拠が示す段階に合わせて記述します。

Exchangeでは、メールの操作ログ・配送記録・本文を分ける

Exchange Onlineのメール調査では、少なくとも三つの情報を区別します。

確認対象	主な証拠源	確認する内容
メールボックス上の操作	監査ログ	送信、代理送信、アクセス、削除、ルール変更など
メールの配送	Message Trace	差出人、宛先、配送経路・状態など
メールの内容	メールボックス、保持されたデータ、eDiscovery等	本文、添付、ヘッダー、対象メッセージ

監査にはSend、SendAs、SendOnBehalfなどの送信関連イベントがあります。ただし、実際に記録される範囲は監査設定、メールボックス、操作主体などによって変わります。既定の監査が有効でも、監査対象操作の変更や監査を迂回する設定の有無を確認する必要があります。Microsoft公式：メールボックス監査

Message Traceは、メールが受信・拒否・保留・配信されたかなどを確認するための情報です。「配信済み」であっても、受信した人物が読んだことを意味しません。また、配送記録から本文や添付ファイルそのものを取得できるわけではありません。Microsoft公式：Message Trace

自動転送や受信トレイルールも調べる

外部への転送が疑われる場合は、送信記録だけでなく、受信トレイルールやメールボックスの転送設定も確認します。

受信トレイルールに関係する監査イベントには、New-InboxRule、Set-InboxRule、UpdateInboxRulesなどがあります。利用したクライアントや操作によって記録が異なるため、一つのイベント名だけに絞らず確認します。Microsoft公式：監査ログアクティビティ

現在の設定画面を見るだけでは、過去に作られて削除されたルールを見落とす可能性があります。設定変更の時系列と、その期間の配送記録を照合することが必要です。

さらに、転送設定が存在していても、外部自動転送の制御によって配送が止められる場合があります。設定した事実と、実際に外部へ送られた事実は分けて確認します。Microsoft公式：外部へのメール自動転送の制御

本文や添付を確認できる場合は、メッセージの識別情報、送受信者、時刻、添付ファイルを対応づけます。メールにクラウドファイルへのリンクが記載されている場合は、添付ファイルを送ったケースと区別し、リンク先の共有権限やアクセスも調べます。

Teamsのチャット・会議・ファイルは、保存先をまたいで調べる

Teamsの監査では、チームやチャネルの作成・変更、メンバーの操作、設定変更などを確認できます。ただし、Teamsの監査ログにチャット本文や会議内容がすべて入っているわけではありません。Microsoft公式：Teamsの監査イベント

Teamsの調査では、操作ログに加え、メッセージとファイルの保存構造を確認します。

Teams上の対象	調査で確認する主な保存先
1対1・グループチャットにアップロードしたファイル	アップロードしたユーザーのOneDrive
標準チャネルのファイル	チームに対応するSharePointサイト
プライベート・共有チャネルのファイル	各チャネルに対応するSharePointサイト
チャット・チャネルメッセージ	eDiscoveryで検索するExchange側のコンプライアンス記録など

既存ファイルへのリンクを貼ったケースでは、元ファイルの保存先も確認します。TeamsメッセージのeDiscovery検索は、Teamsの画面をそのまま丸ごと取得する処理ではなく、検索対象となるコンプライアンス記録を扱います。Microsoft公式：TeamsデータのeDiscovery検索

例えば、「Teamsで社外に資料を渡した」という疑いなら、メッセージの内容だけでなく、ファイルの保存先、共有権限、アクセス、ダウンロードを確認します。チャットにファイル名が出ているだけでは、相手が本文を取得したとは限りません。

会議も同様です。会議の操作記録と、録画・文字起こしの内容は別です。録画等が実際に作成・保持されているかを確認し、OneDriveやSharePoint上の保存場所も調査対象にします。

Teamsの削除・編集メッセージやeDiscoveryで確認できる内容については、Teamsのチャット履歴を調査｜削除・編集したメッセージは残る？で詳しく解説しています。

Entra IDのサインインログから本人の操作まで分かるか

Entra IDのサインインログでは、日時、アカウント、アプリ、IPアドレス、デバイス情報、認証結果、条件付きアクセスの情報などを確認できる場合があります。Microsoft公式：サインインログの詳細

ただし、次の点には注意が必要です。

同じIPを複数人で利用するNATや社内回線がある
VPNやモバイル回線では、IPから推定される場所と実際の所在が一致しない場合がある
共有端末、保存済みセッション、漏洩した認証情報が使われる可能性がある
遠隔操作や、本人が普段使わない別端末からの操作も考えられる

また、サインインには、利用者が認証画面を操作するものだけでなく、アプリがトークンを用いて行う非対話型のサインインなどもあります。退職後の日時に記録があっても、それだけで「退職者がその時刻に画面を開いてログインした」とは判断できません。Microsoft公式：サインインログの種類

退職後の利用を調べる際は、サインインの種類と結果を確認し、同じ時間帯のファイル操作やメール操作、対象PCの利用状況へつなげます。

「Aさんのアカウントで記録された操作」と「Aさん本人が行った操作」を分けることが、調査結果の正確さにつながります。

Microsoft 365のログとPC側の証拠をどう組み合わせるか

クラウド側のログは、サービス上で起きた操作を示します。一方、「どのPCに保存されたか」「ファイルが開かれたか」「USBへ移ったか」を調べるには、端末や媒体側の証拠が必要です。

当社が公開しているUSB調査の解説でも、USB接続の有無だけでなく、ファイル操作や関連する痕跡を照合する考え方を示しています。Microsoft 365の調査でも、クラウドの記録とPCの記録を結びつけることが重要です。USB接続履歴とファイル操作の照合

PC・媒体側の確認対象	クラウドログと照合する内容	注意点
OneDrive同期フォルダ	対象組織、パス、ファイルの存在・内容、同期状態	表示されるファイル名だけでは本文の保存を示さない
ブラウザ	アクセス先、ダウンロード履歴、保存先	履歴の欠落や、別ブラウザ・別端末の利用があり得る
LNK・Jump Lists	ファイルやフォルダの参照に関する痕跡	作成契機を確認し、本人の閲覧と即断しない
ファイルシステム	作成・変更・移動等に関する記録、MFT・USNジャーナル等	時刻や記録の意味を個別に解釈する必要がある
USB接続履歴・USB本体	機器の接続、媒体内の対象ファイル	接続しただけではコピーの証拠にならない
メール・対象ファイル	添付、送信先、ファイル内容の対応	同じ名前でも同じ内容とは限らない

時系列で並べても、USBコピーを断定できるとは限らない

以下は説明用の架空例であり、当社実案件ではありません。 時刻は比較のため同じタイムゾーンにそろえたものとします。

時刻	確認された記録
14:01	OneDrive上の対象ファイルに`FileAccessed`
14:03	同じファイルに`FileDownloaded`
14:05	対象PCにローカルファイルの参照を示す痕跡
14:10	対象PCにUSB機器の接続履歴

この段階で確認できるのは、クラウド上のアクセス・ダウンロード、PC上のファイル参照、USB接続が近い時間帯に記録されていることです。

時刻が近いだけでは、そのファイルをUSBへコピーしたと断定できません。

判断を進めるには、USB上に対象ファイルが存在するか、PC上のファイルと内容が一致するか、コピー先を示す記録があるかなどを調べます。別の経路で以前からUSBに保存されていた可能性や、別の人物が端末を使用した可能性も検討します。

ハッシュ値の一致は、比較したファイル内容の一致を確認する手掛かりになります。しかし、一致だけでコピーの方向・時刻・操作者まで確定するわけではありません。ファイル名、内容、保存場所、時系列、端末・媒体の利用状況を組み合わせます。

既にEndpoint DLPを導入し、対象端末の登録やポリシー適用が行われていた環境では、USBへのコピー操作等に関する追加記録を利用できる場合があります。その場合も、監査された操作、警告、ブロック、完了した操作を区別します。Microsoft公式：Endpoint DLP

調査結果には「記録」と「評価」を分けて書く

報告では、まず「対象アカウントのダウンロードイベントが記録された」「対象PCに同じ内容のファイルが存在した」など、確認できた事実を示します。

そのうえで、外部への移動や本人の操作をどの証拠が支えるのか、何が未確認なのかを記載します。「不正持ち出し」という評価を先に置いて記録を解釈すると、通常業務や自動処理を見落とすおそれがあります。

ファイルやメールが削除されていても調査できるか

削除イベントが残っていれば、削除に関する操作を確認できる場合があります。ただし、削除の記録があること、データが復元できること、証拠隠滅の意図があることは別です。

OneDrive・SharePointには、ファイルの削除、ごみ箱への移動、ごみ箱からの削除、復元などに関するイベントがあります。どの段階の操作だったかを確認し、通常の整理、同期に伴う処理、管理者操作、自動処理なども考慮します。Microsoft公式：監査ログアクティビティ

監査ログの保持と、本文・ファイルの保持は別

監査ログが残っていても、対象ファイルが取得できるとは限りません。反対に、監査ログの保持期限を過ぎていても、ファイル本文やメールが別の仕組みで保持されている場合があります。

機能・仕組み	主な役割
Auditの保持	操作記録を保持する
Retention Policy・Retention Label	対象コンテンツの保持・削除を制御する
eDiscoveryの保持やメールボックスのHold	条件に応じて対象データを保持する
eDiscoveryの検索・エクスポート	検索可能なコンテンツを探し、取得する

SharePoint・OneDriveでは、適用されている保持設定によって、変更・削除されたコンテンツが保持用の領域に残る場合があります。Exchangeにもメールの保持に関する仕組みがありますが、Exchangeの保持設定がそのままTeamsメッセージを対象にするわけではありません。Microsoft公式：SharePoint・OneDriveの保持、Exchangeの保持

eDiscoveryで検索を実行しただけでは、対象データの保持を設定したことにはなりません。検索対象、保持対象、取得対象をそれぞれ確認してください。必要な機能や取得範囲は、ライセンスと権限によっても異なります。Microsoft公式：eDiscovery

また、後から保持設定やeDiscoveryを利用しても、既に完全削除され、保持先にも存在しないデータが必ず戻るわけではありません。調査の可能性がある段階で、現存データの保全を検討することが重要です。

退職者アカウントは、アクセス停止とデータ保全を分ける

退職者のMicrosoft 365を調べる場合、アカウントの利用を止める処理と、証拠に関係するデータの扱いを分けて計画します。

処理	主な目的・影響	調査上の確認事項
サインインのブロック	今後のアクセスを制限する	既存セッションへの対応も確認する
セッションの失効	既存の認証セッションへ対処する	実施時刻と対象を記録する
ライセンスの削除	契約割り当てを解除する	サービス利用・データへのアクセスに与える影響を確認する
アカウントの削除	ユーザーを削除する	OneDriveやメールボックスの保持・移管を先に確認する
PCの初期化・再利用	端末を次の利用者へ渡す	ブラウザ・同期・ファイル等の証拠が失われる前に保全する

Microsoftも退職者対応において、アクセスの停止と、メール・OneDriveデータの保存や移管を分けて案内しています。Microsoft公式：退職者の削除・対応

OneDriveでは、ユーザー削除後の保持期間は既定で30日ですが、組織の設定等によって変わります。一方、ライセンスを外したOneDriveには、読み取り専用化・アーカイブ等の別の扱いがあります。「ユーザーを削除していないから、いつまでも同じように取得できる」とは判断しないでください。Microsoft公式：OneDriveの保持と削除、ライセンス未割り当てのOneDriveアカウント

データ移管だけでは、操作ログやPCの利用痕跡まで保存したことにはなりません。調査が必要な場合は、アカウントの識別情報、監査ログ、メール、クラウドファイル、対象PCをそれぞれ保全対象として整理します。

ただし、現在進行中の侵害が疑われる場合に、完全な保全が終わるまでアクセスを放置する必要はありません。被害停止と証拠保全を並行し、管理者が実施した処理を記録します。