クラウドでは、監査ログ（管理操作・ログイン・データへのアクセス）を有効にし、サービス標準の保存期間より長く残したい場合は外部に転送します。サービスや契約プランによっては、監査ログが標準で無効、または保存期間が短いことがあるため、導入時に確認しましょう。
見るべきイベントの例
- 管理者のログイン、海外・見慣れない場所からのログイン
- 権限の変更、管理者の追加
- 多要素認証の設定変更・無効化
- メールの転送ルールの作成
- 大量のダウンロード・外部共有
- ログの設定の変更（攻撃者が記録を止めようとする）
ログは事故が起きてから設定しても、過去の分は残っていません。導入時に必ず確認しておきましょう（ログの管理）。