【Box】Box Shieldの異常検知アラートが特定ユーザーだけ反映されない時の監査ログで原因を確認する方法

Box Shieldは、組織内のファイルやフォルダに対する異常なアクティビティを検知し、管理者にアラートを通知するセキュリティ機能です。しかし、特定のユーザーに対して設定した異常検知アラートが、なぜかそのユーザーにだけ反映されない、というトラブルが発生することがあります。この問題は、アラートの設定自体が正しくても、ユーザー側の受信設定や権限、監査ログの記録漏れなど複数の要因が絡むため、原因の特定が難しいケースが多いです。本記事では、Box管理コンソールの監査ログを活用して、アラートが反映されない原因を特定する手順を詳しく解説します。管理者がログを確認する際の注意点や、よくある設定ミスのパターンについても具体的に説明します。

Box Shield異常検知アラートの基本仕組みと通知経路

Box Shieldは、事前に定義されたルールに基づいて異常な振る舞いを検出し、管理者または特定ユーザーにアラートを送信します。アラートは主に以下の経路で通知されます。

• Box管理コンソール内の「アラート」画面
• 登録済みのメールアドレスへの通知
• Boxモバイルアプリのプッシュ通知

Shieldルールを作成する際、アラートを受信するユーザーを個別に指定したり、グループ単位で設定したりできます。しかし、設定どおりにアラートが届かない場合、原因は「ルールのスコープ」「ユーザーの通知設定」「アカウントの権限」「監査ログの記録」のいずれかにあります。監査ログを確認することで、該当ユーザーに対してアラートイベントが正しく生成されたかどうかを検証できます。

特定ユーザーだけ反映されない主な原因の切り分け

問題を効率的に解決するには、まず原因の候補を絞り込むことが重要です。以下の表は、よくある原因とその特徴をまとめたものです。

原因カテゴリ	具体的な原因	監査ログで確認できる内容
ユーザーの通知設定	メール通知がオフ、迷惑メールフィルターでブロック	アラートイベントは記録されるが、送信ステータス不明
アカウント権限	ユーザーが共同管理者でない、外部ユーザーに権限不足	Shieldルール適用時にエラーイベントが記録される
Shieldルール設定	ルールの対象ユーザーが適切でない、ポリシー競合	ルール適用イベントの有無、ポリシー回避ログ
監査ログ自体の不具合	ログの記録が遅延、または欠落	該当時間帯のログが存在しない

監査ログを確認する前に、まずは対象ユーザーに以下の質問をして、問題の整理を試みてください。

• アラートが届かないのは、メールですか?それともBox管理コンソールのアラート画面ですか?
• 該当ユーザーが普段使用しているメールアドレスは、Boxアカウントに登録されているものと同じですか?
• 他のユーザーは同じShieldルールのアラートを受信できていますか?

監査ログで原因を確認する具体的な手順

Box管理コンソールの監査ログは、イベントの発生状況を詳細に記録しています。以下の手順で、該当ユーザーに関連するログを抽出し、原因を特定します。

1. Box管理コンソールに管理者アカウントでログインします。
2. 左側のナビゲーションメニューから「監査ログ」をクリックします。
3. 「イベントタイプ」フィルターで「Shieldアラート」または「異常検知」に関連するイベントを選択します。具体的には「Shield:alert.generated」「Shield:alert.sent」などのイベント名を指定します。
4. 「ユーザー」フィルターに、問題が発生しているユーザーのメールアドレスまたはユーザーIDを入力し、期間を設定して検索を実行します。
5. 検索結果の一覧から、該当時間帯に「Shield:alert.generated」イベントが記録されているか確認します。もし記録がない場合は、Shieldルール自体がそのユーザーに対してアラートを生成していない可能性があります。
6. 「Shield:alert.sent」イベントがあれば、アラートがユーザーに送信されたことを示します。このイベントがない場合は、送信処理が行われなかった、またはエラーが発生した可能性があります。

さらに、Shieldルールの適用状況を確認するために、「Shield:policy.applied」「Shield:policy.violation」などのイベントも併せて確認します。これらのイベントが記録されていれば、該当ユーザーのアクティビティに対してルールが正しく評価されたことがわかります。

ログのエラーコードから原因を特定する

監査ログのイベント詳細には、エラーコードやメッセージが含まれている場合があります。代表的なエラーコードとその意味は以下のとおりです。

エラーコード	意味	対処
SHIELD_ALERT_SEND_FAILED	メール送信に失敗した	ユーザーのメール設定、Boxからのメールが迷惑メールに振り分けられていないか確認
SHIELD_POLICY_NOT_APPLICABLE	ユーザーがルールの対象外	Shieldルールのスコープ設定(特定ユーザー、グループ、全ユーザー)を見直す
SHIELD_ALERT_USER_NOT_FOUND	指定されたアラート受信ユーザーが存在しない	ユーザーアカウントが削除されていないか、メールアドレスの変更がないか確認

よくある失敗パターンと対処法

実際に現場で発生しやすい失敗例を3つ紹介します。これらは監査ログから原因を特定できるケースです。

失敗パターン1: ユーザーが「共同管理者」に追加されていない

Box Shieldのアラート設定では、アラートの受信者を「共同管理者」または「特定のユーザー」から選択する項目があります。もしルールの受信者設定で「共同管理者」を選択していたにもかかわらず、該当ユーザーが共同管理者として設定されていなかった場合、そのユーザーにはアラートが送信されません。監査ログには「Shield:alert.generated」イベントはあるが、「Shield:alert.sent」イベントがユーザーに対して存在しない、または「SHIELD_ALERT_USER_NOT_FOUND」エラーが記録されます。対処法は、該当ユーザーをBox管理コンソールの「ユーザー管理」から共同管理者に追加することです。

失敗パターン2: ユーザーがBoxアカウントのメール通知をオフにしている

ユーザー自身がBoxの「設定」→「通知」で「セキュリティアラート」のメール通知をオフにしている場合、アラートは生成されてもメールが届きません。監査ログでは「Shield:alert.sent」イベントは記録されず、エラーも発生しないため、一見正常に見えます。しかし、Box管理コンソールのアラート画面にはアラートが表示されるため、ユーザーにその画面を確認してもらうことで切り分けられます。対処法は、ユーザーに通知設定をオンにしてもらうか、管理者が代理で変更できない場合は、Boxの利用規約に従ってユーザーに依頼します。

失敗パターン3: Shieldルールのスコープが「すべてのユーザー」になっていない

Shieldルールを作成する際に、特定のグループやフォルダのみを対象に設定していると、それに含まれないユーザーにはアラートが生成されません。監査ログで「Shield:policy.applied」イベントを確認し、該当ユーザーのアクティビティに対してルールが適用されたかどうかをチェックします。もし適用されていなければ、ルールのスコープを拡大するか、そのユーザーを対象グループに追加する必要があります。

管理者に確認すべき設定項目

問題が解決しない場合、以下のBox管理設定を確認してください。これらの項目は、通常のユーザーでは変更できないため、組織のBox管理者に問い合わせる必要があります。

• Shieldルールの優先順位: 複数のShieldルールが競合していると、一部のルールが無効になることがあります。管理コンソールの「Shield」→「ルール」で、ルールの優先順位を確認し、必要に応じて調整します。
• アラートの配信設定: 「Shield」→「設定」で、アラートの配信方法(メール、管理画面、モバイル)が有効になっているか確認します。組織全体でメール配信が無効になっている場合、個別設定に関わらずメールは届きません。
• IP許可リスト: Box Shieldはネットワークロケーションに基づくルールもサポートしています。許可リストに該当ユーザーのIPアドレスが含まれていない場合、正常なアクティビティでも異常と判定され、アラートが過剰に生成されるか逆に生成されないことがあります。

よくある質問

ここでは、読者から寄せられやすい質問とその回答をまとめました。

監査ログで「Shield:alert.generated」が記録されているのにアラートが届かない

アラートが生成された後に送信に失敗している可能性があります。まずは上記の手順で「Shield:alert.sent」イベントの有無を確認してください。もし記録がない場合、メール送信に失敗しているか、配信設定がオフになっている可能性があります。Box管理コンソールの「Shield」→「設定」でメール配信が有効か、またユーザーのメールアドレスが正しいか確認します。

特定ユーザーだけではなく、すべてのユーザーにアラートが届かない

組織全体の設定に問題がある可能性が高いです。Box管理コンソールの「Shield」→「設定」でアラート配信が有効になっているか、またShield機能自体が有効になっているか確認してください。また、Boxのサービスステータスページで障害が発生していないかも確認しましょう。

監査ログにイベントがまったく記録されない

監査ログにアクセスできる権限を持っているかどうかを確認してください。共同管理者であっても、すべての監査ログを参照できるわけではありません。必要な権限がない場合は、上位管理者に依頼してログを参照してもらうか、権限を付与してもらう必要があります。

まとめ

Box Shieldの異常検知アラートが特定ユーザーだけ反映されない場合、監査ログを活用することで原因を効率的に特定できます。まずはログで「Shield:alert.generated」と「Shield:alert.sent」イベントの有無を確認し、エラーコードがあればそれに応じた対処を行います。ユーザーの通知設定やアカウント権限、Shieldルールのスコープも合わせて確認することが重要です。また、組織全体の設定やポリシーの競合が原因であるケースも少なくありません。今回紹介した手順を参考に、問題の切り分けと解決を進めてください。万が一、ログの解釈に迷った場合は、Boxのサポートチームにログのスクリーンショットを添付して問い合わせることをおすすめします。