Defender for Servers のインジェストにカスタムデータ収集規則を使用する

カスタムデータ収集規則 (DCR) を使用して、Defender for Servers 用 Log Analytics に送信される Windows セキュリティイベントを制御できます。この方法は、不要なイベントをフィルタリングすることで摂取量を減らすのに役立ちます。

カスタム DCR を使用すると、次のことができます。

大量のセキュリティイベントをフィルター処理する
Windows セキュリティイベントの特定のサブセットを収集する
インジェストの前に変換を適用する

前提条件

カスタムDCRを作成する前に、以下の条件を満たしていることを確認してください:

Azure Monitor Agent(AMA)は、Log Analyticsにデータを送信するマシンにインストールされています。
DCRと同じリージョン内のLog Analyticsワークスペースです。

DCR を作成する

AzureポータルでカスタムDCRを作成するには、以下の手順に従ってください:

Azure portal にサインインする
Monitor>Settings>Data Collection Rulesに行き、+作成を選択します。
名前とサブスクリプションを入力します。
リソースグループを選択または作成します。
リージョンを選択します。その地域は、送信先のLog Analyticsワークスペースの地域と一致しなければなりません。
[ プラットフォームの種類] で、[ Windows ] を選択して、 SecurityEvent インジェスト特典の Windows セキュリティイベントを収集します。
ログも必要なら Linux か All を選んでください。
データ収集エンドポイント では、プライベートリンクまたは別の高度なネットワーク設定用のデータ収集エンドポイントを使用しない限り、<なし>のままにします。
[ 次へ: リソース >] を選択します。
[ + リソースの追加] を選択し、関連するリソースを選択します。
例えば、Private Linkを使用する際にデータ収集エンドポイントが必要な場合は、+エンドポイント作成を選択します。エンドポイントはDCRと同じ領域に作成します。
[次へ: >を収集して配信する] を選択します。
[ + データソースの追加] を選択します。
[データソースの種類] で、[Windows イベントログ] を選択し、[基本] または [カスタム] を選択します。
- 基本的な：
  - セキュリティの「セキュリティ」では、監査成功または監査失敗を選択してWindows セキュリティイベントをSecurityEventテーブルに送信してください。
  - 必要に応じて、 アプリケーション または システム イベントログを選択してさらにイベントを収集してください。これらのイベントは Event テーブルに送られ、通常の取り込みとして課金されます。 Defender for Serversのインジェステション特典はそれらをカバーしていません。
- カスタム:
  - 「XPath クエリを使用してイベントログをフィルター処理し、データ収集を制限する」で、XPath クエリを入力してください。たとえば、Security!*[System[(EventID=4624 or EventID=4625 or EventID=4688)]] のように指定します。
[] を選択し、[] を追加します。
「次へ: 宛先」を選択します。>
[+ 宛先の追加] を選択します。
「宛先の種類」で、Azure Monitor ログ を選択します。
DCR と同じリージョンにある少なくとも 1 つの Log Analytics ワークスペースを選択します。
保存を選びます。
[次へ: タグ] >を選択し、リソースの編成またはコスト管理に必要なタグを追加します。
[次へ: 確認および作成 >] を選択します。
[ 作成] を選択して DCR をデプロイします。

データインジェストを検証する

DCRを展開した後は、データが流れ始めるまで数分待ちます。

Log Analytics ワークスペースで次の KQL クエリを実行します。

SecurityEvent
| take 10

JSON フラグメントのサンプル

次の例は、選択した Windows セキュリティイベントを収集する DCR 構成を示しています。

{
  "dataSources": {
    "windowsEventLogs": [
      {
        "name": "SecurityEvents",
        "streams": ["Microsoft-SecurityEvent"],
        "xPathQueries": [
          "Security!*[System[(EventID=4624 or EventID=4625 or EventID=4688)]]"
        ]
      }
    ]
  },
  "destinations": {
    "logAnalytics": [
      { "workspaceId": "<workspace-id>" }
    ]
  }
}

Azure Policy を使用してデプロイする

多くのサブスクリプションを管理する場合は、Azure Policyを使って大規模にDCRを作成・割り当てしましょう。セキュリティイベント収集用の AMA DCR をデプロイするポリシーイニシアティブは、お使いの環境にセキュリティイベント収集ルールを適用します。

次のステップ

Microsoft Defender for Cloud でデータインジェスト特典を使用する

最終更新: 2026-09-29