アラートを監視ソリューションにストリーミングする

Microsoft Defender for Cloudは、さまざまなセキュリティ情報・イベント管理(SIEM)、セキュリティオーケストレーション自動応答(SOAR)、ITサービス管理(ITSM)ソリューションにセキュリティアラートをストリーミングできます。 リソース上で脅威が検出されると、セキュリティ アラートが生成されます。 Defender for Cloudはアラートの優先順位を付け、アラートページに一覧化し、問題を迅速に調査するために必要な情報も提供しています。 検出された脅威を修復するのに役立つ詳細な手順が提供されます。 すべてのアラート データは 90 日間保持されます。

以下のソリューションでアラートデータを閲覧できるように、組み込みのAzureツールが利用可能です:

  • Microsoft Sentinel
  • Splunk Enterprise（スプランク・エンタープライズ）とSplunk Cloud（スプランク・クラウド）
  • Power BI
  • ServiceNow
  • IBM QRadar
  • Palo Alto Networks
  • ArcSight
  • Dynatrace

Defender XDR API を使ってアラートを Defender XDR にストリーミングする

Defender for Cloudは、Microsoft Defender XDRとネイティブに連携しており、Defender XDRのインシデントおよびアラートAPIを使って、Microsoft以外のソリューションにアラートやインシデントをストリーミングできます。 Defender for Cloud のお客様は、すべての Microsoft Security 製品に対して 1 つの API にアクセスでき、この統合をアラートとインシデントを簡単にエクスポートする方法として使用できます。

SIEM ツールを Defender XDR と統合する方法について確認します。

Microsoft Sentinel にアラートをストリーミングする

Defender for Cloudは、AzureのクラウドネイティブなSIEMおよびSOARソリューションであるMicrosoft Sentinelとネイティブに統合されています。

Microsoft Sentinel の Defender for Cloud 用コネクタ

Microsoft Sentinel には、サブスクリプション レベルとテナント レベルで Microsoft Defender for Cloud 用の組み込みコネクタが含まれています。

次のようにすることができます。

Defender for Cloud を Microsoft Sentinel に接続すると、Microsoft Sentinel に取り込まれた Defender for Cloud アラートの状態が 2 つのサービス間で同期されます。 たとえば、Defender for Cloud でアラートが閉じられた場合、そのアラートは Microsoft Sentinel でも閉じられたものとして表示されます。 Defender for Cloud でアラートの状態を変更すると、Microsoft Sentinel のアラートの状態も更新されます。 ただし、同期された Microsoft Sentinel アラートを含む Microsoft Sentinel インシデントの状態は更新されません。

双方向アラート同期機能を有効にして、元の Defender for Cloud アラートの状態を、Defender for Cloud アラートのコピーを含む Microsoft Sentinel インシデントと自動的に同期できます。 例えば、Defender for Cloudのアラートを含むMicrosoft Sentinelインシデントを閉じると、Defender for Cloudは対応する元のアラートを自動的に閉じます。

Microsoft Defender for Cloud からアラートを接続する方法に関するページを参照してください。

すべての監査ログの Microsoft Sentinel へのインジェストを構成する

また、監査ログをMicrosoft Sentinelにストリーミングすることで、Microsoft SentinelのDefender for Cloudアラートを調査することもできます。

ヒント

Microsoft Sentinel Microsoft Sentinelで分析し、Azure Monitor Log Analyticsワークスペースに保存するために取り込むデータ量に基づいて請求します。 Microsoft Sentinelは、柔軟で予測可能な価格モデルを提供します。 詳細については、Microsoft Sentinel の価格ページを参照してください。

QRadar と Splunk にアラートをストリーミングする

セキュリティ アラートを Splunk および QRadar にエクスポートするには、Event Hubs と組み込みコネクタを使う必要があります。 PowerShell スクリプトまたは Azure portal を使用して、サブスクリプションまたはテナントのセキュリティ アラートをエクスポートするための要件を設定できます。 要件を設定したら、この記事の後半で説明する QRadar または Splunk の手順に従って、SIEMプラットフォームにコネクタを取り付けてください。

前提条件

Azureサービスでアラートをエクスポートする前に、以下を確認してください:

  • Azure サブスクリプション (無料アカウントを作成する)

  • Azure リソース グループ (リソース グループの作成)

  • アラートの範囲(サブスクリプション、管理グループ、またはテナント)における所有者の役割、または以下の特定の権限:

    • イベント ハブと Event Hubs ポリシーの書き込みアクセス許可
    • 既存の Microsoft Entra アプリケーションを使用していない場合は、Microsoft Entra アプリケーションのアクセス許可を作成します
    • Azure Policy 'DeployIfNotExist' を使用している場合は、ポリシーのアクセス許可を割り当てます

Azure サービスを設定する

PowerShellスクリプトかAzureポータルを使って、Azure環境を継続エクスポートをサポートするように設定してください。

PowerShellスクリプトを使ってAzureサービスを設定するには、以下の手順に従ってください:

  1. Defender for Cloudのサードパーティ製SIEM統合PowerShellスクリプトをダウンロードして実行してください。

  2. 必要なパラメーターを入力します。

  3. スクリプトを実行します。

スクリプトではすべての手順を実行します。 スクリプトが完了したら、出力を使ってソリューションを SIEM プラットフォームにインストールします。

Azure ポータルを使用する

Azureポータルで必要なリソースを作成するには、以下の手順に従ってください:

  1. Azure portal にサインインする

  2. イベントハブを検索して選択してください。

  3. Event Hubs 名前空間とイベント ハブを作成します。

  4. Send アクセス許可を持つイベント ハブのポリシーを定義します。

    • QRadarにアラートを配信している場合:

      1. イベント ハブ Listen ポリシーを作成します。
      2. QRadar で使うポリシーの接続文字列をコピーして保存します。
      3. コンシューマー グループを作成します。
      4. SIEM プラットフォームで使う名前をコピーして保存します。
      5. 定義されたイベント ハブへのセキュリティ アラートの継続的なエクスポートを有効にします。
      6. ストレージ アカウントを作成します。
      7. QRadar で使うアカウントに接続文字列をコピーして保存します。

      QRadarの設定についての詳細は、「SplunkおよびQRadarへのエクスポートのためのAzureリソース準備」をご覧ください。

    • Splunkにアラートをストリーミングしている場合:

      1. Entraアプリケーションを作成しましょう。
      2. テナント、アプリ ID、アプリパスワードを保存します。
      3. 以前作成したイベントハブからEntraアプリケーションに読み込みの権限を与えてください。

      Splunkの設定についての詳細は、「Prepare Azure resources for exporting to Splunk and QRadar」をご覧ください。

組み込みコネクタを使用して、イベント ハブを任意のソリューションに接続する

各SIEMプラットフォームにはイベントハブからのアラートを受け取るツールがあります。 プラットフォーム用のツールをインストールして、アラートの受信を開始します。

ツール Azure 上でホストされています Description
IBM QRadar No Microsoft Azure DSMおよびMicrosoft Azure Event Hubsプロトコルは、IBM QRadar DSM Guide for Microsoft Azure platformからダウンロード可能です。
Splunk No Microsoft Cloud Services 用の Splunk アドオンは、Splunkbase で使用できるオープン ソース プロジェクトです。

プロキシの使用時や Splunk Cloud での実行時など、アドオンをご自分の Splunk インスタンスにインストールできない場合は、イベント ハブの新着メッセージによりトリガーされる Splunk 向け Azure 関数を使用して、Splunk HTTP イベント コレクターにこれらのイベントを転送できます。

継続的なエクスポートを使用してアラートをストリーミングする

ArcSight、SumoLogic、Syslog サーバー、LogRhythm、Logz.io Cloud Observability Platform、Dynatrace、およびその他の監視ソリューションにアラートをストリーミングするには、継続的エクスポートと Azure Event Hubs を使用して Defender for Cloud を接続します。

注

テナントレベルでアラートをストリーミングするには、この Azure policy を使用し、ルート管理グループでスコープを設定します。 「Defender for Cloud のアクセス許可: Microsoft Defender for Cloud のアラートと推奨事項のイベント ハブにエクスポートを展開する」で説明されているように、ルート管理グループのアクセス許可が必要です。

連続エクスポートでアラートをストリーミングするには:

  1. 連続エクスポートを有効にします。

  2. 組み込みコネクタを使用して、イベント ハブを任意のソリューションに接続します。

    ツール Azure 上でホストされています Description
    スモロジック No 「イベント ハブから Azure 監査アプリのログを収集する」で、イベント ハブのデータを使用するように SumoLogic を設定する手順が説明されています。
    ArcSight No ArcSight スマート コネクタ コレクションの一部として、ArcSight Azure イベント ハブ スマート コネクタが提供されています。
    Syslog サーバー No Azure Monitor データを Syslog サーバーに直接ストリーム配信したい場合は、Azure 関数ベースのソリューションを使用できます。
    LogRhythm No イベントハブからログを収集するためのLogRhythmの設定手順は、「Azureクラウド環境のセキュリティのための6つのヒント」でご覧いただけます。
    Logz.io Yes 詳細については、Azure で実行される Java アプリ用の Logz.io を使用した監視とログ記録の概要に関するページを参照してください。
    Dynatrace No Dynatrace で統合を設定する手順については、「Microsoft Defender for Cloud セキュリティ イベントの取り込み」を参照してください

  3. (省略可能) 未加工のログをイベント ハブにストリーミングし、任意のソリューションに接続します。 「使用可能なデータの監視」で詳細を確認してください。

エクスポートされたデータ型のイベント スキーマを表示するには、 Event Hubs イベント スキーマにアクセスします。

Microsoft Graph Security API を使って、Microsoft 以外のアプリケーションにアラートをストリーミングする

Defender for CloudにはMicrosoft Graph Security APIとの組み込み統合が含まれており、追加の設定要件なしでアラートをストリーミングできます。

このAPIを使って、テナント全体や多くのMicrosoft Security製品からのアラートを非Microsoft SIEMやその他の人気プラットフォームにストリーミングできます:

注

アラートをエクスポートするために推奨される方法は、クラウド データの Microsoft Defender を継続的にエクスポートすることです。

関連するコンテンツ

  • 最終更新: