Azure Functionsを使用してデータ ソースにMicrosoft Sentinelを接続する

Azure Functionsを PowerShell や Python などのさまざまなコーディング言語と組み合わせて使用して、互換性のあるデータ ソースの REST API エンドポイントへのサーバーレス コネクタを作成できます。 Azure Function Apps を使用すると、Microsoft Sentinel をデータ ソースの REST API に接続してログを取り込むことができます。

この記事では、Azure Function Apps を使用するためのMicrosoft Sentinelを構成する方法について説明します。 また、ソース システムを構成する必要があり、ポータルの各データ コネクタのページ、またはサービスのセクションにあるベンダー固有および製品固有の情報リンクをMicrosoft Sentinel データ コネクタのリファレンス ページで見つけることができます。

注:

  • Microsoft Sentinelに取り込まれたデータは、Microsoft Sentinelを実行しているワークスペースの地理的な場所に格納されます。

    長期保有のために、 補助ログなどのログの種類にデータを格納することもできます。 詳細については、「Microsoft Sentinelのログ保持プラン」を参照してください。

  • Azure Functionsを使用してデータをMicrosoft Sentinelに取り込む場合、追加のデータ インジェスト コストが発生する可能性があります。 詳細については、「Azure Functions価格」ページを参照してください。

前提条件

Azure Functionsを使用してデータ ソースにMicrosoft Sentinel接続し、そのログをMicrosoft Sentinelにプルする前に、次のアクセス許可と資格情報があることを確認します。

データ ソースを構成して接続する

以下の手順に従ってAPI認証を取得し、コネクタを展開し、関連するAzure Function Appの設定を行います。

注:

  • ワークスペースと API 承認キーまたはトークンは、Azure Key Vaultに安全に格納できます。 Azure Key Vaultは、キー値を格納および取得するための安全なメカニズムを提供します。 詳細については、「Azure App ServiceとAzure FunctionsのKey Vault参照を使用する」を参照してください。

  • 一部のデータ コネクタは、 Kusto 関数 に基づいてパーサーに依存し、期待どおりに動作します。 Kusto 関数とエイリアスを作成する手順へのリンクについては、「Microsoft Sentinel データ コネクタのリファレンス ページ」のサービスのセクションを参照してください。

Azure Functions ランタイム構成

注:

Azure Functionsを使用するMicrosoft Sentinel コネクタには、プリコンパイル済みの Python 依存関係が含まれます。 Python バージョンを含む Azure Function App ランタイムは、ソリューション Azure Resource Manager (ARM) テンプレートで事前構成されているため、変更しないでください。

手順 1: ソース システムの API 資格情報を取得する

ソース システムの指示に従って 、API 資格情報/承認キー/トークンを取得します。 後で使用できるように、テキスト ファイルにコピーして貼り付けます。

必要な正確な資格情報の詳細と、それらを検索または作成するための製品の手順へのリンクは、ポータルのデータ コネクタ ページと、Microsoft Sentinel データ コネクタリファレンス ページのサービスのセクションにあります。

また、ソース システムでログやその他の設定を構成する必要がある場合もあります。 設定手順については、ポータル内のデータコネクターページおよびMicrosoft Sentinelデータコネクターの参考ページにあるサービスに関するセクションをご覧ください。

手順 2: コネクタと関連付けられているAzure関数アプリをデプロイする

デプロイ オプションを選択する

ARMテンプレート展開メソッドは、Azure関数ベースのコネクタを自動展開します。

  1. Microsoft Sentinel ポータルで、[データ コネクタ] を選択します。 一覧から Azure Functions ベースのコネクタを選択し、[コネクタ ページを開く] を選択します。

  2. [構成] で、Microsoft Sentinelワークスペース ID と主キーをコピーし、別に貼り付けます。

  3. [Deploy to Azure] を選択します。 (下にスクロールしてボタンを見つける必要がある場合があります)。

  4. [ カスタム デプロイ] 画面が表示されます。

    • Function App をデプロイする サブスクリプション、 リソース グループ、 リージョン を選択します。

    • 保存したAPIの認証情報/認証キー/トークンを入力します。「 Get Your source System's API credential」です。

    • コピーして脇に置いたMicrosoft Sentinelワークスペース ID とワークスペース キー (主キー) を入力します。

      注:

      上記のいずれかの値Azure Key Vaultシークレットを使用する場合は、文字列値の代わりに @Microsoft.KeyVault(SecretUri={Security Identifier}) スキーマを使用します。 詳細については、「Azure App ServiceとAzure FunctionsのKey Vault参照を使用する」を参照してください。

    • カスタム デプロイ 画面で、フォームの他のフィールドに必要事項を入力します。 ポータルのデータ コネクタ ページ、または Microsoft Sentinel データ コネクタ リファレンス ページ内のご利用のサービスのセクションを参照してください。

    • [確認 + 作成] を選びます。 検証が完了したら、[作成] を選択 します。

データを検索する

接続が正常に確立されると、[CustomLogs] の下の [ログ] にデータが表示され、[Microsoft Sentinel データ コネクタ] リファレンス ページのサービスのセクションに一覧表示されているテーブルに表示されます。

データのクエリを実行するには、Microsoft Sentinel データ コネクタのリファレンス ページ (または関連する Kusto 関数エイリアス) に、サービスに一覧表示されているテーブル名のいずれかをクエリ ウィンドウに入力します。

便利なサンプル クエリについては、コネクタ ページの [ 次の手順 ] タブを参照してください。

接続を検証する

Log Analytics にログが表示されるまで、最大で 20 分かかる場合があります。

関連するコンテンツ

このドキュメントでは、Azure Functions ベースのコネクタを使用してMicrosoft Sentinelをデータ ソースに接続する方法について説明しました。 Microsoft Sentinelの可視性、脅威検出、監視に関する詳細は、以下の記事をご覧ください。

  • Last updated on