Microsoft Sentinel用の SIEM ソリューションを開発する

Microsoft Sentinelソリューションを使用すると、独立系ソフトウェア ベンダー (ISV) とパートナーは、ブック、分析ルール、ハンティング クエリ、プレイブック、パーサーなどの関連するセキュリティ コンテンツを含むデータ コネクタを 1 つのインストール可能なパッケージにバンドルできます。 お客様は、Microsoft Sentinel コンテンツ ハブとAzure Marketplaceからこれらのソリューションを検出してデプロイできます。

Learn

ビルドを開始する前に、次の手順を実行します。

• Microsoft Sentinelについて説明します。 Microsoft Sentinelのしくみ、ソリューションとは何か、顧客がコンテンツ ハブからソリューションを検出してインストールする方法について説明します。 「Microsoft Sentinelとは」を参照し、ソリューション カタログを参照してください。

• ビルドする内容を特定します。 使用するコネクタの種類と、ソリューションに含める SIEM コンテンツ タイプを決定します。 SIEM コンテンツ タイプには、ブック、分析ルール、ハンティング クエリ、プレイブック、パーサーが含まれます。 コネクタの種類に関するガイダンスについては、「データ コネクタの構築」を参照してください。

• ドキュメントを確認します。Microsoft SentinelとMicrosoft Sentinel GitHub Wikiの一般的な投稿ガイドラインを確認します。

• クラウド パートナーになり、パブリッシャー アカウントを作成します。 ソリューションは、Microsoft Partner Centerを通じて公開されます。 ソリューションをAzure Marketplaceに送信するには、発行元アカウントが必要です。 詳細については、「 パートナー センターでコマーシャル マーケットプレース アカウントを作成する」を参照してください。

建築する

ビルド フェーズでは、開発環境を設定し、コネクタとソリューションのコンテンツを作成します。

環境をプロビジョニングする

ビルドする前に、ソリューション コンテンツを作成、テスト、送信できるように開発環境を構成します。

リポジトリをフォークして複製する

Azure-Sentinel リポジトリをフォークして複製するには、次の手順に従います。

1. GitHubで、Azure-Sentinel リポジトリに移動し、[フォーク] を選択します。

2. フォークをローカル コンピューターに複製します。

   git clone https://github.com/<your-github-username>/Azure-Sentinel.git
   cd Azure-Sentinel
   

3. 最新の変更を取り込めるように、upstream リモートを追加します。

   git remote add upstream https://github.com/Azure/Azure-Sentinel.git
   

開発/テスト ワークスペースを設定する

提出する前にコネクタとコンテンツを開発し、検証するには、動作する Microsoft Sentinel ワークスペースが必要です。 Microsoft Sentinel の導入を参照してください。

ワークスペースがプロビジョニングされたら、次のアクセス許可を割り当てます。

• リソースをデプロイおよび管理するための、ワークスペース上の Microsoft Sentinel Contributor
• ワークスペースでカスタム テーブルとデータ収集規則 (DCR) を作成および管理するには、Log Analytics 共同作成者が必要です
• テスト中に ARM テンプレートをデプロイするためのリソース グループの共同作成者

Defender ポータルに登録する

ソリューションのインストールを検証し、Unified Security Operations Platform へのシームレスなインジェストを確実に行い、公開前にエンド ツー エンドでテストするために、ワークスペースを Defender ポータルにオンボードします。 詳細については、 Microsoft Defender ポータルの Microsoft Sentinel を参照してください。

ソリューションを構築する

Microsoft Sentinel ソリューションは、パッケージ 化ツールが配置可能なパッケージに組み立てるコネクタファイルとコンテンツ ファイルのフォルダーです。 フォルダー構造を作成し、パッケージ 化ファイルを追加してから、各コンテンツ タイプをビルドします。

GitHubでソリューション フォルダー構造を作成する

ソリューションのフォルダー構造を設定するには、次の手順に従います。

1. フォークに新しいブランチを作成し、そのブランチに切り替えます。 add-<YourSolutionName>-solution などのわかりやすい名前を使用します。

   git checkout -b add-<YourSolutionName>-solution
   

2. Solutions/の下にソリューション名を含むフォルダーを作成します。

   Solutions/<YourSolutionName>/
   ├── Data/
   │   └── Solution_<YourSolutionName>.json
   ├── SolutionMetadata.json
   ├── ReleaseNotes.md
   ├── Data Connectors/
   ├── Workbooks/
   ├── Analytic Rules/
   ├── Hunting Queries/
   ├── Playbooks/
   └── Parsers/
   

   ファイル/フォルダー	必須	内容
   Data/Solution_<YourSolutionName>.json	必須	ソリューション内のすべてのコンテンツ ファイルを一覧表示し、パッケージ作成ツールを駆動するソリューション マニフェスト
   SolutionMetadata.json	必須	Publisherとマーケットプレースのメタデータ: publisher ID、オファー ID、カテゴリ、サポート情報
   ReleaseNotes.md	必須	バージョン管理された変更履歴テーブル(すべてのパッケージ申請に必要)
   Data Connectors/	Optional	コネクタ JSON ファイル、または関数ベースのコネクタのAzure Functions コード
   Workbooks/	Optional	ワークブックの JSON ファイルと黒/白のプレビュー スクリーンショット
   Analytic Rules/	Optional	YAML 分析ルール テンプレート
   Hunting Queries/	Optional	YAML ハンティング クエリ テンプレート
   Playbooks/	Optional	プレイブック JSON ファイルと Azure Logic Apps のカスタム コネクタ定義
   Parsers/	Optional	YAML Kusto 関数/パーサー定義

   コンテンツ サブフォルダーは省略可能です。 ソリューションに適用されるフォルダーのみを作成します。 すべてのコンテンツ タイプを含める必要はありませんが、最小コンテンツ要件を満たすことで品質スコアが向上します。

   完全なフォルダー構造の例については、リポジトリの Solutions/ フォルダーを開き、既存のソリューションの一部を参照します。

ソリューション パッケージ ファイルを作成する

Data/Solution_<YourSolutionName>.json

このファイルは、V3 パッケージ化ツールを駆動します。 ソリューション内のすべてのコンテンツ ファイルが一覧表示され、 mainTemplate.jsonに組み立てられる方法が制御されます。 各コンテンツ タイプは配列です。 各コンテンツについて、ファイルごとに 1 つのエントリを追加してください。 パッケージ化ツールの詳細については、「ソリューションの パッケージ化」を参照してください。

次の例では、ソリューションに 2 つの分析ルールがあるため、 "Analytic Rules" 配列には 2 つのエントリがあります。 たとえば、プレイブックを作成していない場合は、 "Playbooks" キーをファイルから完全に削除します。

{
  "Name": "Contoso MyProduct",
  "Author": "Contoso - support@contoso.com",
  "Logo": "<img src=\"https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/Logos/contoso.svg\" width=\"75px\" height=\"75px\">",
  "Description": "The Contoso MyProduct solution for Microsoft Sentinel enables you to ingest MyProduct logs into Microsoft Sentinel.",
  "BasePath": "C:/GitHub/Azure-Sentinel/Solutions/Contoso MyProduct",
  "Version": "1.0.0",
  "Metadata": "SolutionMetadata.json",
  "TemplateSpec": true,
  "Data Connectors": [
    "Data Connectors/ContosoMyProduct.json"
  ],
  "Workbooks": [
    "Workbooks/ContosoMyProductWorkbook.json"
  ],
  "Analytic Rules": [
    "Analytic Rules/ContosoMyProductSuspiciousLogin.yaml",
    "Analytic Rules/ContosoMyProductDataExfiltration.yaml"
  ],
  "Hunting Queries": [
    "Hunting Queries/ContosoMyProductThreatHunt.yaml"
  ],
  "Parsers": [
    "Parsers/ContosoMyProduct.yaml"
  ],
  "Playbooks": [
    "Playbooks/ContosoMyProduct-EnrichIncident/azuredeploy.json"
  ]
}

SolutionMetadata.json

このファイルには、パートナー センターの認定時に使用されるマーケットプレースと発行元のメタデータが含まれています。

{
  "publisherId": "contoso",
  "offerId": "contoso-myproduct-sentinel",
  "firstPublishDate": "2026-06-15",
  "lastPublishDate": "2026-06-15",
  "providers": [
    "Contoso"
  ],
  "categories": {
    "domains": [
      "Security - Threat Intelligence"
    ]
  },
  "support": {
    "name": "Contoso",
    "email": "support@contoso.com",
    "tier": "Partner",
    "link": "https://support.contoso.com"
  }
}

publisherId と offerId は、パートナー センターのオファーから取得されます。 support.tier ISV ソリューションの場合は "Partner" する必要があります。 有効な categories.domains 値については、 ソリューション カタログを参照してください。

ReleaseNotes.md

ReleaseNotes.md ファイルには、ソリューションの変更履歴が記録されます。 このファイルは PR チェック中に検証されます。 エントリに不足や形式の誤りがあると、PR は拒否されます。

テーブルには、次の正確なヘッダー名 (太字のマーカーを含む) を含む 3 つの列が含まれている必要があります。

| **Version** | **Date Modified (DD-MM-YYYY)** | **Change History** |
|---|---|---|
| 1.0.1 | 12-06-2026 | Updated analytic rule query to fix false positives. |
| 1.0.0 | 01-06-2026 | Initial solution release. |

検証規則

• バージョン形式: X.Y.Zv プレフィックスを含めないでください。 3つの部分はすべて必須です。
• バージョンは降順に一覧表示され、最初の行に最新のバージョンが表示されます
• 日付形式: ハイフンを使用した DD-MM-YYYY ( YYYY-MM-DDではない)
• 列ヘッダーは、 **bold** マーカーを含め、正確に一致する必要があります
• [変更履歴] セルを空にすることはできません
• タイプミスの修正を含め、バージョンを更新するたびに新しい行を追加する

ReleaseNotes.mdのバージョンは、SolutionMetadata.json、Data/Solution_*.json、Package zip ファイル名のバージョンと一致している必要があります。

ロゴを追加する

リポジトリのルートにある Logos/<YourProductName>.svg にロゴを配置します。 生の GitHub URL を指す HTML Data/Solution_<YourSolutionName>.json タグを使用して、<img> でそれを参照します。

"Logo": "<img src=\"https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/Logos/YourProductName.svg\" width=\"75px\" height=\"75px\">"

SVG ファイルは、次の要件を満たしている必要があります。

クリーンなロゴでは、fill要素を参照しない限り、stroke属性とid属性のみがパス要素に直接使用され、<defs>属性は使用されません。 最小限の有効な例として、 Logos/XBOW.svgを参照してください。

データ コネクタを構築する

AI エージェント ワークフローを使用してコネクタを構築する場合は、次の手順に従う代わりに、Microsoft Sentinelで AI エージェントを使用してカスタム コネクタを作成する方法に関する記事を参照してください。

コネクタの種類を選択する

Microsoft Sentinelは複数のコネクタの種類をサポートしており、その多くは Codeless Connector Framework (CCF) を使用します。 データ ソースと目的のカスタマー エクスペリエンスに最も適したものを選択します。

コネクタ定義をビルドする

詳細なビルド手順は、各コネクタの種類に固有です。 詳細なビルド手順は、各コネクタの種類に固有です。 コネクタの種類 テーブルから選択した種類のガイダンスに従います。 .

各コネクタの種類の参照として、Azure-Sentinel リポジトリ内の次のソリューションを使用します。

コネクタの JSON が完了したら、ソリューション フォルダーの Data Connectors/ サブフォルダーに配置し、 ProviderNameApplianceName.json という名前を付けます (スペースなし)。

コネクタをテストする

コンテンツをビルドする

データ コネクタに加えて、顧客がデータからすぐに価値を得るのに役立つ SIEM コンテンツを使用してソリューションを強化します。 その他の SIEM コンテンツには、次のものが含まれます。

• Workbooks
• 分析ルール
• 探索クエリ
• プレイブック
• パーサー

このコンテンツは省略可能ですが、推奨されます。 最小要件と品質スコアリングについては、ソリューションの品質ガイドラインMicrosoft Sentinel参照してください。

ワークブックを作成

ワークブックは、お客様がデータを理解するのに役立つダッシュボードや視覚化機能です。 ブックを作成するには、「Microsoft Sentinel用のブックを作成する」を参照してください。

ブックのデザインとレイアウトに関するガイダンスについては、Azure-Sentinel リポジトリの次の参照例を参照してください。

• Microsoft Entra ID - AzureActiveDirectorySignins.json
• XBOW - XBOW.json
• パロアルト -PAN-OS - PaloAltoOverview.json

分析ルールを作成する

分析ルールは、データ内の脅威を検出するテンプレートです。 各ルールは YAML ファイルです。 分析ルールを作成するには、「Microsoft Sentinelの分析ルールを作成する」を参照してください。

分析ルールの設計とレイアウトに関するガイダンスについては、Azure-Sentinel リポジトリの次の参照例を参照してください。

• Microsoft Entra ID - FailedLogonToAzurePortal.yaml
• CrowdStrike Falcon - CriticalOrHighSeverityDetectionsByUser.yaml
• XBOW - XbowCriticalHighFindings.yaml

ハンティング クエリを作成する

ハンティング クエリは、お客様がデータ内の脅威を事前に検索するのに役立つテンプレートです。 これらは、アナリストが手動で実行できるように Hunting ブレードに表示されます。 解析規則と同じYAML構造を共有していますが、自動化されていません。スケジュールされた実行フィールドは適用されず、含まれているとレビュー失敗を引き起こします。 ハンティング クエリを作成するには、「Microsoft Sentinelのハンティング クエリを作成する」を参照してください。

ハンティング クエリの設計とレイアウトに関するガイダンスについては、Azure-Sentinel リポジトリの次の参照例を参照してください。

• Okta Single Sign-On - AdminPrivilegeGrant.yaml
• PaloAlto-PAN-OS - Palo Alto - 潜在的なビーコン検出
• Azure Firewall - Azure Firewall - Port.yaml を使ったFirst Time Source IP to Destination

プレイブックを作成する

プレイブックは、お客様がデータ内の脅威に対応するのに役立つ自動応答ワークフローです。 各プレイブックは、ARM テンプレートとしてエクスポートされたAzure Logic Appsワークフローです。 必要な 2 つのファイルはazuredeploy.jsonされ、readme.mdSolutions/<YourSolutionName>/Playbooks/<PlaybookName>/に配置されます。 プレイブックを作成するには、「Microsoft Sentinelのプレイブックを作成する」を参照してください。

プレイブックの設計とレイアウトに関するガイダンスについては、Azure-Sentinel リポジトリの次の参照例を参照してください。

• Microsoft Entra ID - Block-AADUser(インシデント + アラート + エンティティトリガー)
• CrowdStrike Falcon - CrowdStrike_Base(Key Vault + ベースプレイブックパターン)
• Okta Single Sign-On - OktaCustomConnector (カスタム コネクタの ARM テンプレート)

パーサーを作成する

パーサーは、Log Analytics ワークスペースに保存された Kusto 関数で、生のログ データの前に配置され、クリーンでクエリ可能なフィールドに正規化されます。 すべてのクエリでフィールド抽出ロジックを記述する代わりに、パーサー エイリアスを 1 回呼び出し、構造化された結果を取得します。 パーサーは YAML ファイルとして定義され、顧客がソリューションをインストールすると自動的にデプロイされます。 パーサーを作成するには、「Microsoft Sentinelのパーサーを作成する」を参照してください。

パーサーの設計とレイアウトに関するガイダンスについては、Azure-Sentinel リポジトリの次の参照例を参照してください。

• Cloudflare CCF - Cloudflare.yaml
• クラウドストライク・ファルコン - CrowdStrikeReplicatorV2.yaml

パッケージをテストする

テストは パッケージに従→デプロイ→、→検証サイクルを有効にします 。 作成したコンテンツの量に関係なく、サイクルは同じです。 V3 パッケージ 化ツールは、ソリューション ファイルをデプロイ可能な ARM テンプレート (mainTemplate.json) に変換します。 テンプレートをMicrosoft Sentinel開発ワークスペースにデプロイし、各コンテンツ タイプを有効にして、PR を送信する前に機能することを確認します。

ビルド時にこのサイクルを繰り返します。 テストを開始する前にすべてのコンテンツ タイプを完了する必要はありません。 各コンテンツ タイプを完了したらパッケージ化して展開し、動作することを確認してから、さらにコンテンツを追加して再パッケージ化します。

ソリューションにデータ コネクタが含まれている場合は、分析ルールやブックなどの依存コンテンツを構築する前に、まずコネクタをテストします。 すべての SIEM コンテンツは、適切なスキーマを使用して適切なテーブルに流れ込むデータに依存します。 コネクタが機能しない場合、またはスキーマがルールで想定されているものと一致しない場合は、依存コンテンツを再作業する必要があります。 時間を節約するために、最初にデータが流れていることを確認します。

ソリューションをパッケージ化する

Microsoft Sentinel ソリューション コンポーネントを開発してテストした後、パッケージ化はソリューション ライフサイクルの次の重要なステップです。 パッケージ 化ツールは、すべてのソリューション コンテンツ (データ コネクタ、パーサー、ブック、分析ルール、ハンティング クエリ、Azure Logic Apps カスタム コネクタ、プレイブック) を、デプロイ用の標準化された形式に統合します。 詳細については、「Microsoft Sentinelの SIEM ソリューションをパッケージ化する」を参照してください。

市場へ移動

[ライブに移行] を選択すると、ソリューションは一般公開される前に最終的な認定チェックを受けます。 認定後、ソリューションはMicrosoft Sentinel コンテンツ ハブに一覧表示され、すべての顧客テナントの [コンテンツ ハブ] の下の Sentinel ワークスペースに表示されます。 また、Azure Marketplaceでも見つけることができます。 このソリューションは、すべてのMicrosoft Sentinelユーザーが利用できるようになりました。 詳細については、「Microsoft SentinelへのSIEMソリューション公開」をご覧ください。

この時点から、コンテンツの変更、バグ修正、バージョンのバンプなど、ソリューションの更新には、新しいGitHub PR、新しいパッケージ バージョン、更新された zip を含む新しいパートナー センターの申請が必要です。 発行後の状態とサポートの問題の追跡については、「 パートナー センターでの発行後のソリューションの追跡」を参照してください。

関連するコンテンツ

• Microsoft Sentinelの SIEM ソリューションをパッケージ化します。
• Microsoft Sentinel 用のコードレス コネクタを作成する
• Microsoft Sentinel ソリューション カタログ
• Microsoft Sentinelの一般的な投稿ガイドライン