Microsoft SentinelおよびDefenderでのデータ管理

Microsoft Defenderポータルは、Microsoft SentinelおよびMicrosoft Defender XDRのデータ管理のための集中型体験を提供します。 Data & Connectorsの体験は、コネクタ管理、テーブル管理、変換、インジェスションの健康管理を一つのビューに統合し、別々のページ間を移動することなくセキュリティデータを理解し最適化できます。

この記事では、Data & Connectorsの体験を紹介し、Microsoft SentinelおよびMicrosoft Defender XDRでデータ管理に使う方法を説明します。 関連するタスクについては、ご覧ください：

• Microsoft SentinelまたはMicrosoft Defender XDRにデータを送信するようにデータ コネクタを構成します。
• 既存のテーブルとデータを管理します。

Microsoft Defender ポータルのデータとコネクタ (プレビュー)

Data & connectors のエクスペリエンスは、コネクタ管理、テーブル管理、変換、インジェストの正常性監視を Microsoft Defender ポータル内の単一のビューにまとめています。 別々のページを移動することなく、Microsoft Sentinelのデータを理解し管理するために使えます。

エクスペリエンスを開くには、Microsoft Defender ポータルで セットアップ & 構成データ & コネクタ を選択してください。 ページには3つのタブがあります:

• 概要タブ — ワークスペース レベルの取り込み正常性ダッシュボード。
• コネクター タブ — クラシックな Sentinel コネクタや統合コネクタを含む、データ コネクタの一元管理された一覧。
• テーブルタブ — テーブル管理、スキーマ探索、変換、保持。

Prerequisites

プレビューで Data & Connectors のエクスペリエンスを利用するには、以下が必要です:

• Microsoft Defenderポータルで統合ロールベースアクセス制御(URBAC)が有効化されました。
• Data(管理)権限は、Data Operations権限グループ内の権限です。
• Log Analytics Contributorに相当するワークスペース権限には以下が含まれます:
  • Microsoft.OperationalInsights/workspaces/write
  • Microsoft.OperationalInsights/workspaces/tables/write

既知の制限

プレビューには以下の制限があります:

• テーブル詳細パネルのデータ ソースタブは、フェデレーテッドテーブルのみに表示されます。 他のテーブルタイプのサポートも計画されています。
• データ&コネクタ エクスペリエンスは商用クラウドでのみ利用可能です。 米国政府や中国を含む主権クラウドはサポートされていません。

[概要] タブ

概要タブはワークスペースレベルのダッシュボードで、取り込みの健全性シグナルを表示し、検出に影響を与える前に問題に対処できるようにします。 時間帯とワークスペースでフィルターを使い、ダッシュボードの表示対象を絞り込んでください。

[概要] タブには次のものが含まれます。

• インジェスションボリューム — 選択した期間の範囲で、AnalyticsティアとData Lakeティアで分割された1日あたりの取り込み量。
• 対応が必要なコネクタ — 認証情報エラー、インジェスト失敗、または障害が発生しているコネクタ、エラーの種類、過去24時間の故障回数、そして最後に成功したインジェスト。
• テーブルの取り込み量の変動 — 前週の同日と比べて予想外のボリューム変化があったテーブルで、急増と減少に分けてグループ化されます。 変動の閾値を調整できます。
• テーブルごとのデータインジェストボリューム — 日次ボリュームでランク付けされた上位のインジェスト テーブルを表示し、インジェスト コストを左右する高ボリューム テーブルを特定しましょう。
• テーブルごとのインジェスション遅延 — 環境内でのデータ生成と利用可能の間の時間であり、コネクタのスロットリングやソース側の遅延を特定します。

［コネクター］タブ

コネクター タブは、統合データ コネクタとSentinel クラシック データ コネクタを1つのインベントリにまとめています。 コネクタの健康状態を確認したり、新しいコネクタを追加したり、コネクタの詳細ビューを開くために使えます。

コネクタータブには以下が含まれます:

• 統一コネクターインベントリ — すべてのオンボード済みのコネクター、ステータス、プロバイダー、コンテンツソース、利用可能なアップデートを含みます。
• ユニファイド コネクタとクラシック コネクタの切り替え — クラシック コネクタ セレクターを使って、ユニファイド コネクタ カタログと、Codeless Connector Framework (CCF) で構築されたコネクタを含む Sentinel クラシック データ コネクタ のインベントリを切り替えます。
• プロバイダー、データ型、ステータスでフィルタリング — 特定のコネクターを素早く見つけるためにリストを絞り込みましょう。
• データオンボーディングアシスタント — 新しいコネクターを追加するガイド付きフロー。
• カスタムコネクタを作成 — コネクタータブから新しいカスタムコネクタの作成を開始します。

テーブル タブ

Microsoft SentinelやMicrosoft Defender XDRに集めたデータはテーブルに保存されます。 テーブルタブは、テーブルの閲覧、取り込みの健全性の確認、スキーマや変換のチェック、データに関連する保持期間やストレージコストの管理を行う場所です。

Microsoft Defender ポータルで管理できるテーブルはどれですか?

このセクションでは、Microsoft Defender ポータルで管理できるテーブルの種類について説明します。

データ階層とデータ保持の仕組み

データは、次の 2 つの層のいずれかでMicrosoft Sentinelに保持できます。

• 分析レベル: このレベルでは、アラート、ハンティング、ブック、およびすべてのMicrosoft Sentinel機能でデータを使用できます。 次の 2 つの状態でデータが保持されます。

  • 分析のリテンション期間: この "ホット" 状態では、データは、ハイ パフォーマンス クエリ、分析ルール、脅威ハンティングなど、リアルタイム分析に完全に使用できます。 既定では、Microsoft SentinelとMicrosoft Defender XDRは、この層のデータを 30 日間保持します。 すべてのテーブルの保持期間は、月割りの按分による長期保存料金を支払うことで、最長 2 年まで延長できます。 Microsoft Sentinel ソリューション テーブルの保持期間を無料で 90 日間に延長できます。
  • 総保有期間: 既定では、分析レベルのすべてのデータは、同じ保有期間のデータ レイクにミラーリングされます。 分析リテンション期間を超えて、レイク内のデータの保持期間を最大 12 年間、低コストで拡張できます。

• Data Lakeレベル: この低コストの "コールド" レベルでは、Microsoft Sentinelはdata lakeにのみデータを保持します。 Data Lakeレベルのデータは、リアルタイムの分析機能や脅威ハンティングでは使用できません。 ただし、 KQL ジョブを使用して必要なときにいつでもレイク内のデータにアクセスしたり、スケジュールされた KQL または Spark ジョブを実行して時間の経過に伴う傾向を分析したり、サマリー ルールを使用して受信データからの分析情報を定期的に集計したりできます。

• XDR データ: 既定では、Microsoft Defender XDR脅威ハンティング データは常に Analytics レベルで 30 日間使用できます。 このデータの保持期間は、Analytics レベルで最大 90 日間まで延長できます。これにより、インジェスト コストが発生しますが、ストレージは無料のままです。 Analytics レベルで 90 日を超えてリテンション期間を延長すると、ストレージ コストも発生します。 Data Lake 層にのみ取り込むこともできますが、データは Analytics レベルで 30 日間使用できます。 XDR データを Data Lake 層に直接取り込む方がコスト効率は高くなりますが、インジェスト、ストレージ、処理のコストが伴います。 このオプションでは、お客様は引き続き 30 日間分のデータを追加コストなしで Analytics レベルで取得できます。

AnalyticsティアとData Lakeティアの違いについては、「Compare the Analytics and data lake tiers」をご覧ください。

以下の図は、Analytics、Data Lake、XDRのデフォルトティアの保持コンポーネントと、それぞれのティアに適用されるテーブルタイプを示しています。

Microsoft Sentinel データ レイクの詳細については、「data lake Microsoft Sentinelとは」を参照してください。

Table Insights を使用してテーブルレベルの可観測性を実現する

テーブル タブのテーブル インサイトは、選択した Microsoft Sentinel ワークスペースのテーブル レベルでのインジェストの正常性を理解するのに役立ちます。 これは、レベルまたはリテンション期間の設定を変更する前にインジェストとコストのパターンを識別できるように、迅速な監視シグナルを提供します。

テーブルインサイトシグナルは、Tables タブの2か所に表示されます:

• ページ上部の要約タイルにはワークスペースレベルのカウントが表示され、テーブル数やAnalyticsティア、Data Lakeティア、XDRデフォルトティアへの分布状況も含まれています。
• テーブルグリッドの列には 、各テーブルごとの健康信号が表示されます。以下のようなものがあります:
  • 最後に受信したデータ
  • 1日あたりの平均取り込み量
  • 1 日あたりの推定インジェスト コスト
  • ボリューム異常（前週比の取り込み量の変動）

グリッドの列を使って、テーブルを並べて比較し、並べ替えやフィルターを行います。 これらの信号を組み合わせてコネクタの故障を検出し、コストの急騰を調査し、新しいコネクタのオンボーディングを検証し、保持期間とティアの適正化候補を特定します。

セットアップ、アクセス、および解釈のガイダンスについては、「Microsoft Sentinelでテーブル設定を構成する」を参照してください。

表詳細パネル

テーブル タブでテーブルを選択して、テーブルの詳細パネルを開きます。 パネルは選択したテーブルのスキーマ、変換、保持期間情報を統合します。 これには次のタブが含まれます。

分析レベルとデータ レイク層を比較する

次の表は、Analytics レベルと Data Lake レベルとその主な特性を比較しています。

テーブル設定を変更するとどうなりますか

テーブルの階層と保持の設定はいつでも切り替えることができます。

テーブルの階層を Analytics から Data Lake に変更すると、リアルタイム分析クエリとハンティング クエリはすべて機能しなくなります。

テーブルの合計リテンション期間を短縮すると、Microsoftはデータを削除する前に 30 日間待機するため、変更を元に戻し、構成エラーが発生した場合のデータ損失を回避できます。

合計リテンション期間を増やすと、新しい保持期間は、既にテーブルに取り込まれ、まだ削除されていないすべてのデータに適用されます。

既存のデータを使用してテーブルの分析保持設定を変更すると、変更はすぐに有効になります。

例:

• 分析レベルには、180 日間の分析リテンション期間のテーブルがあります。 既定では、合計リテンション期間も 180 日に設定されます。
• 分析のリテンション期間を 90 日に変更すると、合計リテンション期間は変更されず、180 日のままです。
• Microsoft Sentinel、過去 90 日間のデータを分析リテンション期間から自動的に削除しますが、90 ~ 180 日経過したデータは引き続き Data Lake レベルに格納されます。

Microsoft Sentinelで XDR データを管理する

既定では、Microsoft Defender XDRは、脅威ハンティング データを XDR の既定のレベルに 30 日間保持します。 このデータは、既定では Analytics または Data Lake レベルには取り込まれません。 サポートされている XDR テーブルのリテンション期間を 30 日から最大 90 日まで延長する場合、Sentinel インジェスト コストは適用されますが、追加のストレージ コストは発生しません。 テーブルは、Analytics レベルの Microsoft Sentinel ワークスペースに作成され、Data Lake 層にミラー化されます。

Azure ポータルで Microsoft Sentinel XDR コネクタを有効にすると、セットアップ時に選択したテーブルが自動的に Analytics 層に取り込み、Data Lake層にミラー化されます。 既定のリテンション期間は 30 日で、最大 12 年間延長できます。 テーブルの一覧については、「Microsoft Sentinelとの統合Microsoft Defender XDR」を参照してください。 コネクタのデプロイ中に選択しなかったサポートされている XDR テーブルを Analytics 層に取り込み、リテンション期間を 30 日以上に設定することで、Data Lake層にミラー化できます。

Microsoft Sentinel XDR コネクタを有効にしない場合、XDR テーブルは自動的に取り込まれませんが、Microsoft Defender ポータルで Analytics または Data Lake レベルのリテンション期間を 30 日以上に設定することで、それらを取り込むことができます。

リテンション期間の設定を構成するときに Data Lake レベル オプションを選択することで、サポートされている XDR テーブルを Data Lake 層にのみ取り込むことができます。 詳細については、「 データ保持と階層化の構成」を参照してください。

アナリティクス層へのデータの取り込みを止めるには、アナリティクスの保持期間と合計保持期間をデフォルトの30日にリセットしてください。

テーブルとデータの管理の詳細については、「既存のテーブル とデータを管理する」を参照してください。

XDR データの保持とコスト

次の表は、Microsoft Sentinelのさまざまなレベルの無料保有期間とコストへの影響をまとめたものです。

課金とコストの詳細については、「Microsoft Sentinelの完全な課金モデルを理解する」を参照してください。

次の例では、XDR データは、分析レベルまたはデータ レイク層の保持設定に関係なく、少なくとも 30 日間の高度な検索を通じて使用できます。

次のステップ

次の詳細情報をご確認ください:

• ログ テーブル層と保持設定の構成
• 特定の条件に一致するデータを取得する検索ジョブの作成