Microsoft Sentinel脅威インテリジェンスを使用する

脅威インテリジェンスの作成と管理を合理化することで、脅威の検出と修復を加速します。 この記事では、Defender ポータルまたはAzure portalのMicrosoft Sentinelからアクセスする場合でも、管理インターフェイスで脅威インテリジェンス統合を最大限に活用する方法について説明します。

• 構造化された脅威情報式 (STIX) を使用して脅威インテリジェンス オブジェクトを作成する
• 脅威インテリジェンスを表示、キュレーション、視覚化して管理する

前提条件

• 脅威インテリジェンスを管理するには、ユーザー アカウントに割り当てられているMicrosoft Sentinel共同作成者以上のロールのアクセス許可が必要です。
• 脅威インテリジェンスをインポートおよびエクスポートするには、「STIX/TAXII を使用してMicrosoft Sentinelで脅威インテリジェンスをインポートおよびエクスポートする」で説明されているように、脅威インテリジェンス ソリューションをMicrosoft Sentinelにインストールし、関連するコネクタを有効にする必要があります。

管理インターフェイスにアクセスする

Defender ポータルまたは Azure ポータルから脅威インテリジェンス管理インターフェイスにアクセスします。 ナビゲーションパスはポータルによって異なりますが、管理インターフェースに到達すると作成と管理の手順は同じです。

脅威インテリジェンスを作成する

管理インターフェイスを使用して STIX オブジェクトを作成し、インジケータータグ付けやオブジェクト間の接続の確立など、他の一般的な脅威インテリジェンス タスクを実行します。

• 新しい STIX オブジェクトを作成するときにリレーションシップを定義します。
• 重複する機能を使用して、新しい TI オブジェクトまたは既存の TI オブジェクトからメタデータをコピーして、複数のオブジェクトをすばやく作成します。

サポートされている STIX オブジェクトの詳細については、「Microsoft Sentinelの脅威インテリジェンス」を参照してください。

新しい STIX オブジェクトを作成する

管理インターフェイスで新しい STIX オブジェクトを作成するには、次の手順を実行します。

1. 新規追加>TI オブジェクト を選択します。

   

2. [オブジェクトの種類] を選択し、[新しい TI オブジェクト] ページのフォームに入力します。 必須フィールドには、赤いアスタリスク (*) が付いています。

3. TI オブジェクトに対して、秘密度値または トラフィック ライト プロトコル (TLP) の評価を指定することを検討してください。 感度値やTLP評価が何を意味するかの詳細については、「 Curate threat intelligence」をご覧ください。

4. このオブジェクトと別の脅威インテリジェンス オブジェクトとの関係がわかっている場合は、 リレーションシップの種類 と ターゲット参照との接続を示します。

5. 個々のオブジェクトに対して [追加] を選択するか、同じメタデータを使用してさらに項目を作成する場合は [追加して複製 ] を選択します。 [追加と複製] を選択すると、各 STIX オブジェクトの共通メタデータ セクションが新しいオブジェクトにコピーされます。

脅威インテリジェンスを管理する

インジェスト ルールを使用してソースから TI を最適化します。 リレーションシップ ビルダーを使用して既存の TI をキュレーションします。 管理インターフェイスを使用して、検索、フィルター、並べ替えを行い、脅威インテリジェンスにタグを追加します。

インジェスト ルールを使用して脅威インテリジェンス フィードを最適化する

TI フィードからのノイズを減らし、価値の高いインジケーターの有効性を拡張し、受信オブジェクトに意味のあるタグを追加します。 これらのタスクはインジェストレーションルールのユースケースの一部に過ぎません。 高い値のインジケーターで Valid until 日付を拡張する手順を次に示します。

1. [ インジェスト ルール ] を選択すると、新しいページ全体が開き、既存のルールが表示され、新しいルール ロジックが作成されます。

   

2. ルールのわかりやすい名前を入力します。 インジェスト ルール ページには、名前に関する十分なルールがありますが、ルールを編集せずに区別できる唯一のテキスト説明です。

3. [オブジェクトの種類] を選択します。 インジケーター妥当性の拡張の例は、Indicatorオブジェクトタイプにのみ利用可能なValid fromプロパティに基づいています。

4. Sourceに対してEqualsし、高い値のSourceを選択します。

5. 条件を追加し、ConfidenceGreater than or equalのConfidenceスコアを入力します。

6. [アクション] を選択します。 ルールはマッチングインジケーターを修正すべきなので、 Editを選択します。

7. の Valid until を選択し、Extend by で日数単位の期間を選択します。

8. Extendedなど、これらのインジケーターに配置された高い値を示すタグを追加することを検討してください。 オブジェクトの Modified 日付フィールドはインジェスションルールで更新されません。

9. ルールを実行するOrderを選択します。 ルールは、最も低い順序の数値から最も高い順に実行されます。 各ルールは、取り込まれたすべてのオブジェクトを評価します。

10. ルールを有効にする準備ができたら、[ 状態] を [オン] に切り替えます。

11. [ 追加] を選択 してインジェスト ルールを作成します。

詳細については、「 脅威インテリジェンス インジェスト ルール」を参照してください。

リレーションシップ ビルダーを使用して脅威インテリジェンスをキュレーションする

脅威インテリジェンス オブジェクトをリレーションシップ ビルダーに接続します。 ビルダーには一度に最大 20 個のリレーションシップがありますが、複数のイテレーションを行い、新しいオブジェクトのリレーションシップ ターゲット参照を追加することで、より多くの接続を作成できます。

1. 新規追加>TI 関係 を選択します。

2. 脅威アクターや攻撃パターンなどの既存の TI オブジェクトから始めます。このパターンでは、1 つのオブジェクトがインジケーターなどの 1 つ以上の既存のオブジェクトに接続されます。

3. 次の表と STIX 2.1 参照リレーションシップの概要テーブルに記載されているベスト プラクティスに従って、リレーションシップの種類を追加します。

   リレーションシップの種類	説明
   複製対象 派生元 関連先	すべての STIX ドメイン オブジェクトに対して定義されている共通リレーションシップ (SDO) 詳細については、共通リレーションシップに関する STIX 2.1 リファレンスに関するページを参照してください。
   ターゲット	Attack pattern または Threat actor ターゲット Identity
   使用目的	Threat actor 使用 Attack pattern
   帰属先	Threat actor 帰属先 Identity
   示す	Indicator Attack patternまたはThreat actorを示します
   なりすます	Threat actor Identity になりすます

4. 関係構築の例として、Defenderポータル内の攻撃パターン、指標、アイデンティティに脅威アクターを結びつけることができます。

   

5. Common プロパティを構成して、リレーションシップを完成させます。

管理インターフェイスで脅威インテリジェンスを表示する

管理インターフェイスを使用して、Log Analytics クエリを記述せずに、取り込まれたソースから脅威インテリジェンスを並べ替え、フィルター処理、検索します。

1. 管理インターフェイスから、[検索する内容] メニュー を 展開します。

2. STIX オブジェクトの種類を選択するか、既定の All オブジェクト型のままにします。

3. 論理演算子を使用して条件を選択します。

4. 詳細情報を表示するオブジェクトを選択します。

たとえば、複数の条件を OR 演算子でグループ化しながら、複数のソースを AND グループに配置して検索できます。

Microsoft Sentinelは管理インターフェースで最新の脅威情報のみを表示します。 オブジェクトの更新方法の詳細については、「 脅威インテリジェンス ライフサイクル」を参照してください。

IP およびドメイン名インジケーターは、追加の GeoLocation と WhoIs データでエンリッチされるため、インジケーターが見つかった場合の調査に関するより多くのコンテキストを提供できます。

GeoLocationとWhoIsデータで強化されたインジケーターの例を次に示します。

脅威インテリジェンスにタグを付け、編集する

脅威インテリジェンスのタグ付けは、オブジェクトを簡単に見つけられるようにグループ化する簡単な方法です。 通常、特定のインシデントに関連するタグを適用できます。 ただし、オブジェクトが特定の既知のアクターまたは既知の攻撃キャンペーンからの脅威を表す場合は、タグの代わりにリレーションシップを作成することを検討してください。

1. 管理インターフェイスを使用して、脅威インテリジェンスを並べ替え、フィルター処理、検索します。
2. 操作するオブジェクトを見つけたら、同じ型の 1 つ以上のオブジェクトを選択して複数選択します。
3. [ タグの追加] を選択し、1 つ以上のタグで一度にタグを付けます。
4. タグ付けは自由形式であるため、organizationでタグの標準の名前付け規則を作成することをお勧めします。

脅威インテリジェンスを、Microsoft Sentinelで直接作成した場合も、TIP や TAXII サーバーなどのパートナー ソースから作成した場合でも、一度に 1 つのオブジェクトを編集します。 管理インターフェイスで作成された脅威 intel の場合、すべてのフィールドを編集可能です。 パートナーソースから取り込まれた脅威インテリジェンスでは、タグ、有効期限、信頼度、失効などの特定のフィールドのみ編集可能です。 脅威情報がMicrosoft Sentinelで作成されたものであれ、パートナーソースから取り込まれたものであれ、管理インターフェースに表示されるオブジェクトは最新バージョンのみです。

脅威インテリジェンスがどのように更新されるかの詳細については、脅威インテリジェンスを表示する を参照してください。

クエリを使用して脅威インテリジェンスを見つけて表示する

ソース フィードや、それらを取り込む方法に関係なく、クエリを使用して脅威インテリジェンスを表示します。

脅威インジケーターは、Microsoft Sentinel ThreatIntelIndicators テーブルに格納されます。 ThreatIntelIndicatorsテーブルは、Analytics、Hunting、Workbooksなど他のMicrosoft Sentinel機能による脅威インテリジェンスクエリの基盤となります。

詳細については、「 脅威インテリジェンスを表示する」を参照してください。

ワークブックで脅威インテリジェンスを可視化する

専用のMicrosoft Sentinel ブックを使用して、脅威インテリジェンスに関する重要な情報をMicrosoft Sentinelで視覚化し、ビジネス ニーズに応じてブックをカスタマイズします。

Microsoft Sentinelで脅威インテリジェンス ブックを見つけてカスタマイズするには、次の手順を実行します。

1. Azure portalから、[Microsoft Sentinel] に移動します。

2. 脅威インテリジェンス データ コネクタを使用して、脅威インジケーターをインポートしたワークスペースを選択します。

3. Microsoft Sentinel メニューの 脅威管理 セクションにある ワークブック を選択します。

4. 脅威インテリジェンス というタイトルのワークブックを見つけてください。 ThreatIntelIndicators テーブルにデータがあることを確認します。

   

5. [保存] を選択し、ブックを格納するAzure場所を選択します。 ワークブックを何らかの形で修正し、変更を保存するつもりがある場合は、ワークブックの保存が必要です。

6. 次に、[ 保存されたブックの表示 ] を選択して、表示と編集のためにブックを開きます。

7. テンプレートによって提供される既定のグラフが表示されます。 グラフを変更するには、ページの上部にある [編集 ] を選択して、ブックの編集モードを開始します。

8. 脅威の種類別に脅威インジケーターの新しいグラフを追加します。 ページの下部までスクロールし、[クエリの 追加] を選択します。

9. Log Analytics ワークスペースの [ログ クエリ] テキスト ボックスに次のテキストを追加します。

   ThreatIntelligenceIndicator
   | summarize count() by ThreatType
   

   このクエリで使用される summarize 演算子と count() 集計関数の詳細については、Kusto のドキュメントを参照してください。

   • summarize 演算子
   • count() 集計関数

10. [ 視覚化 ] ドロップダウン メニューで、[ 横棒グラフ] を選択します。

11. 編集を完了 を選択し、ワークブックの新しいグラフを表示します。

    

ブックには、Microsoft Sentinel のあらゆる側面に関する分析情報を提供する、強力な対話型ダッシュボードが用意されています。 ブックを使用して多くのタスクを実行できます。提供されるテンプレートは優れた出発点です。 多数のデータ ソースを組み合わせてテンプレートをカスタマイズしたり、新しいダッシュボードを作成したりして、データを一意の方法で視覚化できるようにします。

Microsoft Sentinel のブックは Azure Monitor ブックに基づいているため、豊富なドキュメントとさらに多くのテンプレートを利用できます。 詳細については、「Azure Monitor ブックを使用して対話型レポートを作成する」を参照してください。

GitHub には、Azure Monitor ブック用の豊富なリソースもあり、さらに多くのテンプレートをダウンロードして独自のテンプレートを投稿できます。

脅威インテリジェンスをエクスポートする

Microsoft Sentinelを使用すると、脅威インテリジェンスを他の宛先にエクスポートできます。 たとえば、 脅威インテリジェンス - TAXII データ コネクタを使用して脅威インテリジェンスを取り込んだ場合は、双方向インテリジェンス共有のために脅威インテリジェンスをソース プラットフォームにエクスポートし直すことができます。 Microsoft Sentinelの脅威インテリジェンスエクスポート機能は、脅威インテリジェンスを配布するための手動プロセスやカスタムプレイブックの必要性を減らします。

脅威インテリジェンスをエクスポートするには:

1. Defender ポータルの Microsoft Sentinel で、脅威インテリジェンス > インテリジェンス管理 を選択します。 Azure portal の Microsoft Sentinel で、脅威管理 > 脅威インテリジェンス を選択します。

2. 1 つまたは複数の STIX オブジェクトを選択し、ページの上部にあるツール バーで [ エクスポート を選択します。 例:

   • Defender ポータル
   • Azure Portal

   

3. [ エクスポート ] ウィンドウの [ エクスポート TI ] ドロップダウンから、脅威インテリジェンスをエクスポートするサーバーを選択します。

   サーバーがリストにない場合は、まずTAXII 2.1サーバーをエクスポート用に設定する必要があります。これは「 Enable the Threat intelligence - TAXII Export data connector」で説明されています。 Microsoft Sentinelは現在、TAXII 2.1 ベースのプラットフォームへのエクスポートのみをサポートしています。

4. [エクスポート] を選択します。

   重要

   脅威インテリジェンス オブジェクトをエクスポートすると、システムは一括操作を実行します。 この一括操作が失敗することがある既知の問題が存在します。 一括エクスポート操作が失敗した場合、エクスポートサイドパネルを開くと、失敗したアクションをまとめ操作履歴ビューから削除するように警告が表示されます。 Microsoft Sentinelは失敗した操作を削除するまで、その後のエクスポート操作を一時停止します。

エクスポート履歴にアクセスするには:

1. Intel 管理 (Defender ポータル) または脅威インテリジェンス ページ (Azure portal) でエクスポートされた項目に移動します。
2. [ エクスポート ] 列で、[ エクスポート履歴の表示 ] を選択して、そのアイテムのエクスポート履歴を表示します。

関連コンテンツ

詳細については、次の記事を参照してください。

• Microsoft Sentinel における脅威インテリジェンス
• Microsoft Sentinelを STIX/TAXII 脅威インテリジェンス フィードに接続します。
• どの TIP、TAXII フィード、エンリッチメントをMicrosoft Sentinelと簡単に統合できるかを確認します。

KQL の詳細については、「Kusto 照会言語 (KQL) の概要」を参照してください。

その他のリソース：

• KQL クイック リファレンス
• Kusto クエリ言語の学習リソース