脅威インテリジェンス プラットフォームをMicrosoft Sentinelに接続する

  • 適用対象: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

注:

このデータ コネクタは非推奨となり、 2026 年 6 月にデータの収集を停止します。 中断のないデータ収集を確実にするために、できるだけ早く新しい Threat Intelligence Upload Indicators API データ コネクタに移行することをお勧めします。 詳細については、「脅威インテリジェンス プラットフォームを接続してアップロード API を使用してMicrosoft Sentinelする」を参照してください。

多くの組織では、脅威インテリジェンス プラットフォーム (TIP) ソリューションを使用して、さまざまなソースからの脅威インジケーター フィードを集計します。 集計されたフィードから、ネットワーク デバイス、EDR/XDR ソリューション、Microsoft Sentinelなどのセキュリティ情報とイベント管理 (SIEM) ソリューションなどのセキュリティ ソリューションに適用するために、データがキュレーションされます。 TIPデータコネクターを使うことで、TIPソリューションを使って脅威指標をMicrosoft Sentinelにインポートできます。

TIP データ コネクタは、Microsoft Graph Security tiIndicators API と連携して脅威インジケーターをインポートするため、コネクタを使用して、その API と通信できる他のカスタム TIP からMicrosoft Sentinel (および Defender XDR などの他のMicrosoftセキュリティ ソリューション) にインジケーターを送信できます。

脅威インテリジェンスのインポート パスを示すスクリーンショット。

注:

米国政府機関向けクラウドでの機能の可用性の詳細については、米国政府機関のお客様向けのクラウド機能の可用性に関するMicrosoft Sentinelテーブルを参照してください。

Microsoft Sentinelの脅威インテリジェンスの詳細と、特にMicrosoft Sentinelと統合できる TIP 製品について説明します。

重要

2027 年 3 月 31 日以降、Microsoft SentinelはAzure portalでサポートされなくなり、Microsoft Defender ポータルでのみ使用できるようになります。 Azure portalでMicrosoft Sentinelを使用しているすべてのお客様は、Defender ポータルにリダイレクトされ、Defender ポータルでのみMicrosoft Sentinelを使用します。

Azure portalでMicrosoft Sentinelを引き続き使用している場合は、スムーズな移行を確保し、Microsoft Defenderによって提供される統合セキュリティ操作エクスペリエンスを最大限に活用するために、Defender ポータルへの移行の計画を開始することをお勧めします。

前提条件

開始する前に、次のロールとアクセス許可があることを確認します。

  • Content Hub でスタンドアロン コンテンツまたはソリューションをインストール、更新、削除するには、リソース グループ レベルでMicrosoft Sentinel共同作成者ロールが必要です。
  • TIP 製品または Microsoft Graph TI Indicators API との直接統合を使用するその他のカスタム アプリケーションにアクセス許可を付与するには、セキュリティ管理者のMicrosoft Entraロールまたは同等のアクセス許可が必要です。
  • 脅威インジケーターを格納するには、Microsoft Sentinel ワークスペースに対する読み取りおよび書き込みアクセス許可が必要です。

アプリケーションを登録して TIP コネクタを有効にする

統合された TIP またはカスタム脅威インテリジェンス ソリューションから脅威インジケーターをMicrosoft Sentinelにインポートするには、次の手順に従います。

  1. Microsoft Entra IDからアプリケーション ID とクライアント シークレットを取得します。
  2. この情報を TIP ソリューションまたはカスタム アプリケーションに入力します。
  3. Microsoft Sentinelで TIP データ コネクタを有効にします。

Microsoft Entra IDからアプリケーション ID とクライアント シークレットにサインアップする

TIP またはカスタム ソリューションのいずれを使用する場合でも、tiIndicators API には、フィードを API に接続して脅威インジケーターを送信できるようにするための基本的な情報が必要です。 必要な 3 つの情報は次のとおりです。

  • アプリケーション (クライアント) ID
  • ディレクトリ（テナント）ID
  • クライアント シークレット

アプリケーションID、テナントID、クライアントシークレットは、アプリ登録を通じてMicrosoft Entra IDから取得できます。これには以下の3つのステップが含まれます:

  • アプリをMicrosoft Entra IDに登録します。
  • Microsoft Graph tiIndicators API に接続し、脅威インジケーターを送信するためにアプリに必要なアクセス許可を指定します。
  • このアプリケーションに対してMicrosoft Graph tiIndicators API権限を付与するために、組織から同意を得てください。

アプリケーションをMicrosoft Entra IDに登録する

Microsoft Entra IDにアプリを登録して、TIP 統合に必要なアプリケーション ID とテナント ID を取得します。

  1. Azure portalで、[Microsoft Entra ID] に移動します。

  2. メニューで [ アプリの登録] を選択し、[ 新しい登録] を選択します。

  3. アプリケーション登録の名前を選択し、[ シングル テナント] を選択し、[ 登録] を選択します。

    アプリケーションの登録を示すスクリーンショット。

  4. 開いた画面で、 アプリケーション (クライアント) ID と ディレクトリ (テナント) ID の値をコピーします。 後でTIPやカスタムソリューションを設定し、Microsoft Sentinelに脅威インジケーターを送信するためにアプリケーションIDとテナントIDが必要です。 必要な 3 番目の情報であるクライアント シークレットは、後で提供されます。

アプリケーションに必要なアクセス許可を指定する

脅威インジケーターを送信するために必要な API アクセス許可をアプリケーションに付与します。

  1. Microsoft Entra IDのメイン ページに戻るします。

  2. メニューで [ アプリの登録] を選択し、新しく登録したアプリを選択します。

  3. メニューで、[ API のアクセス許可] を選択します>アクセス許可を追加します。

  4. [ API の選択] ページで 、 Microsoft Graph API を選択します。 次に、Microsoft Graph のアクセス許可の一覧から選択します。

  5. プロンプトで、アプリケーションで必要なアクセス許可の種類を確認し、[アプリケーションのアクセス許可] を選択します。 アプリケーション権限は、アプリIDやアプリシークレット(APIキー)で認証するアプリケーションによって使われます。

  6. ThreatIndicators.ReadWrite.OwnedByを選択し、その後「Add permissions 」を選択して、ThreatIndicators.ReadWrite.OwnedBy 権限をアプリの権限リストに追加してください。

    アクセス許可の指定を示すスクリーンショット。

  1. 同意を付与するには、特権ロールが必要です。 詳細については、「アプリケーションに テナント全体の管理者の同意を付与する」を参照してください。

    同意の付与を示すスクリーンショット。

  2. アプリに同意が付与されると、[状態] の下に緑色のチェックマークが表示されます。

アプリが登録され、アクセス許可が付与されたら、アプリのクライアント シークレットを取得する必要があります。

  1. Microsoft Entra IDのメイン ページに戻るします。

  2. メニューで [ アプリの登録] を選択し、新しく登録したアプリを選択します。

  3. メニューで、[証明書] & [シークレット] を選択します。 次に、[ 新しいクライアント シークレット ] を選択して、アプリのシークレット (API キー) を受け取ります。

    クライアント シークレットの取得を示すスクリーンショット。

  4. [ 追加] を選択し、クライアント シークレットをコピーします。

    重要

    この画面を終了する前に、クライアント シークレットをコピーする必要があります。 このページから離れた場合、このシークレットを再度取得することはできません。 TIPやカスタムソリューションを設定する際にはクライアントシークレットが必要です。

TIPソリューションやカスタムアプリケーションにアプリケーションID、テナントID、クライアントシークレットを入力します

これで、脅威インジケーターをMicrosoft Sentinelに送信するように TIP またはカスタム ソリューションを構成するために必要な 3 つの情報がすべて揃いました。

  • アプリケーション (クライアント) ID
  • ディレクトリ（テナント）ID
  • クライアント シークレット

必要に応じて、統合 TIP またはカスタム ソリューションの構成にこれらの値を入力します。

  1. ターゲット製品の場合は、Azure Sentinelを指定します。 (Microsoft Sentinelを指定するとエラーが発生します。

  2. アクションには、アラートを指定 します。

TIPまたはカスタムソリューションをアプリケーションID、テナントID、クライアントシークレットで設定し終えると、Microsoft Graph tiIndicators APIを通じてTIPまたはカスタムソリューションから脅威インジケーターが送信されます。これはMicrosoft Sentinelを対象としています。

Microsoft Sentinelで TIP データ コネクタを有効にする

統合プロセスの最後の手順は、Microsoft Sentinelで TIP データ コネクタを有効にすることです。 TIPデータコネクタを有効にすると、Microsoft SentinelはTIPやカスタムソリューションから送信された脅威インジケーターを受け取ることができます。 これらのインジケーターは、organizationのすべてのMicrosoft Sentinelワークスペースで使用できます。 ワークスペースごとに TIP データ コネクタを有効にするには、次の手順に従います。

  1. Azure portalの [Microsoft Sentinel] で、[コンテンツ管理] で [コンテンツ ハブ] を選択します。
    Defender ポータルでMicrosoft Sentinelする場合は、[Microsoft Sentinel>Content management>Content Hub] を選択します。

  2. 脅威インテリジェンス ソリューションを見つけて選択します。

  3. [ インストール/更新 ] ボタンを選択します。

    ソリューション コンポーネントを管理する方法の詳細については、「すぐに使用できる コンテンツを検出して展開する」を参照してください。

  4. TIP データ コネクタを構成するには、[ 構成>Data コネクタ] を選択します。

  5. [脅威インテリジェンス プラットフォーム - 非推奨のデータ コネクタ] を見つけて選択し、[コネクタ ページを開く] を選択します。

  6. すでにアプリ登録を完了し、TIPやカスタムソリューションを脅威インジケーター送信に設定したので、「 Connect 」を選択してTIPデータコネクタの有効化を完了してください。

数分以内に、脅威インジケーターがこのMicrosoft Sentinel ワークスペースに流れ込み始める必要があります。 [脅威インテリジェンス] ウィンドウに新しいインジケーターが表示され、Microsoft Sentinel メニューからアクセスできます。

関連コンテンツ

ここで説明する TIP データ コネクタでは、非推奨のパスにある Microsoft Graph Security tiIndicators API を使用します。 推奨される方法を使用して TIP を接続するには、「 TIP をアップロード API に接続する」を参照してください。

  • Last updated on