Microsoft Sentinelでほぼリアルタイム (NRT) 検出分析ルールを使用する

Microsoft Sentinelのほぼリアルタイムの分析ルールは、すぐに使用できる分単位の脅威検出を提供します。 ほぼリアルタイムの分析ルールは、クエリをわずか1分間隔で実行することで非常に応答性の高いよう設計されています。

現時点では、「NRT ルールの考慮事項」で説明されているように、 NRT ルール テンプレートのアプリケーションは限られていますが、テクノロジは急速に進化し、成長しています。

ほぼリアルタイム (NRT) ルールを表示する

既存の NRT ルールを表示するには、ルールの種類で分析ルールの一覧をフィルター処理します。

NRT ルールを作成する

通常の スケジュールクエリ分析ルールと同じ手順に従ってNRTルールを作成します:

1. スケジュールされたクエリ分析ルールの作成に関するページの手順に従って、分析ルール ウィザードを完了します。

   NRT ルールの構成は、スケジュールされた分析ルールの構成とほとんどの点で同じです。

   • クエリ ロジックでは、複数のテーブルと ウォッチリスト を参照できます。

   • すべてのアラート エンリッチメント メソッド ( エンティティ マッピング、 カスタムの詳細、 アラートの詳細) を使用できます。

   • アラートをインシデントにグループ化する方法と、特定の結果が生成されたときにクエリを抑制する方法を選択できます。

   • アラートとインシデントの両方に対する応答を自動化できます。

   • 複数のワークスペースでルール クエリを実行できます。

   ただし、NRT ルールの性質と制限があるため、スケジュールされた分析ルールの次の機能はウィザードでは使用できません。

   • クエリのスケジュール 設定は構成できません。クエリは 1 分間のルックバック期間で 1 分に 1 回実行するように自動的にスケジュールされるためです。
   • アラートは常に生成されるため、アラートのしきい値は無関係です。
   • イベント グループ化 の構成を制限された程度で使用できるようになりました。 NRT ルールで最大 30 個のイベントに対して各イベントのアラートを生成するように選択できます。 このオプションを選択し、ルールで 30 を超えるイベントが発生した場合、最初の 29 個のイベントに対して単一イベント アラートが生成され、30 番目のアラートは結果セット内のすべてのイベントを要約します。

   さらに、アラートのサイズ制限のため、クエリでは project ステートメントを使用して、テーブルから必要なフィールドのみを含める必要があります。 そうしないと、表示したい情報が途中で切れてしまう可能性があります。

関連するコンテンツ

NRT ルールの詳細については、次の記事を参照してください。

• Microsoft Sentinelのほぼリアルタイム (NRT) 分析ルール
• その他の分析ルールの種類