エンティティ ページのタイムラインでアクティビティをカスタマイズする

カスタム タイムライン アクティビティの概要

Microsoft Sentinelは、エンティティのタイムライン上で活動を標準に追跡・提示します。 カスタムアクティビティを作成してタイムラインに表示させることもできます。 カスタムアクティビティは、接続された任意のデータソースからエンティティデータのクエリに基づいています。 次の例は、この機能の使用方法を示しています。

• 既存の既定のアクティビティ テンプレートを変更して、エンティティ タイムラインに新しいアクティビティを追加します。

• カスタム ログから新しいアクティビティを追加します。 たとえば、物理的なアクセス制御ログから、特定の制限された領域 (サーバー ルームなど) のユーザーの入退出アクティビティをユーザーのタイムラインに追加できます。

アクティビティのカスタマイズ ページを開く

アクティビティのカスタマイズ ページを開くには、使用しているポータルに一致するタブを選択します。

• Azure portalのMicrosoft Sentinelのユーザーは、下の [Azure portal] タブを選択します。
• Microsoft Defender ポータルのユーザーは、[Defender ポータル] タブを選択します。

[Sentinelアクティビティのカスタマイズ] ページで、[マイ アクティビティ] タブに作成したすべてのアクティビティの一覧が表示されます。[アクティビティ テンプレート] タブには、Microsoft セキュリティ研究者がすぐに提供するアクティビティのコレクションが表示されます。 これらは、エンティティ ページのタイムラインで既に追跡および表示されているアクティビティです。

• ユーザー定義のアクティビティを作成していない限り、エンティティ ページには[アクティビティ テンプレート] タブの下に一覧表示されているすべてのアクティビティが表示されます。

• アクティビティを作成またはカスタマイズすると、エンティティ ページにはそれらのアクティビティ のみが 表示され、[ マイ アクティビティ ] タブに表示されます。

• エンティティページで既定で用意されているアクティビティを引き続き表示するには、追跡して表示したい各テンプレートに対してアクティビティを作成する必要があります。 「テンプレートからアクティビティを作成する」の手順に従います。

テンプレートからアクティビティを作成する

既存のすぐに使用できるテンプレートからカスタム アクティビティを作成するには、次の手順に従います。

1. [ アクティビティ テンプレート ] タブを選択すると、既定で使用可能なさまざまなアクティビティが表示されます。 リストは、エンティティの種類とデータ ソースでフィルター処理できます。 一覧からアクティビティを選択すると、詳細ウィンドウに次の情報が表示されます。

   • アクティビティの説明

   • アクティビティを構成するイベントを提供するデータ ソース

   • 生データ内のエンティティを識別するために使用される識別子

   • このアクティビティを検出するクエリ

2. 詳細ウィンドウの下部にある [ アクティビティの作成 ] を選択して、アクティビティ作成ウィザードを開始します。

   • Azure Portal
   • Defender ポータル

   

3. アクティビティ ウィザード - テンプレートから新しいアクティビティを作成すると、そのフィールドがテンプレートから既に設定された状態で開きます。 一般設定タブやアクティビティ設定タブで自由に変更を加えたり、プリプセル設定を変更しずに元のアクティビティを表示し続けることもできます。

4. 問題がなければ、[ 確認と作成 ] タブを選択します。 [検証に合格しました ] メッセージが表示されたら、下部にある [ 作成 ] ボタンをクリックします。

アクティビティをゼロから作成する

アクティビティ ページの上部にある [ アクティビティの追加 ] をクリックして、アクティビティの作成ウィザードを開始します。

[アクティビティ ウィザード ] - [新しいアクティビティの作成] が開き、そのフィールドは空白になります。

一般的なアクティビティ設定を構成する

[ 全般 ] タブで、アクティビティの基本的なメタデータを指定します。

1. アクティビティの名前を入力します (例: "ユーザーがグループに追加されました")。

2. アクティビティの説明を入力します (例: "Windows イベント ID 4728 に基づくユーザー グループ メンバーシップの変更")。

3. このクエリで追跡するエンティティ (ユーザーまたはホスト) の種類を選択します。

4. クエリを絞り込んでパフォーマンスを最適化するために、追加のパラメーターでフィルター処理できます。 たとえば、 IsDomainJoined パラメーターを選択し、値を True に設定することで、Active Directory ユーザーをフィルター処理できます。

5. アクティビティの初期状態を [有効] または [無効] に選択できます。

6. [次へ: アクティビティの構成] を選択して、次のタブに進みます。

   

アクティビティ クエリと表示設定を構成する

アクティビティ クエリの記述

[ アクティビティの構成 ] タブで、選択したエンティティのアクティビティを検出するために使用される KQL クエリを書き込むか貼り付け、タイムラインでの表現方法を決定します。

イベントの相関やカスタムアクティビティの検出のために、KQLクエリはエンティティタイプに依存する複数のパラメータを必要とします。 これらのパラメータはエンティティの識別子です。

クエリ結果とエンティティ間の1対1のマッピングには強力な識別子を使いましょう。 弱い識別子は不正確な結果をもたらす可能性があります。 エンティティと強力な識別子と弱い識別子について詳しくは、こちらをご覧ください。

次の表に、エンティティの識別子に関する情報を示します。

アカウントエンティティとホストエンティティの強力な識別子

クエリには少なくとも 1 つの識別子が必要です。

一般タブで選択した事業体タイプに基づいて、利用可能な識別子が表示されます。 クエリのカーソル位置に貼り付ける識別子を選択します。

SecurityEvent
| where EventID == "4728"
| where (SubjectUserSid == '{{Account_Sid}}' ) or (SubjectUserName == '{{Account_Name}}' and SubjectDomainName == '{{Account_NTDomain}}' )
| project TimeGenerated, SubjectUserName, MemberName, MemberSid, GroupName=TargetUserName

タイムラインでのアクティビティの表示

便宜上、アクティビティ出力に動的パラメーターを追加することで、タイムラインでのアクティビティの表示方法を決定できます。

Microsoft Sentinelには、使用するための組み込みパラメーターが用意されており、クエリで投影したフィールドに基づいて他のパラメーターを使用することもできます。

パラメーターには次の形式を使用します。 {{ParameterName}}

アクティビティ クエリが検証に合格し、クエリ ウィンドウの下に [クエリ結果の表示 ] リンクが表示されたら、[ 使用可能な値 ] セクションを展開して、動的アクティビティ タイトルの作成時に使用できるパラメーターを表示できます。

特定のパラメーターの横にある [コピー ] アイコンを選択して、そのパラメーターをクリップボードにコピーして、上の [アクティビティ タイトル ] フィールドに貼り付けることができます。

次のいずれかのパラメーターをクエリに追加します。

• クエリに投影した任意のフィールド。

• クエリに記載されているエンティティのエンティティ識別子。

• StartTimeUTCを使用して、アクティビティの開始時刻を UTC 時間で追加します。

• EndTimeUTCを使用して、アクティビティの終了時刻を UTC 時間で追加します。

• Countを使用して、複数の KQL クエリ出力を 1 つの出力にまとめます。

  count パラメーターは、エディターに完全に表示されていない場合でも、バックグラウンドでクエリに次のコマンドを追加します。

  Summarize count() by <each parameter you’ve projected in the activity>
  

  次に、エンティティ ページで バケット サイズ フィルターを使用すると、バックグラウンドで実行されるクエリにも次のコマンドが追加されます。

  Summarize count() by <each parameter you’ve projected in the activity>, bin (TimeGenerated, Bucket in Hours)
  

以下の例は動的パラメータを用いたアクティビティタイトルを示しています:

クエリとアクティビティのタイトルに問題がなければ、[ 次へ: 確認] を選択します。

アクティビティ クエリのサンプルで使用される KQL 演算子と関数の詳細については、Kusto のドキュメントを参照してください。

• where 演算子
• project 演算子
• summarize 演算子
• bin() 関数
• count() 集計関数

KQL の詳細については、「Kusto 照会言語 (KQL) の概要」を参照してください。

その他のリソース：

• KQL クイック リファレンス
• Kusto クエリ言語の学習リソース

設定を確認してアクティビティを作成する

[ 確認と作成 ] タブを使用して構成を検証し、アクティビティを完了します。

1. カスタム アクティビティのすべての構成情報を確認します。

2. [検証に合格しました] メッセージが表示されたら、[作成] をクリックしてアクティビティを作成します。 後で [ マイ アクティビティ ] タブで編集または変更できます。

アクティビティを管理する

[マイ アクティビティ] タブからカスタム アクティビティ を管理します。アクティビティの行の末尾にある省略記号 (...) をクリックして、次の操作を行います。

• アクティビティを編集します。
• アクティビティを複製して、少し異なる新しいアクティビティを作成します。
• アクティビティを削除します。
• アクティビティを無効にします (削除せずに)。

エンティティ ページでアクティビティを表示する

エンティティ ページを入力するたびに、そのエンティティに対して有効なすべてのアクティビティ クエリが実行され、エンティティ タイムラインで分単位の情報が提供されます。 タイムラインに、アクティビティがアラートやブックマークとあわせて表示されます。

タイムライン コンテンツ フィルターを使用すると、アクティビティ (またはアクティビティ、アラート、ブックマークの任意の組み合わせ) のみを表示できます。

[ アクティビティ ] フィルターを使用して、特定のアクティビティを表示または非表示にすることもできます。

次の手順

エンティティとカスタム タイムライン アクティビティの詳細については、次の記事を参照してください。

• エンティティ ページの全体像を取得します。
• ユーザーとエンティティの動作分析 (UEBA) について説明します。
• エンティティと識別子の完全な一覧を参照してください。