タスクを使用して、Azure portalのMicrosoft Sentinelでインシデントを管理する

  • 適用対象: Microsoft Sentinel in the Azure portal

この記事では、Microsoft Sentinelでインシデント タスクを使用して、インシデントのトリアージ、調査、対応時にチームが従う手順を標準化して追跡する方法について説明します。 タスクを手動で追加したり、自動化ルールやプレイブックを使用してタスクの作成を自動化したりできます。

セキュリティ運用 (SecOps) を効果的かつ効率的に実行する上で最も重要な要素の 1 つは、 プロセスの標準化です。 SecOps アナリストは、インシデントのトリアージ、調査、または修復の過程で、ステップまたはタスクの一覧を実行する必要があります。 タスクの一覧を標準化および正式化すると、SOC の実行をスムーズに維持し、すべてのアナリストに同じ要件が確実に適用されます。 この標準化されたプロセスにより、誰が当番であっても、インシデントは常に同じ対応とSLAで処理されます。 アナリストは、何をすべきかを考えたり、重要なステップが見つからないことを心配したりする必要はありません。 これらの手順は、SOC マネージャーまたはシニア アナリスト (階層 2/3) によって、一般的なセキュリティ知識 (NIST など)、過去のインシデントに関する経験、またはインシデントを検出したセキュリティ ベンダーから提供された推奨事項に基づいて定義されます。

インシデント タスクを使用するタイミング

インシデントタスクは以下のシナリオで有用です:

  • SOC アナリストは、1 つの中央チェックリストを使用して、インシデントトリアージ、調査、対応のプロセスを処理できます。重要なステップを見逃す心配はありません。

  • SOC エンジニアまたはシニア アナリストは、アナリストのチームとシフト全体でインシデント対応の基準を文書化、更新、調整できます。 また、新しい種類のインシデントに遭遇した新しいアナリストやアナリストをトレーニングするためのタスクのチェックリストを作成することもできます。

  • SOC マネージャーまたは MSSP として、インシデントが関連する SLA/SOP に従って処理されるようにすることができます。

前提条件

Microsoft Sentinelレスポンダー ロールは、自動化ルールを作成したり、インシデントを表示および編集したりするために必要です。どちらもタスクの追加、表示、編集に必要です。

プレイブックを作成および編集するには、 Logic Apps 共同作成者 ロールが必要です。

インシデント タスク管理のシナリオ

インシデントタスク管理のシナリオは、あなたがアナリストかワークフロー作成者かによって異なります。

アナリストのシナリオ

以下のシナリオは、アナリストが調査中にインシデントタスクをどのように活用できるかを示しています。

インシデントを処理するときにタスクに従う

インシデントを選択し、 完全な詳細を表示すると、インシデントの詳細ページに、手動または自動化ルールによって、そのインシデントに追加されたすべてのタスクが右側のパネルに表示されます。

タスクを展開して、作成したユーザー、オートメーション ルール、プレイブックなど、その完全な説明を表示します。

"チェックボックス" 円を選択して、タスクを完了としてマークします。

インシデントの詳細画面のアナリスト向けのインシデント タスク パネルのスクリーンショット。

その場でインシデントにタスクを追加する

作業中の未解決のインシデントにタスクを追加するには、実行する必要があるアクションのリマインダーを自分に通知するか、タスクリストに表示されない独自のイニシアチブで実行したアクションを記録します。 インシデントに手動で追加されたタスクは、そのインシデントにのみ適用されます。

ワークフロー作成者のシナリオ

以下のシナリオは、ワークフロー作成者がタスクを自動的に追加・管理する方法を示しています。

自動化ルールを使用してインシデントにタスクを追加する

自動化ルールの [タスクの追加] アクションを使用して、アナリストのタスクのチェックリストをすべてのインシデントに自動的に提供します。 自動化 ルールで Analytics ルール名 の条件を設定して、スコープを決定します。

  • すべてのインシデントに適用するタスクの標準セットを定義するために、 自動化ルールをすべての分析ルール に適用します。

  • 制限された一連の分析ルールに自動化ルールを適用することで、分析ルールまたはそれらのインシデントを生成したルールによって検出された脅威に従って、特定のインシデントに特定のタスクを割り当てることができます。

インシデントにタスクが表示される順序は、タスクの作成時間によって決まります。 自動化ルールの順序を設定すると、すべてのインシデントに必要なタスクを追加するルールが最初に実行され、その後、特定の分析ルールによって生成されたインシデントに必要なタスクを追加するルールのみが実行されます。 1 つのルール内で、アクションが定義されている順序によって、インシデントに表示される順序が制御されます。

新しい自動化ルールを作成する前に、既存の自動化ルールとタスクでカバーされているインシデントを確認します。
[自動化ルール] リストの [アクション] フィルターを使用して、インシデントにタスクを追加するルールのみを表示し、自動化ルールが適用される分析ルールを確認して、それらのタスクが追加されるインシデントを把握します。

プレイブックを使用してインシデントにタスクを追加する

プレイブック (Microsoft Sentinel コネクタ) の [タスクの追加] アクションを使用して、プレイブックをトリガーしたインシデントにタスクを自動的に追加します。

次に、それぞれの Logic Apps コネクタで他のプレイブック アクションを使用して、タスクの内容を完了します。

最後に、[タスクを完了済みとしてマークする] アクション (Microsoft Sentinel コネクタで再び) を使用して、タスクを自動的に完了にマークします。

次のシナリオを例として考えてみましょう。

  • プレイブックにタスクを追加・完了させる: インシデントが作成されると、以下の操作を行うプレイブックがトリガーされます。

    1. ユーザーのパスワードをリセットするタスクをインシデントに追加します。
    2. ユーザー のパスワードをリセットするために、ユーザー プロビジョニング システムに API 呼び出しを発行してタスクを実行します。
    3. リセットの成功または失敗に関するシステムからの応答を待機します。
      • パスワードのリセットが成功した場合、プレイブックはインシデントで作成したタスクを完了済みとしてマークします。
      • パスワードリセットに失敗した場合、プレイブックはタスクを完了としてマークせず、アナリストに残して実行します。

  • プレイブックに条件付きタスクを追加すべきかどうかを評価させましょう: インシデントが発生すると、外部の脅威インテリジェンスソースからIPアドレスレポートを要求するプレイブックがトリガーされます。

    • IP アドレスが悪意のある場合、プレイブックは特定のタスク ("この IP アドレスをブロック" など) を追加します。
    • それ以外の場合、プレイブックはそれ以上のアクションを実行しません。

オートメーション ルールまたはプレイブックを使用してタスクを追加しますか?

自動化ルールまたはプレイブックを使用してインシデント タスクを作成する必要があるかどうかは、どのような考慮事項によって決まりますか。

  • 自動化ルール: 可能な限り使用します。 対話機能を必要としない、単純で静的なタスクに使用します。
  • プレイブック:条件に基づいてタスクを作成したり、自動化されたアクションを統合したタスクを作成したりといった高度なユースケースに使います。

関連するコンテンツ

  • Last updated on