CSV または JSON ファイルから Microsoft Sentinel に脅威インテリジェンスを一括追加する

この記事では、CSV 内のインジケーター、または JSON ファイル内の STIX オブジェクトを Microsoft Sentinel の脅威インテリジェンスに追加する方法を説明します。 脅威インテリジェンスの共有は、進行中の調査中に電子メールやその他の非公式チャネル間で引き続き発生するため、新たな脅威をチームに伝えるためには、その情報をMicrosoft Sentinelに迅速にインポートする機能が重要です。 インポートされた脅威インテリジェンスオブジェクトは、セキュリティアラート、インシデント、自動応答など他の分析の動力源として利用可能です。

前提条件

脅威インテリジェンスを格納するには、Microsoft Sentinel ワークスペースに対する読み取りと書き込みのアクセス許可が必要です。

脅威インテリジェンスのインポート テンプレートを選択する

特別に細工された CSV または JSON ファイルを使用して、複数の脅威インテリジェンス オブジェクトを追加します。 ファイル テンプレートをダウンロードして、フィールドとそのデータへのマップ方法を理解します。 インポートする前に、各テンプレートの種類に必要なフィールドを確認してデータを検証します。

1. Azure portalでMicrosoft Sentinelする場合は、[脅威の管理] で [脅威インテリジェンス] を選択します。

   Defender ポータルでMicrosoft Sentinelする場合は、[Microsoft Sentinel>Threat management>Threat intelligence] を選択します。

2. インポート>ファイルを使用してインポート を選択します。

   • Defender ポータル
   • Azure Portal

   

3. [ ファイル形式 ] ドロップダウン メニューで、[ CSV ] または [JSON] を選択 します。

   

   注:

   CSV テンプレートでは、インジケーターのみがサポートされます。 JSON テンプレートでは、脅威アクター、攻撃パターン、ID、リレーションシップなどのインジケーターやその他の STIX オブジェクトがサポートされています。 JSON でサポートされている STIX オブジェクトの作成の詳細については、「 API のアップロードリファレンス」を参照してください。

4. 一括アップロード テンプレートを選択した後、[ テンプレートのダウンロード ] リンクを選択します。

5. 各ファイルのアップロードにはソースが必要であるため、脅威インテリジェンスをソース別にグループ化することを検討してください。

CSVとJSONのテンプレートは、必要なフィールドや検証パラメータを含む、単一の有効なインジケーターを作成するために必要なすべてのフィールドを提供します。 テンプレートのフィールド構造を複製して1つのファイルにより多くのインジケーターを埋めるか、JSONファイルにSTIXオブジェクトを追加してください。 テンプレートの詳細については、「 インポート テンプレートについて」を参照してください。

脅威インテリジェンス ファイルをアップロードする

準備した CSV または JSON ファイルをアップロードし、インポートのソースの詳細を指定します。

1. テンプレートの既定値からファイル名を変更しますが、ファイル拡張子は .csv または .jsonのままにします。 一意のファイル名を付けると、［ファイルのインポートを管理］ペインからインポートの状況を確認しやすくなります。

2. 一括脅威インテリジェンス ファイルを [ ファイルのアップロード ] セクションにドラッグするか、リンクを使用してファイルを参照します。

3. [ソース] テキスト ボックスに、脅威インテリジェンスの ソース を入力します。 ソース値は、そのファイルに含まれるすべてのインジケーターにスタンプされます。 このプロパティを [ SourceSystem ] フィールドとして表示します。 ソース値は、[ ファイルのインポートの管理 ] ウィンドウにも表示されます。 詳細については、「 脅威インジケーターの操作」を参照してください。

4. [ファイルを使用してインポート] ウィンドウの下部にあるいずれかのボタンを選択して、無効なエントリをMicrosoft Sentinelで処理する方法を選択します。

   • 有効なエントリのみをインポートし、無効なエントリをファイルから取り除きます。
   • ファイル内の 1 つのオブジェクトが無効な場合は、エントリをインポートしないでください。

   

5. [インポート] を選択します。

ファイルのインポートを管理する

インポートを監視し、部分的にインポートされたインポートまたは失敗したインポートのエラー レポートを表示します。

1. [Import>ファイルのインポートを管理] を選択します。

   

2. インポートされたファイルの状態と無効なエントリの数を確認します。 有効なエントリ数は、ファイルの処理後に更新されます。 インポートが完了するまで待って、有効なエントリの更新された数を取得します。

   

3. [ソース]、[脅威インテリジェンス ファイル名]、[インポートされた数]、[各ファイル内のエントリの合計数]、または [作成日] を選択して、インポートを表示および並べ替えます。

4. エラー ファイルのプレビューを選択するか、無効なエントリに関するエラーを含むエラー ファイルをダウンロードします。

Microsoft Sentinelは、ファイルのインポートの状態を 30 日間保持します。 実際のファイルと関連するエラー ファイルは、システム内で 24 時間保持されます。 24 時間後、ファイルとエラー ファイルは削除されますが、取り込まれたインジケーターは脅威インテリジェンスに引き続き表示されます。

インポート テンプレートについて

CSVやJSONのテンプレートを確認し、脅威インテリジェンスが正常にインポートされているか確認してください。 CSVまたはJSONテンプレートファイルの指示や、 CSVテンプレート構造 と JSONテンプレート構造 のセクションにある補足ガイダンスを参照することを忘れないでください。

CSV テンプレートの構造

CSVテンプレートのオプションを使って、指標データの正しい構造を選択してください。

1. [ インジケーターの種類 ] ドロップダウン メニューで、[CSV] を選択 します。 次に、[ ファイル インジケーター ] または [ その他のすべてのインジケーターの種類 ] オプションを選択します。

   ファイル インジケーターには MD5 や SHA256 などの複数のハッシュ型を含めることができるため、CSV テンプレートでは、ファイル インジケーターの種類に対応するために複数の列が必要です。 IP アドレスなどの他のすべてのインジケーターの種類では、監視可能な型と監視可能な値のみが必要です。

2. CSV のすべてのインジケーターの種類 テンプレートの列見出しには、 threatTypes、単一または複数の tags、 confidence、 tlpLevelなどのフィールドが含まれます。 tlpLevel フィールドは、トラフィック ライト プロトコル (TLP) レベルを設定します。これは、脅威インテリジェンス共有に関する決定を行う際に役立つ秘密度の指定です。

3. validFrom、observableType、observableValueの各フィールドのみが必要です。

4. アップロードする前にコメントを削除するには、テンプレートから最初の行全体を削除します。

   CSV ファイルインポートの最大ファイル サイズは 50 MB です。

以下のCSV例は、CSVテンプレートスキーマを用いて大量インポート用のドメイン名インジケーターをフォーマットする方法を示しています:

threatTypes,tags,name,description,confidence,revoked,validFrom,validUntil,tlpLevel,severity,observableType,observableValue
Phishing,"demo, csv",MDTI article - Franken-Phish domainname,Entity appears in MDTI article Franken-phish,100,,2022-07-18T12:00:00.000Z,,white,5,domain-name,1776769042.tailspintoys.com

JSON テンプレートの構造

JSONテンプレートは、すべてのサポート対象タイプに対して単一のSTIX 2.1構造を使用しています。 JSONファイルを準備する際には、以下の詳細を確認してください。

1. すべての STIX オブジェクト型に対する JSON テンプレートは 1 つだけです。 JSON テンプレートは STIX 2.1 形式に基づいています。

2. type 要素は、indicator、attack-pattern、identity、threat-actor、およびrelationshipをサポートします。

3. インジケーターの場合、 pattern 要素は、 file、 ipv4-addr、 ipv6-addr、 domain-name、 url、 user-account、 email-addr、および windows-registry-keyのインジケーターの種類をサポートします。

4. アップロードする前にテンプレートのコメントを削除します。

5. }をコンマなしで使用して、配列内の最後のオブジェクトを閉じます。

   JSON ファイルインポートの最大ファイル サイズは 250 MB です。

以下のJSON例は、STIX 2.1形式を用いて ipv4-addr インジケーターと attack-pattern オブジェクトを一括インポートする定義方法を示しています。

[
    {
      "type": "indicator",
      "id": "indicator--dbc48d87-b5e9-4380-85ae-e1184abf5ff4",
      "spec_version": "2.1",
      "pattern": "[ipv4-addr:value = '198.168.100.5']",
      "pattern_type": "stix",
      "created": "2022-07-27T12:00:00.000Z",
      "modified": "2022-07-27T12:00:00.000Z",
      "valid_from": "2016-07-20T12:00:00.000Z",
      "name": "Sample IPv4 indicator",
      "description": "This indicator implements an observation expression.",
      "indicator_types": [
        "anonymization",
        "malicious-activity"
      ],
      "kill_chain_phases": [
          {
            "kill_chain_name": "mandiant-attack-lifecycle-model",
            "phase_name": "establish-foothold"
          }
      ],
      "labels": ["proxy","demo"],
      "confidence": "95",
      "lang": "",
      "external_references": [],
      "object_marking_refs": [],
      "granular_markings": []
    },
    {
        "type": "attack-pattern",
        "spec_version": "2.1",
        "id": "attack-pattern--fb6aa549-c94a-4e45-b4fd-7e32602dad85",
        "created": "2015-05-15T09:12:16.432Z",
        "modified": "2015-05-20T09:12:16.432Z",
        "created_by_ref": "identity--f431f809-377b-45e0-aa1c-6a4751cae5ff",
        "revoked": false,
        "labels": [
            "heartbleed",
            "has-logo"
        ],
        "confidence": 55,
        "lang": "en",
        "object_marking_refs": [
            "marking-definition--34098fce-860f-48ae-8e50-ebd3cc5e41da"
        ],
        "granular_markings": [
            {
                "marking_ref": "marking-definition--089a6ecb-cc15-43cc-9494-767639779123",
                "selectors": [
                    "description",
                    "labels"
                ],
                "lang": "en"
            }
        ],
        "extensions": {
            "extension-definition--d83fce45-ef58-4c6c-a3f4-1fbc32e98c6e": {
                "extension_type": "property-extension",
                "rank": 5,
                "toxicity": 8
            }
        },
        "external_references": [
            {
                "source_name": "capec",
                "description": "spear phishing",
                "external_id": "CAPEC-163"
            }
        ],
        "name": "Attack Pattern 2.1",
        "description": "menuPass appears to favor spear phishing to deliver payloads to the intended targets. While the attackers behind menuPass have used other RATs in their campaign, it appears that they use PIVY as their primary persistence mechanism.",
        "kill_chain_phases": [
            {
                "kill_chain_name": "mandiant-attack-lifecycle-model",
                "phase_name": "initial-compromise"
            }
        ],
        "aliases": [
            "alias_1",
            "alias_2"
        ]
    }
]

関連コンテンツ

この記事では、フラット ファイルに収集されたインジケーターやその他の STIX オブジェクトをインポートすることで、脅威インテリジェンスを手動で強化する方法について説明しました。 脅威インテリジェンスがMicrosoft Sentinelで他の分析を強化する方法の詳細については、次の記事を参照してください。

• Microsoft Sentinelで脅威インジケーターを操作する
• Microsoft Sentinelでのサイバー脅威インテリジェンスの脅威インジケーター
• Microsoft Sentinelのほぼリアルタイム (NRT) 分析ルールを使用して脅威を迅速に検出する