Microsoft Sentinelでデータ層とリテンション期間を管理する

Microsoft Sentinel (SIEM) とMicrosoft Defender XDRに収集したデータは、テーブルに格納されます。 Microsoft Defender ポータルでは、データに関連付けられている保有期間とストレージコストを管理できます。次のことを行うことで、保持期間とコストを管理できます。

Microsoft SentinelまたはMicrosoft Defender XDRにデータを送信するようにデータコネクタを構成します。
既存のテーブルとデータを管理します。

この記事では、Microsoft Defender ポータルでテーブルの保持と階層のオプションを管理し、セキュリティ操作を最適化し、Microsoft SentinelとMicrosoft Defender XDRのコストを削減する方法について説明します。

Microsoft Defender ポータルで管理できるテーブルはどれですか?

このセクションでは、Microsoft Defender ポータルで管理できるテーブルの種類について説明します。

テーブルの種類	説明	例	Microsoft Sentinel ワークスペース内ですか?
Microsoft Sentinel	組み込みのテーブル(次を含む): - AzureDiagnostics や SigninLogs などの Azure テーブル。 - Microsoft Sentinel テーブル。 - Microsoft Defender XDR Microsoft Sentinelとの統合。これは、分析の保持期間を 30 日を超えて増やすと、Microsoft Sentinel ワークスペースに作成されます。現在サポートされていないDefender XDRテーブルについては、XDR テーブルの種類に関するページを参照してください。	- Azure テーブル: `AzureDiagnostics`、`SigninLogs` - Microsoft Sentinel テーブル: `AWSCloudTrail`、`SecurityAlert` - XDR テーブル: `DeviceEvents`、 `AlertInfo`	はい
Custom	サマリールールテーブル、検索ジョブ結果テーブル、カスタムデータソーステーブルなど、Microsoft Sentinel ワークスペースで手動またはジョブによって作成するテーブル。	`_CL`または`_SRCH`サフィックスを持つテーブル。	はい
Xdr	XDR の既定のレベルのテーブル。既定では 30 日間の分析リテンション期間があります。これらのテーブルは表示できますが、Defender ポータルからは管理できません。	`IdentityInfo`	いいえ

注:

Microsoft Defender ポータルから Microsoft Sentinel ワークスペースの基本ログテーブルを表示できますが、現在はLog Analytics ワークスペースからのみ管理できます。 Microsoft Defender ポータルからこれらのテーブルを管理するには、テーブルプランを Microsoft Sentinel ワークスペースの [基本ログ] から [分析] に変更します。

データ階層とデータ保持の仕組み

データは、次の 2 つの層のいずれかでMicrosoft Sentinelに保持できます。

分析レベル: このレベルでは、アラート、ハンティング、ブック、およびすべてのMicrosoft Sentinel機能でデータを使用できます。次の 2 つの状態でデータが保持されます。
- 分析のリテンション期間: この "ホット" 状態では、データは、ハイパフォーマンスクエリ、分析ルール、脅威ハンティングなど、リアルタイム分析に完全に使用できます。既定では、Microsoft SentinelとMicrosoft Defender XDRは、この層のデータを 30 日間保持します。すべてのテーブルの保持期間は、月割りの按分による長期保存料金を支払うことで、最長 2 年まで延長できます。 Microsoft Sentinel ソリューションテーブルの保持期間を無料で 90 日間に延長できます。
- 総保有期間: 既定では、分析レベルのすべてのデータは、同じ保有期間のデータレイクにミラーリングされます。分析リテンション期間を超えて、レイク内のデータの保持期間を最大 12 年間、低コストで拡張できます。
Data Lakeレベル: この低コストの "コールド" レベルでは、Microsoft Sentinelはdata lakeにのみデータを保持します。 Data Lakeレベルのデータは、リアルタイムの分析機能や脅威ハンティングでは使用できません。ただし、 KQL ジョブを使用して必要なときにいつでもレイク内のデータにアクセスしたり、スケジュールされた KQL または Spark ジョブを実行して時間の経過に伴う傾向を分析したり、サマリールールを使用して受信データからの分析情報を定期的に集計したりできます。
XDR データ: 既定では、Microsoft Defender XDR脅威ハンティングデータは常に Analytics レベルで 30 日間使用できます。このデータの保持期間は、Analytics レベルで最大 90 日間まで延長できます。これにより、インジェストコストが発生しますが、ストレージは無料のままです。 Analytics レベルで 90 日を超えてリテンション期間を延長すると、ストレージコストも発生します。 Data Lake 層にのみ取り込むこともできますが、データは Analytics レベルで 30 日間使用できます。 XDR データを Data Lake 層に直接取り込む方がコスト効率は高くなりますが、インジェスト、ストレージ、処理のコストが伴います。このオプションでは、お客様は引き続き 30 日間分のデータを追加コストなしで Analytics レベルで取得できます。

AnalyticsティアとData Lakeティアの違いについては、「Compare the Analytics and data lake tiers」をご覧ください。

以下の図は、Analytics、Data Lake、XDRのデフォルトティアの保持コンポーネントと、それぞれのティアに適用されるテーブルタイプを示しています。

Microsoft Sentinel データレイクの詳細については、「data lake Microsoft Sentinelとは」を参照してください。

Table Insights を使用してテーブルレベルの可観測性を実現する

Microsoft Defender ポータルの Table insights は、[テーブル] ページの組み込みの監視ビューであり、選択したMicrosoft Sentinel ワークスペースのテーブルレベルでのインジェストの正常性を理解するのに役立ちます。これは、レベルまたはリテンション期間の設定を変更する前にインジェストとコストのパターンを識別できるように、迅速な監視シグナルを提供します。

Table insights には、次のようなシグナルが含まれています。

レベル別のインジェストボリューム
前週同曜日比のデータ取り込み量の変動
毎日のインジェストボリューム別の上位テーブル
最後に受信したデータ
1 日あたりの推定インジェストコスト
ボリュームの異常

これらのシグナルを使用して、コネクタの障害を検出し、コストの急増を調査し、新しいコネクタのオンボードを検証し、適切なサイズ設定の保持と階層の候補を特定します。

Important

Table Insights は、調査のための視覚化サーフェスです。これは、課金用途やアラート用のインターフェースではありません。

セットアップ、アクセス、および解釈のガイダンスについては、「Microsoft Sentinelでテーブル設定を構成する」を参照してください。

分析レベルとデータレイク層を比較する

次の表は、Analytics レベルと Data Lake レベルとその主な特性を比較しています。

比較	Analytics 階層	Data Lake レベル
主な特徴	ログに対する高性能なクエリとインデックス作成（ホット保持、またはインタラクティブ保持とも呼ばれます）。	大規模なデータボリューム (コールドストレージとも呼ばれます) のコスト効率の高い長期保有。
最適な用途	リアルタイムの分析ルール、アラート、ハンティング、ワークブック、および Microsoft Sentinel のすべての機能。	- コンプライアンスと規制のログ記録。 - 履歴傾向分析とフォレンジック。 - リアルタイムアラートには不要な、アクセス頻度の低いデータ。
取り込みコスト	Standard	最小限
クエリ料金込み	✅	❌
最適化されたクエリのパフォーマンス	✅	❌ クエリの速度が低下します。監査に適しています。リアルタイム分析用に最適化されていません。
クエリ機能	Microsoft Defender ポータル、Azure ポータル、および API を使用した完全なクエリ機能。	- クエリの全機能。UNION や JOIN を含みます。 - スケジュールされた KQL または Spark ジョブを実行します。 - ノートブックを使用します。
リアルタイム分析機能の完全なセット	✅	❌ 分析ルール、ハンティングクエリ、パーサー、ウォッチリスト、ブック、プレイブックなど、一部の機能に関する制限事項。
求人検索	✅	✅
概要ルール	✅	✅ 1 つのテーブルに対する完全な KQL。ルックアップを使用して分析テーブルのデータを使用して拡張できます
復元	✅	❌ KQL ジョブと Notebook ジョブは、データを分析レベルに昇格させることができます。
データのエクスポート	✅	❌
保有期間	Microsoft Sentinelの場合は 90 日、Microsoft Defender XDRの場合は 30 日間。月額の日割りによる長期保存料金で、最長 2 年まで延長できます。	既定では、分析データの保持期間と同じです。最大12年まで延長できます。

テーブル設定を変更するとどうなりますか

テーブルの階層と保持の設定はいつでも切り替えることができます。

テーブルの階層を Analytics から Data Lake に変更すると、リアルタイム分析クエリとハンティングクエリはすべて機能しなくなります。

テーブルの合計リテンション期間を短縮すると、Microsoftはデータを削除する前に 30 日間待機するため、変更を元に戻し、構成エラーが発生した場合のデータ損失を回避できます。

合計リテンション期間を増やすと、新しい保持期間は、既にテーブルに取り込まれ、まだ削除されていないすべてのデータに適用されます。

既存のデータを使用してテーブルの分析保持設定を変更すると、変更はすぐに有効になります。

例:

分析レベルには、180 日間の分析リテンション期間のテーブルがあります。既定では、合計リテンション期間も 180 日に設定されます。
分析のリテンション期間を 90 日に変更すると、合計リテンション期間は変更されず、180 日のままです。
Microsoft Sentinel、過去 90 日間のデータを分析リテンション期間から自動的に削除しますが、90 ~ 180 日経過したデータは引き続き Data Lake レベルに格納されます。

Microsoft Sentinelで XDR データを管理する

既定では、Microsoft Defender XDRは、脅威ハンティングデータを XDR の既定のレベルに 30 日間保持します。このデータは、既定では Analytics または Data Lake レベルには取り込まれません。サポートされている XDR テーブルのリテンション期間を 30 日から最大 90 日まで延長する場合、Sentinel インジェストコストは適用されますが、追加のストレージコストは発生しません。テーブルは、Analytics レベルの Microsoft Sentinel ワークスペースに作成され、Data Lake 層にミラー化されます。

Azure ポータルで Microsoft Sentinel XDR コネクタを有効にすると、セットアップ時に選択したテーブルが自動的に Analytics 層に取り込み、Data Lake層にミラー化されます。既定のリテンション期間は 30 日で、最大 12 年間延長できます。テーブルの一覧については、「Microsoft Sentinelとの統合Microsoft Defender XDR」を参照してください。コネクタのデプロイ中に選択しなかったサポートされている XDR テーブルを Analytics 層に取り込み、リテンション期間を 30 日以上に設定することで、Data Lake層にミラー化できます。

Microsoft Sentinel XDR コネクタを有効にしない場合、XDR テーブルは自動的に取り込まれませんが、Microsoft Defender ポータルで Analytics または Data Lake レベルのリテンション期間を 30 日以上に設定することで、それらを取り込むことができます。

リテンション期間の設定を構成するときに Data Lake レベルオプションを選択することで、サポートされている XDR テーブルを Data Lake 層にのみ取り込むことができます。詳細については、「データ保持と階層化の構成」を参照してください。

Warning

Analytics の保持期間と総保持をデフォルトの30日にリセットすると、Azureポータルのコネクターが無効になります。

アナリティクス層へのデータの取り込みを止めるには、アナリティクスの保持期間と総保持をデフォルトの30日にリセットしてください。

テーブルとデータの管理の詳細については、「既存のテーブルとデータを管理する」を参照してください。

XDR データの保持とコスト

次の表は、Microsoft Sentinelのさまざまなレベルの無料保有期間とコストへの影響をまとめたものです。

階層	保持	備考
高度なハンティング (既定)	30 日間	XDR ライセンスに含まれる既定値。
Analytics 階層	31 日から 90 日	Sentinel対応ワークスペースの空きストレージ。データはデータレイクにミラーリングされます。 Sentinel の取り込み料金が適用されます。
Data Lake レベル	設定可能。既定では、分析レベルと同じです。	総リテンション期間が分析レベルのリテンション期間と同じ場合にストレージを解放します。分析レベルのリテンション期間を超えてData Lake層にデータを保持すると、Data Lake層のストレージコストが発生します。 Data Lake 層にデータを直接取り込む場合、インジェスト、ストレージ、および処理のコストが発生します。

課金とコストの詳細については、「Microsoft Sentinelの完全な課金モデルを理解する」を参照してください。

次の例では、XDR データは、分析レベルまたはデータレイク層の保持設定に関係なく、少なくとも 30 日間の高度な検索を通じて使用できます。

分析レベルの保有期間	合計保持期間	Analytics 階層のデータ取り込みコスト	Analytics 階層のストレージコスト	Data Lake レベルのコスト
30 日の既定値	30 日の既定値	追加コストなし	該当なし	該当なし
90 日間	90 日間	コストは、分析レベルのインジェストに適用されます。	追加コストは発生しません。 90日は無料で含まれています。	追加コストは発生しません。合計リテンション期間は、分析レベルのリテンション期間と一致します。
90 日間	180 日間	コストは、分析レベルのインジェストに適用されます。	追加コストなし。90日は無料で含まれています。	コストは、90 日間の追加データレイクリテンション期間 (180 日から 90 日間) に適用されます。
180 日間	1 年	コストは、分析レベルのインジェストに適用されます。	コストは、90 日間の追加の分析レベルリテンション期間に適用されます。	コストは、185 日間の追加データレイクリテンション期間 (365 日から 180 日間) に適用されます。
0 日 (データレイクのみ)	5 年	該当なし	該当なし	データ取り込みと、データレイクでの 5 年間の保持に対して料金が発生します。

次のステップ

次の詳細情報をご確認ください:

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-08-03