ダッシュボードを既存のセキュリティ情報とイベント管理 (SIEM) ソリューションからMicrosoft Sentinel用のAzure ブックに変換します。 Azure Workbooks を使用すると、Microsoft Sentinel 向けのカスタム ダッシュボードを柔軟に作成できます。 この記事では、現在使用しているダッシュボードを確認し、計画を立て、Azure Workbooks に変換する方法について説明します。
現在の SIEM のダッシュボードを確認する
移行を設計するときは、次の手順を検討してください。
- ダッシュボードの分析:デザイン、パラメータ、データソース、その他の詳細を含むダッシュボードに関する情報を集めます。 各ダッシュボードの目的または使用状況を特定します。
- 選択的に:すべてのダッシュボードを考慮せずに移行しないでください。 重要で定期的に使用されるダッシュボードに焦点を当てます。
- 権限を考慮する:ワークブックのターゲットユーザーを考えましょう。 Azure Workbooks では、Azure ロールベースのアクセス制御 (Azure RBAC) を使用します。 詳細については、「Azure Workbooks でコントロールを評価する」を参照してください。 Azureの外部にダッシュボードを作成する (たとえば、Azureアクセス権のないビジネスエグゼクティブの場合) には、Power BI などのレポート ツールを使用します。
ダッシュボード変換の準備
ダッシュボードを確認したら、次のタスクを完了してダッシュボードの移行に備えます。
各ダッシュボードのすべての視覚化を確認します。 現在の SIEM のダッシュボードには、複数のグラフまたはパネルが含まれている場合があります。 不要なビジュアルやデータを除外するために、候補として絞り込んだダッシュボードの内容を確認することが重要です。
ダッシュボードの設計と対話機能をキャプチャします。
ユーザーにとって重要な設計要素を特定します。 例えば、ダッシュボードのレイアウト、チャートの配置、さらにはグラフのフォントサイズや色などです。
ドリルダウンやフィルター処理など、Azure Workbooks に引き継ぐ必要があるインタラクティブ機能を洗い出します。
必要なパラメーターまたはユーザー入力を特定します。 ほとんどの場合、ユーザーが結果 (日付範囲、アカウント名など) を検索、フィルター処理、またはスコープを実行するためのパラメーターを定義する必要があります。 そのため、パラメーターに関する詳細をキャプチャすることが重要です。 収集する主要なパラメーター要件の一部を次に示します。
- ユーザーが選択や入力を行うためのパラメータの種類;例えば、日付範囲、テキスト、その他です。
- ドロップダウン、テキスト ボックス、その他のパラメーターの表現方法。
- 期待値フォーマット;例えば、時間、文字列、整数などです。
- 既定値などのその他のプロパティでは、複数選択、条件付き可視性などを許可します。
ダッシュボードの変換
ダッシュボードを変換するには、Azure Workbooks と Microsoft Sentinel で次のタスクを完了してください。
1. データ ソースを特定する
Azure Workbooks は、幅広いデータ ソースに対応しています。 詳細については、「Azure Workbooks のデータ ソース」を参照してください。 ほとんどの場合、Azure Monitor ログ データ ソースと Kusto 照会言語 (KQL) クエリを使用して、Microsoft Sentinel ワークスペース内の基になるログを視覚化します。
2. KQL クエリを構築または確認する
クエリを構築または確認するには、主に KQL を使用してデータを視覚化します。 Azure ブックに変換する前に、Microsoft Sentinel でクエリを作成してテストできます。 Azure portalのMicrosoft Sentinelからクエリをテストするには、[ログ] に移動します。 Defender ポータルの Microsoft Sentinel で、調査と対応>ハンティング>高度なハンティング に移動します。
KQL クエリを完了する前に、クエリのパフォーマンスを向上させるために、常にクエリを確認して調整します。 最適化されたクエリ:
- 実行時間を短縮し、クエリ実行の全体的な期間を短縮します。
- スロットルまたは拒否される可能性が低くなります。
詳細については、次のリソースを参照してください。
3. ワークブックを作成または更新する
ワークブックを作成したり、ワークブックを更新したり、既存のワークブックをクローンしたりして、最初からやり直す必要はありません。 また、データまたは視覚化の表現方法、配置方法、グループ化方法を指定します。 次の 2 つの一般的な設計があります。
- 縦型ワークブック
- タブ付きのブック
詳細については、次の記事を参照してください。
4. ワークブックのパラメーターまたはユーザー入力を作成または更新する
ワークブックの構造を定義したら、ワークブックに必要なパラメーターを特定できているはずです。 パラメーターを使用すると、ユーザーからの入力を受け取り、その入力をワークブックの他の部分で参照できます。 この入力は通常、結果セットのスコープを設定し、正しい視覚化を設定するために使用され、対話型のレポートとエクスペリエンスを構築できます。
ワークブックを使用すると、パラメーター コントロールをユーザーにどのように表示するかを制御できます。 例えば、コントロールをテキストボックスかドロップダウンか、シングルセレクトかマルチセレクトかを選択します。 テキスト、JSON、KQL、Azure Resource Graphなど、使用する値を選択することもできます。
サポートされているワークブック パラメーターを確認してください。 これらのパラメータ値は、同じワークブックの他の部分で、バインディングや値展開を使うことで参照できます。
5. 視覚化を作成または更新する
ワークブックには、データを視覚化するための豊富な機能が備わっています。 各視覚化の種類の次の詳細な例を確認します。
6. ワークブックをプレビューして保存する
ワークブックを保存した後、パラメータを指定し結果を検証してください。 ブックデータの自動更新や印刷機能を試して、ブックを印刷したり、PDF として保存したりすることもできます。