Microsoft Sentinelは、自動化ルールとプレイブックを備えたセキュリティ オーケストレーション、オートメーション、および応答 (SOAR) 機能を提供します。 自動化ルールは簡単なインシデント処理と対応を容易にしますが、プレイブックでは、脅威に対応して修復するために、より複雑な一連のアクションが実行されます。 この記事では、SOAR のユース ケースを特定する方法と、Splunk SOAR オートメーションを自動化ルールとプレイブックをMicrosoft Sentinelに移行する方法について説明します。
オートメーション ルールとプレイブックの違いの詳細については、次の記事を参照してください。
SOAR のユース ケースを特定する
SPLunk から SOAR ユース ケースを移行する際に考慮する必要がある点を次に示します。
- ユースケースの質:明確に定義された手順、ばらつきが最小限、誤検知率が低いものに基づいて自動化ユースケースを選択しましょう。
- 手動介入:自動応答は幅広い効果をもたらします。 影響の大きい自動化には、影響の大きいアクションを実行する前に確認するための人間の入力が必要です。
- バイナリ基準:応答の成功率を高めるために、自動化されたワークフロー内の意思決定ポイントはできるだけ限定し、バイナリ基準で行うべきです。 自動意思決定に 2 つの変数しかない場合、人間の介入の必要性が減り、結果の予測可能性が高まります。
- 正確なアラートやデータ:対応行動はアラートなどの信号の正確さに依存します。 アラートとエンリッチメント ソースは信頼できる必要があります。 信頼度の高いウォッチリストや脅威インテリジェンスなどのMicrosoft Sentinelリソースは、信頼性を高めます。
- アナリストの役割:自動化は素晴らしいですが、最も複雑な作業はアナリストに任せてください。 検証を必要とするワークフローへの入力の機会を提供します。 要するに、応答の自動化では、アナリスト機能を拡張する必要があります。
SOAR ワークフローを移行する
このセクションでは、Splunk SOAR の主要な概念がMicrosoft Sentinelコンポーネントにどのように変換されるかを示し、SOAR ワークフロー内の各ステップまたはコンポーネントを移行する方法の一般的なガイドラインを示します。
| ステップ (図) | Splunk | Microsoft Sentinel |
|---|---|---|
| 1 | メイン インデックスにイベントを取り込みます。 | Log Analytics ワークスペースにイベントを取り込みます。 |
| 2 | コンテナーを作成します。 | カスタム詳細機能を使用してインシデントにタグを付けます。 |
| 3 | ケースを作成します。 | Microsoft Sentinelは、共有エンティティや重大度など、ユーザー定義の条件に従ってインシデントを自動的にグループ化できます。 次に、これらのアラートによってインシデントが生成されます。 |
| 4 | プレイブックを作成します。 | Azure Logic Apps では、複数のコネクタを使用して、Microsoft Sentinel、Azure、サード パーティ、ハイブリッド クラウド環境全体でアクティビティを調整します。 |
| 4 | ワークブックを作成します。 | Microsoft Sentinelは、プレイブックを分離して実行するか、順序付けされたオートメーション ルールの一部として実行します。 定義済みの Security Operations Center (SOC) 手順に従って、アラートまたはインシデントに対してプレイブックを手動で実行することもできます。 |
SOAR コンポーネントのマップ
Microsoft Sentinel または Azure Logic Apps のどの機能が主要な Splunk SOAR コンポーネントに対応するかを確認します。
| Splunk | Microsoft Sentinel/Azure Logic Apps |
|---|---|
| プレイブック エディター | ロジック アプリ デザイナー |
| トリガー | Trigger |
| - コネクター - アプリ - オートメーションブローカー |
-
コネクター - ハイブリッドランブックワーカー |
| アクションブロック | アクション |
| 接続ブローカー | ハイブリッドランブックワーカー |
| Community |
-
テンプレート > 自動化タブ - コンテンツハブカタログ - Github |
| 決定 | 条件付き制御 |
| Code | Azure関数コネクタ |
| プロンプト | 承認メールの送信 |
| フォーマット | データ操作 |
| 入力プレイブック | 以前に実行したステップまたは明示的に宣言された変数の結果から変数入力を取得する |
| ユーティリティ ブロック API ユーティリティを使用してパラメーターを設定する | Microsoft Sentinel Incidents REST API でインシデント管理 |
Microsoft Sentinelでのプレイブックと自動化ルールの運用化
Microsoft Sentinelで使うほとんどのプレイブックは、テンプレートの>自動化タブ、コンテンツハブのカタログ、またはGitHubのプレイブックサンプルMicrosoft Sentinelで入手可能です。 ただし、場合によっては、プレイブックをゼロから作成するか、既存のテンプレートから作成する必要があります。
通常、Azure Logic App Designer機能を使用してカスタム ロジック アプリをビルドします。 ロジック アプリ コードは、Azure Resource Manager (ARM) テンプレートに基づいており、複数の環境にわたるAzure Logic Apps の開発、デプロイ、移植性を容易にします。 カスタム プレイブックをポータブル ARM テンプレートに変換するには、 ARM テンプレート ジェネレーターを使用できます。
自分でプレイブックを一から作るか既存のテンプレートから作る必要がある場合は、以下の記事やチュートリアルを活用してください。
- Microsoft Sentinelでのインシデント処理を自動化する
- Microsoft Sentinelのプレイブックを使用して脅威対応を自動化する
- チュートリアル: Microsoft Sentinelでオートメーション ルールでプレイブックを使用する
- インシデント対応、オーケストレーション、自動化にMicrosoft Sentinelを使用する方法
- Microsoft Sentinelでのインシデント対応を強化するためのアダプティブ カード
SOAR 移行後のベスト プラクティス
SOAR 移行後に考慮する必要があるベスト プラクティスを次に示します。
- プレイブックを移行したら、プレイブックを広範囲にテストして、移行されたアクションが期待どおりに動作することを確認します。
- AUTOMATION を定期的に確認して、SOAR をさらに簡素化または強化する方法を確認します。 Microsoft Sentinelは、現在の応答実装の有効性をさらに簡素化または向上させるために役立つ新しいコネクタとアクションを常に追加します。
- プレイブック正常性監視ワークブック を使用して、プレイブックのパフォーマンスを監視します。
- マネージド ID とサービス プリンシパルを使用する: Logic Apps 内のさまざまなAzure サービスに対して認証し、シークレットをAzure Key Vaultに格納し、フロー実行の出力を隠します。 また、 これらのサービス プリンシパルのアクティビティを監視することをお勧めします。