ワークブックを使用して Microsoft Sentinel の移行を追跡する

organizationのセキュリティ オペレーション センター (SOC) が大量のデータを処理するため、デプロイの状態を計画して監視することが不可欠です。 Microsoft Project、Microsoft Excel、Microsoft Teams、Azure DevOps などの汎用ツールを使用して移行プロセスを追跡できますが、これらのツールはセキュリティ情報とイベント管理 (SIEM) 移行追跡に固有ではありません。 追跡しやすくするために、Microsoft Sentinel には Microsoft Sentinel Deployment and Migration という名前の専用ワークブックが用意されています。

ワークブックは、次のことに役立ちます:

• 移行の進行状況を視覚化する
• データ ソースのデプロイと追跡
• 分析ルールとインシデントのデプロイと監視
• ワークブックをデプロイして使用する
• 自動化のデプロイと実行
• ユーザーおよびエンティティの行動分析(UEBA)を展開・カスタマイズする

この記事では、Microsoft Sentinelのデプロイメントおよび移行ワークブックで移行を追跡する方法、ワークブックのカスタマイズと管理方法、ワークブックタブを使ってデータコネクタ、分析、インシデント、プレイブック、自動化ルール、UEBA、データ管理を展開・監視する方法について説明します。 Microsoft Sentinel で Azure Monitor ワークブック を使用する方法の詳細について確認してください。

ワークブックの内容をデプロイし、ワークブックを表示する

ワークブックを取得するには、まず Microsoft Sentinel の Content hub からスタンドアロン アイテムをインストールします。

1. Microsoft Sentinel コンテンツ ハブで、コンテンツ タイプ = Workbooks で一覧表示されているコンテンツをフィルター処理し、検索バーに「migration」と入力します。

2. 検索結果から「Microsoft Sentinel Deployment and Migration」ワークブックを選択し、「インストール」を選択します。 Microsoft Sentinel によってブックがデプロイされ、お使いの環境にブックが保存されます。

3. Microsoft Sentinel の 脅威の管理 で、ブック>テンプレート を選択します。

4. [Microsoft Sentinel のデプロイと移行] ブックを選択し、[テンプレートの表示] を選択します。

ウォッチリストをデプロイする

DeploymentandMigrationのウォッチリストは、ワークブックが進捗を追跡するために使う展開および移行アクションを保存します。 このウォッチリストをMicrosoft Sentinel GitHubリポジトリから展開してください。

1. Microsoft Sentinel GitHub リポジトリで、[DeploymentandMigration] フォルダーを選択し、[Deploy to Azure] を選択して、Azureでテンプレートのデプロイを開始します。
2. Microsoft Sentinelリソース グループとワークスペース名を指定します。
3. [ 確認と作成] を選択します。
4. 情報が検証されたら、[ 作成] を選択します。

デプロイと移行アクションを使用してウォッチリストを更新する

デプロイと移行のアクションを使用してウォッチリストを更新することは、追跡セットアップ プロセスにとって重要です。 ウォッチリストの更新をスキップすると、ワークブックに追跡対象の項目が反映されません。

デプロイアクションと移行アクションを使用してウォッチリストを更新するには:

1. AzureまたはMicrosoft Defender ポータルで、[Microsoft Sentinel] を選択し、[ウォッチリスト] を選択します。
2. [デプロイ] エイリアスを含むウォッチリストを選択します。
3. 次に、[ ウォッチリストの更新] を選択 > ウォッチリスト項目を編集します。
4. デプロイと移行に必要なアクションの情報を指定します。
5. [保存] を選択します。

移行トラッカー ブック内でウォッチリストを表示できるようになりました。 ウォッチリストを管理する方法について説明します。

さらに、チームは、デプロイ プロセス中にタスクを更新または完了する場合があります。 これらの変更に対処するには、新しいユース ケースを特定したり、新しい要件を設定したりするときに、既存のアクションを更新するか、新しいアクションを追加します。 アクションを更新または追加するには、 デプロイしたデプロイ ウォッチリストを編集します。 プロセスを簡略化するには、ブックで [ 展開ウォッチリストの編集 ] を選択して、ブックからウォッチリストを直接開きます。

デプロイの状態を表示する

デプロイの進行状況をすばやく表示するには、[デプロイと移行] ブックMicrosoft Sentinelで [デプロイ] を選択し、下にスクロールして [進行状況の概要] を見つけます。 [ 進行状況の概要] セクションには、次の情報を含むデプロイの状態が表示されます。

• データを示す表
• データを表示するテーブルの数
• 報告されたログの数と、ログ データを報告するテーブル
• 有効なルールの数とデプロイされていないルールの数
• 推奨ワークブックがデプロイ済み
• デプロイされたワークブックの総数
• デプロイされたプレイブックの合計数

データ コネクタのデプロイと監視

デプロイされたリソースを監視し、新しいコネクタをデプロイするには、Microsoft Sentinel デプロイと移行 ワークブックで、データ コネクタ > モニター を選択します。 [モニター] ビューには、次の一覧が表示されます。

• 現在のインジェストの傾向
• データを取り込むテーブル
• 各テーブルがレポートしているデータの量
• Azure Monitor Agent (AMA) を使用したエンドポイント レポート
• リソース グループ内のデータ収集ルールと、ルールにリンクされているデバイス
• データ コネクタの正常性 (変更とエラー)
• 指定した時間範囲内のヘルス ログ

データ コネクタを構成するには:

1. [構成] ビューを選択します。
2. 構成するコネクタの名前を含むボタンを選択します。
3. 開いたコネクタの状態画面でコネクタを構成します。 必要なコネクタが見つからない場合は、コネクタ名を選択してコネクタ ギャラリーまたはソリューション ギャラリーを開きます。

分析機能とインシデントをデプロイして監視する

ワークスペースでデータが報告されたら、分析ルールを構成して監視します。 Microsoft Sentinel のデプロイと移行 ワークブックで、分析 タブを選択して、デプロイされているすべてのルール テンプレートとリストを表示します。 [ 分析 ] タブには、現在使用中のルールと、ルールがインシデントを生成する頻度が示されます。

MITREカバレッジビューは、展開した分析ルールをMITRE AT&CKフレームワークにマッピングし、脅威検出のギャップを特定できます。 さらにカバレッジが必要な場合は、左側の表の下にある [ MITRE カバレッジの確認 ] を選択します。 このオプションを使用して、移行プロジェクトの任意の段階で、より多くのカバレッジを受け取る領域とデプロイされるルールを定義します。

分析ルールを展開し、Defender 製品コネクタがアラートを送信するように構成されている場合は、[ 展開] > [進行状況の概要] でインシデントの作成と頻度を監視します。 [進行状況の概要] セクションには、製品、タイトル、分類別のアラート生成に関するメトリックが表示され、SOC の正常性と最も注意が必要なアラートが示されます。 アラートの生成量が多すぎる場合は、[ 分析 ] タブに戻ってロジックを変更します。

ワークブックをデプロイして使用する

Microsoft Sentinel で実行されるデータの取り込みと検出に関する情報を視覚化するには、Microsoft Sentinel Deployment and Migration ブックで、Workbooks を選択します。 監視情報には [監視 ] ビューを使用し、構成情報には [構成 ] ビューを使用します。

Workbooks タブで行える便利なタスクをいくつか紹介します。

• 環境内のすべてのブックの一覧と、デプロイされているブックの数を表示するには、[監視] を選択 します。

• Microsoft Sentinel Deployment and Migration ワークブック内の特定のワークブックを表示するには、ワークブックを選択してから [Open Selected Workbook] を選択します。

  

• まだブックを展開していない場合は、[ 構成 ] を選択して、一般的に使用されるブックと推奨されるブックの一覧を表示します。 ブックが一覧にない場合は、[ ブック ギャラリーに移動] または [ コンテンツ ハブに移動 ] を選択して、関連するブックを展開します。

  

プレイブックと自動化ルールをデプロイして監視する

データ インジェスト、検出、視覚化を構成するときに、自動化について調ることができるようになりました。 Microsoft Sentinel Deployment and Migration ブックで、Automation を選択すると、デプロイされたプレイブックを表示し、現在オートメーション ルールに接続されているプレイブックを確認できます。 自動化ルールが存在する場合、ワークブックには各ルールに関する次の情報が示されます。

• 名前
• 状態
• 規則の 1 つ以上のアクション
• ルールが変更された最後の日付と、ルールを変更したユーザー
• ルールが作成された日付

ブックの [オートメーション ] セクションでオートメーションを表示、デプロイ、テストするには、左下にある [ Automation リソースのデプロイ ] を選択します。

Microsoft Sentinelのプレイブックおよび自動化ルールのSOAR機能について学びましょう:プレイブックで応答を自動化し、自動化ルールでインシデント処理を自動化します。

UEBA のデプロイと監視

データのレポートと検出はエンティティ レベルで行われるため、エンティティの動作と傾向を監視することが不可欠です。 ユーザーとエンティティの行動分析 (UEBA) は、これを行うのに役立ちます。 Microsoft Sentinel で UEBA 機能を有効にするには、Microsoft Sentinel のデプロイと移行ワークブックで、UEBA を選択します。 ここでは、エンティティ ページのエンティティ タイムラインをカスタマイズし、データが設定されているエンティティ関連のテーブルを表示できます。

UEBAを有効にするには:

1. テーブルの一覧の上にある [UEBA を有効にする] を選択 します。
2. UEBAを有効にするには「 On」を選択してください。
3. 分析情報の生成に使用するデータ ソースを選択します。
4. [適用] を選択します。

UEBAを有効にした後は、Microsoft SentinelがUEBAデータを生成しているか監視し、確実に確認してください。

タイムラインをカスタマイズするには:

1. テーブルの一覧の上にある [ エンティティ タイムラインのカスタマイズ ] を選択します。
2. カスタム項目を作成するか、すぐに使えるテンプレートのいずれかを選択します。
3. テンプレートをデプロイしてウィザードを完了するには、[ 作成] を選択します。

UEBAについて詳しく知るか、タイムラインのカスタマイズ方法を学びましょう。

データ ライフサイクルの構成と管理

Microsoft Sentinelにデプロイまたは移行するときは、受信ログの使用状況とライフサイクルを管理することが不可欠です。 [配置と移行] ブックMicrosoft Sentinelで、[データ管理] を選択して、テーブルの保持とアーカイブを表示および構成します。

次に関する情報を表示します。

• 基本的なログ インジェスト用に構成されたテーブル
• 分析レベルのインジェスト用に構成されたテーブル
• アーカイブされるように構成されたテーブル
• 既定のワークスペースの保持期間の表

テーブルの既存の保持ポリシーを変更するには:

1. [既定の保持テーブル] ビューを選択します。
2. 修正したいテーブルを選択し、 保持の更新を選択します。 必要に応じて、次の情報を編集します。
   • ワークスペースでの現在の保持期間
   • アーカイブ内の現在の保持期間
   • データが環境内に存在する合計日数
3. TotalRetention 値を編集して、環境内にデータを存在させる新しい合計日数を設定します。

ArchiveRetention 値は、InteractiveRetention 値から TotalRetention 値を減算することによって計算されます。 ワークスペースのリテンション期間を調整する必要がある場合、変更は構成済みのアーカイブを含むテーブルには影響せず、データは失われません。 InteractiveRetention 値を編集しても TotalRetention の値が変更されない場合は、Log Analytics Azureアーカイブのリテンション期間が調整され、変更が補正されます。

UI で変更を加える場合は、[UI の保持期間の更新 ] を選択して、関連するページを開きます。

データ ライフサイクル管理について説明します。

移行のヒントと手順を有効にする

配置と移行のプロセスを支援するために、ブックには、さまざまなタブの使用方法を説明するヒントと、関連するリソースへのリンクが含まれています。 このヒントは、Microsoft Sentinel移行に関するドキュメントに基づいており、現在の SIEM に関連しています。 ヒントと手順を有効にするには、Microsoft Sentinel Deployment and Migration ワークブックの右上で、MigrationTips と Instruction を Yes に設定します。

関連するコンテンツ

• ArcSight 検出ルールを移行する
• Splunk 検出ルールを移行する
• QRadar 検出ルールを移行する