Microsoft Sentinel概要ページで収集されたデータを可視化する

Microsoft Sentinelの概要ページを使って、環境全体の活動を閲覧、監視、分析してください。 この記事では、Microsoft Sentinelの概要ダッシュボードで使用できるウィジェットとグラフについて説明します。これには、環境のセキュリティ体制をすばやく評価するのに役立つインシデント、自動化の効率、データ インジェスト、分析ルールの状態に関する分析情報が含まれます。 始める前に、データソースをMicrosoft Sentinelに接続するなど、前提条件を満たしていることを確認してください。

前提条件

[概要] ページにアクセスする前に、次の前提条件を満たしていることを確認します。

• Microsoft Sentinel リソースへの閲覧者アクセス権があることを確認します。 詳細については、「Microsoft Sentinelのロールとアクセス許可」を参照してください。

[概要] ページにアクセスする

ワークスペースがMicrosoft Defender ポータルにオンボードされている場合は、[全般] > [概要] を選択します。 それ以外の場合は、[ 概要 ] を直接選択します。 例:

概要ダッシュボードの各セクションのデータが事前に計算され、最後の更新時刻が各セクションの上部に表示されます。 ページの上部にある [ 更新 ] を選択して、ページ全体を更新します。

インシデント データを表示する

ノイズを減らし、確認して調査する必要があるアラートの数を最小限に抑えるために、Microsoft Sentinelは融合手法を使用してアラートをインシデントに関連付けます。 インシデントは、調査と解決を行うための、関連するアラートをまとめた対処可能なグループです。

次の図は、[概要] ダッシュボードの [インシデント] セクションの例を示しています。

[インシデント] セクション には、 次のデータが一覧表示されます。

• 過去 24 時間の新規、アクティブ、および終了したインシデントの数。
• 各重大度のインシデントの合計数。
• 各クローズ分類タイプのクローズされたインシデント数。
• 作成時間別のインシデントの状態 (4 時間間隔)。
• インシデントの平均確認時間とインシデントの平均クローズ時間 ([SOC 効率性] ブックへのリンク付き)。 詳細については、「Microsoft Sentinel でブックを使用してデータを視覚化および監視する」を参照してください。

[インシデントの管理] を選択して、[インシデントのMicrosoft Sentinel] ページに移動して詳細を確認します。

オートメーション データを表示する

Microsoft Sentinelを使用して自動化をデプロイした後、概要ダッシュボードの Automation セクションでワークスペースの自動化を監視します。

• まず、自動化ルールのアクティビティの概要を確認します。自動化によってクローズされたインシデント、自動化によって削減された時間、関連するプレイブックの正常性が表示されます。

  Microsoft Sentinelは、1 つの自動化によって保存された平均時間に、自動化によって解決されたインシデントの数を乗算して、自動化によって保存された時間を計算します。 Microsoft Sentinelは、自動化による節約時間を計算するために以下の式を使用します。

  (avgWithout - avgWith) * resolvedByAutomation

  ここで:

  • avgWithout は、インシデントが自動化なしで解決されるまでの平均時間です。
  • avgWith は、インシデントが自動化によって解決されるまでの平均時間です。
  • resolvedByAutomation は、自動化によって解決されるインシデントの数です。

• 自動化アクション グラフは、オートメーションによって実行されたアクションの数をアクションの種類別にまとめたものです。

• このセクションには、Automation ページへのリンクを含むアクティブな オートメーション ルールの数も含まれています。

[ オートメーション ルールの構成 ] リンクを選択して、 Automation ページにジャンプします。ここで、より多くの自動化を構成できます。

データ レコード、データ コレクター、脅威インテリジェンスの状態を表示する

[概要] ダッシュボードの [データ] セクションで、データ レコード、データ コレクター、脅威インテリジェンスに関する情報を追跡します。

次の詳細を表示します。

• 過去 24 時間に収集Microsoft Sentinelレコードの数。過去 24 時間と比較し、その期間中に検出された異常。

• 異常なコネクタとアクティブなコネクタに分けた、データコネクタの状態の概要。 異常なコネクタは、 エラーがあるコネクタの数を示します。 アクティブ コネクタは、コネクタに含まれるクエリによって測定される、Microsoft Sentinelにデータ ストリーミングを行うコネクタです。

• Microsoft Sentinel の脅威インテリジェンス レコード（侵害インジケーター別）

[ コネクタの管理 ] を選択して、[ データ コネクタ ] ページに移動します。ここで、データ コネクタを表示および管理できます。

分析データを表示する

[概要] ダッシュボードの [分析] セクションで、分析ルールのデータを追跡します。

Microsoft Sentinelの分析ルールの数は、有効、無効、自動無効など、状態によって表示されます。

[MITRE ビュー] リンクを選択して MITRE ATT&CK にジャンプします。ここで、MITRE ATT&CK の戦術と手法から環境がどのように保護されているかを確認できます。 [ 分析ルールの管理 ] リンクを選択して [分析 ] ページに移動します。ここで、アラートのトリガー方法を構成するルールを表示および管理できます。

次の手順

環境の探索と監視を続けるには、以下のリソースをご利用ください。

• ブック テンプレートを使用して、環境全体で生成されたイベントについて詳しく調べます。 詳細については、「Microsoft Sentinel でブックを使用してデータを視覚化および監視する」を参照してください。

• Log Analytics クエリ ログを有効にして、すべてのクエリをワークスペースから実行します。 詳細については、「Microsoft Sentinel のクエリとアクティビティの監査」を参照してください。

• 概要ダッシュボード ウィジェットの背後で使用されるクエリについて説明します。 詳細については、「Microsoft Sentinelの新しい概要ダッシュボードの詳細」を参照してください。