Microsoft Sentinel のすぐに使えるコンテンツを検出して管理する

Microsoft Sentinel コンテンツ ハブは、すぐに利用できる (組み込みの) コンテンツを検出して管理するための一元的な場所です。 コンテンツ ハブには、ドメインまたは業界別のエンド ツー エンド製品用のパッケージ ソリューションがあります。 GitHub リポジトリと機能ブレードでホストされている膨大な数のスタンドアロン コントリビューションにアクセスできます。

• 状態、コンテンツ タイプ、サポート、プロバイダー、カテゴリに基づいて一貫性のあるフィルター機能セットを使用して、ソリューションとスタンドアロン コンテンツを検出します。

• ワークスペースにコンテンツを一度または個別にインストールします。

• リスト ビューでコンテンツを表示し、更新プログラムがあるソリューションをすばやく確認します。 スタンドアロン コンテンツが自動的に更新されている間に、ソリューションを一度に更新します。

• ソリューションを管理してコンテンツ タイプをインストールし、最新の変更を取得します。

• 最新のテンプレートに基づいて新しいアクティブなアイテムを作成するようにスタンドアロン コンテンツを構成します。

独自のソリューションを作成するパートナーの場合は、ソリューションの作成と発行に関するMicrosoft Sentinelソリューション ビルド ガイドを参照してください。

前提条件

Content Hubでスタンドアロンのコンテンツやソリューションをインストールする、更新、削除するには、リソースグループレベルでMicrosoft Sentinel Contributorの役割が必要です。

Microsoft Sentinelでサポートされているその他のロールとアクセス許可の詳細については、「Microsoft Sentinelのアクセス許可」を参照してください。

コンテンツの検出

コンテンツ ハブは、新しいコンテンツを見つけたり、既にインストールされているソリューションを管理したりするための最良の方法を提供します。

1. Defender ポータルでMicrosoft Sentinelする場合は、[Microsoft Sentinel>Content management>Content Hub] を選択します。 Azure portalの [Microsoft Sentinel] で、[コンテンツ管理] で [コンテンツ ハブ] を選択します。

   [コンテンツ ハブ] ページには、検索可能なグリッドまたはソリューションとスタンドアロン コンテンツの一覧が表示されます。

2. 必要なソリューションまたはスタンドアロン コンテンツ項目を検索します。 フィルターから特定の値を選択するか、[ 検索] ボックス に検索語句を入力します。 検索では、AI を使用してあいまい検索と近似語彙をサポートします。

   ENTERを押して検索を開始してください。 結果は50項目に制限されており、解答および解中の項目も含まれます。 必要な情報が見つからなければ、検索を絞り込むか別のフィルターを試してみてください。

   詳細については、「Microsoft Sentinel の標準搭載コンテンツとソリューションのカテゴリ」を参照してください。

3. リスト ビュー ( ) で、ソリューションを一覧から選択して、ソリューションに関する情報と、それに含まれるコンテンツ アイテムの種類を表示します。

   検索またはフィルターの結果でソリューションを展開して、含まれるコンテンツ 項目の一覧を表示します。 サイドの情報ウィンドウには、コンテンツ 項目に関する詳細情報が表示されます。

   • Defender ポータル
   • Azure Portal

   

   または、カード ビュー () を選択して、グリッドに表示されるソリューションを表示します。 各カードには、ソリューション名、説明、カテゴリが表示されます。 カードを選択すると、ソリューションの詳細が表示されます。

ソリューションの一部であるコンテンツ項目を使用するには、ソリューション全体をインストールする必要があります。 リスト ビューで特定のコンテンツ項目を選択した場合は、サイドの詳細ウィンドウで [ ソリューションのインストール ] を選択して、関連するソリューションをインストールします。

詳細については、「Microsoft Sentinel の標準搭載コンテンツとソリューションのカテゴリ」を参照してください。

コンテンツをインストールまたは更新する

スタンドアロン コンテンツとソリューションを個別に、またはすべてを一括でインストールします。 一括操作の詳細については、「 コンテンツの一括インストールと更新」を参照してください。

デプロイしたソリューションに前回デプロイした後の更新プログラムがある場合は、一覧ビューに [状態] 列に [更新] と表示されます。 このソリューションは、ページの上部にあるUpdates数にも含まれています。

個々のソリューションのインストールを示す例を次に示します。

1. コンテンツ ハブで、ソリューションを検索して選択します。

2. ソリューションの詳細ウィンドウで、右下の [詳細の表示] を選択 します。

3. [ 作成] または [ 更新] を選択します。

4. [ 基本 ] タブで、ソリューションをデプロイするサブスクリプション、リソース グループ、ワークスペースを入力します。 例:

   

5. [ 次へ ] を選択して残りのタブを確認し、場合によっては各コンテンツ コンポーネントを構成します。

   タブは、ソリューションによって提供されるコンテンツに対応します。 ソリューションによってコンテンツの種類が異なる場合があるため、すべてのソリューションに同じタブが表示されない場合があります。

   また、Microsoft Sentinelがシステムに対して認証できるように、Microsoft 以外のサービスに資格情報を入力するように求められる場合もあります。 たとえば、プレイブックでは、システムで規定されているように応答アクションを実行できます。

6. [ 確認と作成 ] タブで、 Validation Passed メッセージを待ちます。

7. [ 作成 ] または [ 更新] を 選択してソリューションをデプロイします。 [ Automation 用テンプレートのダウンロード ] リンクを選択して、ソリューションをコードとしてデプロイすることもできます。

依存関係を含むインストール

一部のソリューションには、CEF、Syslog、またはカスタム ログに統合Azure Monitor エージェント (AMA) コネクタを使用する多くのドメイン ソリューションやソリューションなど、インストールする依存関係があります。

ソリューションに依存関係がある場合は、[ 依存関係のあるインストール ] を選択して、必要なデータ コネクタも確実にインストールされるようにします。 依存関係の選択ウィンドウで、1 つ以上の依存関係を選択して、元のソリューションと共にインストールします。 インストールを選択した元のソリューションは、常に既定で選択されます。

依存関係ソリューションの 1 つ以上が既にインストールされているが、更新プログラムがある場合は、[ インストール/更新 ] ボタンを使用して、選択したすべてのソリューションを一括でインストールおよび更新します。 例:

ソリューションをインストールした後、ソリューション内の各コンテンツ タイプの構成にさらに手順が必要になる場合があります。 詳細については、「 ソリューションでコンテンツ項目を有効にする」を参照してください。

コンテンツの一括インストールと更新

コンテンツ ハブでは、既定のカード ビューに加えてリスト ビューがサポートされています。 リスト ビューを選択して、複数のソリューションとスタンドアロン コンテンツをすべて一度にインストールします。 スタンドアロン コンテンツは自動的に最新の状態に保たれます。 ソリューションまたはコンテンツ ハブからインストールされたスタンドアロン コンテンツに基づいて作成されたアクティブまたはカスタム コンテンツは変更されません。

1. 項目を一括でインストールまたは更新するには、リスト ビューに変更します。

2. を検索またはフィルター処理して、一括でインストールまたは更新するコンテンツを見つけます。

3. インストールまたは更新する各ソリューションまたはスタンドアロン コンテンツのチェック ボックスをオンにします。

4. [ インストール/更新 ] ボタンを選択します。

   選択したソリューションまたはスタンドアロン コンテンツが既にインストールまたは更新されている場合、その項目に対してアクションは実行されません。 他の項目の更新とインストールに干渉しません。

5. インストールしたソリューションごとに [ 管理 ] を選択します。 ソリューション内のコンテンツ タイプでは、構成に関する詳細情報が必要になる場合があります。 詳細については、「 ソリューションでコンテンツ項目を有効にする」を参照してください。

API を使用してパッケージとテンプレートをインストールする

API を使用してソリューション パッケージまたは個々のテンプレートをインストールする場合は、次の手順に従います。

1. ソリューション パッケージまたはテンプレートを取得します。

   • パッケージを取得するには、 Get Product Package API を使用します。
   • 個々のテンプレートを取得するには、 Get Product Template API を使用します。

2. API 応答で、 properties.mainTemplate フィールドを見つけます。 このフィールドには、ソリューションやテンプレートリソースを定義するAzure Resource Manager(ARM)テンプレートJSONが含まれています。

3. REST API、Azure CLI、または PowerShell のいずれかを使用して、抽出したmainTemplateをARM テンプレート デプロイでデプロイします。

ソリューションでコンテンツ 項目を有効にする

インストールされているソリューションのコンテンツ項目をコンテンツ ハブから一元的に管理します。

1. コンテンツ ハブで、バージョンが 2.0.0 以上のインストール済みソリューションを選択します。

2. ソリューションの詳細ページで、[管理] を選択 します。

   

3. コンテンツ 項目の一覧を確認します。

   

4. 開始するには、コンテンツ項目を選択してください。

各コンテンツ タイプを管理する

以下のセクションでは、 データコネクター、 アナリティクスルール、 ハンティングクエリ、 ワークブック、 パーサー、 プレイブック を扱う方法を解説します。

データ コネクタを接続する

データ コネクタを接続するには、構成手順を完了します。

1. [コネクタ ページを開く] を選択します。

2. データ コネクタの構成手順を完了します。

   

   データ コネクタを構成し、ログが検出されると、状態が [接続済み] に変わります。

分析ルールを有効にする

テンプレートからルールを作成するか、既存のルールを編集します。

1. 分析テンプレート ギャラリーでテンプレートを表示します。

2. テンプレートがまだ使用されていない場合は、[ Open>Create rule ]\(ルールの作成\) を選択し、手順に従って分析ルールを有効にします。

   ルールを作成すると、テンプレートから作成されたアクティブなルールの数が [ 作成されたコンテンツ ] 列に表示されます。

3. [アクティブなルール] リンクを選択して、既存のルールを編集します。 たとえば、次の図のアクティブなルール リンクは、[ 作成されたコンテンツ] の下にあり、 2 つの項目が表示されます。

   

ハンティング クエリを実行またはカスタマイズする

指定されたハンティング クエリを実行するか、カスタマイズします。

1. すぐに検索を開始するには、詳細ページから [ クエリの実行 ] を選択して、簡単な結果を得ることができます。

   

2. ハンティング クエリをカスタマイズするには、[ コンテンツ名 ] 列のリンクを選択します。

   ハンティングギャラリーで、読み取り専用クエリテンプレートをクローンするために省略記号メニューを選択してください。 クローンクエリはコンテンツハブの 「作成されたコンテンツ 」欄に表示されます。

テンプレートからブックを作成する

ワークブックをカスタマイズするには、テンプレートからコピーを保存してください。

1. テンプレートを表示 を選択してワークブックを開き、視覚化を確認します。

2. [ 保存] を 選択して、ブック テンプレートのインスタンスを作成します。

3. 保存済みのワークブックを表示 を選択すると、保存したカスタマイズ可能なワークブックを表示できます。

4. コンテンツ ハブから、作成されたコンテンツ 列の 1 件 リンクを選択してワークブックを管理します。

   

パーサーを使用する

ソリューションがインストールされると、含まれているパーサーはすべて Log Analytics のワークスペース関数として追加されます。

1. [ 関数コードの読み込み ] を選択して Log Analytics を開き、関数コードを表示または実行します。

2. [ エディターで使用] を選択 して、パーサー名を使用してカスタム クエリに追加する準備が整った Log Analytics を開きます。

   

テンプレートからプレイブックを作成する

テンプレートからプレイブックを作成します。

1. プレイブックの [コンテンツ名 ] リンクを選択します。

2. テンプレートを選択し、[ プレイブックの作成] を選択します。

3. プレイブックが作成されると、[ 作成されたコンテンツ ] 列にアクティブなプレイブックが表示されます。

4. アクティブなプレイブック 1 項目 のリンクを選択してプレイブックを管理します。

   

コンテンツのサポート モデルを見つける

各ソリューションおよびスタンドアロンコンテンツ項目は、詳細パネル のサポートボックスに サポートモデルを表示します。 ボックスにはMicrosoftかパートナー名のいずれかが記載されています。 例:

サポートに連絡する際には、出版社、提供者、プランIDが必要になるかもしれません。 詳細は詳細ページの「 使用情報およびサポート 」タブで確認できます。

次の手順

多くのソリューションには、Microsoft Sentinelへのデータの取り込みを開始できるように構成する必要があるデータ コネクタが含まれています。 各データ コネクタには、Microsoft Sentinelのデータ コネクタ ページで詳しく説明されている独自の要件セットがあります。

詳細については、「 データ ソースの接続」を参照してください。

関連するコンテンツ

• Microsoft Sentinel ソリューションの詳細については、こちらをご覧ください。
• Azure Marketplace の完全なMicrosoft Sentinel ソリューション カタログを参照してください。
• Microsoft Sentinel コンテンツ ハブ カタログでドメイン固有のソリューションを検索します。
• インストールされている Microsoft Sentinel の標準コンテンツとソリューションを削除