チュートリアル: 非ネイティブアクションを使用してインシデントエンティティを抽出する

適用対象: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

エンティティマッピングにより、アラートとインシデントが強化され、その後の調査プロセスと修復アクションに不可欠な情報が得られます。

Microsoft Sentinelプレイブックには、エンティティ情報を抽出するための次のネイティブアクションが含まれています。

アカウント
DNS
ファイルハッシュ
ホスト
IP
URL

これらのアクションに加えて、分析ルールエンティティマッピングには、マルウェア、プロセス、レジストリキー、メールボックスなどのネイティブアクションではないエンティティの種類が含まれています。このチュートリアルでは、さまざまな組み込みアクションを使用してネイティブ以外のアクションを操作して、関連する値を抽出する方法について説明します。

このチュートリアルでは、以下を実行する方法について説明します。

インシデントトリガーを含むプレイブックを作成し、インシデントで手動で実行します。
配列変数を初期化します。
他のエンティティ型から必要なエンティティ型をフィルター処理します。
JSON ファイルで結果を解析します。
将来使用するために動的コンテンツとして値を作成します。

重要

2027 年 3 月 31 日以降、Microsoft SentinelはAzure portalでサポートされなくなり、Microsoft Defender ポータルでのみ使用できるようになります。 Azure portalでMicrosoft Sentinelを使用しているすべてのお客様は、Defender ポータルにリダイレクトされ、Defender ポータルでのみMicrosoft Sentinelを使用します。

Azure portalでMicrosoft Sentinelを引き続き使用している場合は、スムーズな移行を確保し、Microsoft Defenderによって提供される統合セキュリティ操作エクスペリエンスを最大限に活用するために、Defender ポータルへの移行の計画を開始することをお勧めします。

前提条件

このチュートリアルを完了するには、次の内容があることを確認します。

Azure サブスクリプション。無料アカウントをまだ持っていない場合は、作成します。
次のリソースに次のロールが割り当てられているAzure ユーザー。
- Microsoft Sentinel がデプロイされている Log Analytics ワークスペースの Microsoft Sentinel 共同作成者
- Logic App 共同作成者と所有者または同等 (このチュートリアルで作成したプレイブックを含むリソースグループ上)。
このチュートリアルでは、(無料) VirusTotal アカウントで十分です。運用環境の実装には、VirusTotal Premium アカウントが必要です。

インシデントトリガーを使用してプレイブックを作成する

Defender ポータルでMicrosoft Sentinelする場合は、[Microsoft Sentinel>Configuration>Automation] を選択します。 Azure portal の Microsoft Sentinel で、構成>自動化 ページを選択します。
Automation ページで、作成>インシデントトリガー付きプレイブックを選択します。
プレイブックの作成ウィザードの [基本] で、サブスクリプションとリソースグループを選択し、プレイブックに名前を付けます。
[ 次へ: 接続] >を選択します。

接続の下に、Microsoft Sentinel - マネージド ID で接続 接続が表示されるはずです。例:
[次へ: 確認と作成 >] を選択します。
[ 確認と作成] で、[作成] を選択 し、デザイナーに進みます。

ロジックアプリデザイナーは、プレイブックの名前を持つロジックアプリを開きます。

配列変数を初期化する

ロジックアプリデザイナーで、変数を追加する手順の下にある [ 新しいステップ] を選択します。
[ 操作の選択] の検索ボックスに、フィルターとして 「variables 」と入力します。アクションの一覧から [ 変数の初期化] を選択します。
変数に関する次の情報を指定します。
1. 変数名には、 エンティティを使用します。
2. 型として [配列] を選択 します。
3. 値の場合は、[ 値 ] フィールドにマウスポインターを合わせ、左側の青いアイコングループで [fx ] を選択します。
4. 表示されたダイアログボックスで、[ 動的コンテンツ ] タブを選択し、検索ボックスに 「エンティティ」と入力します。
5. 一覧から [エンティティ] を選択し、[ 追加] を選択します。

既存のインシデントを選択する

Microsoft Sentinelで、[インシデント] に移動し、プレイブックを実行するインシデントを選択します。
右側のインシデントページで、[ アクション] > [プレイブックの実行 (プレビュー)] を選択します。
[ プレイブック] で、作成したプレイブックの横にある [ 実行] を選択します。

プレイブックがトリガーされると、 プレイブックが正常にトリガーされ、右上に メッセージが表示されます。
Runs を選択し、次にプレイブックの横にある View Run を選択します。

[ロジックアプリの実行] ページが表示されます。
[ 変数の初期化] で、サンプルペイロードが [値] の下に表示されます。後で使用するために、サンプルペイロードを控えておいてください。

他のエンティティ型から必要なエンティティ型をフィルター処理する

Automation ページに戻り、プレイブックを選択します。
変数を追加する手順で、[ 新しいステップ] を選択します。
[ アクションの選択] で、検索ボックスに フィルターとして「filter array 」と入力します。アクションの一覧から [ データ操作] を選択します。
フィルター配列に関する次の情報を指定します。
1. [From>Dynamic content] で、先ほど初期化した Entityes 変数を選択します。
2. 最初の [ 値の選択 ] フィールド (左側) を選択し、[式] を選択 します。
3. 値 item()?['kind'] を貼り付け、OK を選択します。
4. は値と等しいままにします (変更しないでください)。
5. 2 番目の [ 値の選択 ] フィールド (右側) に、「 Process」と入力します。これは、システム内の値と完全に一致している必要があります。
  
  注:
  
  このクエリでは、大文字と小文字が区別されます。 kind値がサンプルペイロードの値と一致していることを確認します。プレイブックの作成時のサンプルペイロードを参照してください。

結果を JSON ファイルに解析する

ロジックアプリで、変数を追加する手順で、[ 新しいステップ] を選択します。
[ データ操作>Parse JSON] を選択します。
操作に関する次の情報を指定します。
1. コンテンツ を選択し、動的コンテンツ>Filter array の下で、本文を選択します。
2. [ スキーマ] で JSON スキーマを貼り付けて、配列から値を抽出できるようにします。プレイブックの作成時に生成したサンプルペイロードをコピーします。
3. プレイブックに戻り、[ サンプルペイロードを使用してスキーマを生成する] を選択します。
4. ペイロードを貼り付けます。スキーマの先頭に開き角括弧 ([) を追加し、スキーマ]の末尾に閉じ角括弧を追加します。
5. [完了] を選択します。