Microsoft Defender for Businessでストリーミング API を使用する

組織に Security Operations Center (SOC) がある場合、Microsoft Defender for Endpoint ストリーミング API を使用する機能は、Defender for Business および Microsoft 365 Business Premium で利用できます。 Microsoft Defender for Endpoint ストリーミング API を使用すると、デバイス ファイル、レジストリ、ネットワーク、サインイン イベントなどのデータを次のいずれかのサービスにストリーミングできます。

• Microsoft Sentinel: セキュリティ情報とイベント管理 (SIEM) とセキュリティ オーケストレーション、自動化、応答 (SOAR) 機能を提供するスケーラブルなクラウドネイティブ ソリューション。
• Azure Event Hubs: 他のAzureや Microsoft サービスとシームレスに統合できる、最新のビッグ データ ストリーミング プラットフォームとイベント インジェスト サービス。 たとえば、Stream Analytics、Power BI、Event Grid、Apache Spark などの外部サービスなどです。
• Azure Storage: クラウド内のさまざまなデータ オブジェクトに対して高可用性、非常にスケーラブル、持続性、およびセキュリティで保護されたストレージを備えた、最新のデータ ストレージ シナリオ向けの Microsoft のクラウド ストレージ ソリューション。

Microsoft Defender for Endpoint ストリーミング API を使用すると、高度なハンティングと攻撃の検出をDefender for BusinessとMicrosoft 365 Business Premiumで使用できます。 ストリーミング API を使用すると、セキュリティ オペレーション センターは、デバイスに関するより多くのデータを表示し、攻撃がどのように発生したかをよりよく理解し、デバイスのセキュリティを向上させるための手順を実行できます。

Microsoft Sentinelでストリーミング API を使用する

Defender for Business のデータを Microsoft Sentinel にストリーミングするには、次の手順を実行します。

1. Defender for Businessが設定および構成されていること、およびデバイスが既にオンボードされていることを確認します。 「Microsoft Defender for Businessのセットアップと構成」を参照してください。

2. Microsoft Sentinelで使用する Log Analytics ワークスペースを作成します。 Log Analytics ワークスペースの作成に関するページを参照してください。

3. Microsoft Sentinel の利用を開始する。 クイックスタート: Microsoft Sentinel の導入を参照してください。

4. Microsoft Defender コネクタを有効にします。 「Microsoft DefenderからMicrosoft Sentinelにデータを接続する」を参照してください。

Event Hubs でストリーミング API を使用する

Azure Event Hubsには、Azure サブスクリプションが必要です。 開始する前に、組織内にイベント ハブを作成してください。 次に、Azure portalにサインインし、[サブスクリプション>サブスクリプション>リソース プロバイダー>Microsoft.insights に登録する] に移動します。

Azure Event Hubsにストリーミングを構成するには、次の手順を実行します。

1. Microsoft Defender ポータルに移動し、サインインします。

2. [データ エクスポート設定] ページに移動します。

3. [ データ エクスポート設定の追加] を選択します。

4. 新しい設定の名前を選択します。

5. [イベントをAzure Event Hubsに転送する] を選択します。

6. Event Hubs 名と Event Hubs ID を入力します。

   注:

   [Event Hubs name] フィールドを空のままにすると、選択した名前空間内のカテゴリごとにイベント ハブが作成されます。 専用 Event Hubs クラスター (専用容量を持つシングルテナント デプロイ) を使用していない場合は、Event Hubs 名前空間が 10 個に制限されていることに注意してください。

   Event Hubs ID を取得するには、Azure portalの [Azure Event Hubs名前空間] ページに移動します。 [ プロパティ ] タブで、[ ID] の下のテキストをコピーします。

7. ストリーミングするイベントを選択し、[保存] を選択 します。

Azure Event Hubsでイベント スキーマを表示する

次の JSON サンプルは、イベント転送が有効になっているときに受信Azure Event Hubs各イベント ハブ メッセージの形式を示しています。 各メッセージには、1 つ以上のイベント エントリを含む records 配列が含まれています。

{
    "records": [
                    {
                        "time": "<The time WDATP received the event>"
                        "tenantId": "<The Id of the organization that the event belongs to>"
                        "category": "<The Advanced Hunting table name with 'AdvancedHunting-' prefix>"
                        "properties": { <WDATP Advanced Hunting event as Json> }
                    }
                    ...
                ]
}

Azure Event Hubs内の各イベント ハブ メッセージには、レコードの一覧が含まれています。 各レコードには、イベント名、Defender for Business がイベントを受信した時刻、そのイベントが属する組織（取得できるのは自分の組織のイベントのみです）、および "properties" というプロパティ内の JSON 形式のイベントが含まれます。 Azure Event Hubsにストリーミングされる高度なハンティング イベントのスキーマの詳細については、「Microsoft Defenderで高度なハンティングを使用して脅威を事前に検出する」を参照してください。

Azure Storage でストリーミング API を使用する

Azure Storageにストリーミングを構成するには、次の手順を実行します。

生データ ストリーミングを有効にする

生データ ストリーミングでは、セキュリティ イベント データがDefender for BusinessからAzure Storage アカウントに直接転送され、そこで保持および分析できます。 Azure Storage への生データ ストリーミングを有効にするには、次の手順を実行します。

1. Microsoft Defender ポータルに移動し、サインインします。

2. Microsoft Defender XDRの [データ エクスポート設定] ページに移動します。

3. [ データ エクスポート設定の追加] を選択します。

4. 新しい設定の名前を選択します。

5. [Forward events to Azure Storage]\(ストレージへのイベントの転送\) を選択します。

6. ストレージ アカウントのリソース ID を入力します。 ストレージ アカウント リソース ID を取得するには、Azure portalの [ストレージ アカウント] ページに移動します。 次に、[ プロパティ ] タブの [ ストレージ アカウント リソース ID] の下のテキストをコピーします。

7. ストリーミングするイベントを選択し、[保存] を選択 します。

Azure Storageでイベント スキーマを表示する

BLOB コンテナーは、イベントの種類ごとに作成されます。 次の JSON サンプルは、Azure Storageに書き込まれた 1 つのイベント行のスキーマを示しています。 各行には、イベント タイムスタンプ、テナント識別子、Advanced Hunting カテゴリ、および JSON 形式のイベント データが含まれます。

{
  "time": "<The time WDATP received the event>"
  "tenantId": "<Your tenant ID>"
  "category": "<The Advanced Hunting table name with 'AdvancedHunting-' prefix>"
  "properties": { <WDATP Advanced Hunting event as Json> }
}

各 BLOB には複数の行が含まれています。 各行には、イベント名、イベントDefender for Business受信時刻、イベントが属する組織 (組織からのみイベントを取得する)、およびイベントが JSON 形式のプロパティで含まれます。 Azure Storageにストリーミングされる高度なハンティング イベント データの詳細については、「Microsoft Defenderの高度なハンティングを使用して脅威を事前に検出する」を参照してください。

関連項目

• Defender for Endpoint の生データ ストリーミング API
• 管理と API の概要