注:
Defender for Identity の通知は、現在、Defender for Identity センサー バージョン 2.x でのみサポートされています。
Microsoft Defender for Identityは、メール通知または Syslog サーバーを介して、正常性の問題とセキュリティ アラートに関する通知を提供します。
この記事では、検出された正常性の問題やセキュリティ アラートを認識できるように Defender for Identity 通知を構成する方法について説明します。
ヒント
電子メールまたは Syslog 通知に加えて、SOC 管理者はMicrosoft Sentinelを使用して、すべてのアラートを 1 つのポータルで表示することをお勧めします。 詳細については、「Microsoft Sentinelとの統合Microsoft Defender XDR」を参照してください。 その他の SIEM ツールを統合するには、「SIEM ツールをMicrosoft Defender XDRに統合する」を参照してください。
電子メール通知を構成する
Defender for Identity の正常性の問題に関する電子メール通知を構成するには、次の手順を使用します。
Microsoft Defenderで設定>IDを選択します。
通知 で、正常性の問題に関する通知 を選択します。
[ 受信者のメールの追加] で、メール通知を受信するメール アドレスを入力し、[ + 追加] を選択します。
Defender for Identity が正常性の問題を検出するたびに、構成された受信者は詳細を含む電子メール通知を受け取り、詳細についてはMicrosoft Defender XDRへのリンクが表示されます。
注:
インシデントに関する電子メール通知を受信するには、[Defender XDR設定] の [Email通知] ページを使用して、新規および既存の通知ルールを確認してください。 インシデント電子メール通知の詳細については、Defender XDRを参照してください。
Syslog 通知を構成する
Defender for Identity では、構成済みのセンサーを通じて、正常性の問題とセキュリティ イベントを Syslog サーバーに送信するよう構成できます。
イベントは Defender for Identity サービスから Syslog サーバーに直接送信されるのではなく、センサー経由でのみ送信されます。
ヒント
TLS モードで Syslog を使用する場合は、この手順を完了する前に、指定されたセンサーに必要な証明書をインストールします。
Syslog 通知を構成するには:
Microsoft Defender XDR で、設定>ID を選択します。
通知の中でSyslog通知を選択し、Syslogサービスオプションをオンにします。
[ サービスの構成] を選択 して[ Syslog サービス ] ウィンドウを開きます。
次の詳細を入力します:
- センサー: Syslog サーバーに通知を送信するセンサーを選択します。
- サービス エンドポイント と ポート: Syslog サーバーの IP アドレスまたは完全修飾ドメイン名 (FQDN) を入力し、ポート番号を入力します。 Syslog エンドポイントは 1 つだけ構成できます。
- トランスポート: トランスポート プロトコル (TCP または UDP) を選択します。
- [形式]: 形式 (RFC 3164 または RFC 5424) を選択します。
「テストSIEM通知を送信」を選択し、Syslogインフラストラクチャソリューションでメッセージが受信されているか確認してください。
テストが動作することを確認したら、[保存] を選択 します。
Syslog サービスを構成したら、Syslog サーバーに送信する通知の種類を選択します。これには、次のタイミングが含まれます。
- 新しいセキュリティ アラートが検出されました
- 既存のセキュリティ アラートが更新される
- 新しい正常性の問題が検出された
Defender for Identity SIEM ログの自動化スクリプトの作成
Defender for Identity SIEMログの自動化スクリプトを作成する際は、externalIdフィールドを使ってアラートの種類を特定してください。 アラート名は時間とともに変わることがありますが、各アラートの 外部ID は同じままです。 詳細については、「 Defender for Identity SIEM ログ リファレンス」を参照してください。