Microsoft Sentinel スキルアップ トレーニング

  • [アーティクル]

この記事では、Microsoft Sentinel のスキルアップに役立つレベル 400 トレーニングについて説明します。 このトレーニングには、関連する製品ドキュメント、ブログ記事、その他のリソースを表す 21 個のマイペースで進められるモジュールが含まれています。

ここに示すモジュールは、セキュリティ オペレーション センター (SOC) のライフ サイクルに従って 5 つの部分に分かれています。

パート 1:概要

パート 2: 設計とデプロイ

パート 3: コンテンツの作成

パート 4: 運用

パート 5: 上級

パート 1:概要

モジュール 0: その他の学習とサポートのオプション

このスキルアップ トレーニングは、Microsoft Sentinel Ninja トレーニングに基づく、レベル 400 トレーニングです。 あまり深く掘り下げる必要がない場合や、解決する必要がある具体的な問題がある場合は、他のリソースの方が適していることがあります。

モジュール 1: Microsoft Sentinel の使用を開始する

Microsoft Sentinel は、スケーラブルでクラウドネイティブのセキュリティ情報イベント管理 (SIEM) およびセキュリティ オーケストレーション自動応答 (SOAR) ソリューションです。 Microsoft Sentinel は、セキュリティ分析と脅威インテリジェンスを企業全体に提供します。 この 1 つのソリューションで、アラートの検出、脅威の可視性、予防的ハンティング、脅威への対応が可能になります。 詳細については、「Microsoft Sentinel とは」を参照してください。

Microsoft Sentinel の技術的な機能に関する初期概要が必要な場合は、最初に最新の Ignite プレゼンテーションをご覧ください。 Microsoft Sentinel のクイック スタート ガイドも役立ちます (サイトの登録が必要です)。

さらに詳細な概要については、この Microsoft Sentinel ウェビナー (YouTube、MP4、またはプレゼンテーション) をご覧ください。

最後に、ご自身で試してみたいですか? Microsoft Sentinel オールインワン アクセラレータ (ブログ、YouTube、MP4、プレゼンテーション) を使用すると、簡単に作業を開始できます。 始める方法については、オンボード ドキュメントを参照するか、Insight の Microsoft Sentinel の設定と構成に関するビデオをご覧ください。

他のユーザーから学ぶ

何千もの組織とサービス プロバイダーが Microsoft Sentinel を使用しています。 セキュリティ製品によくあることですが、ほとんどの組織はそのことを公表していません。 それでも、いくつかの例があります。

アナリストから学ぶ

モジュール 2: Microsoft Sentinel の使用方法

多くの組織は、Microsoft Sentinel をそのプライマリ SIEM として使用しています。 このコースのほとんどのモジュールでは、このユース ケースを取り上げます。 このモジュールでは、Microsoft Sentinel の特別な使用方法をいくつか紹介します。

Microsoft セキュリティ スタックの一部として

Microsoft Sentinel、Microsoft Defender for Cloud、Microsoft Defender XDR を併用して、Windows、Azure、Office などの Microsoft ワークロードを保護します。

マルチクラウド ワークロードを監視するには

クラウドは (いまだ) 新しいため、多くの場合、オンプレミスのワークロードほど広範に監視されません。 このプレゼンテーションを参照し、Microsoft Sentinel を利用して、どのようにクラウド間でのクラウド監視のギャップを埋めることができるかを確認してください。

既存の SIEM と並行して

移行期間中または長期にわたり、クラウド ワークロードに Microsoft Sentinel を使用する場合、既存の SIEM と共に Microsoft Sentinel を使用できます。 また、この両方を Service Now などのチケット システムで使用することもできます。

別の SIEM から Microsoft Sentinel への移行の詳細については、移行に関するウェビナー (YouTube、MP4、またはプレゼンテーション) をご覧ください。

並行デプロイの一般的なシナリオは 3 つあります。

また、Graph Security API を使って、Microsoft Sentinel からサードパーティ製の SIEM またはチケット システムにアラートを送信することもできます。 この方法はよりシンプルですが、他のデータを送信することはできません。

MSSP の場合

セットアップ コストが不要になり、場所に依存しないため、Microsoft Sentinel がサービスとしての SIEM を提供する一般的な選択肢になります。 Microsoft Sentinel を使用する MISA (Microsoft インテリジェント セキュリティ アソシエーション) メンバー マネージド セキュリティ サービス プロバイダー (MSSP) の一覧はこちらを参照してください。 他の多数の MSSP (特に地域的および小規模のもの) は、Microsoft Sentinel を使用していますが MISA メンバーではありません。

MSSP としての体験を始めるには、「MSSP 用 Microsoft Sentinel テクニカル プレイブック」を参照してください。 MSSP サポートの詳細は、クラウド アーキテクチャとマルチテナントのサポートについて説明する次のモジュールに含まれています。

パート 2: 設計とデプロイ

「パート 1: 概要」では、数分で Microsoft Sentinel を使い始める方法を紹介していますが、運用デプロイを開始する前には、計画を作成することが重要です。

このセクションでは、ソリューションの設計時に考慮する領域について説明し、設計の実装方法に関するガイドラインを示します。

  • ワークスペースとテナントのアーキテクチャ
  • データ コレクション
  • ログの管理
  • 脅威インテリジェンスの取得

モジュール 3: ワークスペースとテナントのアーキテクチャ

Microsoft Sentinel インスタンスは "ワークスペース" と呼ばれます。 このワークスペースは Log Analytics ワークスペースと同じであり、すべての Log Analytics 機能をサポートします。 Microsoft Sentinel は、Log Analytics ワークスペースに SIEM 機能を追加するソリューションと考えることができます。

多くの場合、複数のワークスペースが必要であり、これらは 1 つの Microsoft Sentinel システムとして連動できます。 特殊なユース ケースとして、Microsoft Sentinel を使用するサービスの提供があります (たとえば、MSSP (マネージド セキュリティ サービス プロバイダー) による場合や、大規模な組織でのグローバル SOC による場合などです)。

複数のワークスペースを 1 つの Microsoft Sentinel システムとして使用する方法の詳細については、「ワークスペースおよびテナント全体での Microsoft Sentinel の拡張」を参照するか、ウェビナー (YouTube、MP4、またはプレゼンテーション) をご覧ください。

複数のワークスペースを使っている場合は、次の点を考慮します。

「MSSP 用 Microsoft Sentinel テクニカル プレイブック」は、これらのトピックの多くに関する詳細なガイドラインを示す内容なので、MSSP だけでなく大規模な組織にも役立ちます。

モジュール 4: データ収集

SIEM の基盤は、イベント、アラート、コンテキスト エンリッチメント情報 (脅威インテリジェンス、脆弱性データ、資産情報など) といったテレメトリの収集です。 参照できるソースの一覧は次のとおりです。

  • 「Microsoft Sentinel データ コネクタ」を参照してください。
  • サポートされている既定のすべてのデータ コネクタを確認するには、「Microsoft Sentinel データ コネクタを見つける」を参照してください。 一般的なデプロイ手順へのリンクと、特定のコネクタで必要な追加の手順があります。
  • データ収集シナリオ: Logstash/CEF/WEF などの収集方法について確認します。 その他の一般的なシナリオとして、テーブルへのアクセス許可制限、ログのフィルター処理、アマゾン ウェブ サービス (AWS) または Google Cloud Platform (GCP) のログ収集、Microsoft 365 の生のログなどがあります。 いずれも、データ収集のシナリオに関するウェビナー (YouTube、MP4、またはプレゼンテーション) で確認できます。

各コネクタに関して表示される 1 つ目の情報は、そのデータ インジェスト方法です。 そこに表示される方法は、次の一般的なデプロイ手順の 1 つへのリンクになっており、データ ソースを Microsoft Sentinel に接続するために必要な情報のほとんどを確認できます。

データ インジェスト方法 関連する記事
Azure サービス間の統合 Azure、Windows、Microsoft、Amazon サービスへの接続
Syslog を介した Common Event Format (CEF) デバイスまたはアプライアンスの CEF 形式のログを Microsoft Sentinel に取得する
Microsoft Sentinel データ コレクター API データ ソースを Microsoft Sentinel のデータ コレクター API に接続してデータを取り込む
Azure Functions と REST API Azure Functions を使用して Microsoft Sentinel をデータ ソースに接続する
syslog Syslog を使用して Linux ベースのソースからデータを収集する
カスタム ログ Log Analytics エージェントを使用してカスタム ログ形式のデータを Microsoft Sentinel に収集する

ソースがない場合は、カスタム コネクタを作成できます。 カスタム コネクタはインジェスト API を使用するため、直接のソースと同様です。 ほとんどの場合、カスタム コネクタは、コードなしのオプションを提供する Azure Logic Apps や、Azure Functions を使って実装します。

モジュール 5: ログ管理

Microsoft Sentinel を構成するときに考慮すべき最初のアーキテクチャの決定事項は、いくつのワークスペースを使うかと、どれを使用するかです。 考慮すべきその他の主要なログ管理アーキテクチャの決定事項は次のとおりです。

  • データを保持する場所と期間。
  • データへの最適なアクセス管理とデータ保護の方法。

Microsoft Sentinel 内でのデータの取り込み、アーカイブ、検索、復元

始めに、ウェビナー「インジェスト、アーカイブ、検索、復元のための新しい方法を使用してログのライフサイクルを管理する」をご覧ください。

この一連の機能には、以下が含まれます。

  • Basic インジェスト レベル: Azure Monitor Logs の新しい価格レベルです。より低コストでログを取り込むことができます。 このデータは、8 日間だけワークスペースに保持されます。
  • Archive レベル: Azure Monitor ログでは、保持機能を 2 年から 7 年に拡張しました。 この新しいレベルを使うと、低コストなアーカイブ状態で、データを最長 7 年間保持することができます。
  • 検索ジョブ: 限定された KQL を実行し、すべての関連ログを検索して返す検索タスク。 これらのジョブを使うと、分析レベル、Basic レベル、アーカイブされたレベルにまたがるデータを検索できます。
  • データの復元: データ テーブルと時間範囲を選び、復元テーブルを介してワークスペースにデータを復元することができる新機能。

このような新機能の詳細については、「Microsoft Sentinel でのデータの取り込み、アーカイブ、検索、復元」を参照してください。

Microsoft Sentinel プラットフォーム以外の代替データ保持オプション

"データを保持する" 期間が 2 年間を超える場合、または "保持コストを削減" する必要がある場合は、Azure Data Explorer を使用して Microsoft Sentinel ログの長期保持を検討してください。 ウェビナーのスライド、ウェビナーの録画、またはブログを参照してください。

さらに詳細な情報が必要な場合は、 ADX サポート、追加のエンティティの種類、更新された MITRE 統合を使用して脅威ハンティングの種類と対象範囲を向上する方法に関するウェビナーをご覧ください。

別の長期保持ソリューションを使用する場合は、Microsoft Sentinel または Log Analytics ワークスペースから Azure Storage と Event Hubs にエクスポートする、または Azure Logic Apps を使用してログを長期ストレージに移動する方法に関する記事を参照してください。 Logic Apps を使用する利点は、履歴データをエクスポートできることです。

最後に、テーブル レベルの保持設定を使用して、保持期間をきめ細かく設定できます。 詳細については、「Azure Monitor Logs でのデータの保持ポリシーとアーカイブ ポリシーの構成 (プレビュー)」を参照してください。

ログのセキュリティ

専用クラスター

予想されるデータ インジェストが 1 日あたり約 500 GB またはそれを超える場合、専用のワークスペース クラスターを使用します。 専用クラスターを使用すると、Microsoft Sentinel データのリソースをセキュリティ保護でき、大規模なデータ セットのクエリ パフォーマンスを向上させることができます。

モジュール 6: エンリッチメント: 脅威インテリジェンス、ウォッチリストなど

SIEM の重要な機能の 1 つは、コンテキスト情報をイベント ストリームに適用し、検出、アラートの優先順位付け、インシデント調査を実行できるようにすることです。 コンテキスト情報には、脅威インテリジェンス、IP インテリジェンス、ホストとユーザーの情報、ウォッチリストなどが含まれます。

Microsoft Sentinel には、脅威インテリジェンスをインポート、管理、使用するための包括的なツールが用意されています。 その他の種類のコンテキスト情報に対しては、Microsoft Sentinel によってウォッチリストやその他の代替ソリューションが提供されます。

脅威インテリジェンス

脅威インテリジェンスは、SIEM の重要な構成要素です。 Microsoft Sentinel の脅威インテリジェンスの機能に関するウェビナーをご覧ください。

Microsoft Sentinel では、TAXII (Trusted Automated eXchange of Indicator Information) サーバーの組み込みのコネクタを使うか、Microsoft Graph Security API を使って、脅威インテリジェンスを統合できます。 詳細については、「Microsoft Sentinel での脅威インテリジェンスの統合」を参照してください。 脅威インテリジェンスのインポートの詳細については、「モジュール 4: データ収集」セクションを参照してください。

インポート後の脅威インテリジェンスは、Microsoft Sentinel 全体で広く使用されます。 次の機能は、脅威インテリジェンスの使用に焦点を当てています。

ウェビナー「RiskIQ 脅威インテリジェンスを使用した Microsoft Sentinel でのトリアージの取り組みの自動化」 (YouTube またはプレゼンテーション) をご覧ください。

あまり時間がない場合は、 この Ignite セッション (28 分) をご覧ください。

さらに詳細な情報が必要な場合は、 ウェビナー「脅威インテリジェンスの詳細」 (YouTube、MP4、またはプレゼンテーション) をご覧ください。

ウォッチリストとその他の検索メカニズム

任意の種類のコンテキスト情報をインポートして管理するために、Microsoft Sentinel にはウォッチリストが用意されています。 ウォッチリストを使用すると、CSV 形式でデータ テーブルをアップロードし、KQL クエリで使用できます。 詳細については、「Microsoft Sentinel でウォッチリストを使用する」を参照してください。または、ウェビナー「ウォッチリストを使用してアラートを管理し、アラート疲れを軽減し、SOC 効率を向上する」 (YouTube またはプレゼンテーション) をご覧ください。

ウォッチリストは、以下のような場合に使用します。

  • 迅速に脅威の調査とインシデントへの対応を行う: IP アドレス、ファイル ハッシュ、およびその他のデータを CSV ファイルから短時間でインポートします。 データのインポート後は、アラート ルール、脅威ハンティング、ブック、ノートブック、および一般的なクエリの結合とフィルターに、ウォッチリストの名前と値のペアを使用します。

  • ビジネス データをウォッチリストとしてインポートする: たとえば、特権のあるシステム アクセス権を持つユーザーや、退社した従業員の一覧をインポートします。 次に、ウォッチリストを使用して、許可リストとブロック リストを作成し、それらのユーザーがネットワークにログインするのを検出または防止します。

  • アラート疲れを軽減する: 通常はアラートをトリガーするタスクを実行する承認済み IP アドレスのユーザーなど、ユーザー グループからのアラートが表示されないように許可リストを作成します。 問題のないイベントがアラートにならないようにします。

  • イベント データをエンリッチする: ウォッチリストを使用して、外部データ ソースから派生した名前と値の組み合わせでイベント データを強化します。

ウォッチリストに加えて、KQL externaldata 演算子、カスタム ログ、KQL 関数を使用して、コンテキスト情報を管理してクエリを実行することもできます。 4 つの方法にはそれぞれ長所と短所があります。それらの比較については、Microsoft Sentinel での検索の実装に関するブログ記事を参照してください。それぞれの方法は異なりますが、結果の情報をクエリで使う方法は似ており、簡単に切り替えることができます。

分析ルール以外でウォッチリストを使うアイデアについては、「ウォッチリストを利用して Microsoft Sentinel での調査時の効率を高める」を参照してください。

ウォッチリストを使用してアラートを管理し、アラート疲れを軽減し、SOC 効率を向上させる方法に関するウェビナー (YouTube またはプレゼンテーション) をご覧ください。

モジュール 7: ログ変換

Microsoft Sentinel では、データのインジェストと変換の 2 つの新機能がサポートされています。 Log Analytics により提供されるこれらの機能は、データをワークスペースに格納する前でも機能します。 次の機能があります。

  • ログ インジェスト API: これを使って、任意のデータ ソースからカスタム形式のログを Log Analytics ワークスペースに送信し、特定の標準テーブル、または自分が作成したカスタム形式のテーブルにそれらのログを格納できます。 このようなログの実際の取り込みは、直接の API 呼び出しを使って実行できます。 Azure Monitor のデータ収集ルールを使用して、これらのワークフローを定義および構成します。

  • 標準ログのためのワークスペース データ変換: データ収集ルールを使って無関係なデータを除外し、データをエンリッチまたはタグ付けし、機密情報や個人情報を非表示にすることができます。 データ変換は、取り込み時に次の種類の組み込みデータ コネクタ向けに構成できます。

    • Azure Monitor エージェント (AMA) ベースのデータ コネクタ (新しい Azure Monitor エージェントに基づく)
    • Microsoft Monitoring Agent (MMA) ベースのデータ コネクタ (レガシ Azure Monitor Logs エージェントに基づく)
    • 診断設定を使用するデータ コネクタ
    • サービス間のデータ コネクタ

詳細については、次を参照してください。

モジュール 8: 移行

多くの場合 (大多数ではありませんが)、SIEM を既にお持ちであり、Microsoft Sentinel への移行が必要です。 最初からやり直して SIEM の実装を再考する良い機会になるとも考えられますが、現在の実装に既に組み込んでいる資産の一部を利用することも適切です。 (Splunk、QRadar、ArcSight から Azure Microsoft Sentinel へ) 検出ルールを変換するためのベスト プラクティスに関するウェビナー (YouTube、MP4、プレゼンテーション、ブログ) をご覧ください。

次のリソースも役立つ可能性があります。

モジュール 9: Advanced SIEM 情報モデルと正規化

さまざまなデータ型とテーブルを一緒に操作することは困難な場合があります。 分析ルール、ブック、ハンティング クエリを一意に組み合わせて記述し、使用する際には、そのようなデータ型とスキーマを理解する必要があります。 また、調査やハンティングに必要なデータ型を相互に関連付けることも難しい場合があります。

Advanced SIEM Information Model (ASIM) は、さまざまなソースを統一的で正規化されたビューで処理するシームレスなエクスペリエンスを提供します。 ASIM は、Open-Source Security Events Metadata (OSSEM) の Common Information Model に準拠し、ベンダーに依存しない業界全体での正規化を促進します。 ウェビナー「Advanced SIEM Information Model (ASIM): Microsoft Sentinel に組み込まれました」 (YouTube またはプレゼンテーション) をご覧ください。

現在の実装は、KQL 関数を使用するクエリ時間の正規化に基づいています。

  • 正規化されたスキーマでは、簡単に使用して統一された機能を構築できる、予測可能なイベントの種類の標準セットがカバーされています。 このスキーマでは、イベントを表すフィールド、正規化された列の名前付け規則、フィールド値の標準形式を定義します。

  • パーサーは、既存のデータを正規化されたスキーマにマップします。 パーサーを実装するには、KQL 関数を使います。 ウェビナー「ASIM の拡張と管理: パーサーの開発、テスト、デプロイ」 (YouTube またはプレゼンテーション) をご覧ください。

  • それぞれの正規化されたスキーマのコンテンツには、分析ルール、ブック、ハンティング クエリが含まれます。 このコンテンツは、ソース固有のコンテンツを作成することなく、正規化されたデータに対して機能します。

ASIM を使用すると、次のような利点が得られます。

  • クロス ソース検出: 正規化された分析ルールは、オンプレミスとクラウドのソースにまたがって機能します。 このルールで、ブルート フォースなどの攻撃や、Okta、AWS、Azure などのシステムにまたがるあり得ない移動を検出します。

  • ソースに依存しないコンテンツの許可: ASIM を使用した組み込みコンテンツとカスタム コンテンツの両方を対象する範囲は、コンテンツの作成後にソースが追加された場合でも、ASIM をサポートする任意のソースに自動的に拡張されます。 たとえば、プロセス イベント分析では、Microsoft Defender for Endpoint、Windows イベント、Sysmon など、ユーザーがデータを取り込むために使用できるすべてのソースがサポートされます。 リリース時には、Sysmon for Linux と WEF を追加する準備ができています。

  • 組み込み分析におけるカスタム ソースのサポート

  • 使いやすさ: ASIM を学んだアナリストであれば、フィールド名は常に同じなのでクエリの記述が非常に簡単であることがわかります。

ASIM の詳細情報

これらのリソースを利用します。

ASIM をデプロイする

  • GitHub の parsers フォルダー内の "ASIM*" で始まるフォルダーからパーサーをデプロイします。

  • ASIM を使用する分析ルールをアクティブにします。 テンプレート ギャラリーで normal を検索して、その一部を見つけます。 すべての一覧を取得するには、こちらの GitHub 検索を使用します。

ASIM を使用する

パート 3: コンテンツの作成

Microsoft Sentinel のコンテンツとは?

Microsoft Sentinel のセキュリティの価値は、その組み込みの機能と、カスタム機能を作成して組み込み機能をカスタマイズできることを、併せて利用できる点です。 組み込みの機能の中には、ユーザーとエンティティの行動分析 (UEBA)、機械学習、または既定で使用できる分析ルールがあります。 カスタマイズされた機能は、多くの場合 "コンテンツ" と呼ばれ、分析ルール、ハンティング クエリ、ブック、プレイブックなどを含みます。

このセクションでは、このようなコンテンツを作成する方法や組み込みコンテンツをニーズに合わせて変更する方法を学ぶモジュールを、グループにまとめました。 まず、Azure Microsoft Sentinel の共通言語である KQL から始めます。 次のモジュールでは、ルール、プレイブック、ブックなどのコンテンツの構成要素の 1 つについて説明します。 脅威の検出、ハンティング、ガバナンスなどの特定のセキュリティ目標に対処する、さまざまな種類の要素を含むユース ケースについて説明していきます。

モジュール 10: Kusto 照会言語

ほとんどの Microsoft Sentinel 機能では、Kusto 照会言語 (KQL) を使います。 ログ内の検索、ルールの記述、ハンティング クエリの作成、またはブックの設計を行う場合は、KQL を使用します。

ルールの記述に関する次のセクションでは、特定のコンテキストの SIEM ルールで KQL を使用する方法について説明します。

KQL を学習する際には、次のリファレンスも役立つ可能性があります。

モジュール 11: 分析

スケジュール化された分析ルールの記述

Microsoft Sentinel では、組み込みのルール テンプレートの使用、環境に合わせたテンプレートのカスタマイズ、またはカスタム ルールの作成を行うことができます。 ルールの中核は KQL クエリです。ただし、ルール内では、さらに多くの内容を構成する必要があります。

ルールを作成する手順については、「脅威を検出するためのカスタム分析ルールを作成する」を参照してください。 ルールを記述する方法 (つまり、ルール用の KQL に焦点を当ててルールに何を含めるか) については、ウェビナー (YouTube、MP4、プレゼンテーション) をご覧ください。

SIEM 分析ルールには、特定のパターンがあります。 ルールを実装し、それらのパターンに合わせて KQL を記述する方法を、以下で確認してください。

ブログ記事「BLOB と File Storage の調査」は、有用な分析ルールを記述する手順の例を示しています。

組み込みの分析の使用

独自のルールを作成する前に、組み込みの分析機能を利用することを検討してください。 必要となる作業は多くありませんが、これらについて学ぶことは重要です。

モジュール 12: SOAR の実装

Microsoft Sentinel などのモダン SIEM では、インシデントがトリガーされた瞬間から解決されるまでのプロセス全体を SOAR で構成しています。 このプロセスは、インシデントの調査から始まり、自動応答へと進みます。 ブログ記事「インシデント対応、オーケストレーション、オートメーションに Microsoft Sentinel を使用する方法」で、SOAR の一般的なユース ケースの概要を示しています。

オートメーション ルールは、Microsoft Sentinel でのオートメーションの始点となります。 これらは、抑制、偽陽性処理、自動割り当てなど、インシデントの一元的な自動処理のための軽量な手段を提供します。

堅牢なワークフロー ベースのオートメーション機能を提供するために、オートメーション ルールでは Logic Apps プレイブックを使用します。 詳細については、以下を参照してください。

  • ウェビナー「プロのようにオートメーションの Jedi トリックを解き、Logic Apps プレイブックを構築する」 (YouTube、MP4、またはプレゼンテーション) をご覧ください。

  • Microsoft Sentinel プレイブックを推進するコア テクノロジである Logic Apps に関する記事を参照してください。

  • Logic Apps と Microsoft Sentinel 間のリンクである Microsoft Sentinel Logic Apps コネクタに関する記事を参照してください。

Microsoft Sentinel GitHub の Playbooks フォルダーに多くの有用なプレイブックがあります。また、プレイブック チュートリアルのウォッチリストを使用してサブスクリプションの所有者にアラートを知らせるプレイブックに関する記事を参照してください。

モジュール 13: ブック、レポート、視覚化

Workbooks

SOC の中枢として、Microsoft Sentinel で、これによって収集および生成される情報を視覚化する必要があります。 Microsoft Sentinel でデータを視覚化するにはブックを使用します。

ブックは対話型の場合があり、単なるグラフ作成以上のことを多く実行できます。 ブックを使用すると、組み込み機能を補完する Microsoft Sentinel 用のアプリまたは拡張機能モジュールを作成できます。 また、ブックを使用して Microsoft Sentinel の機能を拡張することもできます。 このようなアプリの例をいくつか次に示します。

Microsoft Sentinel GitHub の Workbooks フォルダーに多数のブックがあります。 その一部は、Microsoft Sentinel ブック ギャラリーにもあります。

レポートとその他の視覚化オプション

ブックはレポートに使用できます。 レポートのスケジュール設定と配布、ピボット テーブルなどの、より高度なレポート機能では、以下を使用できます。

モジュール 14: ノートブック

Jupyter Notebook は、Microsoft Sentinel と完全に統合されています。 これはハンターのツール チェストに入っている重要なツールと見なされ、以下のハンティングのセクションのウェビナーで語られていますが、その価値はその内容をはるかに上回ります。 ノートブックは、高度な視覚化、調査ガイド、高度なオートメーションに役立ちます。

ノートブックについて理解を深めるには、ノートブックの紹介ビデオをご覧ください。 ノートブックのウェビナー (YouTube、MP4、またはプレゼンテーション) を使用して作業を開始するか、ドキュメントを参照してください。 Microsoft Sentinel ノートブック Ninja シリーズは、ノートブックでのスキルアップのための継続的なトレーニング シリーズです。

統合の重要な部分は MSTICPy によって実装されます。これは、Jupyter Notebook で使用するために Microsoft の研究チームによって開発された Python ライブラリです。 これにより、Microsoft Sentinel インターフェイスと高度なセキュリティ機能がノートブックに追加されます。

モジュール 15: ユース ケースとソリューション

コネクタ、ルール、プレイブック、ブックを使用すると、"ユース ケース" (脅威の検出と対応を目的としたコンテンツ パックを表す SIEM 用語) を実装できます。 Microsoft Sentinel の組み込みのユース ケースをデプロイするには、各コネクタの接続時に推奨されているルールをアクティブにします。 "ソリューション" は、特定の脅威ドメインに対処するユース ケースのグループです。

ウェビナー「ID に取り組む」 (YouTube、MP4、またはプレゼンテーション) では、ユース ケースの意味とその設計へのアプローチ方法について説明し、ID の脅威に総合的に対処するいくつかのユース ケースを紹介します。

関連するもう 1 つのソリューション領域は、リモート作業の保護です。 リモート ワークの保護に関する Ignite セッションをご覧ください。また、次の具体的なユース ケースについて詳細を参照してください。

最後に、最近の攻撃に焦点を当てて、Microsoft Sentinel でソフトウェア サプライ チェーンを監視する方法について確認します。

Microsoft Sentinel ソリューションを使用すると、Microsoft Sentinel のエンドツーエンドの製品、ドメイン、垂直のソリューションを、製品内で簡単に検出し、ワンステップでデプロイして、有効にすることができます。 詳細については、「Microsoft Sentinel コンテンツとソリューションについて」を参照してください。また、ウェビナー「独自の Microsoft Sentinel ソリューションを作成する」 (YouTube またはプレゼンテーション) をご覧ください。

パート 4: 運用

モジュール 16: インシデントの処理

SOC を構築したら、その使用を開始する必要があります。 SOC アナリスト生活の 1 日に関するウェビナー (YouTube、MP4、プレゼンテーション) では、SOC で Microsoft Sentinel を使用してインシデントをトリアージ、調査、対応する方法について説明します。

チームが組織全体で、また外部の利害関係者とシームレスに共同作業できるようにするには、Microsoft Sentinel から Microsoft Teams と直接統合する方法に関する記事を参照してください。 また、ウェビナー「Microsoft Sentinel を Microsoft Teams と統合して SOC の MTTR (平均応答時間) を短縮する」をご覧ください。

インシデント調査に関するドキュメント記事を参照することもできます。 調査の一環として、エンティティ ページを使用して、インシデントに関連するエンティティ、または調査の一部として特定されたエンティティに関する詳細を取得することもできます。

Microsoft Sentinel でのインシデント調査は、中核となるインシデント調査機能を超えて拡大したものです。 ブックとノートブックを使って、さらに調査ツールを構築できます。ノートブックについては、次のセクション「モジュール 17: ハンティング」を参照してください。 追加の調査ツールを構築したり、特定のニーズに合わせて既存のものを変更したりすることもできます。 たとえば、次のようになります。

モジュール 17: ハンティング

これまでの説明のほとんどは検出とインシデント管理に焦点を当てていましたが、"ハンティング" は Microsoft Sentinel でのもう 1 つの重要なユース ケースです。 ハンティングは、アラートに対するリアクティブ型の対応ではなく、脅威を事前に探索することです。

ハンティング ダッシュボードは常に更新されています。 そこには、Microsoft のセキュリティ アナリスト チームによって記述されたすべてのクエリと、自分で作成または変更した追加のクエリが表示されます。 各クエリには、検出の対象と、クエリを実行するデータの種類に関する説明が示されます。 これらのテンプレートは、さまざまな方針でグループ化されています。 右側のアイコンは、初期アクセス、永続化、侵入など、脅威の種類を分類しています。 詳細については、「Microsoft Sentinel を使用して脅威を追求する」を参照してください。

ハンティングとは何か、Microsoft Sentinel でそれがどのようにサポートされるかの詳細については、脅威のハンティングに関する入門ウェビナー (YouTube、MP4、またはプレゼンテーション) をご覧ください。 このウェビナーは、新機能の更新から始まります。 ハンティングについて学習するには、スライド 12 から始めてください。 YouTube ビデオは、そこから開始するようにあらかじめ設定されています。

入門ウェビナーではツールに焦点を当てていますが、ハンティングはすべてセキュリティに関する内容です。 Microsoft のセキュリティ調査チームによるウェビナー (YouTube、MP4、またはプレゼンテーション) は、実際にハンティングを行う方法に焦点を当てています。

フォローアップとなる Microsoft Sentinel を使用した AWS 脅威ハンティングに関するウェビナー (YouTube、MP4、またはプレゼンテーション) では、価値の高いターゲット環境でのエンド ツー エンドのハンティング シナリオを示すことで、ポイントを絞って説明しています。

最後に、オンプレミスの Microsoft Exchange サーバーの最新の脆弱性に基づく、Microsoft Sentinel を使用した SolarWinds のセキュリティ侵害後のハンティングと WebShell ハンティングを行う方法について確認できます。

モジュール 18: ユーザーとエンティティの行動分析 (UEBA)

新しく導入された Microsoft Sentinel のユーザーとエンティティの行動分析 (UEBA) モジュールを利用して、組織内の脅威とその潜在的な影響 (送信元が侵害されたエンティティか、悪意のあるインサイダーか) を特定して調査できます。

Microsoft Sentinel では、接続されているすべてのデータ ソースからログとアラートを収集すると、それらを分析して、時間とピア グループの期間全体にわたる組織のエンティティ ("ユーザー"、"ホスト"、"IP アドレス"、"アプリケーション" など) のベースライン行動プロファイルを構築します。 さまざまな手法や機械学習機能を使用して、Microsoft Sentinel で異常なアクティビティを特定でき、資産が侵害されているかどうかを判定するのに役立ちます。 それだけではなく、特定の資産の相対的な機密性を見つけたり、資産のピア グループを識別したり、特定の侵害された資産の潜在的な影響 (その "影響範囲") を評価したりすることもできます。 これらの情報を利用して、調査やインシデント処理に効果的に優先順位を付けることができます。

UEBA の詳細については、ウェビナー (YouTube、MP4、またはプレゼンテーション) をご覧ください。また、SOC での調査に UEBA を使用する方法に関する記事を参照してください。

最近の更新プログラムについては、Microsoft Sentinel でのユーザー エンティティ行動分析の未来に関するウェビナーをご覧ください。

モジュール 19: Microsoft Sentinel の正常性の監視

SIEM の運用の一環として、それがスムーズに動作すること、および Azure Microsoft Sentinel において進化している領域であることを確認します。 Microsoft Sentinel の正常性を監視するには、以下を使用します。

パート 5: 上級

モジュール 20: Microsoft Sentinel API を使用した拡張と統合

クラウドネイティブの SIEM として、Microsoft Sentinel は API ファーストのシステムです。 API を通じてすべての機能を構成および使用できるため、他のシステムと簡単に統合でき、独自のコードで Microsoft Sentinel を拡張できます。 API が難しそうに思える場合でも、心配はいりません。 API を使って実行できることはすべて、PowerShell を使って実行することもできます。

Microsoft Sentinel API の詳細については、短い入門ビデオをご覧ください。また、こちらのブログ記事を参照してください。 さらに詳細については、Sentinel の拡張と統合 (API) に関するウェビナー (YouTube、MP4、またはプレゼンテーション) をご覧ください。また、ブログ記事「Microsoft Sentinel の拡張: API、統合、管理のオートメーション」を参照してください。

モジュール 21: 独自の機械学習モデルを構築する

Microsoft Sentinel は、独自の機械学習アルゴリズムを実装するための優れたプラットフォームになります。 これを "独自の機械学習モデルの構築" (BYO ML) と呼びます。 BYO ML は上級ユーザーを対象にしています。 組み込みの行動分析が必要な場合は、Microsoft の機械学習分析ルールや UEBA モジュールを使用するか、独自の行動分析の KQL に基づく分析ルールを記述してください。

Microsoft Sentinel に独自の機械学習を持ち込むことから始めるには、独自の機械学習モデルの持ち込みに関するビデオをご覧ください。また、AI イマーシブ型 Azure Sentinel SIEM に独自の機械学習モデルの検出を構築する方法に関するブログ記事を参照してください。 BYO ML のドキュメントを参照することもできます。

次のステップ

推奨コンテンツ