Microsoft Defender for Cloudは、セキュリティ データの継続的なエクスポートを提供します。 この機能を使用すると、セキュリティ データをAzure Log Analytics、Azure Event Hubs、または別のセキュリティ情報イベント管理 (SIEM)、セキュリティ オーケストレーション自動応答 (SOAR)、または IT クラシック デプロイ モデル ソリューションにストリーミングできます。 Azure Monitor ログやその他のAzure Monitor機能を使用して、データを分析および視覚化できます。
連続エクスポートを設定すると、エクスポートする情報と情報の場所を完全にカスタマイズできます。 たとえば、次のように構成できます。
- 重大度の高いアラートはすべて、Azure イベント ハブに送信されます。
- SQL Serverを実行しているコンピューターの脆弱性評価スキャンからの中以上の重大度の結果はすべて、特定のLog Analytics ワークスペースに送信されます。
- 特定の推奨事項は、生成されるたびにイベント ハブまたは Log Analytics ワークスペースに配信されます。
- サブスクリプションのセキュリティ スコアは、コントロールのスコアが 0.01 以上変更されるたびに、Log Analytics ワークスペースに送信されます。
エクスポートできるデータ型は何ですか?
連続エクスポートを使用すると、次のデータ型が変更されるたびにエクスポートできます。
- セキュリティ上の推奨事項。
- 推奨事項の重大度。
- セキュリティの結果。
- セキュリティ スコア。
- コントロール。
- セキュリティ アラート。
- 法令順守。
- 攻撃経路
推奨事項の重大度、セキュリティの結果、およびコントロールは、親カテゴリに属するサブ カテゴリです。 例えば次が挙げられます。
- 推奨事項 システム更新プログラムは (Update Center を利用して) コンピューターにインストールする必要 があり、システム更新プログラムは、それぞれ未処理のシステム更新プログラムごとに 1 つのサブ推奨事項を持つ マシンにインストールする必要があります 。
- 推奨事項 マシンの脆弱性の検出結果を解決する必要がある には、脆弱性スキャナーによって識別される脆弱性ごとにサブ推奨事項があります。
注
REST API を使用して連続エクスポートを構成する場合は、常に結果に親を含めます。
別のテナントのイベント ハブまたはLog Analytics ワークスペースにデータをエクスポートする
Azure Policyを使用して構成を割り当てる場合、別のテナントのLog Analytics ワークスペースにエクスポートするデータを構成することはできません。 このプロセスは、REST API を使用して構成を割り当てる場合にのみ機能し、構成が Azure ポータルではサポートされていません (マルチテナント コンテキストが必要であるため)。 Azure Lighthouseでは、認証方法としてAzure Lighthouseを使用できますが、Azure Policyに関するこの問題は解決されません。
テナントでデータを収集すると、1 つの中央の場所からデータを分析できます。
別のテナント内のイベント ハブまたはLog Analytics ワークスペースにデータをエクスポートするには:
イベント ハブまたは Log Analytics ワークスペースを持つテナントで、連続エクスポート構成をホストするテナントからユーザーを招待するか、ソーステナントと移行先テナントのAzure Lighthouseを構成できます。
Microsoft Entra IDで企業間 (B2B) ゲスト ユーザー アクセスを使用する場合は、ユーザーがゲストとしてテナントにアクセスするための招待を受け入れることを確認します。
Log Analytics ワークスペースを使用する場合は、ワークスペース テナントのユーザーに、所有者、共同作成者、Log Analytics共同作成者、Microsoft Sentinel共同作成者、監視共同作成者のいずれかのロールを割り当てます。
要求を作成し、Azure REST API に送信して、必要なリソースを構成します。 ベアラー トークンは、ローカル (ワークスペース) テナントとリモート (連続エクスポート) テナントの両方のコンテキストで管理する必要があります。
Log Analytics ワークスペースにエクスポートする
Log Analytics ワークスペース内Microsoft Defender for Cloudデータを分析する場合、またはDefender for Cloudアラートと共にAzureアラートを使用する場合は、Log Analytics ワークスペースへの連続エクスポートを設定します。
Log Analytics のテーブルとスキーマ
セキュリティ アラートと推奨事項は、それぞれ SecurityAlert テーブルと SecurityRecommendation テーブルに格納されます。
これらのテーブルを含むLog Analytics ソリューションの名前は、セキュリティ (セキュリティと監査ソリューション) と SecurityCenterFree のどちらで拡張セキュリティ機能を有効にしたかによって異なります。
ヒント
コピー先ワークスペースのデータを表示するには、Security and Audit または SecurityCenterFree のいずれかのソリューションを有効にする必要があります。
エクスポートされたデータ型のイベント スキーマを表示するには、テーブル スキーマLog Analytics参照してください。