Microsoft Sentinel と Traffic Analytics の統合

Azure Network Watcher の Traffic Analytics は、仮想ネットワーク フロー ログを処理して集計し、ネットワーク フロー、トラフィック パターン、および潜在的なセキュリティ リスクを可視化します。 脅威インテリジェンス、位置情報属性、トポロジ コンテキストを使用してフロー データを強化し、異常を特定し、環境全体の露出を評価するのに役立ちます。

Traffic Analytics では、Microsoft Sentinel との統合がサポートされています。 Microsoft Sentinel は、マルチクラウドおよびマルチプラットフォーム環境全体でコスト効率の高いセキュリティ監視を提供する、スケーラブルなクラウドネイティブのセキュリティ情報イベント管理 (SIEM) ソリューションです。 Microsoft Sentinelでは、ASIM ベースのパーサーを使用して受信データを正規化し、エンリッチされた仮想ネットワーク フロー ログを関連付け、調査、脅威検出に必要なスキーマに変換できるようにします。

Traffic Analytics と Microsoft Sentinel を組み合わせることで、事前監視と事後調査の両方が可能になります。 フロー レベルのテレメトリでは、予期しない通信パス、異常なトラフィック量、および侵害のインジケーターが強調表示されるため、ベースラインの動作からの逸脱を検出し、信頼性の高い構造化された分析情報を使用してイベントを調査できます。

前提条件

Azure portal を使用して Microsoft Sentinel と Traffic Analytics を統合する

Azure portal から直接、Microsoft Sentinel と Traffic Analytics を簡単に統合できます。

ワークスペースで Microsoft Sentinel を有効にする

まず、Traffic Analytics で使用されるのと同じ Log Analytics ワークスペースで Microsoft Sentinel を有効にします。 これにより、Sentinel は追加の構成やデータ移動を必要とせずに、Traffic Analytics データにアクセスして分析できます。

  1. ポータルの上部にある検索ボックスで、 Microsoft Sentinel を検索します。

  2. [ 作成] を選択し、Traffic Analytics で使用される Log Analytics ワークスペースを選択します。

  3. [ 追加] を選択して、ワークスペースで Microsoft Sentinel を有効にします。

ネットワーク分析コンテンツをインストールする

Microsoft Sentinel コンテンツ ハブから必要なネットワーク ソリューションをインストールします。 これにより、正規化されたネットワーク トラフィック データを分析するように設計された事前構築済みのブック、分析ルール、およびハンティング クエリが提供されます。

  1. Microsoft Sentinel の [コンテンツ管理 ] で、[ コンテンツ ハブ] を選択します。

  2. ネットワーク セッションの要点を検索します。

  3. [ ネットワーク セッションの要点 ] を選択し、[ 依存関係のあるインストール] を選択します。

  4. [ インストール] を選択して、ソリューションを確認してインストールします。

    Microsoft Sentinel にネットワーク セッション Essentials をインストールする方法を示すスクリーンショット。

分析ルールを有効にする

関連するネットワーク分析ルールを有効にして、セキュリティ アラートとインシデントの生成を開始します。 これらのルールは、Traffic Analytics データを継続的に評価して、疑わしいまたは異常なネットワーク動作を検出します。

  1. コンテンツ ハブで、コンテンツ タイプ: 分析ルールでフィルター処理します。

  2. [ネットワーク] を検索して、ワークスペースで有効にできるネットワーク関連の検出ルールをすべて表示します。

  3. 分析ルールを有効にするには、一覧からルールを選択し、[ルールの 作成 ] を選択してワークスペースにルールを作成し、一致するネットワーク アクティビティに基づいてアラートの生成を開始します。 これにより、分析ルール ウィザードが開きます。

    ワークスペースでルールを作成する方法を示すスクリーンショット。

  4. 分析ルール ウィザードの [ルール ロジックの設定] タブで、クエリ ロジック、スケジュールの頻度、ルックバック期間など、既定のルール構成を確認します。 必要に応じて、これらの設定を調整します。

    分析ルール ウィザードの [ルール ロジックの設定] タブを示すスクリーンショット。

  5. [ インシデントの設定 ] タブで、アラートをインシデントにグループ化する方法を構成します。

  6. [ 確認と作成] を選択し、[ 保存] を選択してルールを有効にします。

    有効にすると、Traffic Analytics データに対してルールが自動的に実行され、一致するネットワーク アクティビティが検出されたときにアラートとインシデントが生成されます。

分析ルールによって生成される分析情報

このセクションでは、分析ルールMicrosoft Sentinel、ASIM ネットワーク セッション スキーマを使用して NSG フロー ログからセキュリティ分析情報を生成する方法について説明します。 ブルート フォース試行、ポート スキャン、ビーコン パターン、トラフィックの異常など、疑わしい、悪意のある可能性のあるネットワークの動作を一括して特定するのに役立つ 9 つの分析ルールのセットについて説明します。 各ルールについて、検出されるアクティビティの種類と、アラート グラフを使用して Sentinel にアラートがどのように表示されるかを示します。

また、アナリストが個々のアラートを掘り下げ、タイムスタンプ、エンティティ、拡張プロパティを確認し、検出を MITRE ATT&CK の戦術と手法と関連付けることで、高レベルのアラート傾向から詳細な調査に移行する方法についても説明します。

アラート ルール それは何を示すのですか
リモートデスクトップネットワークのブルートフォース攻撃 ソースからの RDP (ポート 3389) 接続試行が複数回失敗し、ブルート フォース攻撃の可能性を示します。
外部ネットワークからのネットワーク ポート スイープ 複数の宛先 IP 間で同じポートをスキャンし、偵察を示す外部ソース。
ネットワーク セッション トラフィックで見つかった異常 過去の動作と比較した、ネットワーク トラフィック パターン (方向、プロトコル、ボリューム) の異常な偏差。
ポート スキャンが検出されました 短時間の間に多数の異なるポートへの接続を試みる1つのソースがポートスキャンを示しています。
1 つのソースからの失敗した接続の数が多すぎる 異常に多くの失敗したネットワーク接続を生成し、疑わしいアクティビティまたは悪意のあるアクティビティを示唆するソース。
SMB トラフィックの異常 ベースラインの動作と比較した SMB (ファイル共有) トラフィックの異常なスパイクまたは偏差。
潜在的なビーコン アクティビティ マルウェア ビーコンまたはコマンド アンド コントロール通信を示す可能性がある、繰り返しパターン化された送信ネットワーク トラフィック。
異常ベースの検出によってポートの誤用を検出する 学習した通常の動作から逸脱するネットワーク ポートの使用。疑わしいポートの使用状況を示します。
静的しきい値によるポート誤用の検出 定義済みの静的しきい値を超えるネットワーク ポートの使用。疑わしいトラフィックまたはポリシー違反の可能性のあるトラフィックを示します。

関連するコンテンツ

  • Last updated on