Simple Flows は、Microsoft Defender ポータルで事前に構築された自動化アクションのコレクションです。 Simple Flows を使用すると、トリガーを選択し、既製のアクション (プレイブックなし、ロジック アプリなし) を 1 つ追加することで、実用的な自動化ルールを構築できます。 Simple Flows を使用して、電子メール通知の送信、ケース フィールドの更新、調査タスクの追加、および自動化ルール ウィザードから直接アラートを更新します。
この記事では、Simple Flows がオートメーション ルール エンジンにどのように適合するか、新しいトリガーとアクションについて説明し、各トリガーで使用できるアクションを示し、一般的な SOC シナリオのエンド ツー エンドの例について説明します。
Important
Simple Flows は現在 パブリック プレビュー段階です。 ベータ版、プレビュー版、またはその他の一般公開されていない Azure 機能に適用される追加の法的条件については、Microsoft Azure プレビューの追加利用条件を参照してください。
Important
2027年3月31日以降、Microsoft SentinelはAzureポータルでのサポートが終了し、Microsoft Defenderポータルでのみ利用可能となります。 Azure ポータルでMicrosoft Sentinelを使用しているすべてのお客様は、Defender ポータルにリダイレクトされ、Defender ポータルでのみMicrosoft Sentinelを使用します。
Azure portal で Microsoft Sentinel を引き続き使用している場合は、スムーズな移行を確保し、Microsoft Defender によって提供される統合セキュリティ運用エクスペリエンスを最大限に活用するために、Defender ポータルへの移行の計画を開始することをお勧めします。
単純フローとは
Microsoft Defender ポータルのオートメーション ルールは、次の 3 部構成のモデルに従います。
トリガー>条件>アクション
トリガーは、ルールを開始するイベントです (たとえば、ケースが作成されます)。 条件は、ルールが適用されるイベントをフィルター処理します (たとえば、重大度の高いケースのみ)。 アクションは、条件が満たされたときにルールが実行する操作です。
Simple Flows は、Defender ポータルでケース エクスペリエンスを対象とする新しいトリガーとアクションに加えて、既存のアラート作成トリガーで動作するアラート更新アクションを使用して、このモデルを拡張します。 各アクションは、構成可能な 1 つの構成要素です。 コードを記述したり、ロジック アプリをビルドしたり、プレイブックを生成したりする必要はありません。
Simple Flows は、迅速で反復可能な自動化を必要とするセキュリティ オペレーション センター (SOC) チーム向けに構築されています。 一般的な対象ユーザーは次のとおりです。
- 自動化ルール ウィザードを終了せずに、日常的なケースとアラートの処理を自動化する SOC アナリスト。
- SOC 全体で自動化ポリシーを定義するセキュリティ管理者。
- 大規模なセキュリティ オーケストレーション、自動化、対応 (SOAR) 戦略の一環としてインシデント対応の自動化を拡張するセキュリティ エンジニア。
自動化ルールの概要については、自動化ルールを使用したMicrosoft Sentinelでの脅威対応の自動化に関するページを参照してください。
前提条件
Simple Flows を使用して自動化ルールを作成する前に、次の機能があることを確認してください。
- Microsoft Defender ポータルでのケースへのアクセス Simple Flows は次のユーザーが利用できます:
- Microsoft Defender XDR の顧客。 ライセンス要件Microsoft Defender XDR前提条件を参照してください。
- 統合セキュリティ運用プラットフォームにオンボードされているワークスペースをお持ちの Microsoft Sentinel のお客様
- 次のいずれかのロール、または自動化ルールとケースを管理するためのアクセス許可を持つ同等のカスタム ロール。
- Microsoft Sentinel 共同作成者 (オートメーション ルールを作成および編集するため)。
- Microsoft Defender XDRのセキュリティ オペレーターまたはセキュリティ管理者 (ケースとアラートを管理するため)。
- [アラートの更新] アクションの場合:アカウントにはソース製品のアラートを更新するアクセス許可が必要です。また(Microsoft Sentinelアラートの場合)、アラートを生成するデータ コネクタを有効にする必要があります。
自動化ルールのアクセス許可要件の詳細については、自動化ルールを使用したMicrosoft Sentinelでの脅威対応の自動化に関するセクションを参照してください。
新しいトリガー
Simple Flows は、オートメーション ルール エンジンに 2 つの新しいトリガーを追加します。 既存の アラート作成 トリガーは単純フローの一部ではありませんが、新しい アラートの更新 アクションで使用されるため、ここに一覧表示されます。
| Trigger | 次の場合に起動します。 | 使用可能なコンテキスト | 地位 |
|---|---|---|---|
| 作成されたケース | 新しいケースは、XDR 相関関係から、API を介して、または別の自動化ルールによって、手動で自動的に作成されます。 | ケース ID、タイトル、重大度、状態、所有者、説明、タグ、ソース、作成時刻、およびテナントで定義されている任意のケース ユーザー設定フィールド。 | パブリック プレビュー |
| ケースが更新されました | 既存のケース (状態、重大度、所有者、タグ、タスク、またはその他のケース フィールド) が変更されます。 | ケース ID、タイトル、重大度 (古いおよび新規)、状態 (古いおよび新規)、所有者、タグ、更新時刻、およびテナントで定義されている任意のケース ユーザー設定フィールド。 | パブリック プレビュー |
| 作成されたアラート(既存) | Microsoft SentinelまたはMicrosoft Defender XDRで新しいアラートが作成されます。 | アラート ID、タイトル、重大度、状態、プロバイダー、戦術、エンティティ。 | 一般公開 |
知っておくべき動作をトリガーする
- ループ防止。 エンジンは、同じルールが 1 つの評価サイクル内で同じケースで再起動されないように、イベントを重複除去します。 これにより、オートメーション更新によって生成されたルールが再トリガーされる無限ループから保護されます。
- 保存ごとに 1 回の発動。 ケースに対するいくつかの変更を一度に保存すると (たとえば、重大度と所有者の変更など)、 Case 更新 トリガーが 1 回起動し、フィールドごとに 1 回ではなく、すべての条件が最終状態に対して評価されます。
- 古い値と新しい値。 Case 更新トリガーでは、変更されたフィールドの以前の値と新しい値の両方が公開されるため、"重大度が中から高に変更されました" のような正確な条件を記述できます。
- ルールの優先順位。 複数のルールが同じイベントと一致する場合は、 Automation ページで構成した優先順位で実行されます。
アクション リファレンス
Simple Flows には、ケース アクション (ケース管理によって駆動される) とアラート アクション (Alerts API によって駆動される) の 2 つのカテゴリに 6 つのアクションが導入されています。 すべてのアクションは Unified Actions プラットフォームを介して実行されます。これにより、各アクションが適切なダウンストリーム サービスにルーティングされます。
| Action | 互換性のあるトリガー | 構成可能なフィールド | 動作と制限 |
|---|---|---|---|
| ケース作成メールの送信 | 作成済みのケース | 受信者のメール アドレス (1 つ以上)。 | 新しいケースが作成されたときに電子メール通知を送信します。 ケース コンテキスト (ケース ID、タイトル、重大度、状態、所有者、およびケース リンク) と共に、固定のMicrosoft管理された電子メール テンプレートを使用します。 送信者はMicrosoft Security。 |
| ケース更新メールを送信 | ケースが更新されました | 受信者のメール アドレス。 | ケースが更新されたときに電子メール通知を送信します。 変更されたフィールドのケース コンテキストと古い値または新しい値を持つ固定テンプレートを使用します。 保存ごとに 1 回起動します。 |
| ケースを更新 | ケースの作成、ケースの更新 | 標準フィールド: 名前、説明、割り当て先、優先度、状態、期限、決算メモ、電子メール受信者、猶予期間。 さらに、テナントで定義されているケースのカスタム フィールド。 | 1 つのアクションで 1 つ以上のケース フィールドを変更します。 変更するフィールドのみを設定します。その他のフィールドは変更されません。 1 つの Update Case アクションの複数のフィールド更新は、1 つの保存としてカウントされ、ダウンストリームで 1 つの Case 更新 イベントが生成されます。 |
| タスクの追加 | ケースの作成、ケースの更新 | タスクごと: 名前 (必須)、状態、優先度、割り当て日、期限、説明、決算ノート。 | ケースに 1 つ以上の調査タスクを一覧表示された順序で追加します。 制限: ルールあたり最大 10 個のタスク。 このアクションは重複除去されないため、繰り返しルールを実行するとタスクが再び追加されます。 望ましくない再起動を回避するために、ユース ケースの条件が 更新 されました。 |
| アップデートアラート | 作成されたアラート | 状態、分類、決定、割り当て対象。 | Microsoft SentinelまたはMicrosoft Defender XDRアラートのフィールドを変更します。 Alerts API を介して実行され、アラートにすぐに反映されます。 大量の忠実度の低いアラートの自動トリアージに役立ちます。 |
注
このリリースの 3 つの電子メール アクションは、固定のMicrosoft管理されたテンプレート (カスタマイズなし) を使用し、送信者は常にMicrosoft Security、CC と BCC の受信者はサポートされず、電子メールの実行はケース監査ログに書き込まれないため、通知が送信されたことをケース タイムラインから確認することはできません。
トリガーとアクションの互換性
すべてのアクションがすべてのトリガーで機能するわけではありません。 次のマトリックスは、このリリースでサポートされている組み合わせを示しています。
| Action | 作成済みのケース | ケースが更新されました | 作成されたアラート |
|---|---|---|---|
| ケース作成時のメールを送信 | ✅ | ||
| ケース更新メールを送信 | ✅ | ||
| ケースを更新 | ✅ | ✅ | |
| タスクの追加 | ✅ | ✅ | |
| アラートの更新 | ✅ |
エンド ツー エンドのチュートリアル
次の例では、Simple Flows のトリガー、条件、アクションを組み合わせて、一般的な SOC ワークフローを提供する方法を示します。
例 1: 分類による低忠実度アラートの自動トリアージ
キューが実際の脅威に集中できるように、特定のプロバイダーからの情報アラートを無害な陽性として自動的に解決します。
- Microsoft Defender ポータルで、Microsoft Sentinel>Automation に移動し、[ + 作成>自動設定ルール] を選択します。
- [ トリガー] で、[ アラートが作成されたとき] を選択します。
- [ 条件] で、次を追加します。
- プロバイダー次に等しいMicrosoft Defender for Endpoint
- 重大度は情報
- [ アクション] で、次を使用して 更新アラート を追加します。
- 分類: 良性陽性
- 状態: 解決済み
- ルールを保存します。
例 2: ケースが調査中に移行したときにタスクを昇格する
アナリストが調査を開始する瞬間に、ステージに適したチェックリストを追加します。
- Microsoft Sentinel>Automation から、新しい自動化規則を作成します。
- [ トリガー] で、[ ケースが更新されたとき] を選択します。
- 条件で、次を追加します: ステータス次に変更調査中。
- Actions で、調査フェーズ中にアナリストが実行するタスクを含む Add Task を追加します。
- ルールを保存します。
ヒント
ケース更新トリガーの古い値と新しい値を、競合のないレイヤー ルールに対するルールの優先順位と組み合わせます。 すべてのケースで実行される一般的なルールは、重大度が高または重大に変更された場合にのみ追加のアクションを追加する優先度の高いルールとペアにすることができます。