Microsoft Sentinelでの自動化の統合

自動化統合では、Microsoft とサード パーティのアプリ用の事前構築済み統合の一元化されたカタログが導入されているため、プロバイダーを選択し、簡単な認証で構成し、カスタムセットアップなしでプレイブックで使用できます。

自動化統合により、自動応答ワークフローを構築または管理する SOC エンジニア、自動化管理者、高度なセキュリティ アナリストの手動セットアップ作業が削減されます。

重要

2027 年 3 月 31 日以降、Microsoft SentinelはAzure portalでサポートされなくなり、Microsoft Defender ポータルでのみ使用できるようになります。 Azure portalでMicrosoft Sentinelを使用しているすべてのお客様は、Defender ポータルにリダイレクトされ、Defender ポータルでのみMicrosoft Sentinelを使用します。

Azure portalでMicrosoft Sentinelを引き続き使用している場合は、スムーズな移行を確保し、Microsoft Defenderによって提供される統合セキュリティ操作エクスペリエンスを最大限に活用するために、Defender ポータルへの移行の計画を開始することをお勧めします。

自動化の統合のしくみ

Microsoft Sentinelプレイブックは、Azure Logic Apps に組み込まれているワークフローに基づいています。 プレイブックでは、コネクタと統合を使用して、自動化されたワークフロー中に他のサービスと対話できます。

オートメーション統合は、サポートされているプロバイダーが必要とする接続入力を構成するためのガイド付き方法を提供します。 必要な入力は、プロバイダーと認証の種類によって異なります。 統合を構成したら、サポートされているプレイブックまたは自動化シナリオで統合を使用して、ワークフローをターゲット サービスに接続します。

自動化の統合では、次の機能をサポートできます。

• SOC によって使用される Microsoft サービスなどのファースト パーティ サービス。
• エンリッチメント、チケット作成、通信、または応答に使用されるパートナーまたはベンダー サービスなどのサード パーティサービス。
• Microsoft Sentinelが自動化エクスペリエンスを提供し、必要最小限の接続の詳細を求めるプロンプトが表示される、すぐに使用できるシナリオです。

重要

プロバイダー固有のセットアップ手順、値、アクセス許可、トラブルシューティング のガイダンスは、各プロバイダーによって所有されています。 特定のサービスの詳細なセットアップ手順が必要な場合は、プロバイダーの公式ドキュメントを使用します。

前提条件

自動化統合を構成する前に、次の機能があることを確認してください。

• Microsoft Sentinelで統合を作成するために必要なアクセス許可。
• 自動化シナリオに必要なアクションを認証して実行するために、プロバイダー サービスで必要なアクセス許可。

サポートされている認証の種類

統合に使用できる認証オプションは、選択したプロバイダーによって異なります。 Microsoft Sentinel選択した認証の種類に必要なフィールドの入力を求められます。

一般的な認証パターンは次のとおりです。

認証の種類	次の場合に使用する	一般的な入力
API キー	プロバイダーは、API への要求を承認するキーまたはトークンを発行します。	API キーまたはトークン、場合によってはサービス URL またはリージョン。
OAuth 2.0	プロバイダーは、OAuth フローを介した委任された承認またはアプリ ベースの承認をサポートします。	プロバイダーに応じて、サインイン、同意、クライアントの詳細、スコープ、またはリダイレクト構成。

organizationのセキュリティ要件とプロバイダーのガイダンスに従って、資格情報を保存してローテーションします。 自動化シナリオに必要な最小限の特権のアクセス許可を使用します。

統合の設定

自動化統合を作成するには、次の大まかなワークフローを使用します。

1. Microsoft Sentinel>Configuration>Automation の [Automation] ページに移動します。

   

2. [+ 作成] を選択します。

   

3. [定義済みのプロバイダー統合] の一覧から、接続するプロバイダーを選択し、[ 次へ] を選択します。

   

4. [ 名前と認証 ] セクションで、次の情報を指定します。

   • 統合名 (必須): 環境内の統合を識別する名前を入力します。
   • 説明 (省略可能): チームが統合の目的を理解するのに役立つ説明を入力します。
   • 認証の詳細 (必須): 選択した認証の種類に必要な特定のフィールドを入力します。

   使用可能な認証オプションは、プロバイダーによって異なります。 プロバイダーは、API キー認証、OAuth 2.0 認証、またはその両方をサポートする場合があります。 プロバイダー固有のガイダンスへの外部リンクについては、認証の詳細セクションの [ 詳細情報 ] リンクを選択します。

5. [ 次へ ] を選択し、概要ページを確認します。 変更する必要がある場合は、[ 戻る ] を選択して詳細を編集します。 それ以外の場合は、[作成] を選択 します。

セキュリティに関する考慮事項

運用環境で自動化統合を使用する前に、次の考慮事項を確認してください。

• アクセス許可: 特定のプレイブック アクションに必要なアクセス許可のみを付与します。
• 資格情報ストレージ: 承認済みのセキュリティで保護された場所にシークレットを格納します。 プレイブックやドキュメントでシークレットをハードコードしないでください。
• 資格情報のローテーション: organizationのポリシーに従って API キー、クライアント シークレット、トークンをローテーションします。
• 監査可能性: 可能であれば、名前付きサービス アカウントまたはアプリ ID を使用して、チームが自動アクションを監査できるようにします。
• スコープ: 統合を、自動化シナリオで必要なテナント、ワークスペース、キュー、またはリソースに制限します。
• テスト: 非運用環境のインシデントまたはサンプル データとの統合をテストしてから、アクティブな応答ワークフローで使用します。

プロバイダードキュメントを使用する場合

Microsoft Sentinelドキュメントを使用して、自動化統合エクスペリエンス、認証パターン、および高度なセットアップ フローを理解します。 必要に応じ、プロバイダーのドキュメントを使用します。

• 正確な API キーの作成手順。
• OAuth アプリの登録値。
• プロバイダー固有のアクセス許可名。
• リージョン固有のエンドポイント。
• プロバイダー側エラーのトラブルシューティング手順。

関連コンテンツ

• Microsoft Sentinelでの自動化: セキュリティ オーケストレーション、自動化、応答 (SOAR)
• Microsoft Sentinelのプレイブックを使用して脅威対応を自動化する
• Microsoft Sentinel のプレイブックを作成および管理する
• Microsoft Sentinel のプレイブック向け Azure Logic Apps
• Microsoft Sentinel へのプレイブックの認証